La AEPD multa a Yoigo con 200.000 euros: dio la SIM de un cliente a un impostor con DNI falso
- El bloqueo automático tardó 24 minutos
- Tres datos del DNI no coincidían
Un impostor entró en una tienda con un DNI falsificado, pidió un duplicado de la tarjeta SIM de otra persona y salió con la línea en el bolsillo. Esta es la situación que ha llevado a la Agencia Española de Protección de Datos a multar a Yoigo con 200.000 euros por un fallo ocurrido en un distribuidor de la provincia de Madrid.
La resolución del expediente EXP202312708 afecta a Xfera Móviles, la sociedad titular de la marca Yoigo dentro del grupo MasOrange. La Agencia aprecia una infracción del artículo 6.1 del Reglamento General de Protección de Datos, es decir, tratar datos personales sin ninguna base legal que lo ampare.
Un DNI que fallaba en la mitad de los datos
Los hechos se remontan a las 10:35 del 24 de julio de 2023. Un tercero no autorizado se presentó en el punto de venta y solicitó el duplicado de la SIM aportando una copia del DNI de la víctima.
El documento imitaba con fidelidad un DNI auténtico, pero los delincuentes no tenían todos los datos personales del titular. Al comparar la copia escaneada con la denuncia policial, la Agencia detectó que solo coincidían tres de los seis campos cotejados.
| ¿Coincidía? | |
|---|---|
| Número de DNI | Sí |
| Nombre y apellidos | Sí |
| Nacionalidad | Sí |
| Lugar y fecha de nacimiento | No |
| Domicilio completo | No |
| Nombre de los padres | No |
El empleado verificó el documento a simple vista, lo escaneó y emitió el duplicado. La operadora reconoce en sus alegaciones que “el agente no cotejó la totalidad de los datos personales del documento, incurriendo en un error humano puntual, contrario al protocolo estipulado por XFERA”.
El bloqueo automático llegó en 24 minutos
Lo llamativo del caso es que el robo de la línea no sirvió de nada.
Ese sistema inhabilitó la recepción de SMS en la línea a las 10:58:26 de ese mismo día. Sin SMS no hay códigos de verificación y, por tanto, no hay forma de completar una operación bancaria a nombre de la víctima.
La compañía lo describe así en sus alegaciones. Detectó “el duplicado de tarjeta SIM en nuestra red y patrones de uso compatibles con posible fraude”. Y aplicó entonces un bloqueo “impidiéndose la recepción SMS a esa línea, lo cual imposibilita la recepción de códigos por esta vía”.
“La cuarentena preventiva de SMS tras un duplicado es un salvavidas esencial”, señala Ana de la Torre, experta de Roams en telecomunicaciones. “Al bloquear estos mensajes, el estafador pierde la llave del banco, neutralizando el fraude al instante”.
Según las alegaciones de la operadora, la línea permaneció activa en la SIM fraudulenta desde las 10:34 hasta las 17:28, cuando el cliente acudió a una tienda a pedir un nuevo duplicado. La compañía sostiene que en ese intervalo no hubo ninguna intromisión bancaria con éxito. Los hechos probados sitúan la solicitud del duplicado a las 10:35, un minuto después de la hora en la que la propia compañía da la línea por activa en la SIM fraudulenta.
Por qué la multa se mantiene pese a evitar el daño
La operadora pidió antes que nada parar el expediente. Sostuvo que los mismos hechos son la base de una investigación penal y que la Agencia debía esperar a lo que decidiera el juez.
La AEPD lo rechaza porque no hay coincidencia de sujeto ni de fundamento entre las dos vías. “El sujeto infractor es obvio que no sería el mismo”, razona: en el expediente administrativo responde Xfera por el tratamiento de datos, mientras que de un eventual delito de usurpación de personalidad o estafa respondería el impostor. La resolución añade que de esa causa penal “no hay constancia”.
Xfera alegó que la medida técnica compensó el error humano y que no cabía imputarle negligencia. La Agencia rechaza el argumento y sitúa el fallo en el punto anterior de la cadena.
El Fundamento de Derecho VII de la resolución es tajante. “La negligencia grave se manifiesta en el hecho de no haber seguido el protocolo establecido por la propia reclamada”, escribe la Agencia. Bastaba con contrastar el documento con los datos que la operadora ya tenía para descubrir el engaño.
“El factor humano sigue siendo el eslabón más débil en esta cadena”, recuerda Ana de la Torre. “Por mucha tecnología predictiva que implante una compañía, la AEPD exige que el control físico inicial en la tienda sea riguroso e infalible”.
La empresa disponía de un manual de
La empresa presentó además una lista de circunstancias atenuantes. La Agencia las despacha en bloque: “No se admite ninguna de las circunstancias invocadas”.
La IA como argumento de defensa
La operadora sostuvo también que ella misma es parte perjudicada, porque los falsificadores han elevado mucho el listón técnico. En sus alegaciones apunta directamente a las herramientas de inteligencia artificial.
El escrito habla de un contexto en el que “las posibilidades de suplantación de identidad se amplían de forma exponencial entre la delincuencia organizada”. Señala la irrupción de la inteligencia artificial y de tecnologías capaces de fabricar documentos falsos “que superan las marcas de agua y/o las principales medidas de seguridad físicas”.
El escrito apunta también al propio cliente. Xfera invoca “la falta de diligencia del propio Reclamante en la custodia de sus datos personales, a la vista de que el suplantador disponía de una copia físicamente convincente de su documento de identidad con carácter previo a tomar contacto alguno con XFERA”. La Agencia no dedica un fundamento a rebatir ese punto, pero se remite a la doctrina de la Audiencia Nacional que cita en la resolución: “Es necesario asegurarse que la persona que contrata es quien realmente dice ser”.
“Aunque los criminales usen inteligencia artificial o ‘deepfakes’, las operadoras son el último cortafuegos de nuestros datos”, advierte la experta de Roams en telecomunicaciones. “Excusarse en la sofisticación de estas mafias tecnológicas ya no exime de responsabilidad ante el regulador”.
El argumento tiene respaldo en casos recientes. La Policía Nacional anunció el 11 de agosto de 2026 la detención en Murcia de un hombre que modificaba su rostro en tiempo real con IA. Lo hacía durante las videollamadas de verificación de identidad y lo combinaba con DNI manipulados.
Los investigadores le atribuyen 38 intentos de obtener certificados electrónicos con más de 30 identidades distintas. Durante la investigación identificaron más de 320 líneas telefónicas asociadas a 24 dispositivos móviles. Está detenido como presunto responsable de un delito continuado de falsedad documental en documento oficial.
200.000 euros sobre un techo de 83,9 millones
La sanción podría haber sido mucho mayor. El artículo 83.5 del RGPD fija como tope 20 millones de euros o el 4% del volumen de negocio mundial del ejercicio anterior, y obliga a aplicar la mayor de las dos cifras.
Xfera declaró un volumen de negocio de 2.098.178.000 euros en 2023, así que el rango legal aplicable iba de 0 a 83.927.120 euros. La Agencia se ha quedado muy por debajo del máximo, aunque ha aplicado dos agravantes que empujaron el importe al alza.
- Infracción anterior: el expediente PS/00027/2021, resuelto el 10 de noviembre de 2021, ya sancionó a la misma empresa con 200.000 euros por otro duplicado fraudulento de SIM.
- Actividad vinculada al tratamiento de datos: una operadora de telecomunicaciones maneja datos personales de forma habitual, lo que eleva la diligencia que se le exige.
La Agencia también valoró la categoría de los datos afectados. Considera que el número de DNI es un dato de especial sensibilidad y se apoya en el Real Decreto 255/2025, de 1 de abril, que regula el Documento Nacional de Identidad. Esa norma lo define como identificador con valor suficiente para acreditar la identidad y la nacionalidad del titular.
Seis meses para acreditar mejoras
Además de la multa, la resolución ordena a Xfera Móviles adoptar medidas correctivas al amparo del artículo 58.2.d) del RGPD. La empresa dispone de seis meses desde que la resolución sea firme para acreditar ante la Agencia que ha mejorado los controles.
No atender esa orden puede abrir un nuevo procedimiento sancionador. La compañía puede presentar recurso de reposición en el plazo de un mes o acudir directamente a la Audiencia Nacional en el plazo de dos meses.
El expediente ha tardado casi tres años en cerrarse. La reclamación se presentó el 5 de septiembre de 2023, se admitió a trámite el 5 de diciembre de ese año y el procedimiento sancionador no arrancó hasta el 30 de mayo de 2025.
Fuente de la imagen principal: Montaje Roams
Últimas noticias
Comentarios
