Multazo de 200.000 euros a Digi por fazer um duplicado de um cartão SIM sem permissão do titular

A Agência Espanhola de Protecção de Dados (AEPD) tem sancionado com 200.000 euros à operadora telefónica Digi Spain por infringir o artigo 6.1 do Regulamento Geral de Protecção Dados (RGPD), que faz referência à licitud do tratamento. Fez um duplicado de um cartão SIM sem permissão do titular da linha e graças a isso, o delinquente pôde aceder aos dados bancários do cliente.

Não é a primeira vez que a AEPD multa a esta companhia e outras por esta prática, telefonema também Swim Swapping. Com esta nova resolução Digi acumula duas sanções pelo mesmo motivo, atingindo os 270.000 euros.

Uma prática habitual

Ainda que a multa materializou-se em setembro de 2023, o verdadeiro é que agora a AEPD a confirmou depois de ter desestimado o recurso de reposição apresentado por Digi. Assim, só lhe fica ir à via contencioso-administrativa da Audiência Nacional para tratar de esquivarla.

Os factos ocorreram em dezembro de 2021 quando alguém suplantó a identidade do cliente. Conseguiu o duplicado depois de ter-se feito passar pelo titular da linha numa conversa mantida por WhatsApp entre ele e a companhia. Digi defendeu-se alegando que contavam com um procedimento que tinham seguido de maneira "escrupulosa" e, por tanto, tinham levado a cabo um tratamento de dados lícito.

Os argumentos de Digi não convencem

Esses argumentos não convenceram à AEPD. Desde o momento no que a pessoa suplantadora realizou a substituição da SIM, o telefone da vítima ficou sem serviço, de modo que o controle da linha ficou em mãos dos ciberdelincuentes.

Artículo relacionado

Multa de 70.000€ à Digi por facilitar um duplicado de um cartão SIM para defraudar um cliente

Alberto Rosa

Isso provocou que se vissem afectados seus poderes de disposição e controle sobre seus dados pessoais, que são parte do conteúdo do direito fundamental à protecção de dados segundo tem assinalado o Tribunal Constitucional. Segundo explicou-se na resolução, os suplantadores, ao ter conseguido o duplicado, tinham o acesso aos contactos, aplicativos e serviços, podendo modificar as senhas através de um procedimento de recuperação de chave o envio de um SMS com um código para poder modificar as senhas, explica-se na resolução.

Exposição de dados

Isso deixa ao descoberto as contas de correio electrónico, contas bancárias, aplicativos como WhatsApp, redes sociais, Facebook ou Twitter, entre outros. Pelo que, para a AEPD, a operadora tem que ser capaz de acreditar que, para este caso concreto, se seguiram correctamente os protocolos de verificação implementados à hora de solicitar o duplicado SIM. E, neste caso, não o acreditou.

Ademais, deixa-lhe claro que não lhe achacan toda a responsabilidade da suplantación de identidade, sina a que lhe corresponde como responsável por esse tratamento específico ao ter que ser mais exigente à hora do proporcionar.