AI-00179-2024

1/7  Expediente N.º: EXP202315899 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de septiembre de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00060351231 ante la Agencia Española de Protección de Datos contra BETWAY SPAIN, S.A. con NIF A51042083 (en adelante, la parte reclamada) Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que recibió por parte de la Agencia Estatal de Administración Tributaria (en adelante, AEAT) una propuesta de autoliquidación por la AEAT derivada de un aumento de su patrimonio en virtud de ganancias en juego online no declaradas en 2021 desde la plataforma BETWAY. Al no reconocer dicha operación, se puso en contacto con la parte reclamada vía email afirmando que, presumiblemente alguien con el nombre de usuario A.A.A. habría obtenido esas ganancias y solicitando que se suprimiera cualquier cuenta asociada a su DNI. Sostiene que, como respuesta a dicha petición, la entidad reclamada respondió que no poseía ninguna cuenta con la información y los detalles proporcionados, confirmando que el nombre de usuario al que se hace referencia no se encuentra entre su base de datos. Entre la documentación relevante aportada por la parte reclamante se encuentra: - Copia de correo electrónico, de fecha 6 de septiembre de 2023, remitido por ***EMAIL.1 a un email de la reclamante. En este correo electrónico, se da respuesta a un email de la reclamante de fecha 1 de septiembre de 2023, indicando que “no podemos detectar ninguna cuenta con la información y los detalles proporcionados. Como tal, podemos confirmar que el nombre de usuario al que se hace referencia no es de Betway”. - Copia de la comunicación remitida por la Agencia Estatal de Administración Tributaria (en adelante, AEAT). En esta carta se informa a la reclamante de que “como usuario de plataformas de juego on line: BETWAY SPAIN, S.A., (...), usted percibió ganancias patrimoniales que no han sido declaradas en su autoliquidación de IRPF2021” informándole de las ganancias obtenidas por la reclamante por este medio en el año 2021. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 26/11/2024 como consta en el acuse de recibo que obra en el expediente. En dicha contestación la parte reclamada manifestó que, tras revisar nuevamente sus bases de datos, no consta que se haya creado ninguna cuenta de juego vinculada al ***NIF.1, ni que se haya registrado información personal alguna de la reclamante. Además, detalla el proceso riguroso de verificación de identidad que aplica conforme a la normativa de la Dirección General de Ordenación del Juego, incluyendo comprobaciones automatizadas y documentales, así como alertas en caso de discrepancias entre el titular del método de pago y el titular de la cuenta de juego. Asimismo, también afirma que no ha reportado a la Dirección General de Ordenación del Juego beneficios asociados a ese NIF durante 2021 y sugiere que un posible error interno de la DGOJ o de la Agencia Tributaria podría haber generado la confusión. Reitera que ha actuado con diligencia, ha verificado sus sistemas en varias ocasiones y no ha encontrado indicios de suplantación o registro indebido de datos de la reclamante. Por ello, solicita la inadmisión a trámite de la reclamación por carecer de fundamento, si bien muestra su disposición a seguir colaborando con la Agencia. TERCERO: Con fecha 9 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Teniendo en cuenta las manifestaciones de la entidad investigada, se procedió a solicitar información a la Dirección General de Ordenación del Juego (en adelante, DGOJ) recibiendo respuesta el día 26 de noviembre de 2024 en el que se aporta, entre otra, la siguiente información: - Impresión de los datos de variación patrimonial relacionados con el NIF de la reclamante en el año 2021. En estos datos se observa que el ***NIF.1 con el identificador de usuario A.A.A., con fecha de alta el 9 de julio de 2021, obtuvo una variación patrimonial positiva de (...) euros en el operador “Hillside new media Malta, plc”, con CIF N0461842G y nombre comercial Bet365. - Afirman que, de acuerdo con la información que obra en su poder, confirman que la variación patrimonial se produjo en el operador especificado en el punto anterior [Hillside new media Malta, plc]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 - Sostienen que el operador Betway (razón social BETWAY SPAIN, S.A., CIF A51042083) no incluye el DNI ni el identificador de usuario mencionada en sus reportes a la DGOJ. - Concluyen manifestando desconocer las razones por las que se produjeron las discrepancias entre la información remitida por la DGOJ y la información recibida por el ciudadano. En fecha 11 de abril de 2025, la presente inspección procedió a navegar en el sitio web https://www.bet365.es, y accedió a la política de privacidad localizada en la página web https://help.bet365.es/es/privacy-policy, de la que se obtiene, dentro de la sección “Conózcanos” de esta política de privacidad, la siguiente información: “Cualquier mención a “bet365”, “nosotros” o “nuestro” en esta Política de privacidad se refiere a Hillside (New Media Malta) PLC, una sociedad constituida en Malta (con registro mercantil nº C66039) cuyo domicilio social se encuentra en Office 1/2373, Level G, Quantum House, 75 Abate Rigord Street, Ta' Xbiex XBX 1120, Malta. Controlamos la forma en la que se obtienen sus datos personales y los fines para los cuales bet365 los utiliza, actuando como “responsable del tratamiento” para fines de legislación europea de protección de datos aplicable.” Tras las actuaciones de investigación realizadas, se obtuvieron las siguientes conclusiones: - El NIF de la reclamante tiene unas ganancias patrimoniales de (...) euros en el año 2021 que fueron declaradas por el operador de juego “Hillside new media Malta, plc”, con CIF N0461842G y nombre comercial Bet365. - “Hillside new media Malta, plc” tiene su sede en Malta. Concretamente, su domicilio es “Office 1/2373, Level G, Quantum House, 75 Abate Rigord Street, Ta' Xbiex XBX 1120, Malta” y, en la política de privacidad del sitio web https://www.bet365.es, se indica que este es el lugar en el que se decide sobre los fines de los tratamientos de datos personales. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 define a los “datos personales” “ toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” En el presente caso se habría producido un tratamiento de datos personales en los términos definidos por el citado artículo, ya que se habría realizado una operación sobre datos identificativos de una persona física (el DNI de la reclamante) al vincularlo a una supuesta cuenta de usuario con ganancias en juegos online. III Principios relativos al tratamiento Según el artículo 5 del RGPD. Los datos personales serán:
3. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
4. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
7. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»). Para poder valorar si estos principios han sido vulnerados, es imprescindible acreditar la existencia de un tratamiento efectivo de datos personales por parte del responsable del tratamiento, así como que dicho tratamiento haya sido realizado sin base jurídica adecuada o en infracción de los derechos del interesado. En el presente caso, la reclamante ha manifestado que recibió una propuesta de liquidación de la Agencia Tributaria correspondiente al ejercicio fiscal de 2021, en la que se le atribuían unas ganancias patrimoniales no declaradas procedentes de la plataforma de juego online BETWAY SPAIN, S.A. Al no reconocer la existencia de cuenta ni actividad alguna en dicha plataforma, la interesada se dirigió a la empresa reclamando la supresión de cualquier registro vinculado a su identidad, al tiempo que expresaba su sospecha de que otra persona pudiera haber utilizado su NIF con fines fraudulentos. BETWAY SPAIN, S.A., en su respuesta tanto a la interesada como a esta Agencia, señala que, tras llevar a cabo una verificación exhaustiva de sus bases de datos, no ha identificado ninguna cuenta, registro, ni tratamiento de datos personales vinculado al NIF de la reclamante, ni tampoco al nombre de usuario que aparece en la notificación de la AEAT. La entidad detalla además que, en cumplimiento de la normativa de juego vigente, su sistema de verificación de identidad impide la creación de cuentas sin una concordancia plena entre los datos documentales, el titular del método de pago y el registro de usuario, y que no consta ningún reporte remitido a la Dirección General de Ordenación del Juego (DGOJ) relativo a la reclamante durante el ejercicio en cuestión. A efectos de verificación, esta Agencia solicitó información a la DGOJ, que confirma que las ganancias patrimoniales atribuidas al NIF de la reclamante fueron comunicadas por un operador de juego distinto: Hillside (New Media Malta), plc, entidad que opera bajo el nombre comercial Bet365, con domicilio en Malta y NIF N0461842G. En su respuesta, la DGOJ indica que no ha recibido ningún reporte vinculado a dicho NIF por parte de BETWAY SPAIN, S.A., y reconoce que la confusión en la identificación del operador remitente en la comunicación de la AEAT pudo deberse a un error en la correspondencia entre el identificador de operador y la razón social. Asimismo, se ha comprobado que la política de privacidad publicada en la página web de Bet365 confirma que Hillside (New Media Malta), plc es la entidad que decide sobre los fines y medios del tratamiento de datos personales, actuando como responsable del tratamiento conforme al RGPD. BETWAY SPAIN, S.A. no figura vinculada a dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 operador, ni en su estructura, ni en sus obligaciones de reporte de datos a autoridades tributarias o regulatorias. A la vista de lo anterior, no ha podido acreditarse que BETWAY SPAIN, S.A. haya realizado ningún tratamiento de los datos personales de la reclamante. No existe indicio alguno de que esta entidad haya recabado, utilizado o comunicado los datos de la interesada, ni tampoco de que se haya producido una vulneración de los principios del artículo 5 del RGPD atribuible a esta entidad. En consecuencia, no concurren los elementos necesarios para considerar que se ha producido una infracción de la normativa de protección de datos personales, ni puede imputarse responsabilidad a la parte reclamada. IV Conclusión Por tanto, de conformidad con lo previsto en el artículo 65.5 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), procede el archivo de la presente reclamación, al no haberse acreditado la existencia de un tratamiento de datos personales por parte de BETWAY SPAIN, S.A. que vulnere la normativa de protección de datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BETWAY SPAIN, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 1245-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es