Digi pierde contestații pentru amenzi de 620.000 de euro în Spania, după duplicarea frauduloasă a cartelelor SIM

Compania contestă răspunderea sa pentru fraudele comise de terți, potrivit Profit.ro.

Banca a restituit banii după intervenția organizației de consumatori

În 2022, Iratxe, o locuitoare din Barakaldo și membră a FACUA Euskadi, organizație non-profit pentru protecția consumatorilor, a descoperit două tranzacții neautorizate prin serviciul de plăți Bizum. Acestea însumau 800 de euro. Ar fi existat și alte trei tentative eșuate, de aproape 500 de euro fiecare.

Femeia a cerut explicații operatorului despre folosirea numărului său de telefon pentru autorizarea plăților. Digi i-a confirmat că, în urmă cu câteva zile, eliberase un duplicat al cartelei unei persoane care îl solicitase la un punct de relații cu clienții.

FACUA Euskadi susține că nu au fost verificate nici identitatea solicitantului, nici dreptul acestuia de a primi duplicatul. Clienta a încredințat cazul organizației, iar banca a acceptat, după intervenția acesteia, să restituie integral suma retrasă.

Echipa juridică a asociației a depus și o plângere la AEPD. Autoritatea a sancționat operatorul pentru încălcarea articolului 6 din Regulamentul general privind protecția datelor (GDPR).

Instanța a examinat accesul la datele personale prin duplicatul cartelei

Digi a contestat sancțiunea, susținând că nu încălcase normele privind protecția datelor. În apărarea sa, compania a atribuit încălcarea persoanei care se prezentase în mod fraudulos drept clientă.

Secția de contencios-administrativ a Curții Naționale din Spania a reținut în hotărâre că „emiterea necorespunzătoare a unei cartele SIM” permite unei terțe persoane să acceseze informații confidențiale stocate pe cartelă, ceea ce constituie: „o pierdere clară a confidențialității, întrucât datele sunt transmise unei terțe părți în mod nelegitim”.

Instanța a precizat și că „emiterea unui duplicat al cartelei SIM implică prelucrarea datelor cu caracter personal ale titularului”, motiv pentru care operațiunii i se aplică regulile de protecție a datelor.

În privința verificărilor făcute la eliberarea cartelei, magistrații au concluzionat în aceeași hotărâre că „DIGI nu și-a îndeplinit obligația de a proteja informațiile clientului său, întrucât o terță parte (o persoană care a pretins în mod fraudulos a fi titularul) a reușit să eludeze politica de securitate a magazinului sau a punctului de vânzare; există îndoieli serioase cu privire la procedura urmată la punctul de vânzare (distribuitor) pentru identificarea fizică a persoanei care a solicitat duplicatul cartelei SIM”. Recursul companiei a fost respins.

În litigiile similare, Digi a argumentat că fraudatorii dețineau deja datele personale ale clienților și că angajații sau distribuitorii respectaseră procedurile de verificare a identității. În unele cazuri, operatorul a atribuit frauda altor părți, inclusiv instituțiilor bancare, susținând că existența unui duplicat fraudulos nu dovedește automat prelucrarea ilegală a datelor de către companie.

Existența procedurilor interne nu a fost suficientă pentru apărarea Digi

Magistrații au stabilit că o cartelă SIM și datele asociate permit identificarea titularului liniei. Eliberarea unui duplicat nesolicitat de clientul real trebuie, prin urmare, să aibă un temei juridic, adică o justificare legală, și să respecte garanțiile necesare pentru protejarea datelor.

Curtea a recunoscut existența unor proceduri de control, dar a evaluat eficiența lor efectivă la momentul incidentelor. În mai multe cazuri, operatorul nu a demonstrat că verificările de identitate fuseseră făcute corect. Într-unul dintre ele, Digi detectase deja o primă tentativă de folosire frauduloasă a identității clientului.

Compania a invocat și măsurile adoptate ulterior, printre care suspendarea temporară a distribuitorilor implicați și întărirea procedurilor de securitate. Instanța a considerat însă că intervențiile de după incidente nu înlătură răspunderea pentru faptele respective.

Amenzile cumulate de Digi se apropie de 2 milioane de euro

Istoricul sancțiunilor pentru protecția datelor depășește litigiile soluționate recent. De-a lungul anilor, Digi a cumulat amenzi de aproape 2 milioane de euro, legate în principal de eliberarea frauduloasă a duplicatelor SIM și de deficiențe în verificarea identității clienților.

Printre sancțiunile aplicate operatorului se numără:

• Amenzi de 70.000 de euro în alte trei situații pentru aceeași încălcare. Existența sancțiunilor anterioare a fost considerată o circumstanță agravantă, adică un motiv pentru majorarea amenzii în cazul cliente­ei din Barakaldo.
• O amendă de 130.000 de euro, anunțată în februarie 2026.
• O amendă de 120.000 de euro, aplicată în septembrie 2026.

Digi analizează continuarea litigiilor la Curtea Supremă

Potrivit companiei, amenzile privesc un număr mic de cazuri de SIM swapping, adică înlocuirea frauduloasă a cartelei SIM, produse între 2020 și 2023. Operatorul afirmă că avea deja mecanisme specifice de identificare și verificare pentru eliberarea duplicatelor.

Digi susține că incidentele au implicat infracțiuni comise de terți prin inginerie socială, adică manipularea persoanelor pentru a obține acces, falsificarea documentelor și furtul de identitate. În opinia companiei, reușita unei fraude nu dovedește automat că măsurile de identificare lipseau sau erau insuficiente.

Operatorul afirmă că a introdus ulterior verificări suplimentare ale identității și măsuri de prevenire concepute pentru acest tip de infracțiune. „Aceste măsuri au redus drastic incidența acestui tip de fraudă în rândul utilizatorilor serviciilor noastre”, a precizat Digi.

Compania analizează fezabilitatea și oportunitatea contestării amenzilor la Curtea Supremă din Spania.