El denunciante, tras quedarse sin cobertura, contacta con su compañía telefónica, la cual le informa de que el día anterior se había solicitado telefónicamente un duplicado de la tarjeta SIM. Así pues, tras proporcionar el duplicado al solicitante, se pudo acceder a las cuentas bancarias de la persona afectada y realizar movimientos bancarios.
Según la compañía, el tercero, en su solicitud, proporcionó de manera correcta los datos personales que le fueron solicitados y, por tanto, la entidad operadora tramitó el duplicado.
El problema reside en que la entidad operadora no fue capaz de acreditar que se habían implantado los protocolos de verificación de identidad adecuados para evitar los Sim Swapping o duplicado de tarjetas SIM, como por ejemplo solicitar el DNI en el establecimiento físico al recoger el duplicado de la tarjeta.
Así pues, se impone a la entidad operadora una multa de 70.000€ al haberse incumplido el artículo 6.1 del RGPD, por tratar los datos sin una base de legitimación adecuada.