AEPD multa a Digi con 120.000 euros por duplicado de SIM fraudulento
- La AEPD confirma una multa de 120.000 euros a Digi Spain Telecom por infringir el artículo 6.1 del RGPD.
- Un tercero obtuvo un duplicado de SIM no autorizado en un punto de venta presencial en enero de 2022.
- El fraude permitió interceptar códigos de verificación bancaria y realizar operaciones no autorizadas.
- La operadora ha recurrido la sanción ante la Audiencia Nacional y afirma haber reforzado sus protocolos.
La seguridad de la identidad digital en España ha vuelto a situarse en el centro del debate jurídico y empresarial tras la reciente resolución de la Agencia Española de Protección de Datos (AEPD). El organismo regulador ha ratificado una sanción económica de 120.000 euros impuesta a Digi Spain Telecom, fundamentando la decisión en la emisión no autorizada de un duplicado de una tarjeta SIM, un proceso que dejó expuesto al usuario a un riesgo crítico de suplantación.
El mecanismo del SIM swapping y el fallo de control
El caso, que tuvo su origen en enero de 2022, no representa un simple error administrativo, sino una vulnerabilidad en la cadena de custodia de la identidad del cliente. El fenómeno conocido como SIM swapping ocurre cuando un tercero logra que la operadora asigne el número de teléfono de una víctima a una nueva tarjeta SIM. En este episodio concreto, el atacante acudió a un punto de venta presencial para solicitar el duplicado, logrando engañar los sistemas de verificación de la compañía.
La gravedad del incidente radica en que la tarjeta SIM ha dejado de ser un mero accesorio de conectividad para convertirse en la llave maestra de la vida digital. Al controlar la línea telefónica, el defraudador pudo interceptar los mensajes de texto (SMS) que contienen los códigos de autenticación de dos factores (2FA). Esta capacidad permitió al tercero acceder a cuentas bancarias del titular y ordenar transferencias y operaciones financieras no autorizadas, transformando un fallo de telecomunicaciones en un perjuicio patrimonial directo.
La respuesta de la AEPD frente al recurso de Digi
La multa fue impuesta inicialmente en noviembre de 2025, pero Digi Spain Telecom presentó un recurso de reposición intentando anular la sanción. Sin embargo, la AEPD ha desestimado dicho recurso, confirmando que hubo un tratamiento ilícito de datos personales según lo establecido en el artículo 6.1 del Reglamento General de Protección de Datos (RGPD). Para el regulador, la operadora no pudo acreditar que hubiera realizado las comprobaciones de identidad necesarias y suficientes antes de emitir la nueva tarjeta.
Existen detalles en el expediente que agravan la posición de la empresa. La AEPD destacó que la solicitud del duplicado se tramitó desde una comunidad autónoma distinta a la de residencia del titular de la línea. A pesar de esta señal de alerta evidente, la operadora no contaba con documentación que justificara la legitimidad de la emisión, lo que demuestra una falta de diligencia en la aplicación de sus propios protocolos de seguridad.
Responsabilidad empresarial más allá del fraude externo
Uno de los puntos más relevantes de esta resolución es la postura de la autoridad sobre la responsabilidad corporativa. La AEPD ha dejado claro que las empresas que gestionan datos personales no pueden eximirse de responsabilidad limitándose a señalar la actuación fraudulenta de un tercero. En el ecosistema actual, el SIM swapping es considerado un riesgo previsible para el sector de las telecomunicaciones.
La clave jurídica en estos escenarios de suplantación reside en probar qué controles existían, cómo se aplicaron en el caso concreto y si las alertas internas fueron revisadas con la diligencia debida.
Desde la perspectiva de la gestión de riesgos, este caso subraya que la seguridad no puede delegarse únicamente en el punto de venta. La falta de una verificación robusta y la ausencia de alertas automáticas ante solicitudes geográficamente anómalas convierten a la empresa en corresponsable del daño causado al usuario. Para profundizar en los detalles legales, se puede consultar la información en Adara Legal.
El estado actual de la disputa legal
A pesar de la ratificación de la multa por parte de la AEPD, el proceso no ha finalizado. Digi Spain Telecom ha manifestado que la sanción aún no es firme y que ha decidido elevar el caso ante la Audiencia Nacional. La compañía sostiene que ha tomado medidas correctivas y que sus protocolos de verificación han sido reforzados para minimizar la posibilidad de que se repitan duplicados fraudulentos en el futuro.
Este enfrentamiento judicial pone de relieve la tensión existente entre la agilidad comercial que buscan las operadoras en sus puntos de venta y la rigurosidad que exige el RGPD. Mientras que para el negocio es prioritario facilitar el servicio al cliente, para el regulador la prioridad absoluta es la protección de la identidad digital, especialmente cuando esta sirve de puente hacia activos financieros.
Implicaciones para la identidad digital del ciudadano
Para el usuario medio, este caso es un recordatorio de la fragilidad de los sistemas de autenticación basados en SMS. La resolución de la AEPD respalda el derecho de los ciudadanos a exigir que sus operadoras garanticen la seguridad de sus líneas. Si un usuario detecta que su teléfono pierde señal repentinamente sin motivo aparente, podría estar siendo víctima de un ataque de SIM swapping.
La recomendación de expertos legales, como se indica en Economist & Jurist, es reclamar inmediatamente ante la operadora y presentar una denuncia formal ante la AEPD. Esta sanción sienta un precedente importante que obliga a todas las telecos a revisar sus procesos de validación de identidad en tiendas físicas y canales digitales.
Impacto en el tejido empresarial y la agenda digital española
Este caso tiene lecturas profundas para las empresas españolas, especialmente aquellas que integran la tecnología en sus procesos de validación de clientes. En el marco de la agenda digital española y la implementación del AI Act, la gestión de la identidad digital se vuelve crítica. Las empresas ya no pueden ver la protección de datos como un mero trámite de cumplimiento (compliance), sino como un pilar de la continuidad del negocio.
Para el tejido empresarial local, especialmente para las PYMES que utilizan servicios de terceros para la gestión de identidades, la lección es clara: la responsabilidad es compartida. La adopción de tecnologías de autenticación más fuertes que el SMS, como las llaves físicas o la biometría avanzada, ya no es una opción de vanguardia, sino una necesidad para evitar sanciones millonarias y crisis de reputación.
Además, la rigurosidad de la AEPD en este caso envía un mensaje a todo el sector tecnológico en España. En un momento en que la digitalización de la administración y la banca es total, cualquier eslabón débil en la cadena de verificación puede desencadenar un efecto dominó de fraudes. Las empresas deben auditar sus puntos de contacto físicos, donde el factor humano sigue siendo la vulnerabilidad más explotada por los ciberdelincuentes.
Preguntas frecuentes
¿Por qué ha sido multada Digi exactamente?
Por la emisión no autorizada de un duplicado de tarjeta SIM, lo que constituye un tratamiento ilícito de datos personales según el artículo 6.1 del RGPD.
¿Qué consecuencias tuvo el duplicado de SIM para el usuario?
Permitió que un tercero interceptara códigos de verificación bancaria y realizara operaciones no autorizadas en la cuenta del titular.
¿Cuál es la postura de Digi ante esta sanción?
La empresa sostiene que la sanción no es firme, ha recurrido a la Audiencia Nacional y afirma haber reforzado sus protocolos de verificación.
¿Qué es el SIM swapping mencionado en el caso?
Es una técnica de fraude donde un atacante consigue que la operadora asigne el número de teléfono de la víctima a una nueva SIM bajo su control.
Fuentes: Consultaabogado, Adaralegal, Roams ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
