La Agencia Española de Protección de Datos (AEPD) desestimó el recurso de reposición interpuesto por Digi Spain Telecom y ratificó la sanción de 120.000 euros por la infracción del artículo 6.1 del Reglamento General de Protección de Datos (RGPD), derivada del tratamiento ilícito de datos personales tras la emisión no autorizada del duplicado de una tarjeta SIM, según el expediente al que ha tenido acceso EL PAÍS/Cinco Días.
La ratificación de este expediente consolida un importe acumulado de sanciones impuestas por el organismo regulador a Digi que alcanza aproximadamente los dos millones de euros, según la relación a la que ha tenido acceso este diario. La operadora no ha abonado aún ningún importe al recurrir las sanciones a la Audiencia Nacional, con la suspensión cautelar del pago hasta que decida la instancia judicial.
El procedimiento administrativo se inició tras la reclamación de un abonado que sufrió la interrupción de su servicio telefónico el 8 de enero de 2022. En esa fecha, un tercero obtuvo el duplicado de la tarjeta SIM en un punto de venta presencial. El suplantador empleó la línea telefónica para interceptar los mensajes de texto de verificación emitidos por entidades bancarias y efectuar transferencias y cargos no autorizados en la cuenta corriente de la víctima. Durante la tramitación, la operadora no aportó copia del documento de identidad ni de la denuncia por robo presentadas por la persona que solicitó la copia.
En la fase de recurso, Digi solicitó el archivo del expediente con el argumento de que sus sistemas de seguridad fueron superados mediante el uso de documentación falsa por parte de un tercero. La compañía sostuvo la ausencia de responsabilidad y rechazó la aplicación de una responsabilidad objetiva.
La AEPD ha vuelto a rechazar, en una resolución adoptada el pasado mes de agosto, los alegatos de la empresa de telecomunicaciones al dictaminar que la técnica del SIM swapping constituye un riesgo previsible dentro del sector de las redes y servicios de comunicaciones. El organismo regulador concluyó que Digi actuó de forma negligente por no verificar las alertas activas en el sistema —como la tramitación del duplicado desde una comunidad autónoma distinta a la de residencia del titular— y por la falta de acreditación de las comprobaciones de identidad conforme al principio de responsabilidad proactiva.
El dictamen desestimó asimismo la petición subsidiaria de aminorar la cuantía de la sanción o de sustituir la multa por un apercibimiento. El regulador fundamentó los 120.000 euros de multa en los criterios de proporcionalidad y disuasión, observando que la cantidad se sitúa por debajo del límite legal del 4% del volumen de negocio anual de la entidad, fijado sobre una facturación declarada de 664 millones de euros en el ejercicio 2023.
La acumulación de penalizaciones administrativas sitúa el foco del regulador en las deficiencias del operador durante los procesos de identificación de clientes. Las principales resoluciones contra la filial española de la operadora rumana responden a duplicados no autorizados de tarjetas SIM, contrataciones irregulares y transferencias de línea no consentidas.
Entre las cuantías de mayor dimensión impuestas por la AEPD a la compañía figura una penalización de 200.000 euros en 2024 debido a deficiencias en la base jurídica empleada para tratar datos personales durante un duplicado fraudulento. En el mismo año, el organismo regulador aprobó otra sanción de 200.000 euros por la entrega de un duplicado de SIM a un tercero tras una suplantación de identidad que originó el robo de cantidades por bizum.
La relación de expedientes sancionadores de 2024 comprende además un correctivo de 150.000 euros por el alta de una línea mediante la utilización no autorizada de datos personales de un tercero, así como una multa de 140.000 euros vinculada a fallos de comprobación en la emisión de duplicados, entre otras. A comienzos de 2026, la AEPD sumó una multa adicional de 130.000 euros por otro expediente de características análogas relacionado con duplicados de tarjetas SIM.
Respuesta de Digi
Digi ha recurrido ante la Audiencia Nacional la multa al considerar que la resolución no es firme y que la compañía contaba con medidas de seguridad operativas en la fecha de los hechos. La compañía sostiene que ha reforzado los controles de verificación de identidad, la información al titular y los protocolos de investigación para evitar duplicados fraudulentos de tarjetas SIM. Según fuentes de la empresa, las nuevas herramientas de validación han reducido el margen de fraude, destacando que la AEPD archivó sin expediente sancionador la única reclamación analizada bajo el protocolo de seguridad vigente.
Asimismo, la operadora ha admitido que el conjunto de las sanciones notificadas por la AEPD suman aproximadamente dos millones de euros, correspondientes en su práctica totalidad a un número limitado de suplantaciones de identidad gestionadas entre 2020 y 2023. Fuentes de la compañía confirmaron también que estos importes permanecen judicializados a la espera de sentencia definitiva.
Detalle de llamadas
En paralelo al expediente sancionador, la AEPD ha estimado la reclamación presentada por un abonado a quien Digi denegó el acceso al detalle de las llamadas entrantes recibidas en su teléfono móvil. El expediente comenzó el 11 de julio de 2025 tras denunciar el usuario la negativa de la compañía a facilitar el registro de comunicaciones de un día concreto.
Digi denegó la información alegando que la Ley 25/2007, de conservación de datos relativos a las comunicaciones electrónicas, limita la cesión de los datos de tráfico exclusivamente a las fuerzas de seguridad y autoridades judiciales bajo autorización previa. Asimismo, la empresa argumentó que la divulgación de estos datos vulneraría los derechos a la privacidad y al secreto de las comunicaciones de terceros, especialmente de aquellos usuarios que realizan llamadas utilizando la opción de número oculto de acuerdo con la Ley General de Telecomunicaciones.
Por el contrario, la resolución de la AEPD determinó que la Ley 25/2007 obliga a la retención de datos con fines de investigación penal, pero no introduce limitaciones ni excepciones al derecho de acceso reconocido a los ciudadanos por el artículo 15 del RGPD. Respecto a los derechos de terceros, el regulador precisó que la protección de la intimidad no autoriza a denegar de forma total la información solicitada. La agencia indicó que el responsable del tratamiento debe aplicar medidas de conciliación, tales como la ocultación de los dígitos o fragmentos de texto que puedan perjudicar a otros usuarios.
La Agencia Española de Protección de Datos (AEPD) desestimó el recurso de reposición interpuesto por Digi Spain Telecom y ratificó la sanción de 120.000 euros por la infracción del artículo 6.1 del Reglamento General de Protección de Datos (RGPD), derivada del tratamiento ilícito de datos personales tras la emisión no autorizada del duplicado de una tarjeta SIM, según el expediente al que ha tenido acceso EL PAÍS/Cinco Días.. Seguir leyendo
