L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de DIGI SPAIN TELECOM, S.L. pour des manquements en lien avec la délivrance non autorisée d'un duplicata de carte SIM. Cette affaire débute par une plainte déposée le 21 avril 2023 par une personne signalant avoir reçu une notification de duplication de sa carte SIM sans son consentement, ce qui a entraîné une usurpation d'identité et des opérations bancaires frauduleuses.

L’enquête menée par l’autorité a permis de constater :
* Obligation de licéité du traitement (article 6, paragraphe 1 du RGPD) : L'entreprise a délivré un duplicata de la carte SIM de la plaignante à un tiers non autorisé. La demande a été effectuée dans un point de vente par une personne présentant un document d'identité falsifié, et l'employé a admis la demande bien que le demandeur ne soit pas le titulaire de la ligne. L'autorité a conclu que les vérifications d'identité menées par l'équipe de validation interne étaient insuffisantes et inefficaces, car des divergences manifestes sur le document d'identité (nationalité, date et lieu de naissance, domicile) n'ont pas été détectées, ce qui constitue un traitement de données personnelles sans base juridique valide.

En conséquence, l’autorité a imposé une amende de 130 000 € à DIGI SPAIN TELECOM, S.L.