1/12 Expediente N.º: EXP202204982 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 26 de marzo de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra ELECTRAWORKS - CEUTA, S.A., con NIF A67870402 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante ha recibido una liquidación provisional remitida por la AEAT el 22 de marzo de 2022 y correspondiente al ejercicio fiscal 2018, en el que la administración tributaria pone de manifiesto la ganancia patrimonial que se le imputa a la afectada como consecuencia de ingresos procedentes de actividades de juego online. En ese documento se identifican hasta cuatro sitios web de juego online distintos en los que se atribuye participación a la reclamante (BET365, BWin, Pokestars y William Hill). La afectada asegura que ha sido víctima de suplantación de identidad, por lo que ha denunciado los hechos ante la policía nacional (aporta copia de denuncia de 22 de marzo de 2022). A raíz de estos hechos la afectada se dio de alta en el servicio Phising Alert, operado por la Dirección General de Ordenación del Juego (en adelante DGOJ), recibiendo confirmación de que sus datos personales han sido utilizados para darse de alta, además de en las plataformas referidas por la AEAT, en Partypoker, Partycasino y Entain. Aporta en entrada agrupada copia de notificación de la DGOJ de fecha 27 de marzo de 2022, que pone de manifiesto que sus datos están siendo tratados actualmente por los responsables de los citados sitios. Junto a la notificación se aporta: - “Notificación del Trámite de Alegaciones y Propuesta de Liquidación Provisional” remitido por la Delegación Especial de Asturias de la Agencia Tributaria hacia la reclamante en la fecha del 22 de marzo de 2022, en relación con el concepto tributario “Impuesto sobre la Renta de las Personas Físicas” del ejercicio 2018. Dentro de la motivación de esta notificación se indica, entre otros aspectos, el siguiente: “En el caso planteado consta que la interesada obtuvo una ganancia patrimonial neta de 1.466,01 euros, cantidad que ha de ser integradas en la parte general de su base imponible. Así con el operador Bet365 - Apuestas se empezó con un saldo inicial de 0,00 euros, se depositó 200,00 euros y fueron retirados -366,00 euros para terminar el ejercicio con un saldo final de 0,00 euros. Con el operador Poker Stars se empezó con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 un saldo inicial de 0,00 euros, se depositó 50,00 euros y fueron retirados 0,00 euros para terminar el ejercicio con un saldo final de 0,00 euros. Con el operador Bwin se empezó con un saldo inicial de 0,00 euros, se depositó 170,00 euros y fueron retirados -1.280,00 euros para terminar el ejercicio con un saldo final de 0,00 euros. Con el operador William Hill se empezó con un saldo inicial de 0,00 euros, se depositó 100,00 euros y fueron retirados -340,00 euros para terminar el ejercicio con un saldo final de 0,01 euros. En total, la interesada retiró -1.986,00 euros y terminó a fin de año con un saldo de 0,01 euros. Dado que comenzó el ejercicio 2018 con un saldo inicial de 0,00 euros y consta la realización de depósitos por valor de 520,00 euros obtenemos por diferencia la citada ganancia patrimonial. Es decir, la ganancia patrimonial neta la obtenemos como resultado de: (Retiradas+Saldo final)-(Saldo inicial+depósitos).” - Justificante de la inscripción de la reclamante en el “Servicio de alertas por suplantación de identidad en plataformas de juego on line (Phishing Alert)” de la DGOJ en la fecha del 27 de marzo de 2022. En este justificante se le indica que “Según la información disponible en la base de datos de esta Dirección General, en el momento de la inscripción, sus datos están verificados por los siguientes operadores adheridos al servicio Phishing Alert” … “POKERSTARS, Bet365, BWIN, PARTYPOKER, PARTYCASINO, ENTAIN, BWIN.COM, BWIN.ES”. - Copias de las denuncias presentadas por la reclamante en la Jefatura Superior de Policía de Asturias en los días 22 de marzo de 2022 y 31 de marzo de 2022. En estas denuncias, la reclamante denuncia que recibió la notificación de la Agencia Tributaria en la que se enumeran las ganancias que obtuvo en varios sitios web de juego online sin que la reclamante se hubiese suscrito previamente a ninguno de esos sitios web de juego online. E indica que, de acuerdo con lo que consta en la DGOJ, está inscrita en un total de ocho sitios web de juego online, en los que la reclamante declara que no se había inscrito previamente. Y la reclamante hace constar en la primera denuncia que “había extraviado su DNI el 13/02/2016 comunicando este hecho en el momento de la renovación”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue puesto a disposición y aceptada la notificación y certificación de aceptación, en fecha 29 de junio de 2022. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 26 de junio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 20 de julio de 2022, se presenta un escrito ante la AEPD en nombre de ELECTRAWORKS como respuesta al traslado de la reclamación (realizado dentro del expediente AT/02130/2022, y accedido por ELECTRAWORKS el día 29 de junio de 2022), en el que se aporta, entre otra, la siguiente información: 1. Indicación de que han encontrado en sus sistemas de información una cuenta a nombre de la reclamante que se creó el día 13 de mayo de 2018 a través de su portal online. También se indica que “no nos consta ninguna cuenta creada en nombre de la reclamante en nuestra plataforma Partypoker”. Y se aporta una captura de pantalla de sus sistemas de información con los datos de un registro de tipo “PAYPAL” y Population type “deposit” con los nombres y apellidos de la reclamante y con fecha de creación y de último depósito el 19 de mayo de 2018. 2. Declaración, respecto a la identificación de los jugadores en el procedimiento de alta, de que “tenemos que matizar que es la Dirección General de Ordenación de Juego (DGOJ) quien establece las pautas de identificación y los procedimientos a seguir en todos los casos. Dicho lo anterior, también tenemos que mencionar que existieron dos tipos de procedimientos; uno anterior y otro posterior al 31 de octubre de 2018. Cuando la cuenta se registró (el 19 de mayo de 2018), el procedimiento vigente era el anterior.” Y explican el procedimiento anterior al 31 de octubre de 2018 de la siguiente manera: “El procedimiento anterior a esta fecha consistía, bien en una verificación digital mediante la página web, o la verificación de documentos que suplementaba a la verificación online si esta no se completaba correctamente. Si la verificación online a través de la página web se realizaba correctamente, la cuenta se daba por verificada. Solo en los casos en los que la verificación online no se realizaba correctamente, se requería la aportación de la documentación (por ejemplo, en caso de que el NIF no fuese válido). Además, existía la obligación de efectuar un control previo si la persona estaba registrada en el Registro General de Interdicciones de Acceso al Juego (RGIAJ).” 3. Declaración, respecto al procedimiento de identificación de jugadores posterior al 31 de octubre de 2018 de que “El nuevo procedimiento de verificación en España está compuesto por dos procesos: el Sistema de Verificación Web (proporcionado por la DGOJ) y la verificación de identidad (verificación documental). Una vez que el usuario se registra, se manda al Sistema de Verificación Web la información proporcionada por el jugador en el momento en que se registra.”. De esta manera, se indica que “En este caso, la cuenta de la reclamante, tras la implantación del nuevo sistema de verificación (posteriormente a octubre de 2018) constaba como no verificada, tras la implantación del nuevo sistema de verificación, con lo cual depósitos y retirada de efectivos estuvieron restringidos a partir de esa fecha. Esta nueva legislación en realidad nunca afectó a la cuenta ya que toda actividad se realizó (depósitos y retirada de efectivo) únicamente en abril de 2018.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 4.. Declaración, respecto de las medidas adoptadas a propósito de esta reclamación, de que “ElectraWorks a razón de la comunicación de la Jefatura Superior de Asturias de la Policía Nacional, recibida el 23 de marzo de 2022, pasó a cerrar la cuenta y a catalogar la cuenta como fraudulenta, para poder así aplicar las medidas necesarias al respecto. Esas medidas conllevan entre otras, la imposibilidad de acceder a la cuenta o a los servicios, ya que existe un bloqueo en la cuenta o la imposibilidad de proceder a la eliminación de los datos por ser estos necesarios para una investigación policial en curso.” 5. Declaración de que “En relación al requerimiento de eliminación de datos personales, como operador de juego, ElectraWorks está sometida a diversos requerimientos legales para el mantenimiento de datos por determinados periodos de tiempo en base a tres normativas, en particular”, y estas normas son: - Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego al amparo de la Ley 13/2011, de 27 de mayo, que en su sección 5.1.13 establece que “Los operadores de juego tendrán la obligación de facilitar y permitir a la Dirección General de Ordenación del Juego el acceso online a la información correspondiente a los doce últimos meses de actividad registrada en el almacén. Los operadores deberán tener previsto un procedimiento de recuperación de la información correspondiente a un periodo mínimo de seis años.” - Ley 58/2003, de 17 de diciembre, General Tributaria, que en su artículo 66 establece un periodo de cuatro año para que prescriba el derecho de la Administración para determinar deudas tributarias y exigir su pago, y en su artículo 66 bis.2 establece que “El derecho de la Administración para iniciar el procedimiento de comprobación de las bases o cuotas compensadas o pendientes de compensación o de deducciones aplicadas o pendientes de aplicación, prescribirá a los diez años a contar desde el día siguiente a aquel en que finalice el plazo reglamentario establecido para presentar la declaración o autoliquidación correspondiente al ejercicio o periodo impositivo en que se generó el derecho a compensar dichas bases o cuotas o a aplicar dichas deducciones.” - Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, que en su artículo 25.1 establece que: “Los sujetos obligados conservarán durante un período de diez años la documentación en que se formalice el cumplimiento de las obligaciones establecidas en la presente ley, procediendo tras el mismo a su eliminación. Transcurridos cinco años desde la terminación de la relación de negocios o la ejecución de la operación ocasional, la documentación conservada únicamente será accesible por los órganos de control interno del sujeto obligado, con inclusión de las unidades técnicas de prevención, y, en su caso, aquellos encargados de su defensa legal. En particular, los sujetos obligados conservarán para su uso en toda investigación o análisis, en materia de posibles casos de blanqueo de capitales o de financiación del terrorismo, por parte del Servicio Ejecutivo de la Comisión o de cualquier otra autoridad legalmente competente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12
- a)Copia de los documentos exigibles en aplicación de las medidas de diligencia debida, durante un periodo de diez años desde la terminación de la relación de negocios o la ejecución de la operación.
- b)Original o copia con fuerza probatoria de los documentos o registros que acrediten adecuadamente las operaciones, los intervinientes en las mismas y las relaciones de negocio, durante un periodo de diez años desde la ejecución de la operación o la terminación de la relación de negocios.” 6. Alegación, respecto a la supresión de los datos de la reclamante en concreto que “A nivel practico, creemos que es contraproducente en este momento eliminar los datos de Dª A.A.A. por las siguientes razones;
- a)existe un procedimiento policial en curso y creemos que deberíamos retener los datos por un periodo para garantizar los derechos de Dª A.A.A. y
- b)en la actualidad, los datos de la reclamada no son utilizados para ningún beneficio de Electraworks sino garantizar que sus datos no sean utilizados fraudulentamente por terceros, mediante la activación de medidas antifraude impuestas a la cuenta.” 7. Declaración de que “los autores del fraude tuvieron un beneficio neto de 1.110 euros con el operador Bwin, a costa de la reclamante y de nuestros servicios, y mediante una clara violación de nuestros términos legales relativos a la identidad legal y autentica para el registro de nuestras cuentas.”. Y se aporta un enlace al contenido histórico de los términos y condiciones en inglés de BWIN, a fecha de 9 de marzo de 2019, almacenados en el sitio web “https://web.archive.org”, en cuyo apartado “4. VERDADER IDENTIDAD Y CUENTA ÚNICA”, entre otras cláusulas, se indica que “El nombre almacenado en su cuenta debe coincidir con su identidad legal y auténtica, y el nombre con el que registró su cuenta debe coincidir con el nombre de la tarjeta de crédito u otra cuenta de paga que utilizara para realizar ingresos o recibir dinero en su cuenta.” El día 27 de marzo de 2023, se presenta un escrito ante la AEPD en nombre de ELECTRAWORKS como respuesta a un requerimiento de información, en el que se aporta, entre otra, la siguiente información: Respecto a los documentos aportados al registrar la cuenta de la reclamante en BWIN, se indica los siguiente: “En relación con los documentos identificativos, interesa poner de manifiesto que ElectraWorks Ceuta, S.A. (“ElectraWorks”), no dispone de los mismos. La razón de que no se disponga de copia de ningún documento identificativo se debe a que, cuando se registró la cuenta de Dª. A.A.A. en la plataforma de juego (13 de mayo del 2018), conforme a lo dispuesto en la Resolución de la Dirección General de Ordenación del Juego ("DGOJ") de fecha 12 de julio de 2012, la persona fue identificada y verificada por la Sociedad como apta para poder participar en actividades de juego online, al igual que muchos de los jugadores, a través del Sistema de Verificación de Identidad que la DGOJ. La DGOJ ponía a disposición de los operadores de juego online un sistema que permitía a dichos operadores verificar que los individuos que participan en actividades de juego online a través de sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 plataformas son (
- i)mayores de edad y, (
- ii)no están inscritos en el Registro General de Interdicciones de Acceso al Juego ("RGIAJ"). La particularidad de dicho sistema es que no implicaba la solicitud al jugador de una copia de su DNI, sino la verificación de los datos que facilitaba, contrastándolos en tiempo real con los del registro del Ministerio del Interior.” … “Por ello, dado que el mencionado procedimiento continuaba en vigor en el momento en el que la cuenta de Dª. A.A.A. se registró en la plataforma de juego, ElectraWorks no tiene a su disposición una copia de su DNI u otro documento identificativo.” Se alega la aplicación de la “Resolución de 12 de julio de 2012, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación”, en cuyo apartado Quinto establece: “1. El operador es el responsable de la veracidad de los datos que figuren en sus registros de usuario y de la correcta identificación de los participantes en los juegos que organicen o desarrollen. 2. En los casos en los que el solicitante pueda aportar el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), el operador de juego podrá proceder a la verificación del nombre, apellidos y fecha de nacimiento del solicitante a través del Sistema de Verificación de Identidad de los Participantes de la Comisión Nacional del Juego al que se refiere el siguiente apartado. 3. En los supuestos en los que el solicitante se identifique como no residente en España y no aporte el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), la verificación de los datos será realizada por el operador en el plazo de un mes contado desde que activara el registro” La Resolución de 12 de julio de 2012, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación, publicada en el Boletín Oficial del Estado (https://www.boe.
- es)de fecha 19 de julio de 2012, establece en el primer párrafo del punto 3 de su apartado Séptimo “Verificación a través del Sistema de Verificación de Identidad” lo siguiente: “Realizada la consulta, si los datos coinciden con los del Sistema de Verificación de Identidad, el operador obtendrá una respuesta positiva y los datos se tendrán por verificados.” La Resolución de 31 de octubre de 2018, de la Dirección General de Ordenación del Juego, por la que se modifican determinadas resoluciones sobre las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 actividades de juego previstas en la Ley 13/2011, de 27 de mayo, de regulación del juego, publicada en el Boletín Oficial del Estado (https://www.boe.
- es)de fecha 8 de noviembre de 2018, indica en su apartado Primero lo siguiente: “Modificar la Resolución de 12 de julio de 2012, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación, en los siguientes términos: 1. El apartado quinto del anexo I queda redactado del siguiente modo: «Quinto. Comprobación de los datos de identidad y la verificación de los datos aportados por los participantes. 1. El operador es el responsable de la veracidad de los datos que figuren en sus registros de usuario y de la correcta identificación de los participantes en los juegos que organicen o desarrollen. 2. En los casos en los que el solicitante pueda aportar en su proceso de registro el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), los operadores deberán:
- a)Comprobar los datos de identidad que figuren en sus registros de usuario, bien a través del Sistema de Verificación de Identidad de los participantes de la Dirección General de Ordenación del Juego, bien a través de otros sistemas o medios de verificación alternativos.
- b)Verificar documentalmente los datos aportados por el participante. 3. En los supuestos en los que el solicitante, en su proceso de registro, se identifique como no residente en España y no aporte el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), la verificación y comprobación de los datos, que se realizará mediante el sistema de verificación documental que se considere procedente, será realizada por el operador en el plazo de un mes contado desde que se haya completado el proceso de registro. 4. El operador adoptará las medidas oportunas para evitar que usuarios residentes se registren como usuarios no residentes.»” En su disposición adicional única “Entrada en vigor” establece que “La presente Resolución entrará en vigor el 30 de marzo de 2019”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." IV Conclusión La reclamante conoció del tratamiento de sus datos por parte de la entidad reclamada cuando la Agencia Tributaria le reclamó la tributación por ganancias patrimoniales derivadas del juego en el “Impuesto sobre la Renta de las Personas Físicas” del ejercicio 2018. Entre estas ganancias, se encontraban ganancias en el operador de juego BWIN, que es una marca de ELECTRAWORKS. ELECTRAWORKS ha informado que el alta en sus sistemas de la cuenta de usuario creada con los datos de la reclamante se realizó en fecha 13 de mayo de 2018, y la fecha de la última acción con esta cuenta tuvo lugar el 19 de mayo de 2018. ELECTRAWORKS indica que no dispone de documentación aportada durante el registro de la cuenta porque no era necesario de acuerdo con la Resolución de 12 de julio de 2012, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación. En la “Resolución de 12 de julio de 2012, en su apartado Quinto.2, se establece que “En los casos en los que el solicitante pueda aportar el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), el operador de juego podrá proceder a la verificación del nombre, apellidos y fecha de nacimiento del solicitante a través del Sistema de Verificación de Identidad de los Participantes de la Comisión Nacional del Juego al que se refiere el siguiente apartado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 Y, en su apartado Séptimo.3, se establece que “Realizada la consulta, si los datos coinciden con los del Sistema de Verificación de Identidad, el operador obtendrá una respuesta positiva y los datos se tendrán por verificados.”. En fecha 30 de marzo de 2019, se modifican determinadas resoluciones sobre las actividades de juego previstas en la Ley 13/2011, de 27 de mayo, de regulación del juego”. En ese momento, entró en vigor la nueva redacción del apartado Quinto.2 de esta la Resolución de 12 de julio de 2012 de la DGOJ que se ha indicado en la conclusión 3, que establece lo siguiente: “En los casos en los que el solicitante pueda aportar en su proceso de registro el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), los operadores deberán:
- a)Comprobar los datos de identidad que figuren en sus registros de usuario, bien a través del Sistema de Verificación de Identidad de los participantes de la Dirección General de Ordenación del Juego, bien a través de otros sistemas o medios de verificación alternativos.
- b)Verificar documentalmente los datos aportados por el participante.” Por otro lado, hay que tener en consideración que el reclamado inició el tratamiento de los datos de la parte reclamante el día 13 de mayo de 2018, produciéndose el último depósito 6 días más tarde, el día 19 de mayo. Aun en el caso de que el tratamiento se realizase sin tener en cuenta los requisitos establecidos por la normativa de protección de datos aplicable en el momento de la obtención de los datos, la posible infracción estaría prescrita porque el período de prescripción de las infracciones más graves es de 3 años, de acuerdo con lo establecido en la LOPDGDD; por lo que, en el presente caso, la infracción habría prescrito antes de recibirse la reclamación. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ELECTRAWORKS - CEUTA, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es