← España

E-01829-2016

1/16 Expediente Nº: E/01829/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades HILLSIDE ESPAÑA LEISURE, S.A., y HILLSIDE (SPAIN NEW MEDIA), PLC, en virtud de denuncias presentadas ante esta Agencia, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10/03/2016 tiene entrada Esta Agencia Española de Protección de Datos (AEPD) escrito del DENUNCIANTE 1 (ver anexos) en el que manifiesta que HILLSIDE (SPAIN NEW MEDIA) PLC, una empresa de apuestas, le remite una carta (con el logotipo bet365) en la que le solicita la confirmación de sus datos personales mediante la aportación del código de verificación consignado en la carta, con el fin de confirmar que los datos registrados a través de la web www.bet35.es, en su cuenta de usuario son verdaderos y completos. Manifiesta no haber tenido relación alguna con dicha entidad de apuestas y no haber efectuado alta como usuario en la citada web. Aporta copia de la carta cuyo contenido es el siguiente: “Hola xxx: Proceso de identificación (KYC) - Su 'Código de verificación postal' es: ***** Es importante que podamos identificar de forma satisfactoria a nuestros clientes, acatando así los requisitos regulatorios y manteniendo la seguridad en las cuentas. A este proceso de identificación lo llamamos 'KYC'. Nuestro Código de Verificación Postal (CVP) forma parte de dicho proceso. Al proporcionarnos su CVP único confirmará que los datos registrados en su cuenta son verdaderos y completos en todos los aspectos. Si desea introducir su CVP en línea, inicie sesión, vaya al área de 'Miembros', seleccione 'Mi cuenta', haga clic en 'Verificación postal' e inserte su código único *****. Si lo prefiere, podrá completar el proceso por teléfono o a través del Chat en vivo. Le informamos que hasta que no haya completado la identificación, aplicaremos ciertas restricciones en el proceso de las transacciones. Estamos aquí para ayudarle Su nombre de usuario es A.A.A.. Si no recuerda su contraseña, haga clic en 'Recordar contraseña', situado en la parte superior de la página de bet365, para utilizar nuestro servicio automático de cambio de contraseña. Si requiere de ayuda adicional con este o cualquier otro asunto, no dude en contactarnos. Nuestro equipo está disponible 24 horas al día mediante Chat en vivo, en la dirección de correo electrónico .....@365customerservice.com, o bien, por teléfono llamando al número gratuito 900***** ó alternativamente llamando al +44 *****. Estaremos encantados de poder ayudarle. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 Saludos cordiales, El equipo de bet365 PUBLICIDAD - Apueste responsablemente. Se prohíbe el juego a menores de 18 años. En bet365 apostar con moderación es primordial. Para más información vaya a www.jugndorcsanonimos.org. Hillside (Spain New Media) PLC - Hillside, Festival Way, Stoke-on-Trent, ST1 5SH England. Registered in England No. *****. Operating from its place of business at Unit 1.1, First Floor, (C/..1) www.bet365.es” SEGUNDO: Con fecha 10/03/2016 tiene entrada Esta Agencia Española de Protección de Datos (AEPD) escrito del DENUNCIANTE 2 (ver anexos) en el que efectúa idénticas manifestaciones. Aporta copia de la carta objeto de denuncia dirigida por HILLSIDE (SPAIN NEW MEDIA) PLC (bet365) en la que constan su nombre y dos apellidos y una dirección postal distinta de la consignada en su denuncia, carta idéntica a la aportada por el denunciante 1 a excepción del nombre de usuario. TERCERO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones de inspección E/01829/2016 que se trascribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Actividades y relación entre las entidades investigadas 1. HILLSIDE ESPAÑA LEISURE, S.A., en adelante HILLSIDE ESPAÑA, es una sociedad española, inscrita en el registro de operadores de la Dirección General de Ordenación del Juego y titular de las siguientes licencias en España: Licencias Generales: Otros juegos Licencias Singulares: Póquer, Ruleta, Black Jack, Máquinas de azar - slots 2. HILLSIDE (SPAIN NEW MEDIA) PLC, en adelante HILLSIDE UK, es una sociedad domiciliada en Inglaterra y Gales, inscrita en el registro de operadores de la Dirección General de Ordenación del Juego y titular de las siguientes licencias en España: Licencias Generales: Apuestas Licencias Singulares: Deportivas de contrapartida, Hípicas de contrapartida, Otras de contrapartida 3. Ambas sociedades pertenecen al grupo empresarial bet365 y operan a través del sitio web www.bet365.es. HILLSIDE ESPAÑA, manifiesta en su segundo escrito1 que ambas sociedades tienen los mismos beneficiarios efectivos y que la división de las licencias se debe a motivos históricos ligados a la regulación sobre el juego, pero que ambas entidades 1 Registrado con número de entrada 27631/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 comparten marca (bet365) y plataforma (bet365.

  1. es)HILLSIDE ESPAÑA manifiesta en su primer escrito2 que no presta servicios a HILLSIDE UK ni viceversa, siendo cada sociedad autónoma en cuanto a la operativa de sus juegos. 4. El 16/09/2016, en respuesta a un aviso de inspección remitido por el subinspector actuante, el representante de HILLSIDE ESPAÑA manifiesta que el domicilio social de la entidad se encuentra en las oficinas de su bufete de abogados y que ésta “… no dispone de personal, ni equipos técnicos ubicados en esta dirección, ni tan siquiera existe desde esta dirección la posibilidad de obtener ningún tipo de acceso remoto a cualquiera de los sistemas de información de la compañía.” Recogida de datos 5. Como se desprende del documento 3 de la diligencia de 26/09/2016, el sitio web www.bet365.es dispone de un formulario de inscripción de usuarios que establece como obligatorios los siguientes datos: País de residencia Número de DNI/NIE Nombre y primer apellido Domicilio postal Teléfono de contacto Nombre de usuario Fecha de nacimiento Residencia fiscal Contraseña Nacionalidad Correo electrónico Número de seguridad Como datos opcionales, el formulario permite la recogida de segundo apellido, apodo, idioma, huso horario y formato de las cuotas. El formulario dispone de dos casillas de verificación independientes y no marcadas por defecto. La primera permite indicar que se desea recibir información sobre ofertas y promociones de “bet365”. Marcar la segunda casilla implica: la confirmación de que el usuario es mayor de 18 años y la aceptación de las condiciones generales, reglas, política de privacidad, política de cookies y las políticas relacionadas con el proceso de verificación de edad y el proceso de identificación (KYC). 6. Como se desprende del documento 1 de la diligencia de 26/09/2016, las condiciones generales del sitio web citado establecen que el responsable del sitio web es HILLSIDE ESPAÑA o HILLSIDE UK en función del tipo de juego utilizado. 7. Como se desprende del documento 2 de la diligencia de 26/09/2016, la política de privacidad del sitio web identifica como responsables del tratamiento de los datos de los usuarios tanto a HILLSIDE ESPAÑA como a HILLSIDE UK. HILLSIDE ESPAÑA manifiesta en su segundo escrito3 que cuando un usuario proporciona sus datos y se registra, queda registrado como usuario de ambas entidades a la vez. La entidad manifiesta que los datos del cliente serán tratados por una u otra entidad en función del juego en el que este participe. Procedimiento de verificación de datos 8. HILLSIDE ESPAÑA manifiesta en el punto 2 de su segundo escrito 3 que, con el fin 2 Registrado con número de entrada 341135/2016. 3 Registrado con número de entrada 27631/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 de dar cumplimiento a sus obligaciones legales, dispone de un protocolo de actuación para la verificación de los usuarios registrados y aporta descripción de dicho protocolo denominado KYC (Know Your Client 4) como documento 5 del escrito.
  2. a)Cuando un cliente se registra se realizan las siguientes comprobaciones:  Se comprueban el número de DNI o NIE, nombre completo y fecha de nacimiento proporcionados usando el “Servicio web de Verificación de Jugadores para operadores de juego5”. Según se indica en el punto 3 del último escrito6 de la entidad, si la consulta al registro proporciona dos resultados se solicita copia del documento (DNI/NIE) y si no ofrece ninguno, se podría solicitar copia del documento, pero no es posible abrir una cuenta en la plataforma a menos que se logre una coincidencia de los datos de registro con un DNI o NIE válido. Si la comprobación no es satisfactoria sólo se permite el acceso a la cuenta de usuario para completar el proceso de verificación y, de no completarse en 30 días, la cuenta se cierra automáticamente.  Se comprueba mediante el número de DNI o NIE, nombre completo y fecha de nacimiento que el usuario no disponga de otra cuenta, en cuyo caso no se permitirá que concluya el registro.  Se comprueba que el cliente no esté incluido en el Registro General de Interdicciones de Acceso al Juego (RGIAJ).
  3. b)Cuando el cliente realiza su primer depósito se inicia el procedimiento de Diligencia Debida Básica (BDD) en el que se comprueba que el usuario tenga más de 18 años y se valida el domicilio del cliente. La verificación de edad suele quedar cubierta en la consulta al Servicio web de Verificación de Jugadores para operadores de juego. Si no lo es, pueden realizarse comprobaciones automáticas adicionales o solicitarse al usuario copia de documentación acreditativa. Para validar la dirección se utiliza un servicio de validación7 prestado por la empresa Experian que no requiere de la comunicación de ningún dato a dicha entidad. Si la dirección no puede ser validada a través de este servicio se realiza una comprobación visual. Las comprobaciones visuales se describen en el punto 2 del último escrito 8 de HILLSIDE ESPAÑA y tratan de comprobar que el formato de la dirección es correcto. Si no lo es, se envía un mensaje al cliente para que corrija sus datos. Si el procedimiento BDD no se ha completado con éxito dentro de los 14 días posteriores al primer depósito, la cuenta se suspende automáticamente y no se permiten más operaciones hasta que se complete. 4 Conoce a tu cliente 5 Servicio proporcionado por la Dirección General de Ordenación del Juego que permite a los operadores verificar los datos de identidad de los residentes en España en tiempo real. 6 Registrado con número de en entrada 41642/2017. 7 http://www.experian.com/small-business/address-validation.jsp 8 Registrado con número de en entrada 41642/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16
  4. c)Para poder retirar fondos de su cuenta de usuario, es necesario que el cliente haya completado el procedimiento de Diligencia Debida Reforzada (EDD) que verifica el domicilio del usuario. Las comprobaciones de este proceso dependen del tipo de validación aceptada en el proceso anterior, ya que si se utilizó una comprobación mediante base de datos para la primera, no podrá utilizarse para la segunda y si se utilizó una comprobación visual para validar la dirección deberá de utilizarse un tipo distinto para verificarla. Entre los tipos de comprobaciones aceptados para esta verificación se encuentran:  Correo electrónico de verificación  La aportación de documentos que confirmen datos aportados previamente (nombre, fecha de nacimiento, domicilio,…)  Llamada de verificación  Verificación a través de terceros (distinta de la realizada por base de datos) Si la BDD no se ha completado con éxito dentro de los 28 días posteriores a la primera actividad de la cuenta, ésta se suspende automáticamente y no se permiten más operaciones hasta que se complete.
  5. d)Los clientes con un mayor riesgo potencial están sujetos a un procedimiento adicional de verificación denominado Diligencia Debida Adicional (FDD) durante el que se elabora un perfil del cliente observando los antecedentes y estilo de vida de éste para asegurarse de que su gasto es acorde a sus recursos. Eso se hace mediante búsquedas en Internet, comprobación de documentos, software de detección y otros recursos.
  6. e)Una vez creada una cuenta y verificados el DNI/NIE y fecha de nacimiento, un cliente solo puede actualizar los datos de contacto y dirección. Tratamiento de los datos del denunciante 1 9. De los datos aportados por HILLSIDE ESPAÑA en el documento 1 del primer escrito9 y en las páginas 4, 5, 8 y 9 del segundo escrito10 se desprende lo siguiente:
  7. a)Los datos del denunciante 1 fueron registrados el 02/05/2016 y tratados HILLSIDE UK, que es la sociedad que ostenta la licencia de apuestas deportivas.
  8. b)El procedimiento BDD se completa el 02/05/2016 a través del Servicio web de Verificación de Jugadores para operadores de juego.
  9. c)El mismo 02/05/2016 se realiza un ingreso de 100 euros en la cuenta del usuario. El ingreso se realiza a través de Skrill11, un servicio de medio de pago que permite hacer transacciones utilizando una cuenta de correo electrónico y una contraseña.
  10. d)El usuario realiza seis apuestas relativas a dos eventos deportivos los días 02/05/2016 y 03/05/2016 que pierde dejando la cuenta sin saldo. 9 Registrado con número de entrada 341135/2016. 10 Registrado con número de entrada 27631/2017. 11 https://www.skrill.com/es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16
  11. e)No consta que el procedimiento EDD fuese completado ni que se realizase una retirada de dinero de la cuenta de usuario. 10. De los correos electrónicos aportados como documento 2 del segundo escrito 10, se desprende que el denunciante 1 presentó reclamación por el uso fraudulento de sus datos el 11/05/2016 a través de correos electrónicos enviados a la cuenta .......@365customerservice.com. En respuesta a su reclamación, el mismo día 11/05/2016 se le envía un correo electrónico en el que:  Se le solicita el número de seguridad proporcionado por el usuario durante el proceso de alta.  Se le informa de que en caso de hallar una cuenta con sus datos será suspendida sin opción a que pueda ser usada.  Se le informa de la posibilidad de denunciar los hechos ante la policía. 11. La cuenta figura suspendida como sospechosa de fraude el 11/05/2016. Tratamiento de los datos del denunciante 2 12. De los datos aportados por HILLSIDE ESPAÑA en el documento 2 del primer escrito9 y en las páginas 4, 6 y 9 del segundo escrito10 se desprende lo siguiente:
  12. a)Los datos del denunciante 2 fueron registrados el 09/02/2016 y tratados por HILLSIDE UK, que es la sociedad que ostenta la licencia de apuestas deportivas.
  13. b)El procedimiento BDD se completa el 09/02/2016 a través del Servicio web de Verificación de Jugadores para operadores de juego. El mismo día se realiza un ingreso de 100 euros en la cuenta del usuario a través de Skrill.
  14. c)El mismo día también se completa el procedimiento EDD a través de un enlace de confirmación incluido en un correo electrónico remitido al usuario y que se aporta como documento 1 del segundo escrito12. El correo electrónico aportado informa al receptor de los datos facilitados para la cuenta (nombre, apellido, fecha de nacimiento, nombre de usuario y domicilio) y proporciona un enlace mediante el que confirmarlos.
  15. d)El usuario realiza cuatro apuestas relativas a tres eventos deportivos los días 10/02/2016 y 12/02/2016.
  16. e)Como última actividad de la cuenta, consta la retirada de 150 euros el 12/03/2016. 13. Del escrito aportado como documento 4 del primer escrito 13 se desprende que el denunciante 2 presentó una reclamación fechada el 25/02/2016 por el uso fraudulento de sus datos. No consta que se haya contestado a la reclamación pero en su primer escrito 13 HILLSIDE ESPAÑA manifiesta que la cuenta figura suspendida como sospechosa de fraude el 21/03/2016. 12 Registrado con número de entrada 27631/2017. 13 Registrado con número de entrada 341135/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 14. En el punto 1 de su último escrito14, HILLSIDE ESPAÑA describe las comprobaciones que se realizan en relación con los medios de pago, que se resumen a continuación:
  17. a)Se comprueba que el titular de la cuenta de su plataforma con el del medio de pago. En el caso una cuenta bancaria se comprueba el nombre del titular de la cuenta el del cliente y en el caso de una cuenta de Skrill se comprueba que la dirección de correo electrónico coincide con el del cliente.
  18. b)En el caso de ingresos de más de 300 euros o cuando se observada lo estima necesario, se realizan comprobaciones adicionales para la verificación de nombres y direcciones con los bancos y entidades emisoras de tarjetas.
  19. c)Siempre que sea posible, las retiradas de dinero se realizan mediante el mismo medio de pago que hizo los ingresos. En el caso de que un método de ingreso no permita que se realicen retiradas al mismo, la retirada de dinero se haría a una cuenta bancaria de la que el cliente sea titular. 15. Durante las actuaciones de inspección se ha recogido la siguientes referencias normativas:
  20. a)Ley 13/2011, de 27 de mayo, de regulación del juego que en su artículo 17.2 establece: “El sistema técnico, que reunirá las condiciones que se establezcan por la Comisión Nacional del Juego, deberá disponer de los mecanismos de autenticación suficientes para garantizar, entre otros: […]
  21. b)La identidad de los participantes, en el supuesto de los juegos desarrollados a través de medios telemáticos e interactivos, así como la comprobación, en los términos que reglamentariamente se establezcan, de que no se encuentran inscritos en el Registro previsto en el artículo 22.1.
  22. b)de esta Ley.”
  23. b)El Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego, impone al operador en su artículo 26.1 la obligación de establecer los sistemas y mecanismos que faciliten la identificación de los participantes en los juegos.” CUARTO: Las actuaciones de inspección acreditaron que en los ficheros de HILLSIDE ESPAÑA constaban los siguientes datos personales de los denunciantes: Denunciante 1 (ver anexo 1) Nombre de usuario: ***USUARIO.1 Nombre y apellidos: ***NOMBRE.1 Domicilio: domicilio 1 DNI: DNI 1 Fecha de nacimiento: fecha nacimiento 1 14 Registrado con número de entrada 41642/2017 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 Email: email 1 Teléfono: teléfono 1 Denunciante 2 (ver anexo 2) Nombre de usuario: A.A.A. Nombre y apellidos: ***NOMBRE.2 Domicilio: domicilio 2 DNI: DNI 2 Fecha de nacimiento: fecha nacimiento 2 Email: email 2 Teléfono: teléfono 2 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
  24. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. El presente procedimiento se circunscribe a determinar si el tratamiento de los datos personales de los denunciantes 1 y 2 efectuado por HILLSIDE ESPAÑA y HILLSIDE UK es acorde a lo dispuesto en el referido artículo 6 de la LOPD, por cuanto ambos denunciantes manifiestan que no facilitaron sus datos personales a ambas entidades mediante el registro como usuarios efectuado a través de la página web www.bet365.es. dedicada a las apuestas online. Acudiendo a la normativa sectorial del juego debemos señalar que la Ley 13/2011, de 27 de mayo, de regulación del juego, establece: “Artículo 17. Requisitos de los sistemas técnicos. 1. El sistema técnico para la organización, explotación y desarrollo de los juegos por medios electrónicos, informáticos, telemáticos e interactivos, con independencia de lo previsto en el artículo 24 de esta Ley a efectos de la inspección y control, quedará conformado por la Unidad Central de Juegos y el conjunto de sistemas e instrumentos técnicos o telemáticos que posibiliten la organización, comercialización y celebración de juegos por estos medios. 2. El sistema técnico, que reunirá las condiciones que se establezcan por la Comisión Nacional del Juego, deberá disponer de los mecanismos de autenticación suficientes para garantizar, entre otros:
  25. b)La identidad de los participantes, en el supuesto de los juegos desarrollados a través de medios telemáticos e interactivos, así como la comprobación, en los términos que reglamentariamente se establezcan, de que no se encuentran inscritos en el Registro previsto en el artículo 22.1.
  26. b)de esta Ley.” Por su parte el Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego, dispone: “Artículo 26. Identificación de los participantes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 1. Los operadores establecerán los sistemas y mecanismos que faciliten la identificación de los participantes en los juegos. Excepcionalmente, atendiendo a las especiales condiciones de los medios empleados para la comercialización y desarrollo de los juegos, sobre la base de criterios de proporcionalidad y a solicitud motivada del operador, la Comisión Nacional del Juego podrá autorizar la participación sin la previa identificación de los participantes. En todo caso, la identificación del participante y la comprobación de que no está incurso en ninguna de las prohibiciones subjetivas a las que se refieren las letras a),
  27. b)y
  28. c)del número segundo del artículo 6 de la Ley 13/2011, de 27 de mayo, de regulación del juego, será condición imprescindible para el cobro de los premios obtenidos cualquiera que sea su importe y naturaleza. 2. La identificación del participante se realizará a través de un registro de usuario activo único en la que figurarán, al menos, los datos de identificación necesarios para la comprobación de que no está incurso en ninguna de las prohibiciones subjetivas a las que se refieren las letras a),
  29. b)y
  30. c)del número segundo del artículo 6 de la Ley 13/2011, de 27 de mayo, de regulación del juego. El registro de usuario recogerá asimismo los datos de identificación fiscal y de residencia del participante y aquellos otros que permitan la realización de las transacciones económicas y el operador de juego que se determinen por la Comisión Nacional del Juego. El operador establecerá los procedimientos y mecanismos necesarios para garantizar que un mismo jugador no dispone de varios registros de usuario activos. 3. La apertura de un registro de usuario requerirá que el participante aporte los datos a los que se refiere el párrafo anterior y que el operador compruebe la veracidad de los mismos. Finalizado el procedimiento de verificación de los datos en los términos fijados por la Comisión Nacional del Juego, el operador podrá activar el registro de usuario. La Comisión Nacional del Juego establecerá los procedimientos necesarios para facilitar la autenticación y comprobación de los datos de identidad de los residentes en España en tiempo real y, en los supuestos en que no sea posible, en un plazo inferior a tres días. La verificación de los datos aportados por el participante no residente en España deberá ser realizada por el operador en el plazo máximo de un mes desde la activación del registro de usuario y será condición imprescindible para el cobro de los premios obtenidos por el participante cualquiera que sea su importe y naturaleza. En ambos casos, transcurrido el plazo de un mes desde la solicitud del registro, sin que los datos hubieran sido verificados, éste quedará anulado. El operador es responsable de la veracidad y del contraste periódico de los datos que figuren en sus registros de usuario, en los términos establecidos por la Comisión Nacional del Juego. 4. El operador podrá suspender los registros de usuario que permanezcan inactivos durante más de dos años ininterrumpidamente. Los registros de usuario suspendidos podrán ser activados a solicitud del participante. Transcurridos cuatro años desde la suspensión, el operador cancelará el registro de usuario inactivo. 5. La Comisión Nacional del Juego, establecerá los requisitos y condiciones adicionales que deban reunir los registros de usuario y las cuentas de juego y las medidas de protección que hayan de ser cumplidas por los operadores.” Asimismo el Real Decreto 1614/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a licencias, autorizaciones y registros del juego, establece C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 “Artículo 35. Registros de usuario y cuentas de juego. 1. Para la participación en aquellos juegos en los que se requiera la identificación del participante, éste deberá haber aceptado el correspondiente contrato de juego y ser titular de un registro de usuario vinculado al mismo. El registro de usuario activo será único y presentará el contenido y las características referidas en el artículo 26 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.” Por último, la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la Ley 13/2011, de 27 de mayo, de regulación del juego, señala: “2. Registro de usuario, cuenta de juego y medios de pago 2.1 Registro de usuario y limitación en la participación. – Los requisitos en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación se establecen en los artículos 26 y 27 del Real Decreto 1613/2011 y se desarrollan en la correspondiente Resolución de 12 de julio, de la Dirección General de Ordenación del Juego. En esta resolución se desarrolla el contenido mínimo del registro de usuario, así como los controles internos que el operador ha de establecer. 2.1.1 Contenido mínimo del registro de usuario. La identificación de los participantes se realizará a través de un registro de usuario que deberá contener, al menos, los siguientes datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 – Datos de identificación: • Para residentes, número de identificación fiscal (NIF) o número de identificación de extranjeros (NIE). En ambos casos, el número deberá almacenarse en un formato normalizado. • Para no residentes, un documento equivalente: documento de identidad, tarjeta de la seguridad social, pasaporte, permiso de conducir. • Nombre y apellidos. – Datos personales: • Fecha de nacimiento. • Sexo. • Domicilio. • Para los no residentes, país de residencia. • Nacionalidad. • Email. • Teléfono. – Datos de residencia fiscal: • Código de residencia fiscal del participante, de acuerdo con lo dispuesto en el modelo 763 de autoliquidación del Impuesto sobre actividades de juego, aprobado en Orden EHA/1881/2011, de 5 de julio. • Para no residentes será necesario que el participante aporte una copia del documento utilizado para su identificación. …. 2.1.4 Servicios de verificación ofrecidos por la Dirección General de Ordenación del Juego. La Dirección General de Ordenación del Juego proporciona a los operadores un servicio online de verificación de los datos de identidad y fecha de nacimiento para participantes residentes en España: el servicio de verificación se basa en el NIF/NIE del participante. El operador registrará y conservará cuantas consultas realice al sistema de verificación de identidad, dejando constancia de la fecha, hora y minuto de la consulta. Los datos deberán ser conservados, junto con los correspondientes al registro de usuario, durante el período de vigencia del registro de usuario y durante los seis años siguientes a su cancelación o anulación. La Dirección General de Ordenación del Juego proporciona a los operadores dos servicios online de verificación para la inscripción de los participantes en el Registro General de Interdicciones de Acceso al Juego: • Un servicio de verificación de la inscripción de un participante en el Registro General de Interdicciones de Acceso al Juego para participantes residentes en España a partir de NIF/NIE. Los operadores deberán utilizar este servicio para comprobar la inscripción en el proceso de registro de usuario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 • Un servicio de consulta de las variaciones (altas/bajas) en la inscripción en el Registro General de Interdicciones de Acceso al Juego, correspondientes a los participantes que previamente hubiera verificado el operador. Los operadores deberán utilizar este servicio cada hora para verificar las variaciones en la inscripción en el Registro General de Interdicciones de Acceso al Juego de sus participantes. El operador registrará y conservará cuantas consultas realice al Registro General de Interdicciones de Acceso al Juego, dejando constancia de la fecha, hora y minuto de la consulta. Los datos deberán ser conservados, junto con los correspondientes al registro de usuario, durante el período de vigencia del registro de usuario y durante los seis años siguientes a su cancelación o anulación. 2.1.5 Activación del registro de usuario y limitación en la participación. El operador dispondrá de un procedimiento documentado de registro y activación de usuario que recogerá los requisitos de identificación y limitación de la participación establecidos en los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego. El operador es el responsable de la veracidad de los datos que figuren en sus registros de usuario y de la correcta identificación de los participantes en los juegos que organicen o desarrollen. Asimismo, el operador deberá contar con un servicio de verificación de los datos de identidad y fecha de nacimiento suficiente para determinar la veracidad del registro. Este servicio podrá ser prestado por terceros que presten servicios profesionales de verificación de identidad. Los operadores deberán registrar y conservar la totalidad de las gestiones, consultas y requerimientos que hubieran realizado para la verificación de los datos aportados por los solicitantes, así como cuantos documentos hubieran recibido o empleado con este fin. Los datos deberán ser conservados, junto con los correspondientes al registro de usuario, durante el período de vigencia del registro de usuario y durante los seis años siguientes a su cancelación o anulación. 2.1.6 Revisión periódica de los registros de usuario. El operador establecerá un procedimiento técnico, que permita la revisión periódica de los registros de usuario en los términos establecidos en el artículo 26.3 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego. 2.1.7 Cancelación del registro de usuario. El operador conservará los datos de los registros de usuario cancelados. En el registro se detallará el momento de cancelación y el motivo. 2.1.8 Suspensión por inactividad. El operador mantendrá un registro de los registros de usuario suspendidos por inactividad en el que se incluirá la fecha de suspensión. 2.1.9 Suspensión cautelar del registro de usuario. El operador podrá suspender cautelarmente al participante que haya tenido, a su juicio, un comportamiento colusorio o fraudulento o que haya permitido la utilización de su registro de usuario por terceros, hasta que se demuestren los hechos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 2.1.9.1 Medidas de prevención del fraude y del blanqueo de capitales. El operador dispondrá de procedimientos para la detección de fraude y el blanqueo de capitales. Los procedimientos incluirán la pronta notificación de las acciones sospechosas a los organismos públicos competentes para su investigación. En los juegos de apuestas en directo, el operador dispondrá de medidas para mitigar el riesgo de que algunos jugadores pudieran obtener ventajas sobre otros jugadores al apostar con información sobre un resultado cierto o tras un suceso que altere de manera fundamental las probabilidades de la apuesta. 2.1.9.2 Registro y comunicación en relación a la suspensión cautelar del registro de usuario. El operador mantendrá un registro de usuarios suspendidos. El registro incluirá la fecha y el motivo de la suspensión. La DGOJ establecerá un procedimiento telemático a través de la sede electrónica a efectos de que los operadores informen mensualmente sobre las cuentas bloqueadas o suspendidas. 2.1.10 Registro de usuario activo único. El operador establecerá los procedimientos y mecanismos necesarios para garantizar el requisito de registro de usuario activo único por participante del artículo 26.2 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego. 2.1.11 Identificación para el acceso. Una vez se haya completado el proceso de registro se asignará al participante un identificador único de usuario. Los accesos al registro de usuario y a la cuenta de juego deben estar reservados en exclusiva al participante titular del registro. 2.1.12 Autenticación del usuario y política de contraseñas. El acceso al registro de usuario deberá contar con mecanismos de seguridad para autenticar al usuario en la plataforma. La autenticación del usuario podrá realizarse mediante la utilización de contraseñas. La política de contraseñas deberá contemplar, al menos, los siguientes requisitos mínimos: • Deberá establecerse, por defecto o por el participante, una contraseña inicial de usuario. • Durante el proceso de definición de la contraseña de usuario, el participante deberá ser informado sobre buenas prácticas en la elección de contraseñas seguras. • La longitud mínima de la contraseña será de ocho caracteres o dígitos, e incluirá al menos elementos de tres de los siguientes grupos: números, letras minúsculas, letras mayúsculas y otros símbolos. • La contraseña no podrá contener ninguno de los siguientes datos: el nombre de usuario, el seudónimo, el nombre o apellidos o la fecha de nacimiento del participante. • Deberá ofrecerse al usuario un recordatorio de cambio de contraseña con una frecuencia mínima anual, aunque no es obligatorio que el usuario realice el cambio. • El mecanismo de identificación mediante usuario y contraseña deberá bloquearse si se producen en un mismo día más de cinco intentos de acceso erróneos. El operador podrá establecer un límite inferior a este requisito. El sistema del operador estará diseñado para requerir la autenticación del participante ante cada inicio de sesión de usuario, y en el caso de uso de contraseñas, la introducción de la contraseña. El sistema no utilizará cookies u otros mecanismos para evitar la autenticación del usuario o la introducción de la contraseña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 El operador podrá proporcionar otros métodos de autenticación del usuario siempre que ofrezcan un nivel de seguridad mayor que el de la contraseña. El sistema conservará registro de todos los intentos de acceso, ya sean con o sin éxito, para su posterior auditoría. El operador dispondrá de un procedimiento documentado de seguridad de acceso del usuario en el que se describirá: • El modo en que se protege el registro de usuario de accesos no autorizados. • La existencia o no de un medio indirecto, o asistido por personal del operador, de acceder al registro de usuario, previa superación de preguntas antes de conceder el acceso o renovarlo. • El tratamiento de identificadores de usuario o contraseñas perdidos. • El operador dispondrá de un procedimiento para detectar las cuentas inactivas durante un tiempo razonablemente prolongado y requerirá un nivel de autenticación superior al normal o verificaciones adicionales a través del servicio de atención al cliente, antes de permitir reanudar la actividad de juego, especialmente las retiradas de fondos. El umbral de tiempo de inactividad para solicitar un nivel de autenticación o verificación adicional definido por el operador no podrá ser superior a seis meses. • Asimismo, el operador dispondrá de un procedimiento para detectar dentro de lo razonable accesos no autorizados a la cuenta de los participantes, intentos de suplantación de identidad o acceso a sus datos personales. • Adicionalmente, el operador dispondrá de un procedimiento para detectar cambios bruscos en el comportamiento de un participante, y en particular del importe de los depósitos o retiradas, e iniciará alguna acción para prevenir que la cuenta de juego pueda estar siendo accedida por un tercero. 2.1.13 Información al participante sobre su última conexión. Una vez autenticado el usuario, el sistema le mostrará la fecha y hora de su último acceso. 2.1.14 Registro de la configuración de la sesión destinada al juego de máquinas de azar. En el caso de las máquinas de azar, los operadores deberán registrar y conservar los datos relativos a la configuración por parte del usuario de cada una de sus sesiones destinadas al juego de máquinas de azar, según lo establecido en el artículo 14 de la Orden HAP/1370/2014, de 25 de julio, por la que se aprueba la reglamentación básica del juego de máquinas de azar.” En el presente caso el registro de los datos de los denunciantes 1 y 2 en la web www.bet365.es titularidad de HILLSIDE ESPAÑA e HILLSIDE UK se llevó a cabo cumpliendo con lo establecido por la normativa sectorial del juego en lo relativo a la identificación de los usuarios, esto es, en el momento del alta de los denunciantes 1 y 2 se hizo uso del servicio online de verificación de los datos de identidad y fecha de nacimiento para participantes residentes en España proporcionado por la Dirección General de Ordenación del Juego, servicio de verificación se basa en el NIF/NIE del participante. Tal consulta resultó satisfactoria al coincidir los datos de identificación del DNI de los denunciantes: nombre y apellidos, DNI y fecha nacimiento por lo que se verificó el alta de los mismos. Por tanto, no cabe apreciar la existencia de infracción del artículo 6.1 de la LOPD en el tratamiento de datos de ambos denunciantes efectuados por las referidas entidades. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución y el Anexo General a HILLSIDE ESPAÑA LEISURE, S.A., y a HILLSIDE (SPAIN NEW MEDIA) PLC.  NOTIFICAR la presente Resolución y su Anexo correspondiente a ambos denunciantes. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.