Multas falsas en Salamanca: la AEPD identifica y sanciona al estafador que la Policía y el CNI no lograron localizar

El engaño de los tiques ORA falsos

El fraude se detectó en junio de 2024, cuando el Ayuntamiento de Salamanca alertó en su cuenta de X de que estaban apareciendo tiques de ORA falsos en los coches. Los documentos imitaban las multas reales e incluían un enlace para realizar el pago voluntario de la supuesta sanción, que ascendía a 45 euros.

Aunque la comparación con un tique original revelaba diferencias evidentes, el diseño era lo bastante cuidado como para que pudiera pasar por auténtico. La apariencia de oficialidad era, precisamente, el gancho principal de la estafa: cualquier conductor que encontrara el papel en su parabrisas podía asumir que se trataba de una sanción real y pagarla sin cuestionarla.

La jugada funcionó

El responsable de la falsificación de tiques de ORA había sembrado deliberadamente los datos de un tercero en el registro del dominio usado para la estafa. Esa persona no tenía relación con el fraude, pero su nombre, su DNI y su fotografía aparecían en la raíz del dominio, una pista falsa que desvió a los investigadores.

La Policía Nacional llegó a solicitar la colaboración del Centro Criptológico Nacional (CCN) para cancelar el dominio, pero no logró dar con el verdadero autor. La investigación por la estafa quedó archivada, al no poder atribuirse los hechos a nadie concreto. La pista falsa, sin embargo, acabaría convirtiéndose en la vía de entrada para otra investigación: la de la Agencia Española de Protección de Datos (AEPD).

La vía que abrió la AEPD

La persona que figuraba en los datos publicados en la raíz del dominio fraudulento —nombre, DNI y fotografía— denunció ante la AEPD la suplantación de identidad. Esa denuncia activó una investigación que los cuerpos policiales no habían podido concluir.

La Agencia, según ha explicado el medio Bandaancha, solicitó la titularidad de la línea telefónica utilizada para registrar el dominio. Ese simple paso permitió identificar al responsable, que había dejado los datos de otra persona en el registro del dominio para despistar a los investigadores.

La infracción que la AEPD considera cometida es la publicación y conservación de esos datos personales sin consentimiento. El responsable, cuyas iniciales son A.P., ha sido sancionado con una multa de 2.000 euros. La Agencia solo puede actuar en su ámbito competencial, el de la protección de datos, y no sobre la estafa en sí, aunque la identificación de la persona podría reactivar la vía penal.

Cómo la AEPD resolvió lo que la Policía no pudo

La persona que montó el fraude dejó en la raíz del dominio los datos personales de otra persona: nombre, DNI y fotografía. Ese ciudadano denunció la suplantación ante la Agencia Española de Protección de Datos (AEPD), lo que permitió a la agencia iniciar una investigación que la Policía y el CNI no habían podido cerrar.

Según la información publicada por Xataka, la AEPD solicitó a la operadora la titularidad de la línea telefónica asociada al registro del dominio fraudulento y a partir de ahí localizó al responsable. La resolución considera que la publicación y conservación de esos datos personales constituye una infracción de la normativa de protección de datos, al tratarse de un tratamiento sin consentimiento.

La suplantación de identidad, clave en la investigación

El responsable de la estafa había registrado el dominio de la web fraudulenta con datos personales de otra persona: nombre, fotografía y documentación que no le correspondían, con el objetivo de despistar a los investigadores. La maniobra funcionó durante meses: la Policía Nacional y el Centro Criptológico Nacional (CCN), que colaboró para cancelar el dominio, no consiguieron dar con el autor real.

Cuando la víctima de esa suplantación de identidad denunció ante la Agencia Española de Protección de Datos, la AEPD solicitó a la operadora los datos de la línea telefónica que se había facilitado en el registro del dominio. Esa vía permitió identificar al responsable, algo que las fuerzas de seguridad no habían logrado.

La resolución de la AEPD considera que la publicación de datos personales de un tercero en el registro del dominio constituye un tratamiento de datos personales sin consentimiento, una infracción del Reglamento General de Protección de Datos. La multa impuesta asciende a 2.000 euros.

La sanción, no obstante, se limita a la vulneración de la normativa de protección de datos. La estafa en sí, el cobro de las multas falsas a través de una pasarela fraudulenta, no entra dentro de la competencia sancionadora de la Agencia. La investigación penal por ese fraude quedó archivada al no poder identificar al autor, aunque la resolución de la AEPD deja ahora datos nuevos que podrían permitir retomar el caso.