La Agencia Española de Protección de Datos (AEPD) ha impuesto a Orange una sanción de 1,2 millones de euros por emitir el duplicado de una SIM sin verificar la identidad del solicitante. La compañía telefónica permitió la emisión de una nueva tarjeta sin verificar adecuadamente la identidad del solicitante, lo que derivó en un caso de suplantación de identidad y la posterior sustracción de cerca de 9.000 euros de las cuentas bancarias del afectado.
El incidente ocurrió en diciembre de 2022, cuando en una tienda de Orange en Madrid se emitió un duplicado de SIM sin autorización del titular. La víctima solo se dio cuenta del fraude cuando su línea dejó de funcionar repentinamente. Para entonces, los ciberdelincuentes ya habían activado la nueva tarjeta y accedido a sus datos bancarios.
La AEPD considera insuficientes las medidas de seguridad de Orange
Pese a que Orange alegó contar con un protocolo interno que obliga a verificar la identidad mediante un documento válido, la AEPD ha considerado que las medidas no fueron eficaces ni suficientes para prevenir el incidente. Además, la Agencia ha recalcado que el responsable del tratamiento de datos debe garantizar la seguridad desde el diseño y por defecto, tal como establece el artículo 25 del RGPD.
Por ello, la resolución concluye con dos sanciones:
- 1.000.000 euros por infracción del artículo 25 del RGPD (protección de datos desde el diseño y por defecto).
- 200.000 euros por infracción del artículo 6 (licitud del tratamiento).
Fuente: Confilegal
Lecciones en materia de cumplimiento normativo
El caso de la sanción a Orange por el duplicado de una SIM muestra cómo un fallo en los controles internos puede generar graves vulneraciones de derechos y sanciones millonarias:
- Revisión periódica de protocolos: Los procedimientos deben actualizarse regularmente para mantenerse eficaces frente a nuevas amenazas o cambios tecnológicos.
- Verificación exhaustiva de identidad: Los protocolos deben cumplirse rigurosamente, incluyendo mecanismos de doble verificación en procesos sensibles como duplicados de tarjetas, acceso a cuentas o recuperación de credenciales.
- Responsabilidad proactiva: La empresa es responsable del tratamiento de los datos personales, incluso si el error proviene de un empleado.
- Protección de datos desde el diseño: Las medidas de seguridad deben integrarse desde el inicio y adaptarse al riesgo; la prevención es clave.
- Formación continua del personal: Todos los empleados que manejen datos o procesos sensibles deben estar formados en cumplimiento normativo y ciberseguridad.
