La AEPD ratifica una multa de 120.000€ a Digi por un duplicado de SIM fraudulento y roza los 2 millones en sanciones

La Agencia Española de Protección de Datos (AEPD) ha ratificado una multa de 120.000 euros a Digi Spain Telecom por un duplicado fraudulento de tarjeta SIM, después de desestimar el recurso de la operadora. Hasta la fecha, Digi roza ya los dos millones de euros en sanciones acumuladas del regulador.

La compañía no ha pagado ninguna de las multas, al haberlas recurrido todas ante la Audiencia Nacional, que ha suspendido cautelarmente el pago mientras resuelve.

Un duplicado de SIM usado para vaciar una cuenta

El caso, similar a lo ocurrido hace poco en Yoigo y que apunta a una vulneración del artículo 6.1 del RGPD, arranca el 8 de enero de 2022. Un tercero acudió a un punto de venta físico y obtuvo el duplicado de la tarjeta SIM de un cliente de Digi sin su autorización. Con la línea telefónica bajo su control, interceptó los SMS de verificación bancaria y ejecutó transferencias y cargos no autorizados en la cuenta de la víctima.

Durante la investigación, Digi no aportó ni la copia del documento de identidad ni la denuncia por robo que debía presentar quien solicitó el duplicado. En el recurso, la operadora pidió el archivo del expediente alegando que el suplantador burló sus sistemas de seguridad con documentación falsificada.

Por qué la AEPD considera negligente a Digi

La AEPD rechazó los argumentos de Digi en una resolución de agosto de 2026. El regulador considera que el SIM swapping es un riesgo previsible en el sector de las telecomunicaciones, no un imprevisto que exima de responsabilidad al operador.

“El SIM swapping es hoy el vector de ataque preferido para vaciar cuentas y la defensa de la operadora resulta débil. Los sistemas modernos cuentan con reglas antifraude básicas que un operador de este volumen no puede omitir”, señala Ana de la Torre, experta de Roams en telecomunicaciones.

El expediente señala que Digi no verificó alertas activas en su propio sistema, como la tramitación del duplicado desde una comunidad autónoma distinta a la de residencia del cliente afectado. La AEPD también reprochó a la compañía no acreditar las comprobaciones de identidad exigidas por el principio de responsabilidad proactiva del RGPD.

La resolución rechazó además la petición subsidiaria de Digi de reducir la cuantía de la multa o sustituirla por un apercibimiento. La AEPD fijó los 120.000 euros aplicando los criterios de proporcionalidad y disuasión, por debajo del límite legal del 4% de la facturación anual del operador, calculado sobre una cifra declarada de 664 millones de euros en 2023.

Digi recurre la multa y no ha pagado nada

Digi ha llevado la sanción a la Audiencia Nacional al considerar que la resolución no es firme y que contaba con medidas de seguridad operativas en el momento de los hechos. La operadora no ha abonado el importe, ya que el recurso judicial suspende cautelarmente el pago hasta que se pronuncie el tribunal.

La compañía sostiene que desde entonces ha reforzado los controles de verificación de identidad, la información al cliente y los protocolos de investigación frente a duplicados fraudulentos. Según fuentes de la empresa, las nuevas herramientas de validación han reducido el margen de fraude, y la AEPD archivó sin sanción la única reclamación analizada ya bajo el protocolo de seguridad vigente.

Un historial de sanciones que roza los dos millones

La multa de 120.000 euros se suma a una lista de sanciones de la AEPD a Digi por fallos en la identificación de clientes. Todas están recurridas ante la Audiencia Nacional y ninguna se ha pagado todavía. La AEPD y la propia compañía sitúan el total acumulado de todas las sanciones, incluidas otras de menor cuantía no desglosadas aquí, en casi dos millones de euros.

“Alcanzar la cota de los dos millones de euros en multas acumuladas indica que no estamos ante errores aislados, sino ante un problema estructural. La fuerte presión comercial a veces relaja los controles, dejando una ‘puerta trasera’ al fraude”, valora la experta De la Torre.

El conjunto de sanciones sitúa el foco del regulador en las deficiencias de Digi durante los procesos de verificación de clientes. La propia compañía reconoce que las multas corresponden a un número limitado de suplantaciones de identidad gestionadas entre 2020 y 2023, con los importes judicializados a la espera de sentencia definitiva.

La AEPD obliga a Digi a entregar las llamadas entrantes

La AEPD ha resuelto además, en paralelo al expediente sancionador, la reclamación de un usuario al que Digi negó el registro de sus llamadas entrantes de un día concreto. El expediente se inició el 11 de julio de 2025.

Digi alegó que la Ley 25/2007 limita la cesión de datos de tráfico a las fuerzas de seguridad y a la autoridad judicial, y que facilitar el registro vulneraría el derecho a la privacidad de terceros que llaman con el número oculto. La AEPD respondió que esa ley obliga a retener los datos con fines de investigación penal, pero no introduce límites al derecho de acceso reconocido por el artículo 15 del RGPD.

“Esas garantías no pueden confundirse con una prohibición absoluta de facilitar al propio interesado los datos personales que le conciernen”, concluyó la AEPD en la resolución del expediente, adoptada en agosto de 2026. El regulador precisó además que la ley no establece ninguna limitación para el ejercicio del derecho de acceso en el caso del listado de llamadas entrantes solicitado. Añadió que Digi debe ocultar solo los datos que puedan perjudicar a otros usuarios.

Para la experta de Roams, este fallo “marca un precedente valioso de transparencia. Demuestra que el RGPD requiere una privacidad proactiva, y no sirve como excusa para adoptar una postura de ‘caja negra’ frente al usuario y denegar información”.