1/32 Expediente N.º: EXP202304518 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CREMA GAMES, S.L. (en adelante, CREMA GAMES). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 5 de marzo de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202304518 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la autoridad de protección de datos de Países Bajos. La reclamación se dirige contra CREMA GAMES, S.L. con NIF B86562139 (en adelante, CREMA GAMES). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el 21 de enero de 2023 ejercitó su derecho de acceso ante CREMA GAMES mediante correo electrónico. En correo de 23 de enero de 2023 la entidad le informó de que sus cuentas con el responsable habían sido suspendidas por infracción de sus términos de uso y se le facilitaron lo que denominan identificaciones anónimas en el juego que aseguran que no están asociadas con otros datos. También le informaron de que, a raíz de su correo electrónico, ahora disponen de ese dato. Tras un intercambio de correos electrónicos, CREMA GAMES solicita a la parte reclamante una identificación para poder facilitarle más datos, enviándole un documento de identificación con varios datos ocultados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/32 Junto a la reclamación se aporta, entre otros, los siguientes documentos: Copia del correo electrónico enviado por la parte reclamante desde ***EMAIL.1 el 21 de enero de 2023 a las 21:15 horas a CREMA GAMES. Su contenido es el siguiente (traducción no oficial, en inglés el original): “A quién le corresponda: Solicito por la presente de conformidad con el artículo 15 del GRPR. Confirme si está tratando o no datos personales (tal como se definen en el artículo 4, apartados 1 y 2, del RGPD) que me conciernen. En caso de que lo esté, por favor, de conformidad con el artículo 15
(3)del RGPD, debe proporcionarme la información solicitada sin demora indebida y en cualquier caso dentro del mes siguiente a la recepción de la solicitud. De acuerdo con el artículo 15, apartado 3, del RGPD, debe responder a esta solicitud sin costo para mí. Estoy incluyendo la siguiente información necesaria para identificarme: Introduzca sus datos de identificación aquí. Esto a menudo incluye información como su nombre, su fecha de nacimiento, su dirección, etc. Si no responde a mi solicitud dentro del plazo indicado. Me reservo el derecho a emprender acciones legales contra usted y presentar una queja ante la autoridad supervisora responsable. Gracias de antemano. Suyo sinceramente, A.A.A.” CUARTO: El 21 de enero de 2023, a las 21:16 horas, CREMA GAMES (support@cremagames.com) envió a la parte reclamante (***EMAIL.1) un correo electrónico en el que indicaba: “Su solicitud ((...)) ha sido actualizada. Para añadir comentarios adicionales, responda a este correo electrónico”. QUINTO: El 23 de enero de 2023, a las 13:25 horas, CREMA GAMES (support@cremagames.com) envió a la parte reclamante (***EMAIL.1) un correo electrónico con el siguiente contenido (traducción no oficial, en inglés el oficial): “Por último, de acuerdo con su solicitud, en el ejercicio de su derecho de acceso, de conformidad con el artículo 15 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, los únicos datos que tratamos sobre usted hasta la fecha son sus identificadores anónimos en el juego: ***IDENTIFICADOR.1 y ***IDENTIFICADOR.2, que en ningún caso lo hemos vinculado a otros datos personales que pudieran identificarle. Los ID de la plataforma de su tienda de juegos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/32 (nosotros no controlamos la tienda ni nos pertenece) son: ***ID.1 e ***ID.2 respectivamente. Le informamos de que se trata de números anónimos y no tratamos más información. Como nos ha escrito, utilizamos su correo electrónico con el único fin de responder a su correo electrónico, aunque tampoco tenemos forma de verificar que pertenece al usuario anónimo ***IDENTIFICADOR.1 ni al usuario anónimo ***IDENTIFICADOR.2. Por lo tanto, no vamos a registrarlo en nuestras bases de datos. Ya no tenemos más datos personales sobre usted. Solo procesamos la información interna y profesional sobre las actividades realizadas en un mundo virtual por usuarios anónimos.” SEXTO: El 23 de enero de 2023, a las 14:30 horas, la parte reclamante (***EMAIL.1) envió a CREMA GAMES (support@cremagames.com) un correo electrónico en el que exigía ampliar la contestación de CREMA GAMES de la siguiente manera (traducción no oficial, en inglés el oficial): “Esta respuesta no cumple lo dispuesto en el RGPD. De conformidad con el RGPD, debe facilitar toda la información que pueda identificar a una persona (de conformidad con el RGPD, la identificación solo incluye su diferenciación de otro usuario) y además de cualquier dato relacionado con una persona. Debido a las declaraciones de los empleados de Crema, ahora usted dispone de más información sobre mí de la que me ha compartido, lo que no es conforme con el RGPD. Algunos ejemplos de datos que no me ha facilitado que recogen y tratan: Datos de localización. Tendrá direcciones IP y datos aproximados de geolocalización, y es probable que estos datos se almacenen. Se trata de datos que figuran en el RGPD como ejemplo directo de identificación de datos. Web Cookies. He visitado sus foros, por lo que almacenaron, incluso de forma temporal y automática, y trataron mis datos personales. No me han facilitado la información que han tratado. Los seudónimos también son datos identificables, por lo que está obligado a facilitarme toda la información relacionada con el tratamiento de dichos datos personales. Esta es la más redundante de esta lista, pero sigue siendo un incumplimiento por su parte. Esta lista de ejemplos NO es exhaustiva.” Asimismo, la parte reclamante indicaba como ejemplo de posible recolección de datos personales el siguiente extracto del contenido de la Política de Privacidad de CREMA GAMES (traducción no oficial, en inglés el oficial): “Información personal: información identificable específica sobre usted que puede ser utilizada por sí misma para identificarle, ponerse en contacto o localizarle (por ejemplo, su nombre, dirección postal, dirección de correo electrónico, nombre de pantalla, identificador del sitio de la red social, número de teléfono, fotografía(s), fecha de nacimiento, sexo o conexiones de amigos de redes sociales. CremaGames puede utilizar la información personal recogida para analizar el uso de los servicios, prestar apoyo técnico y de soporte al cliente. Cuando utiliza nuestro juego en línea, también recogemos datos personales como su «IP», «MAC» y otros datos personales que pueda facilitar al utilizar nuestro chat integrado (nombre de usuario, avatar y otra información similar) o que pueden ser advertidos a través de cookies y otras tecnologías para analizar el uso de los servicios prestados al cliente, prestar soporte al cliente o apoyo técnico y permitir el uso de nuestras aplicaciones.” SÉPTIMO: El 23 de enero de 2023, a las 14:30 horas, CCREMA GAMES (support@cremagames.com) envió a la parte reclamante (***EMAIL.1) un correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/32 electrónico en el que indicaba: “Su solicitud ((...)) ha sido actualizada. Para añadir comentarios adicionales, responda a este correo electrónico OCTAVO: El 10 de febrero de 2023, a las 16:49 horas, la parte reclamante (***EMAIL.1) envió un correo electrónico a CREMA GAMES (support@cremagames.com) en el que la parte reclamante indicaba lo siguiente respecto al seguimiento de su solicitud (traducción no oficial, en inglés el oficial): “Dado que Crema no solo se ha negado a entregar datos personales bajo la mentira velada de que todos ellos están anonimizados, a pesar de un ejemplo de la política de privacidad que indica que «la información personal puede desvelarse ocasionalmente de conformidad con la legislación aplicable y con esta política de privacidad. Podemos combinar información no personal con información personal.» tampoco ha habido comunicación de seguimiento tras la respuesta insatisfactoria. El presente correo electrónico tiene por objeto informarle de que estas comunicaciones han sido remitidas a las autoridades competentes mediante una reclamación y una solicitud de una investigación más profunda. Ya no enviaré correos electrónicos en relación con el incumplimiento específico del RGPD por parte de Crema.” NOVENO: El 20 de febrero de 2023, a las 08:08 horas, CREMA GAMES (support@cremagames.com) envió a la parte reclamante (***EMAIL.1) un correo electrónico en el que CREMA GAMES acusaba haber recibo el correo enviado por la parte reclamante y le solicitaba que se identificaba inequívocamente para poder ejercer su derecho de la siguiente manera (traducción no oficial, en inglés el oficial): “Acusamos recibo de su comunicación e informamos (de conformidad con lo dispuesto en el artículo 12, apartado 6, y «considerando 64» del RGPD) de que, si desea ejercer alguno de los derechos de protección de datos, especialmente los previstos en el artículo 15 del RGPD, debe demostrar inequívocamente su identidad y enviarnos una solicitud firmada del derecho que desea ejercer, detallando todos los datos que le permitan identificar el objeto de su solicitud. Si la solicitud la presenta una persona distinta de la parte interesada, deberá demostrar oportunamente la representación concedida.” En el pie de firma del correo se indicaba respecto al ejercicio de los derechos en materia de protección de datos personales lo siguiente (traducción no oficial, en inglés el oficial): “Le informamos de que puede ejercer los derechos de acceso, rectificación, portabilidad y supresión de sus datos, así como los de limitación y oposición a su tratamiento, poniéndose en contacto con el responsable del tratamiento en la dirección support@cremagames.com. Si considera que el tratamiento no se ajusta a la normativa vigente, puede presentar una reclamación ante la autoridad de control en www.aepd.es.” DÉCIMO: El 20 de febrero de 2023, a las 08:13 horas, la parte reclamante (***EMAIL.1) envió un correo electrónico a CREMA GAMES (support@cremagames.com) en el que contestaba al anterior correo solicitando más información sobre cómo identificarse. En concreto, solicitaba que le dijeran qué C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/32 información tenía que aportar para verificar su identidad, cómo querían recibirla y los métodos que debería utilizar para asegurarse de que la recibían. UNDÉCIMO: El 20 de febrero de 2023, a las 08:31 y 08:47 horas, la parte reclamante (***EMAIL.1) envió dos correos electrónicos a CREMA GAMES (support@cremagames.com) en los que la parte reclamante se quejaba de las barreras que estaba poniendo CREMA GAMES para cumplir con el derecho de acceso y solicitaba que no se eliminaran sus datos porque sería una infracción del artículo 18 del RGPD. DUODÉCIMO: El 21 de febrero de 2023, a las 12:00 horas, CREMA GAMES (support@cremagames.com) envió a la parte reclamante (***EMAIL.1) un correo electrónico con el siguiente mensaje (traducción no oficial, en inglés el oficial): “En ningún caso CREMA GAMES tiene la intención de obstaculizar o retrasar el ejercicio de su derecho de acceso a la información solicitada, pero, como usted mismo reconoce en su solicitud de enero de 22 (07: 34), necesitamos información adicional para poder demostrar la identidad de la persona a la que vamos a facilitar los datos solicitados (como usted escribió: «Si así se me solicita, proporcionaré más información para verificar mi identidad»). Esto es así porque el RGPD lo establece y debemos contar con garantías de este modo. Nuestra intención es concederle el derecho de acceso tan pronto como se identifique, por este mismo medio (por correo electrónico respondiendo a este mensaje). Para ello, solicitamos una copia de un documento que verifique su identidad en su país de residencia. Para ello puede utilizar el pasaporte, el documento de identidad o el permiso de conducir. Como bien sabe, en el formulario o modelo que utilizó en su solicitud inicial, no adjuntó ningún tipo de información personal que nos permitiera verificar su identidad. Una vez que hayamos podido verificar su identidad, vinculándola al usuario, le facilitaremos la información solicitada en su comunicación de solicitud de datos del RGPD de conformidad con las disposiciones del RGPD.” DÉCIMO TERCERO: El 21 de febrero de 2023, a las 12:51 horas, la parte reclamante (***EMAIL.1) envió a CREMA GAMES (support@cremagames.com) un correo electrónico en el que indicaba lo siguiente (traducción no oficial, en inglés el oficial): “En el anexo he facilitado una versión censurada de mi documento. Contiene mis iniciales, el país que lo expidió, mi fecha de nacimiento. He censurado información que podría utilizarse en asuntos jurídicos como mi número de identificación nacional, la fecha de expedición y mi imagen. También la he fechado, firmado y adjunto los identificadores asociados a mí. Si lo necesitas, tengo los recibos de compra de los juegos de (...) y (...). Sin embargo, asumiré que esto es suficiente.” Se adjuntaba una fotografía en la que se apreciaba una nota manuscrita con fecha 21 de febrero de 2023, con los identificadores ***IDENTIFICADOR.1 y ***IDENTIFICADOR.2 y con apariencia de firma. Sobre la misma, había un documento de identidad de Países Bajos del que se tacharon todos los datos, salvo los siguientes (traducción no oficial, en inglés el oficial): C/ Jorge Juan, 6 28001 – Madrid Nombre “(…)”, Letras iniciales de los apellidos “(…)”. www.aepd.es sedeagpd.gob.es 19/32 País “(…)”. Fecha de nacimiento “(…)”. Firma. DÉCIMO CUARTO: El 27 de febrero de 2023, a las 10:10 horas, la parte reclamante (***EMAIL.1) envió a CREMA GAMES (support@cremagames.com) un correo electrónico en el que, entre otras cosas, la parte reclamante manifestaba que ya había pasado tiempo suficiente desde su solicitud de 21 de enero de 2023, y la primera respuesta de CREMA el 23 de enero de 2023, como para que le hubiesen contestado. DÉCIMO QUINTO: El 27 de febrero de 2023, a las 13:11 horas CREMA GAMES (support@cremagames.com) envió a la parte reclamante (***EMAIL.1) un correo electrónico con el siguiente contenido (traducción no oficial, en inglés el oficial): “Con anterioridad a dicha solicitud, CremaGames le ha informado, de manera responsable y transparente, del tratamiento general de datos que realiza a los usuarios de las operaciones de juego, utilizando códigos numéricos que no están asociados a la identidad de las personas, información que se le ha transmitido indicando que los datos que procesa son anónimos. CREMA GAMES, como empresa responsable del tratamiento y dada la mencionada falta de información que permita identificar a la persona que ejerce el derecho de acceso, está obligada a denegar dicha solicitud. No obstante, reitera que si, como parte interesada, desea iniciar el procedimiento legal y ejercer formalmente el derecho de acceso que la normativa en materia de protección de datos reconoce a los propietarios de los datos, debe facilitar un documento de identificación completo que le identifique inequívocamente de conformidad con el derecho y la persona responsable le enviará inmediatamente la información registrada sobre la actividad del usuario. En caso de que usted decida presentar una reclamación ante la autoridad neerlandesa de control de la protección de datos, Autoriteit Persoonsgegevens, AP, esperamos recibir la transmisión de dicha solicitud para atender el derecho que ejerce, en la que deberá haber demostrado de forma fiable su identidad.” DÉCIMO SEXTO: El 27 de febrero de 2023, a las 13:46, 13:47 y 23:41 horas, la parte reclamante (***EMAIL.1) envió tres correos electrónicos a CREMA GAMES (support@cremagames.com). Entre otras cuestiones, la parte reclamante señalaba que lo que está describiendo CREMA GAMES en sus correos no era un tratamiento de datos anónimo sino seudonimizado, y aportaba un enlace a la guía sobre ejercicio de derechos de los interesados (https://edpb.europa.eu/our-work-tools/documents/publicconsultations/2022/guidelines-012022-data-subject-rights-right_en) alegando su clausulado (traducción no oficial, en inglés el oficial): “73. Cabe destacar que el uso de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito, por lo que debe considerarse inadecuado, a menos que sea estrictamente necesario, adecuado y acorde con la legislación nacional. [...] también es importante señalar que la identificación mediante un documento de identidad no ayuda necesariamente en el contexto en línea (por ejemplo, con el uso de seudónimos) [...]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/32 75. En cualquier caso, la información sobre el identificador que no sea necesaria para confirmar la identidad del interesado [...] podrá ser bloqueada u oculta por el interesado antes de presentarla al responsable del tratamiento, salvo cuando la legislación nacional exija una copia completa y no expurgada del documento de identidad (véase el apartado 77). [...]”. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/32 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CREMA GAMES realiza la recogida y conservación de la dirección IP, entre otros datos. El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El artículo 4.8) del RGPD define al «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” CREMA GAMES realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que CREMA GAMES está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, CREMA GAMES tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 15 del RGPD regula el derecho de acceso del interesado a sus datos personales. III Alegaciones al acuerdo de inicio En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas. Alega CREMA GAMES que únicamente dispone de un ID de usuario (en el presente caso, ***IDENTIFICADOR.1 y ***IDENTIFICADOR.2) que asocia al código numérico anónimo que le comunica (...) (“(...)”) cada vez que un usuario adquiere su licencia de juego a través de dicha plataforma y necesita que se le dé acceso. Ese ID de usuario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/32 es un número único, pero puede ser público, visible en el juego para otros jugadores, siendo habitual que los jugadores lo divulguen en chats y foros. CREMA GAMES insiste en que solo trata los datos relativos a ese ID de usuario de fecha y hora de inicio de la conexión (del número asociado a la descarga), IP, número Mac y otra información sobre el juego no referida a personas, que se trata internamente para comprobar el uso legal y ético del juego y detectar conductas irregulares o fraudulentas. Entiende que esa información no es suficiente para comprobar la identidad de la persona que ejerce el derecho de acceso vía correo electrónico el 21 de enero de 2023, y, por ello, pidió al solicitante que se acreditara inequívocamente sugiriéndole como posibles documentos identificativos aquellos que en su país fueran suficientes para acreditar la identidad. Resulta cierto que la parte reclamante facilitó el documento identificativo tachando su nombre completo, la fecha de emisión/expiración y el número de documento, pero el hecho es que aun en el caso de que no lo hubiera hecho la entidad reclamada no podría contrastar esa información con nada porque no tenía esos datos de referencia Explica CREMA GAMES que no puede emplear como medio de comprobación de la identidad el mecanismo de autenticación a través del cual los usuarios inician sesión en su plataforma de juego, porque ese proceso se efectúa en la plataforma de distribución (...), no siendo objeto de intercambio con la entidad reclamada la información relativa al mismo. Es más, CREMA GAMES no ejecuta ni emplea ningún mecanismo de este tipo con los usuarios. Por último, CREMA GAMES remarca que no se ha negado a atender el derecho ni pretende obstaculizar el acceso a la información, habiendo informado sobre el tipo de datos que se tratan, tal y como declara en las comunicaciones con la persona, la autoridad holandesa y esta Agencia; teniendo intención de dar respuesta inmediata como se evidencia en las respuestas remitidas a ambas autoridades. Al respecto, esta Agencia desea señalar que, si bien es cierto que CREMA GAMES podía solicitar información adicional a la parte reclamante debido a las dudas existentes sobre su identidad, no es menos cierto que la normativa aplicable en materia de protección de datos de carácter personal limita esa petición a la información que resulte necesaria. En el presente caso, CREMA GAMES no cumplió con esto último, toda vez que ninguno de los datos que contiene el documento obran en su poder y, por tanto, no servirían para constatar la identidad del interesado, con independencia de los que aparecieran tachados. Asimismo, el hecho de que CREMA GAMES no tenga acceso al mecanismo de autenticación que emplean los usuarios cuando inician sesión en el juego, ni tampoco disponga de uno frente a estos, no implica que ello pueda esgrimirse como justificación para no atender las solicitudes de ejercicios de derechos que el RGPD reconoce a los interesados, en tanto que es responsable de tratamiento. Así se establece en el apartado 66 de la “Guidelines 01/2022 on data subject rights-Right of access. Versión 1.0”, vigente en el momento de presentación de la reclamación, cuando se indica que: "A menudo ya existen procedimientos de autenticación entre los interesados y los responsables del tratamiento. Los responsables del tratamiento pueden utilizar estos procedimientos de autenticación para determinar la identidad de los interesados que solicitan sus datos personales o ejercer los derechos otorgados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/32 por el RGPD. De lo contrario, los controladores deben implementar un procedimiento de autenticación para hacerlo” (el subrayado es de esta Agencia). Por tanto, la falta de mecanismo de autenticación ante CREMA GAMES no puede ser óbice para la satisfacción de un derecho que le reconoce a los interesados el RGPD. Por último, esta Agencia insiste en que la actuación de CREMA GAMES comporta una obstaculización del derecho de acceso, en tanto en cuanto resulta inútil solicitar a la parte reclamante una documentación que contiene datos personales que son desconocidos para CREMA GAMES y que, por consiguiente, no podrá contrastarlos con los que obran en su poder. Es más, la propia entidad reclamada debería haber sido consciente de que la información que puede obtener de un documento identificativo no le resulta válida a efectos de acreditar que la persona que solicita el acceso a los datos personales vinculados a los IDs ***IDENTIFICADOR.1 e ***IDENTIFICADOR.2 es realmente quien dice ser. Por todo lo expuesto, se desestiman las presentes alegaciones. IV Derecho de acceso del interesado El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
- a)los fines del tratamiento;
- a)las categorías de datos personales de que se trate;
- b)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
- c)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
- d)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
- e)el derecho a presentar una reclamación ante una autoridad de control;
- g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/32 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” En el presente caso, consta que el 19 de enero de 2023 la parte reclamante (***EMAIL.1) envió dos correos electrónicos a CREMA GAMES en los que facilitaba, entre otros, sus nombres de usuario (***USUARIO.1 y ***USUARIO.2) y sus “Tamer IDs” (***IDENTIFICADOR.1 e ***IDENTIFICADOR.2) a causa del bloqueo sufrido en el juego. Con posterioridad, consta que el 21 de enero de 2023 la parte reclamante ejercitó su derecho de acceso ante CREMA GAMES a través de correo electrónico y que, en fecha 23 de enero de 2023, esta entidad le informó de que los únicos datos que tienen son sus identificadores anónimos en el juego (***IDENTIFICADOR.1 y ***IDENTIFICADOR.2), que no están vinculados a ningún otro dato personal que pueda identificarle. También, le indicó que existen otros dos identificadores que utilizan los “store platform ID” en los que compró los juegos (***ID.1 y ***ID.2). Asimismo, consta que el 20 y 21 de febrero de 2023 CREMA GAMES solicitó a la parte reclamante que se identificase inequívocamente para facilitarle más información, tras haber mostrado esta su disconformidad con la respuesta dada por la entidad a su petición de acceso; debiendo aportar copia de un documento que verifique su identidad en su país de residencia (pasaporte, el documento de identidad o el permiso de conducir). El 21 de febrero de 2023 consta que la parte reclamante envió un correo electrónico a CREMA GAMES en el que adjuntaba una imagen donde se observaba una nota manuscrita del mismo 21 de febrero de 2023, con los identificadores ***IDENTIFICADOR.1 e ***IDENTIFICADOR.2 y con apariencia de firma. Sobre la misma, había un documento de identidad de (…) del que se han tachado varios datos. En concreto, apellidos completos, fecha de emisión y de caducidad, fotografía, sexo y número de documento. Finalmente, consta que el 27 de febrero de 2023 CREMA GAMES deniega la solicitud de acceso de la parte reclamante debido a que no han podido identificarle de manera suficiente. Llegados a este punto, esta Agencia desea recordar que el derecho de acceso es un derecho personalísimo y, como tal, es necesario acreditar la identidad de quien lo ejerce. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/32 En el presente caso, y en base a lo manifestado por CREMA GAMES en su escrito de respuesta al requerimiento de información y en su escrito de alegaciones al acuerdo de inicio, la entidad no dispone de medios suficientes para identificar correctamente a los usuarios que ejerzan sus derechos en materia de protección de datos personales, ya que los únicos datos asociados a las IDs son la dirección IP, número MAC, fecha y hora de inicio de sesión al juego e información sobre el juego no referida a personas. Es por ello que la entidad pidió a la parte reclamante que aportase información adicional para acreditar su identificación y comprobar que, efectivamente, era el titular de los nombres de usuario y “Tamer IDs” facilitados. El hecho de que CREMA GAMES solicitara a la parte reclamante una copia de su documento de identidad como método de acreditación, supone una limitación del derecho de acceso; toda vez que ninguno de los datos que contiene el documento obran en poder de la entidad y no servirían para constatar la identidad del interesado. Como se ha indicado anteriormente, la manera correcta para verificar la identidad del interesado en un contexto en línea es haciendo uso del mecanismo de autenticación digital que emplea el usuario. No es justificación alguna para que CREMA GAMES no atendiera debidamente el derecho ejercitado por la parte reclamante, el no tener implementado un mecanismo de esta naturaleza. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a CREMA GAMES, por vulneración del artículo 15 del RGPD. V Tipificación de la infracción del artículo 15 del RGPD y calificación a efectos de prescripción De confirmarse, la citada infracción del artículo 15 del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5.
- b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/32 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679; (…)” VI Propuesta de sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a). CREMA GAMES solicitó a la parte reclamante copia de su documentación de identidad como medio de identificación, cuando los datos que figuran en el mismo no los puede cotejar con los que obran en su poder. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b). La actividad principal de CREMA GAMES consiste en ofrecer servicios relacionados con las tecnologías de la información y la informática, lo que supone la gestión y tratamiento de datos personales de un elevado número de usuarios que juegan en línea. El balance de las circunstancias contempladas permite fijar como valoración inicial una multa de 5.000€ (cinco mil euros) por la infracción del artículo 15 del RGPD. VII Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/32 tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, en la resolución que se adopte, se propone requerir a CREMA GAMES para que en el plazo de un mes notifique a esta Agencia la adopción de las siguientes medidas, sin perjuicio de otras que pudieran derivarse de la instrucción del procedimiento: que ha proporcionado debido acceso a sus datos personales a la parte reclamante, tras hacer uso del debido mecanismo de autenticación. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a CREMA GAMES, S.L., con NIF B86562139, por una infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 5.000€ (cinco mil euros). Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a CREMA GAMES, S.L., con NIF B86562139, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes, acredite haber proporcionado debido acceso a sus datos personales a la parte reclamante, tras hacer uso del debido mecanismo de autenticación. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000€ (cuatro mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/32 importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 B.B.B. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/32 ANEXO Índice del expediente EXP202304518 05/04/2023 Identificación de la LSA y las CSA de (…) 14/04/2023 01. IMI report 14/04/2023 Admisión a trámite 31/08/2023 Requerimiento CREMA a CREMA GAMES, S.L. 31/08/2023 RMC CREMA GAMES SL 02/10/2023 Asistencia Mutua - Otras solicitudes de (…) 11/10/2023 Dili politica privacidad CREMA 13/10/2023 Requerimiento CREMA a CREMA GAMES, S.L. 2 25/10/2023 Respuesta requerimiento de CREMAGAMES SL 20/12/2023 EDPB Guía sobre derecho de acceso anterior al 28 de marzo de 2023 20/12/2023 Dili axesor CREMA GAMES 21/12/2023 Inf. actuaciones prevs. 05/04/2024 Proy. Acuerdo de inicio 08/05/2024 Acuerdo de inicio a CREMA GAMES, S.L. 21/05/2024 Alegaciones de CREMAGAMES SL >> SEGUNDO: En fecha 19 de marzo de 2025, CREMA GAMES ha procedido al pago de la sanción en la cuantía de 4.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/32 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, CREMA GAMES, en fecha 19 de marzo de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/32 Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 5.000,00 euros. Tras haber procedido CREMA GAMES, S.L. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 4.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202304518, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a CREMA GAMES, S.L. para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. CUARTO: NOTIFICAR la presente resolución a CREMA GAMES, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/32 Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1331-200325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es