La APDA sanciona a Andorra Telecom por fallos en la identificación de eSIM
En mayo de 2025, la Agència Andorrana de Protecció de Dades (APDA) publicó una resolución sancionadora contra Andorra Telecom, SAU por no aplicar medidas adecuadas en la identificación de los titulares de tarjetas eSIM. Este caso es especialmente relevante porque el sancionado es el operador público de telecomunicaciones del Principado, lo que demuestra que ninguna entidad, por grande o pública que sea, está exenta de cumplir con la Llei 29/2021.
Resolución APDA — 2 de mayo de 2025: «L’APDA sanciona Andorra Telecom, SAU per no aplicar mesures adequades en la identificació de titulars d’eSIM.»
Qué ocurrió: el fallo en la identificación de eSIM
Las eSIM (tarjetas SIM embebidas) permiten activar una línea telefónica sin necesidad de tarjeta física, mediante un proceso digital. La resolución de la APDA constató que Andorra Telecom no había implementado medidas suficientes para verificar la identidad del solicitante durante el proceso de emisión de eSIM. Este fallo exponía a los usuarios a riesgos de suplantación de identidad y acceso no autorizado a servicios digitales y cuentas asociadas al número de teléfono.
Qué principio de la Llei 29/2021 se vulneró
La infracción se encuadra en el principio de seguridad del tratamiento: el responsable del tratamiento debe implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. En este caso, el proceso de emisión de eSIM representaba un riesgo elevado para los titulares, y las medidas aplicadas no eran proporcionales a ese riesgo. Este tipo de incidentes puede derivar en la obligación de notificar una brecha de seguridad a la APDA en el plazo de 72 horas. Las empresas deben cumplir con las medidas de seguridad que exige la normativa y conocer el protocolo de actuación en las primeras 72 horas tras una violación de seguridad.
Lecciones para empresas en Andorra
Evalúa el riesgo de cada proceso
Cualquier proceso que permita acceder a cuentas o servicios debe evaluarse en términos de riesgo para los titulares. Si el riesgo es alto, las medidas de verificación deben ser proporcionales.
La seguridad es una obligación, no una opción
El principio de seguridad del tratamiento es de cumplimiento obligatorio. No basta con «hacer lo posible»: la normativa exige medidas «apropiadas al riesgo».
Ninguna entidad está exenta
Andorra Telecom es el operador público del Principado. Si la APDA sanciona a organismos de este nivel, lo hará también con empresas privadas sin dudarlo.
Realiza auditorías periódicas
Los procesos digitales evolucionan y los riesgos cambian. Una auditoría periódica detecta vulnerabilidades antes de que la APDA lo haga.
Además de la seguridad técnica, las empresas en Andorra deben cumplir con numerosas obligaciones de protección de datos, incluyendo el registro de actividades de tratamiento y, en muchos casos, la designación de un delegado de protección de datos. Para el cumplimiento web, es fundamental contar con los textos legales obligatorios.
Si la APDA sanciona a Andorra Telecom, puede sancionar a cualquier empresa. Actúa antes de que la APDA actúe contra ti. En Privand facilitamos toda la información oficial sobre la normativa andorrana de protección de datos y auditamos páginas web de forma gratuita. Si tienes dudas sobre sanciones de la APDA o el cumplimiento de tu empresa, contáctanos y te asesoramos sin compromiso.