1/7 940-0419 Procedimiento Nº: E/09208/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por D. A.A.A. (en adelante, el reclamante) tiene entrada con fecha 18 de septiembre de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra NIANTIC, INC., con NIF C3815285 (en adelante, el reclamado). Según manifiesta en su reclamación es jugador del juego de Niantic "pokemon go". Este juego permite que los datos sobre su situación geográfica (coordenadas y hora) que se reflejan en los gimnasios (elemento del juego situado virtualmente en un punto geográfico real) son facilitados a jugadores que no deberían de tener acceso a esa información. Pues bien, cuando facilitan a un jugador datos sobre su situación geográfica el juego establece una limitación para el acceso de aproximadamente 500 metros, necesaria para el desarrollo del juego. Sin embargo, hay jugadores que falsifican su situación geográfica utilizando programas como fake/fly gps accediendo a dicha información desde otras ciudades o incluso otros países. Niantic permite que los datos de localización sean facilitados a jugadores sin verificar que ha falsificado o no su situación geográfica. En el juego todos los usuarios tienen un nombre que en caso del reclamante es "***USUARIO.1". Una parte del juego son las raids en que se lucha entre varios jugadores contra un pokemon imposible de derrotar de forma individual para lo que deben reunirse en puntos concretos lo que hace que se conozcan, donde trabajan, etc, por esto al facilitar datos sobre un jugador se da información para saber qué persona física es. Es posible que esos jugadores usen esa información para acosar dentro del juego e incluso en la vida real (incluso a menores, que son muchos los que juegan habitualmente). Ha solicitado a Niantic que cesara de facilitar su situación geográfica a jugadores que falsifican su situación a lo que Niantic no le ha contestado. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 El responsable del Tratamiento para usuarios de Pokémon GO en el Espacio Económico Europeo no es Niantic, Inc., sino Niantic International Limited, con sede en Reino Unido. Según figura en la política de seguridad del juego, los datos que se recaban son: “Al registrarse en nuestros Servicios, usted nos proporciona voluntariamente Datos Personales, por ejemplo, cuando abre una cuenta. Recabamos y usamos dichos datos para autenticar su identidad cuando usted abre una cuenta y usa los Servicios, para asegurarnos de que pueda y reúna los requisitos para recibir los Servicios y reciba la versión correcta de los mismos. Dichos datos incluyen el nombre de usuario en el juego que usted elija usar en nuestros Servicios y los ID internos que asignamos a su cuenta. Usted deberá tener una cuenta en un servicio de inicio de sesión único compatible de un tercero para usar nuestros Servicios. Por tanto, los Datos Personales que recabamos dependen también de qué cuentas de terceros usted elige usar, de las políticas de privacidad de dichos terceros y de lo que nos permiten ver los ajustes de privacidad que usted configura en dichos servicios cuando los usa para acceder a los Servicios de Niantic. Si usted elige vincular su cuenta de Google a los Servicios, recabaremos su dirección de correo electrónico de Google y un token de autenticación proporcionado por Google. Si usted elige vincular su cuenta de Facebook a los Servicios, recabaremos un ID de usuario único proporcionado por Facebook y, si usted lo permite, su dirección de correo electrónico registrada en Facebook.” Información Facilitada durante la Creación del Usuario/ Inicio de Sesión:
- Solicitud de Permiso para Acceder a la Ubicación: Pokémon GO es un juego basado en la ubicación (es decir, la jugabilidad depende del lugar en que el jugador se encuentre en el mundo real). En este sentido, Niantic UK necesita recabar datos de ubicación de sus jugadores para el funcionamiento del juego según se indica a los jugadores en las Condiciones de Servicio de Niantic. A tales efectos se despliega una ventana emergente que solicita permiso para tratar datos relativos a la ubicación.
- Condiciones de Servicio de Niantic: Se despliega una ventana emergente que Incluye un link a las Condiciones de Servicio de Niantic. El jugador puede marcar la opción "ACEPTAR o "DECLINAR'.
- Política de Privacidad de Niantic: Se despliega una ventana emergente que solicita al jugador que revise la Política de Privacidad de Niantic. La ventana contiene dos opciones que el jugador puede marcar, "VALE' y "POLÍTICA DE PRIVACIDAD". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Información Facilitada durante el Juego:
- Política de Privacidad y Condiciones de Servicio de Niantic: La Política de Privacidad y Condiciones de Servicio de Niantic a las que se hace referencia más arriba son accesibles en todo momento durante el juego a través de la sección Opciones dentro de la aplicación.
- Amigos: Si un jugador decide añadir a otro jugador como amigo dentro del juego, debe dirigirse al menú de Amigos dentro de la aplicación. Este menú contiene un link, "Lista de amigos y niveles de amistad'. Allí se proporciona la siguiente información a los jugadores: "Tus amigos verán tu perfil de Entrenador, los logros y los Pokémon que hayas atrapado. Tus amigos también podrán conocer tu ubicación cuando les envíes un Regalo o intercambies Pokémon con ellos". Los jugadores pueden elegir aceptar o rechazar cualquier solicitud de amistad dentro del juego que reciban, y pueden eliminar un amigo en cualquier momento.
- Funcionalidad para Importar Amigos de Facebook: Esta funcionalidad está desactivada por defecto, y es necesario que el jugador la active. Aquel jugador que habilite esta funcionalidad verá qué amigos de Facebook están jugando al juego (siempre que también hayan decidido de forma proactiva participar en esta funcionalidad) y podrá enviar a los amigos de Facebook que haya elegido, solicitudes de amistad dentro del juego que el otro jugador puede aceptar o rechazar. Para activar la funcionalidad, el jugador debe hacer lo siguiente:
- Funcionalidad Sincroaventura (Modo Fitness): Esta funcionalidad está desactivada por defecto, y es necesario que el jugador la active. Al habilitarla se permite a Niantic UK recabar cierta información acerca del ejercicio físico en segundo plano incluso cuando el jugador no esté interactuando de manera directa con la aplicación. Datos de un determinado jugador que se facilitan a terceros jugadores, circunstancias, finalidad y forma establecida para obtener el consentimiento previo a la comunicación de datos. Cierta información acerca de los jugadores se hace visible para otros jugadores dentro de la aplicación de Pokémon GO. Ello es necesario para permitir el funcionamiento de los aspectos o modos multijugador que son esenciales para la jugabilidad. Estas funcionalidades multijugador están diseñadas para que los jugadores participen y jueguen juntos en la misma ubicación física en el mundo real. La Política de Privacidad de Niantic señala la información que se comparte con otros jugadores. Como parte de este componente multijugador, la información permanece visible para otros jugadores en las siguientes circunstancias: Gimnasios: Para participar en el modo multijugador, que es esencial para la jugabilidad, los jugadores pueden escoger interactuar con ubicaciones de dentro del juego conocidas como "Gimnasios". El apodo de Entrenador y los nombres de los Pokémon situados en un Gimnasio por parte de aquellos jugadores que voluntariamente decidan controlar un Gimnasio posicionando sus Pokémon en él, permanecerán visibles dentro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 de la aplicación del juego para aquellos otros jugadores que visiten esa misma ubicación dentro del juego. Incursiones: Para participar en el modo multijugador, que es esencial para la jugabilidad, los jugadores pueden escoger voluntariamente interactuar en Gimnasios eligiendo participar en un evento dentro del juego conocido como una "incursión". En una incursión, los jugadores se unen con otros jugadores y utilizan una selección de Pokémon para luchar contra otro Pokémon más poderoso. Los apodos de Entrenador, avatares, niveles de Entrenador y equipos de los jugadores que deciden participar en una incursión en un Gimnasio en concreto, permanecerán visibles para otros jugadores en un "vestíbulo" dentro del juego hasta que comience la incursión. Cebos: Para participar en el modo multijugador, que es esencial para la jugabilidad, los jugadores pueden escoger voluntariamente interactuar con ubicaciones de dentro del juego conocidas como "Poképaradas". En una Poképarada, un jugador puede elegir dejar un objeto del juego conocido como "módulo cebo", que atrae Pokémon a la ubicación dentro del juego donde se ha depositado el cebo por un periodo de tiempo limitado. El nombre de Entrenador de los jugadores que depositen un cebo en una Poképarada permanecerá visible únicamente para aquellos otros jugadores que visiten esa misma ubicación en el juego mientras el cebo esté activo. Combate de Entrenadores: Para participar en el modo multijugador, que es esencial para la jugabilidad, los jugadores pueden escoger voluntariamente tomar parte en Combates de Entrenadores en los cuales un jugador elige un equipo de Pokémon para que compita en una batalla digital contra los Pokémon de otro jugador. Los jugadores que deciden combatir entre ellos pueden ver sus respectivos nombres de Entrenador, avatar y Pokémon seleccionados para el combate. Para participar en un Combate de Entrenadores, los jugadores deben estar situados en la misma ubicación física en el mundo real (a excepción de los Amigos dentro del juego con un cierto nivel, que pueden combatir de forma remota). Amigos: Para participar en el modo multijugador, que es esencial para la jugabilidad, los jugadores pueden escoger voluntariamente añadir a otros jugadores como amigos dentro del juego, a través de una solicitud de amistad dentro del juego que el otro jugador puede aceptar o rechazar. Por favor, véanse nuestras respuestas a la Pregunta 2 para más información al respecto. Los jugadores también pueden decidir, voluntariamente, añadir amigos a través de la funcionalidad para importar Amigos de Facebook descrita más arriba. Los Amigos dentro del juego pueden ver sus respectivos nombres de Entrenador (nombre de usuario dentro del juego), nivel, equipo, avatar, compañeros Pokémon e infomación limitada acerca de la jugabilidad. Los Amigos también pueden enviar regalos, intercambiar sus Pokémon o combatir de forma remota. Los jugadores pueden eliminar un amigo en cualquier momento. Intercambio: Para participar en el modo multijugador, que es esencial para la jugabilidad, los jugadores pueden escoger intercambiar, voluntariamente, Pokémon con otro jugador si son amigos dentro del juego. Los jugadores solo pueden realizar intercambios entre ellos en caso de que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 hayan alcanzado un cierto nivel de amistad dentro del juego y de quo se encuentren en la misma ubicación física en el mundo real durante el intercambio, En relación a los procedimientos para falsear la identidad o posición de un determinado jugador al que se le pueden facilitar datos de otros jugadores supuestamente próximos a este, los representantes de la entidad manifiestan que Niantic UK es consciente de que ciertos jugadores llevan a cabo conductas fraudulentas o trampas que incluyen la falsificación de la ubicación (lo que se denomina GPS location spoofing o suplantación de ubicación). Estas conductas infringen las Condiciones de Servicio de Niantic. Niantic UK está comprometida con la creación de una experiencia de juego amigable y justa para todos los jugadores y, como parte de ese compromiso, ejecuta una política de tres toques de atención contra las citadas prácticas fraudulentas o trampas de los jugadores que descubren que están practicando la suplantación de ubicación. En relación con los mecanismos utilizados para evitar el acoso a otros jugadores, realizado en base a la información obtenida por el juego Pokémon GO, los representantes de la entidad manifiestan que Niantic UK está comprometida con que Pokémon GO sea una experiencia divertida y segura para todos los jugadores y para todos aquellos en el mundo real en el que se juega a este juego. Las Condiciones de Servicio de Niantic prohíben de manera específica acosar a otros. Las Normas de Entrenador de Pokémon GO animan a los jugadores a ser respetuosos con otros jugadores, a no acosar a otros, y a denunciar el acoso sufrido durante el juego ante Niantic UK. Además, aconsejan a los jugadores "no usar tu nombre real como mote y evitar publicar tu mote relacionándolo con tu nombre real". Respecto del acoso a los jugadores basado específicamente en información obtenida por terceros utilizando el juego, Pokémon GO no cuenta con ningún mecanismo de chat o de comunicación directa entre jugadores, y los jugadores solo ven información limitada los unos respecto de los otros durante el juego. Niantic UK implementa herramientas de filtrado para evitar nombres de Entrenador inapropiados u ofensivos cuando los jugadores eligen sus nombres de Entrenador. Además, en las Normas de Entrenador de Pokémon GO, se anima a los jugadores a elegir únicamente nombres adecuados (lo cual incluye evitar escoger nombres de Entrenador usando información privada — ya sea la suya o la de otros —). Junto a ello, Niantic UK tiene implementados mecanismos que los jugadores pueden utilizar para denunciar cualquier clase de acoso sufrido durante el juego en Pokémon GO. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante contra el reclamado por la presunta vulneración del artículo 6 del RGPD que garantiza la licitud del tratamiento. En el presente caso, el reclamante ha solicitado al reclamado que no facilite su situación geográfica a jugadores que falsifican la suya. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite esta reclamación, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación. Como resultado de las investigaciones realizadas por la Agencia, el reclamado manifiesta que es consciente de que ciertos jugadores llevan a cabo conductas fraudulentas o trampas que incluyen la falsificación de la ubicación (lo que se denomina GPS location spoofing o suplantación de ubicación). Estas conductas infringen las Condiciones de Servicio del reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 El reclamado está comprometido con la creación de una experiencia de juego amigable y justa para todos los jugadores y, como parte de ese compromiso, ejecuta una política de tres toques de atención contra las citadas prácticas fraudulentas o trampas de los jugadores que descubren que están practicando la suplantación de ubicación. Por este motivo, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones, al considerarse solventada la concreta reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es