Digi suma dos nuevas derrotas judiciales y acumula multas confirmadas de 760.000 euros por protección de datos

La Audiencia Nacional vuelve a dar la razón a la Agencia Española de Protección de Datos (AEPD) en dos procedimientos contra Digi por fallos en la emisión de duplicados de tarjetas SIM que facilitaron la suplantación de identidad de clientes y el acceso de terceros a sus cuentas bancarias. Las nuevas sentencias elevan a 760.000 euros el importe de las multas confirmadas por la Justicia por casos de SIM swapping.

Dos sentencias de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional fechadas a finales de septiembre y principios de octubre vuelven a tumbar los recursos de la teleco rumana, según la documentación consultada por ECONOMÍA DIGITAL.

En ambos casos, los magistrados rechazan los argumentos de la compañía y mantienen las multas de 70.000 euros impuestas por la AEPD por infracciones relacionadas con el tratamiento de datos personales sin una base jurídica adecuada, en contra de lo establecido en el artículo 6.1 del Reglamento General de Protección de Datos.

Los procedimientos se refieren a incidentes distintos, ocurridos en septiembre y noviembre de 2021, aunque comparten un mismo patrón: un tercero se hizo pasar por el titular de una línea telefónica, consiguió un duplicado de su tarjeta SIM y pudo tomar el control del número.

En los dos expedientes, los afectados denunciaron operaciones bancarias que no habían autorizado. Uno de ellos aborda un incidente ocurrido el 22 de septiembre de 2021. La operadora llegó a facilitar la tarjeta sin exigir que se aportara físicamente el DNI para comprobar la identidad de quien la recogía.

Una vez obtenido el duplicado, el suplantador pudo acceder a información de la aplicación bancaria instalada en el teléfono y realizar una transferencia no autorizada. El cliente denunció los hechos ante la Policía Nacional y reclamó ante la AEPD.

Durante la investigación, el regulador también solicitó a Digi una copia del documento de identidad exhibido en el establecimiento en el que se entregó la tarjeta, pero la compañía no aportó ese documento. La AEPD multó a Digi con 70.000 euros, ahora confirmados por la Audiencia Nacional.

La segunda resolución se refiere a un caso ocurrido el 1 de noviembre del mismo año. En esta ocasión, un tercero contactó con el servicio de atención al cliente de Digi a través del chat para solicitar el duplicado de una SIM.

La compañía facilitó un código para tramitar la petición y, posteriormente, un punto de distribución entregó la tarjeta al solicitante sin que se acreditara una comprobación suficiente de su identidad.

La víctima sufrió varias transferencias bancarias que no había autorizado, por lo que la AEPD consideró que la operadora había tratado datos personales sin una base jurídica válida y le impuso una multa de 70.000 euros, confirmada ahora en los tribunales.

El tribunal pone el foco en la responsabilidad de Digi pese a los protocolos

La defensa que Digi ha mantenido en estos procesos sostiene que los suplantadores ya conocían datos personales de las víctimas antes de contactar con la operadora y que sus empleados y distribuidores actuaron conforme a los protocolos de seguridad establecidos.

También ha alegado que la emisión de una tarjeta SIM vacía no implica necesariamente que se hayan facilitado datos personales a un tercero. Sin embargo, la Audiencia Nacional no considera que estos argumentos sean suficientes para anular las sanciones.

La cuestión central no es únicamente si Digi entregó información personal directamente al solicitante, sino si la emisión de una nueva tarjeta vinculada a una línea se realizó con las garantías necesarias para evitar que una persona ajena al contrato tomara el control del número.

La SIM y los datos asociados a la línea están vinculados a una persona identificable y, por tanto, forman parte del ámbito de protección del RGPD. La emisión de un duplicado no solicitado por el verdadero titular debe contar con una base jurídica válida y superar los controles de identidad necesarios.

El tribunal concluye que la existencia de protocolos internos tampoco exime automáticamente a la compañía de responsabilidad. Para la sala, lo determinante es que esas medidas sean eficaces y se apliquen correctamente en cada operación.

Cuando no se acredita una comprobación suficiente, la empresa puede responder por el tratamiento ilícito de datos personales, aunque el fraude material lo haya ejecutado un tercero.

A raíz de los diferentes reveses judiciales, la compañía defiende que los incidentes responden a un «número reducido de casos» relacionados con SIM swapping ocurridos entre 2020 y 2023.

Asegura además que ha reforzado sus procedimientos de verificación de identidad y prevención del fraude con medidas adicionales dirigidas específicamente a neutralizar ese tipo de delitos.

En esta línea, la teleco rumana sostiene que dichas medidas han permitido reducir de forma drástica la incidencia de este tipo de fraude entre usuarios de nuestros servicios.

760.000 euros confirmados en nueve sentencias y dos millones en multas

Las dos nuevas resoluciones se suman a otras siete sentencias anteriores en las que la Audiencia Nacional confirmó multas por un total de 620.000 euros: seis sanciones de 70.000 euros y una de 200.000 euros. Al añadir los 140.000 euros de los dos nuevos casos, el importe asciende a 760.000 euros.

Esta cifra se refiere exclusivamente a las sanciones confirmadas en estos nueve procedimientos judiciales y no al conjunto de las multas impuestas a Digi por la AEPD.

No obstante, el historial sancionador de la operadora incluye otros expedientes, entre ellos una multa de 120.000 euros comunicada en septiembre de 2026 y otra de 130.000 euros anunciada en febrero. En total, la cifra se acerca a los dos millones de euros en multas por infracciones de este tipo.