Siete sentencias contra Digi: la Audiencia Nacional confirma 620.000€ en multas por duplicados de SIM fraudulentos

La Audiencia Nacional ha desestimado siete recursos de Digi y avala multas de la AEPD por 620.000 euros en casos de SIM swapping, es decir, duplicados de tarjeta entregados a suplantadores.

Seis de las sanciones son de 70.000 euros y una de 200.000 euros. La operadora analiza ahora si recurre ante el Tribunal Supremo. La información fue adelantada por El Confidencial el 7 de octubre de 2026.

Siete sentencias dictadas en septiembre de 2026

La Sala de lo Contencioso-Administrativo ha dictado siete sentencias en septiembre de 2026, varias de ellas los días 16 y 17. Todas rechazan los recursos de la operadora contra las sanciones de la Agencia Española de Protección de Datos (AEPD).

Los hechos de los expedientes ocurrieron entre 2021 y 2022. En algunos, los afectados denunciaron después transferencias bancarias que no habían autorizado.

Qué es el SIM swapping y por qué la AEPD lo sanciona

El duplicado de una SIM traslada el número de teléfono del cliente a una tarjeta nueva. Si quien lo consigue no es el titular, puede hacerse con la línea y recibir los SMS con códigos de verificación de bancos, redes sociales u otros servicios. Esa técnica se conoce como SIM swapping.

En sus resoluciones sobre duplicados de SIM, la AEPD aplica el artículo 6.1 del Reglamento General de Protección de Datos, que exige una base legal para tratar datos personales. Lo tipifica como infracción muy grave.

Por qué el tribunal rechaza los argumentos de Digi

Digi defendió que los defraudadores ya conocían datos personales de los clientes y que sus empleados o distribuidores siguieron los protocolos de identificación. En algunos casos añadió que el fraude debía atribuirse a terceros, como las entidades bancarias.

Los magistrados no lo aceptan. Consideran que la tarjeta SIM y sus datos asociados permiten identificar al titular de la línea. Por eso, emitir un duplicado que no ha pedido el verdadero cliente es un tratamiento de datos que necesita base legal y garantías.

Tener protocolos internos no basta: lo relevante es que las medidas impidan de verdad que un tercero se haga pasar por el titular. En varios casos, Digi no logró acreditar ante el tribunal que las comprobaciones de identidad se hubieran hecho correctamente.

La operadora recordó las medidas que adoptó después de los incidentes, como la suspensión temporal de distribuidores implicados y el refuerzo de sus procedimientos de seguridad. El tribunal entiende que esas medidas son posteriores a los hechos y que no eliminan la responsabilidad por lo ocurrido.

Un intento cancelado y un duplicado dos días después

Uno de los expedientes destaca porque Digi ya había detectado una suplantación. El 7 de enero de 2022 canceló un primer intento de duplicado y dejó una advertencia interna sobre un posible robo de identidad. Dos días después, el 9 de enero, un tercero consiguió una SIM en un distribuidor.

Otro expediente de 2022 sigue un patrón similar: tras un primer intento de fraude, Digi reforzó la línea del cliente con una palabra clave de verificación adicional, pero el estafador logró superarla y obtener un nuevo duplicado en otro punto de venta. Para el tribunal, el problema no fue que faltaran medidas de seguridad, sino que resultaron insuficientes en la práctica para impedir el fraude.

Según los expedientes que recoge El Confidencial, la sanción más elevada procede de un expediente que nació de una reclamación de Facua. El duplicado se realizó el 25 de diciembre de 2021 y ese mismo día se registraron movimientos en la cuenta de la clienta que ella no había autorizado. En las anotaciones internas del expediente consta que “alguien está haciéndose pasar por la titular” y que le estaban robando dinero mediante Bizum.

En el expediente de la multa de 200.000 euros, la AEPD tuvo en cuenta, entre otros elementos, que Digi ya había sido sancionada antes por hechos similares. El regulador consideró esa reiteración un agravante para fijar la cuantía.

Qué responde Digi y qué pasa con el Supremo

Fuentes de la compañía sostienen que las sanciones corresponden a “un reducido número de casos” de SIM swapping ocurridos entre 2020 y 2023. Aseguran que Digi “ha reforzado aún más” sus procedimientos de verificación de identidad y prevención del fraude.

Según esas fuentes, las nuevas medidas “han permitido reducir de forma drástica la incidencia de este tipo de fraude entre usuarios de nuestros servicios”. La operadora insiste en que ya contaba con mecanismos de verificación para los duplicados. Atribuye los incidentes a acciones delictivas de terceros mediante ingeniería social, falsificación de documentos y suplantación de identidad.

Las sentencias todavía no son firmes. Digi analiza la viabilidad de recurrir ante el Tribunal Supremo y sostiene que la Audiencia Nacional mantiene el criterio de la AEPD sobre las medidas existentes en aquel momento, aunque reconoce que había procedimientos de control.

Digi defiende que la materialización de un fraude por parte de un tercero no implica automáticamente que no existieran medidas de identificación adecuadas. El criterio de los tribunales, en cambio, es que la operadora debe demostrar que sus controles internos son adecuados y que funcionan.

Cerca de dos millones de euros en sanciones

Los 620.000 euros confirmados por la Audiencia Nacional son solo una parte del historial de Digi. Según ADSLZone, siguen en los tribunales otros procesos similares por unos 1,35 millones de euros, lo que eleva la cifra total en litigio a cerca de dos millones.

Entre las sanciones de este año figuran dos más: una de 130.000 euros, comunicada en febrero y relativa a un caso de 2023, y otra de 120.000 euros, ratificada por la AEPD en septiembre y relativa a un duplicado de 2022 solicitado desde una comunidad autónoma distinta a la del titular. Digi ha recurrido estas sanciones ante los tribunales.

Cómo detectar un posible SIM swapping

Un móvil que se queda sin cobertura de repente, o que deja de recibir llamadas y mensajes en zonas con buena señal, puede indicar un SIM swapping. En ese caso conviene llamar a la operadora desde otro teléfono, pedir el bloqueo del duplicado y avisar al banco.