La AEPD ratifica, según Cinco Días, una multa de 120.000 euros a Digi, que ya acumula casi dos millones en sanciones

La Agencia Española de Protección de Datos (AEPD) desestimó el recurso de reposición presentado por Digi Spain Telecom y ratificó una sanción de 120.000 euros por infracción del artículo 6.1 del Reglamento General de Protección de Datos (RGPD), en una resolución adoptada en agosto de 2026, según el expediente al que ha tenido acceso Cinco Días. Con esta ratificación, el importe acumulado de sanciones impuestas por el organismo a la operadora de origen rumano alcanza aproximadamente los dos millones de euros, de acuerdo con la relación consultada por el diario.

El expediente se originó por la reclamación de un abonado que sufrió la interrupción de su servicio telefónico el 8 de enero de 2022, cuando un tercero obtuvo el duplicado de su tarjeta SIM en un punto de venta presencial, según recoge Cinco Días. El suplantador utilizó la línea para interceptar los mensajes de verificación bancaria y realizar transferencias y cargos no autorizados en la cuenta de la víctima. Durante la tramitación, Digi no aportó copia del documento de identidad ni de la denuncia por robo presentadas por quien solicitó el duplicado, según el mismo expediente.

En su recurso, Digi pidió el archivo del expediente alegando que sus sistemas de seguridad fueron superados mediante documentación falsa aportada por un tercero y rechazó que se le aplicara una responsabilidad objetiva, según consta en la resolución citada por Cinco Días. La AEPD rechazó ese argumento al considerar que el SIM swapping constituye un riesgo previsible dentro del sector de las telecomunicaciones. El organismo concluyó que Digi actuó de forma negligente por no verificar alertas activas —como la tramitación del duplicado desde una comunidad autónoma distinta a la de residencia del titular— y por no acreditar las comprobaciones de identidad conforme al principio de responsabilidad proactiva. La AEPD desestimó además la petición subsidiaria de la operadora de reducir la cuantía o sustituir la multa por un simple apercibimiento.

El despacho Adara Legal, en un comentario sobre la información publicada por Cinco Días, difundido el 11 de septiembre de 2026, señaló que el caso ilustra que las empresas que tratan datos personales no pueden limitarse a invocar la actuación fraudulenta de un tercero para eximirse de responsabilidad: según ese comentario, en los escenarios de suplantación de identidad la clave suele residir en poder acreditar qué controles existían, cómo se aplicaron en el caso concreto y si las alertas internas fueron revisadas con la diligencia debida.

El regulador fijó los 120.000 euros conforme a criterios de proporcionalidad y disuasión, situando el importe por debajo del límite legal del 4% del volumen de negocio anual de la compañía, calculado sobre una facturación declarada de 664 millones de euros en el ejercicio 2023, según la resolución citada por Cinco Días.

Esta sanción se suma a una serie de expedientes previos por motivos similares que, según la relación consultada por Cinco Días, incluyen 200.000 euros en 2024 por deficiencias en la base jurídica empleada para tratar datos personales durante un duplicado fraudulento; otros 200.000 euros el mismo año por la entrega de un duplicado a un tercero que suplantó identidad y sustrajo dinero por Bizum; 150.000 euros por el alta de una línea con datos no autorizados de un tercero; y 140.000 euros por fallos de comprobación en la emisión de otro duplicado. A comienzos de 2026, la AEPD impuso una multa adicional de 130.000 euros por un expediente de características análogas, según la misma fuente.

Ese expediente de comienzos de 2026, descrito por ForLOPD —el blog de SEGURIDAD Y PRIVACIDAD DE DATOS, S.L., una consultora de cumplimiento normativo que ofrece auditorías RGPD—, correspondía a una clienta que en 2023 sufrió la activación de un duplicado de su SIM sin haberlo solicitado: el responsable de la maniobra presentó una copia del DNI de la víctima haciéndose pasar por su cónyuge y, aunque la tarjeta llegó a bloquearse inicialmente, el bloqueo no se ejecutó correctamente, lo que permitió cargos bancarios, transferencias, compras online y la apertura de cuentas a nombre de la afectada, según esa consultora.

Digi no ha abonado ninguno de estos importes: la compañía ha recurrido todas las sanciones ante la Audiencia Nacional, que ha aceptado la suspensión cautelar del pago hasta que se resuelvan los recursos, según Cinco Días.

El recurso de Digi contra la sanción de 130.000 euros se apoyaba, en parte, en su situación financiera: según datos presentados por la operadora ante el tribunal y recogidos por ForLOPD en febrero de 2026, la compañía mostraba entonces una reducción significativa de su caja operativa respecto al ejercicio anterior y un alto nivel de endeudamiento destinado al despliegue de sus redes de telecomunicaciones. No consta en la evidencia disponible que esta misma argumentación financiera se haya empleado en el recurso contra la sanción de 120.000 euros ratificada en agosto de 2026.

La operadora sostiene que la resolución de 120.000 euros no es firme y que contaba con medidas de seguridad operativas en la fecha de los hechos. Según fuentes de la propia empresa citadas por Cinco Días, Digi ha reforzado desde entonces los controles de verificación de identidad, la información al titular de la línea y los protocolos de investigación frente a duplicados fraudulentos, y las nuevas herramientas de validación habrían reducido el margen de fraude; la compañía destaca que la AEPD archivó sin sanción la única reclamación analizada ya bajo el protocolo de seguridad vigente. Digi ha admitido, según esas mismas fuentes, que el conjunto de sanciones notificadas por la AEPD suma aproximadamente dos millones de euros y corresponde en su práctica totalidad a un número limitado de casos de suplantación de identidad gestionados entre 2020 y 2023, con los importes judicializados a la espera de sentencia definitiva.

En paralelo, la AEPD ha estimado otra reclamación distinta contra Digi: la de un abonado al que la operadora denegó el acceso al detalle de las llamadas entrantes recibidas en su móvil, en un expediente iniciado el 11 de julio de 2025, según Cinco Días. Digi había alegado que la Ley 25/2007 de conservación de datos de comunicaciones limita la cesión de esos datos a las fuerzas de seguridad y a la autoridad judicial, y que entregarlos vulneraría la privacidad de terceros que llaman con número oculto. La AEPD resolvió que esa ley obliga a retener los datos con fines de investigación penal, pero no restringe el derecho de acceso reconocido en el artículo 15 del RGPD, y que la protección de la intimidad de terceros no justifica denegar la información por completo: el responsable del tratamiento debe aplicar medidas de conciliación, como ocultar los dígitos que puedan afectar a otros usuarios.