A Agência Espanhola de Protecção de Dados (AEPD) multou em 70.000 euros a companhia telefónica Digi Spain Telecom por realizar um duplicado de um cartão SIM sem consentimento do titular. identidade do cliente tinha sido roubada, mas a empresa não o detectou e a linha esteve ativa durante 16 horas.
A AEPD imputou uma sanção por vulnerabilidade do artigo 6 do Regulamento Geral de Protecção de Dados (RGPD) que faz referência à licitude do tratamento.
Pedem um duplicado do seu cartão
O consumidor apresentou uma reclamação junto à AEPD para registar que em janeiro de 2022 o seu telemóvel ficou sem cobertura e, em consequência disso, decidiu ligar à companhia. No entanto, da Digi explicaram-lhe que no dia anterior um terceiro solicitou telefonicamente um duplicado do seu cartão SIM. Mas tudo se fez sem consentimento do utilizador.
Ao finalizar o telefonema tentou aceder à sua conta bancária mas o sistema não lhe reconhecia a sua senha. Depois de conseguir falar com o banco para entrar na aplicação deu-se conta que tinham realizado diversas transferências não autorizadas. Face a esta situação decidiu ir à esquadra para apresentar uma denúncia.
O impostor conhecia todos os dados
Segundo a Digi, na gravação do telefonema escutava-se como o impostor conhecia vários dados do cliente, já que lhe comunicou ao teleoperador o nome, apellidos, número de identidade e os quatro últimos dífitos da sua conta bancária.
Pelo que depois de verificar estes dados deram-lhe um código para que pudesse recolher o cartão num estabelecimento determinado, mas ali não lhe pediram nenhum tipo de documentação, só os dígitos. Da companhia afirmam que seguiram todos os protocolos de segurança estabelecidos e que a AEPD não estava a ter em conta a possibilidade de que o terceiro tivesse de antemão os dados pessoais do afectado.
Digi recorre da multa
No entanto, a AEPD salientou que a empresa não esclareceu qual poderia ter sido a causa específica que levou à emissão do duplicado, limitando-se a dar explicações genéricas.
A coima de 70.000 euros foi objeto de um recurso de reconsideração junto da AEPD, mas foi rejeitada com o fundamento de que o operador deveria ter podido provar que, neste caso específico, tinha seguido os protocolos de verificação implementados aquando do pedido de uma segunda via do cartão SIM.