← España

PS-00200-2017

1/19 Procedimiento Nº PS/00200/2017 RESOLUCIÓN: R/02234/2017 En el procedimiento sancionador PS/00200/2017, instruido por la Agencia Española de Protección de Datos a la entidad NIANTIC INC., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 15/07/2016, la Directora de la Agencia Española de Protección de Datos insta a la Subdirección de Inspección de Datos a realizar actuaciones de inspección relacionadas con el producto Pokemon Go, al objeto de determinar si la política de privacidad cumple con lo establecido en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal. SEGUNDO: Por los Servicios de Inspección de esta Agencia se practicaron diligencias, teniendo conocimiento de lo siguiente: 1. Como se describe en la diligencia del día 20/07/2016 incorporada al expediente, se procedió a instalar la versión de Pokemon Go disponible a través de Google Play en un sistema Android 6.0. En Google Play aparece el producto Pokemon Go para su instalación y en la ventana de instalación aparecen tres enlaces que proporcionan información sobre el producto:  Un botón principal con la leyenda MÁS INFORMACIÓN debajo de los botones de instalación.  Dos enlaces al final de la página, a los que se puede acceder realizando desplazamiento de la pantalla y detrás de algunos comentarios de usuario. Estos enlaces se denominan “POLÍTICA DE PRIVACIDAD” e “INFORMACIÓN SOBRE PERMISOS”. Pulsando MÁS INFORMACIÓN se accede a una página que describe brevemente la mecánica del juego. Al final de la misma aparece el siguiente párrafo: “3 PEGI 3 Los usuarios interactúan, Comparte información, Comparte ubicación, Compras digitales” y un enlace a “Más información” que dirige a la siguiente página de Google: https://support.google.com/googleplay/answer/6209544?p=appgame_ratings&rd=1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 Donde Google realiza una descripción de su procedimiento para clasificar el contenido de las aplicaciones en relación al nivel de madurez en función de la edad que han de tener los usuarios que accedan a las mismas. La página a la que se accede a través del botón “MAS INFORMACIÓN” antes citado también incluye el siguiente párrafo: “Contiene anuncios El desarrollar de la aplicación es el responsable de colocar los anuncios” y un enlace a “Más información” que es una enlace a la siguiente página de Google: https://support.google.com/googleplay/answer/6270207?p=ads_badge&hl=es&rd=1 Donde Google informa que la aplicación actual contiene anuncios. El enlace “POLÍTICA DE PRIVACIDAD” conduce a una página escrita en inglés en la siguiente dirección de Internet: https://www.nianticlabs.com/privacy/pokemongo/en Que, en resumen, contiene la siguiente información:  Fecha de actualización a 1 de julio de 2016  La política la firma la empresa Niantic Inc, aunque hace referencia a que los menores de 13 años, para usar el juego, han de ser registrados por padres o tutores con The Pokemon Company International Inc.  Utiliza la fórmula, a lo largo del texto, de que está dirigido al usuario, o al hijo autorizado del usuario.  Las nuevas versiones de la política tendrán efectos retroactivos y se notificarán al usuario.  Se recogerá información de la cuenta del usuario. Se requiere (“must”) que el usuario tenga una cuenta de Google, Pokémon Trainer Club o Facebook.  Se recogerá la información personal (PII o Personally Identifible Information) que el perfilado de privacidad en Google o Facebook permita recoger, como el e-mail.  Se requiere la fecha de nacimiento.  Se recogerá información durante el juego como el nombre de usuario, país o lenguaje.  Los menores de 13 años solo podrán registrarse con autorización paterna, recogiendo nombre, edad y correo del padre.  La información recogida de menores podrá ser dada a terceros para administración y proporcionar servicios.  La información recogida de menores podrá ser reclamada a Niantic C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 Inc. por los padres o tutores.  Se utilizan cookies persistentes y web beacons para controlar la actividad del usuario y varios propósitos que no están definidos de forma exhaustiva.  Se recogen datos de log de uso de los servicios. No se describen de forma exhaustiva, pero en dichos datos se incluye la dirección IP, datos de navegación, Sistema Operativo, la página web en la que el usuario se encontraba antes de usar los servicios, comportamiento de navegación del usuario en sus páginas, y otros. Limita su uso a administración.  Información del teléfono móvil, como identificador del dispositivo, configuración, sistema operativo y uso de los servicios cuando se utiliza el móvil. No se limita el propósito.  Geolocalización.  Se compartirá información con terceros con propósito de seguridad con The Pokemon Company. o Con otros proveedores de servicio para administrar y proveer servicios. o Con terceros sólo se comparte información anonimizada o agregada.  En caso de venta de la compañía, se cederán los datos personales con preaviso.  Está prevista la cesión información a las autoridades.  Se puede revocar el consentimiento al tratamiento de datos personales a costa de una posible disminución de los servicios, y para ello se proporciona una dirección de correo electrónico. La misma que se ofrece para el ejercicio de derechos.  Se manifiesta que el ejercicio de derechos se facilitarán cuando sea posible y que la información recogida, sobre la cual se ha solicitado la cancelación, puede quedar retenida en los servicios de backup de forma indefinida.  Se ofrece la opción de opt-out al servicio de mailing.  Una vez cerrada la cuenta, la información quedará retenida por un tiempo indeterminado para backup, archivo o propósitos de auditoría.  Los servicios de Pokemon Go no interpretan ni implementan la señal “Do not Track” que envían algunos navegadores.  Declaran que implementan las medidas de seguridad oportunas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19  Los datos se transfieren a USA. Se puede reclamar que no sean transferidos los datos personales a USA, pero avisan que puede haber merma en los servicios prestados. El enlace “INFORMACIÓN SOBRE PERMISOS” conduce a una serie de pantallas que, en resumen, informan que la versión 0.29.2 de Pokemon GO puede solicitar al usuario el acceso en su teléfono a:  Cámara para realizar fotografías y vídeos  Contactos para buscar cuentas en el dispositivo  Ubicación  Almacenamiento para que modifique o elimine el contenido de su tarjeta SD y lea los contenidos de su tarjeta SD.  Otros, como acceso total a la red, reconocimiento de actividad, evitar que el móvil entre en modo suspensión, servicio de facturación de Google Play, acoplar con dispositivos bluetooth, recibir datos de dispositivos bluetooth, recibir datos de internet, acceso a ajustes de bluetooth, ver conexiones de red, controlar vibración. Incluye una leyenda que dice: “Puedes inhabilitar el acceso para estos permisos en Ajustes. Al instalar actualizaciones de Pokemon GO, es posible que se añadan automáticamente funciones adicionales en cada grupo. “ Incluye un enlace a “Más Información”, que conduce a una página de soporte de Google: https://support.google.com/googleplay/answer/6270602?p=app_permissons_m&rd=1 Que informa sobre cómo controlar los permisos de tu aplicación en Android 6.0 y versiones posteriores. Cuando se procede a la instalación del juego se sucede una secuencia de pantallas antes de empezar en las que se puede observar:  Una vez instalada la aplicación, cuando se abre por primera vez, solicita permisos para acceder a: o La ubicación del dispositivo, o Fotos, contenidos multimedia y archivos en el dispositivo, o Contactos o Sacar fotos y videos. En todas las opciones, el usuario puede aceptar o rechazar el dar permisos y no informa de que el rechazo suponga merma en los servicios. Si se rechazan, cada vez que se arranca la aplicación vuelve a preguntar al usuario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 por permisos para acceder a la misma, pero con un checkbox para indicar “No volver a preguntar”. Si se acepta cualquiera de ellos, no vuelve a preguntar si se quieren rechazar los permisos.  Solicita la edad del usuario.  En caso de que la edad corresponda a un menor, permite registrarte pero no con una cuenta de Google, sino únicamente con el Club de Entrenadores Pokémon.  En la pantalla de registro aparece un enlace a la Política de Privacidad, que no es necesario consultar para proceder al registro. El enlace a la política de privacidad ofrece la misma información que el enlace disponible en Google Play, pero en castellano. Es una traducción literal de la versión en inglés antes descrita y también utiliza a lo largo la denominación PII, que se describe como “información que puede usarse para identificarle o reconocerle”, en vez de datos de carácter personal. A continuación, en el proceso de registro, se solicita un nombre de usuario y contraseña, vuelve a pedir la edad y pide el país de residencia como datos obligatorios. No se solicita confirmación de la contraseña en el momento de crear la cuenta en Pokemon Go. En el caso de ser menor de 13 años, el proceso de registro solicita el correo del padre o tutor para que sea éste el que cree la cuenta para el menor. La aplicación no permite el registro de otra forma, ni permite alterar la edad para saltarse dicho control. Si el usuario no se registra, la aplicación sólo permite el acceso a ciertas funciones limitadas: episodios de Pokemon, juegos en línea y otros (Pokédex, Juegos de Cartas…), sin estar asociados a una cuenta. Al padre o tutor, una vez el menor ha introducido su dirección de correo, se le remite el siguiente correo electrónico: ¡Hola! Un menor a tu cargo ha intentado crear una cuenta del Club de Entrenadores Pokémon en Pokemon.es. Para proteger la seguridad y privacidad de sus actividades en línea, la ley requiere que uno de sus padres o tutores legales autorice la creación de la cuenta. Para completar este proceso, necesitas tener tu propia cuenta del Club de Entrenadores Pokémon, y luego crear la cuenta para el menor. Después de hacerlo, el menor podrá acceder a su cuenta independientemente. Si ya tienes una cuenta del Club de Entrenadores Pokémon, inicia sesión en Pokemon.es para crear la cuenta del menor. Si aún no tienes una cuenta, puedes crearla en Pokemon.es. Crear tu propia cuenta Para conseguir más información, visita Pokemon.es. La privacidad de los menores es muy importante para nosotros. Revisa nuestra política de privacidad si tienes alguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 duda. Saludos, The Pokémon Company International Desinstalando la aplicación y volviéndola a instalar se puede introducir una edad diferente. En este caso, se repite el proceso de instalación y permite registrarse utilizando una cuenta de Google. Para ello tan sólo hay que seleccionar la cuenta que se encuentre activa en el móvil o bien añadir otra cuenta. Antes de iniciar el juego, se presentan las Condiciones de Servicio de Pokemon GO, que es necesario aceptar, y cuyos aspectos más destacados son:  Hacen referencia a las Directrices del Entrenador https://pokemongo.nianticlabs.com/support/guidelines/es y a política de privacidad http://www.nianticlabs.com/privacy/pokemongo/es en la en  El aceptar supone aceptar las condiciones de servicio, las directrices y la política de privacidad.  Se solicita el consentimiento para el envío de ofertas por mail en casilla no pre-marcada.  Pulsando acepto se puede iniciar el juego. Las Directrices del Entrenador llaman a una actitud responsable y respetuosa del juego, evitando la violencia, respetando la privacidad evitando utilizar el nombre real o datos personales de otros. En las páginas de soporte de Pokemon GO la compañía declara que en el proceso de creación de una cuenta de Pokémon GO en los terminales que utilizan el sistema operativo iOS se solicita erróneamente el permiso de acceso completo a la cuenta de usuario de Google cuando realmente sólo accede a la información básica de los perfiles de Google. Así mismo, declara que “Pronto Google reducirá los permisos de Pokémon hasta solamente los datos básicos de los perfiles que necesita Pokémon GO, y los usuarios no tendrán que tomar ninguna otra medida por su cuenta”. Aunque en las páginas de soporte se describe una vista de mapa con acceso a un menú de ajustes, el acceso al menú no aparece en la versión instalada en esta prueba. En la descripción que se da en las páginas de soporte sobre el menú de Ajuste no aparece una opción para configurar de nuevo las opciones de privacidad que se han seleccionado como marcadas. Los permisos de acceso a almacenamiento, contactos, cámara y ubicación se pueden reconfigurar accediendo al menú de Ajustes general del teléfono móvil, y en el apartado Aplicaciones seleccionar la aplicación Pokemon GO, así como otras opciones de la aplicación como son las opciones sobre notificaciones. En la diligencia se refleja el proceso de crear una cuenta para un menor. Para ello, el supuesto adulto ha de crear una cuenta en el dominio pokemon.es. Para crear la cuenta, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 es necesario aceptar las condiciones de uso (con un tamaño de 8868 palabras). Asimismo se solicita el usuario del padre, fecha de nacimiento, nombre de usuario y cuenta de correo. A continuación se solicitan:  nombre y apellidos del niño,  fecha de nacimiento,  país  nombre de usuario para el niño  contraseña. Se puede elegir opcionalmente un nombre adicional para el niño, distinto del usuario y su nombre real, que aparezca en la pantalla del juego. A continuación hay que aceptar las Condiciones de Servicio de Pokemon Go, que aparecen en el mismo anexo (7540 palabras) y a partir de allí se puede utilizar la cuenta. En dichas condiciones se hace referencia a las Directrices del Entrenador y la Política de Privacidad. Así mismo, unas condiciones modificadas se consideran implícitamente aceptadas si se continúa usando el servicio. Dichas condiciones establecen requisitos sobre la propiedad de los contenidos, el uso de dinero virtual, restricciones de uso, derechos de autor, exención de garantías, legislación aplicable (Estado de California), arbitraje, etc. Se establece en las mismas “Al hacer que el Contenido de usuario esté disponible a través de los Servicios, usted concede a Niantic una licencia no exclusiva, perpetua, irrevocable, transferible, sublicenciable, internacional y libre de cánones para usar, copiar, modificar, crear trabajos derivados basados en el mismo, mostrar públicamente, representar públicamente y distribuir el Contenido de usuario en relación con la prestación y el suministro de los Servicios y el Contenido a usted y a otros titulares de la Cuenta”. 2. Según consta en el Registro Mercantil Central, la empresa Nintendo Ibérica S.A. tiene como objeto social “Comercialización, importación, distribución y venta en los mercados español y portugués de sistemas de video-juegos”, teniendo su residencia en España y CIF español. 3. Durante la inspección a los locales de Nintendo Ibérica S.A. los representantes de la empresa manifestaron lo siguiente:

  1. a)Nintendo Ibérica S.A. es una sociedad participada por Nintendo of Europe GmbH, a su vez participada por Nintendo Co., Ltd. The Pokemon Company es una sociedad participada aproximadamente al 32% por Nintendo Co., Ltd. Como aparece en prensa, Niantic, Inc. es una sociedad participada por tres compañías: Nintendo Co., Ltd., The Pokemon Company y Google.
  2. b)Nintendo Ibérica S.A. no realiza ninguna actividad relativa al producto Pokemon Go. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 Entre otros, no participa en la venta o registro del producto, en actividades de promoción del servicio Pokemon Go para Smart Devices no participa tampoco en contacto con clientes o anunciantes españoles en el servicio Pokemon Go, organización de eventos en torno al juego Pokemon Go, desarrollo de productos adicionales o servicios alrededor del juego Pokemon Go. Excepto por una website informativa cuyo objeto último es promover Pokémon Go Plus, el cual, será distribuído por Nintendo Ibérica, S.A., y una apartado específico para Pokemon Go en su página web. Tampoco implementa un servicio de atención al cliente español en relación al juego Pokemon Go. Nintendo Ibérica S.A. no tiene ningún papel en el tratamiento de datos personales de los usuarios del juego Pokemon Go, ni posee acceso a los datos de registro de los usuarios en el juego Pokemon Go. Tampoco está involucrado en los procedimientos de creación de cuentas de usuario.
  3. c)Nintendo Ibérica S.A. comercializa los videojuegos para consola de temática Pokemon de Nintendo.
  4. d)El próximo septiembre, Nintendo Ibérica S.A. planea realizar la distribución del accesorio Pokemon Go Plus, un sistema para llevar en la muñeca y que permite extender la funcionalidad del juego Pokemon Go.
  5. e)Nintendo Ibérica S.A. no tiene conocimiento de si se han realizado contactos o consultas con autoridades de protección de datos en Europa en relación al juego Pokemon Go.
  6. f)El establecimiento y la gestión de la política de privacidad del juego Pokemon Go para el mercado español no depende de Nintendo Ibérica S.A. Los términos están establecidos por la compañía norteamericana Niantic Inc. En particular, la política de tratamiento de datos de menores, y el establecimiento como edad límite los 13 años para la obtención del consentimiento de padres o tutores, ha sido establecido por la compañía norteamericana Niantic Inc. 4. Mediante diligencia de fecha 29 de julio de 2016 se constata que:
  7. a)La página web de www.nintendo.es contiene un enlace destacado a Pokemon Go.
  8. b)El enlace anterior conduce a una página que contiene una descripción del juego Pokemon Go e informa de dónde descargárselo.
  9. c)La política de privacidad del mismo sitio web manifiesta: “Esta política de privacidad afecta al uso de este sitio web, que gestiona Nintendo of Europe GmbH ("Nintendo"), Herriotstrasse 4, D-60528 Frankfurt (Alemania).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19
  10. d)El título de la página www.nintendo.es, y como aparece en Google, es “Página Web Oficial de Nintendo Ibérica” (Anexo IV).
  11. e)En la URL de páginas del dominio Nintendo.es aparecen referencias a que es la web oficial de la empresa Nintendo Ibérica S.A., como por ejemplo: https://www.nintendo.es/Nintendo-DS/Nintendo-DSi/Nintendo-DSiPagina-web-oficial-de-Nintendo-Iberica--116441.html 5. Los representantes de Nintendo Ibérica S.A. entregan al inspector un comunicado de Nintendo Co. Ltd., en relación a las previsiones financieras de la compañía, en el que manifiestan:
  12. a)Niantic Inc. es una compañía basada en Estados Unidos.
  13. b)El juego Pokemon Go para móviles ha sido desarrollado y es distribuido por Niantic Inc.
  14. c)Los derechos de Pokemon pertenecen a The Pokemon Company.
  15. d)The Pokemon Company es una compañía afiliada a Nintendo Co. Ltd., teniendo esta última un 32% del poder de voto en la primera.
  16. e)Pokemon Go Plus será producido y distribuido por Nintendo Co. Ltd.
  17. f)Pokemon Go Plus es un dispositivo periférico externo. 6. Con fecha de entrada 8 de agosto de 2016, Nintendo of Europe GmbH presenta un escrito en el que manifiesta que Nintendo no es desarrollador ni publicador de Pokemon Go, no está involucrado en su gestión ni trata data alguno. La única implicación es en la distribución de un dispositivo de juego externo denominado Pokemon Go Plus. 7. Mediante diligencia de 2 de agosto de 2016 se constata que aparecen noticias en Internet que informan que Niantic Inc. es una compañía que nació dentro de Google, y que se independiza de Google a mediados de 2015. 8. Mediante diligencia de 13 de septiembre de 2016 se constata que existen páginas del servicio Pokemon Go específicamente orientadas a España y se encuentran las siguientes: http://pokemongo.nianticlabs.com/es/ http://www.pokemongo.com/es-es/ En el último de estos enlaces, aparece una bandera de España en la parte superior que si se selecciona permite cambiar la configuración de la página acorde con el país seleccionado. Entre las opciones aparece específicamente España. 9. No hay constancia de un establecimiento de Niantic Inc. en Europa al 13 de septiembre de 2016 10. Con fecha de entrada en la AEPD de 28 de octubre de 2016 y 30 de enero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 2017 se recibe respuesta de Niantic a sendos requerimientos de información remitidos con fecha 29 de septiembre de 2016 y 14 de diciembre de 2016 en el que la empresa manifiesta: a. La aplicación fue lanzada el 14 de julio de 2016 en las tiendas de aplicaciones españolas para Google Play y para Apple Store. b. Ese mismo día los Términos de Servicio y la Política de Privacidad está disponible en castellano. En caso de que hayan podido aparecer en inglés en algún momento, es a causa de la configuración del teléfono. c. Actualmente dispone de 500 millones de usuarios. d. Niantic utiliza el servicio estándar oAuth de Google para autenticación. e. En el proceso de autenticación, Niantic tiene acceso a la información básica del perfil del usuario de Google, pero sólo extrae la información de correo electrónico e identificador único de usuario, que almacena Niantic. f. Este acceso se produce cada vez que el usuario se autentica. g. La dirección de correo electrónico del usuario se emplea para varios propósitos, ya que en caso de que la aplicación no funcione no es posible usarla como medio de comunicación: i.Comunicación con el usuario para, por ejemplo, actualizaciones de la política de privacidad u otros eventos del servicio. ii.Otros de gestión como rembolosos, problemas de log-in, o violación de los términos de servicio. h. Las cuentas del juego son gestionadas por The Pokemon Company International, independientemente si fueron creadas en el juego Pokemon Go o en www.pokemon.com/es i. Cuando la cuenta se crea en este último caso en un sitio de The Pokemon Company International, y Niantic tiene acceso al correo electrónico, el identificador de la sesión del usuario (sobre la que se aplica una función hash) y en caso de menores de 13 años, el correo de la persona que lo inscribió. j. Durante el juego se recogen los siguientes datos con el propósito de implementar el juego: i.Geolocalización, tanto GPS como del operador de red, almacenados durante 120 días. ii.País e idioma iii.Ejercicio y actividad del jugador en relación a su cuenta. k. Con el propósito de evaluar la calidad, estabilidad y prevenir abusos se recoge información como el sistema operativo del móvil, identificador del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 dispositivo móvil y su hardware. l. No hay recogida de datos cuando la aplicación está en segundo plano o en modo reposo. m. No se recoge información de la cámara, solo se proyecta la cámara en la pantalla del teléfono. No se envían imágenes a Niantic. n. Cuando la aplicación está abierta, se deshabilitan los ajustes para evitar que pase el móvil a modo reposo. o. Cuando un usuario accede a la página web www.pokemongo.com/es-es/ en el caso de España, se recoge en los ficheros de log la página accedida anteriormente a la consulta, la página que estaba consultando el usuario antes de cambiarse a la página de Pokemon, y se recoge con propósitos analíticos. p. El termino Personally Identifiable Information PII, que se usa en la política de privacidad se restringe a “información que puede identificar al individuo (p.ej. nombres, direcciones de correo electrónico, etc.). Este concepto no tiene como objeto cubrir información que pueda permitir individualizar a un usuario sin saber su identidad”. Consideran que es una definición más restringida que la de dato de carácter personal que se encuentra en el Reglamento 2016/679. Pero consideran que se complementan con la información que sobre el tratamiento de “identificadores en línea” se da en la Política de Privacidad. q. Para verificar la paternidad de una persona que crea una cuenta en Pokemon Go para un menor, The Pokemon Company International utiliza el mecanismo proporcionado por un tercero, Veratad. Este solicita al padre que cree su propia cuenta del club de Enternadores Pokemon. Durante la configuración, Veratad pide al padre que responda a ciertas preguntas, como el primer y último dígito del número de la Seguridad Social del padre así como información para verificar la identidad: nombre fecha de nacimiento y dirección física. Esta información no se transmite a Niantic. Una vez verificada la identidad del padre, ha de aceptar los ToS y la PP antes del que el menor de 13 años pueda registrarse en la aplicación. r. Los padres tienen el derecho a rechazar la recogida, uso y/o revelación ulterior de la información personal de sus hijos. s. En caso de que un menor de 13 años registre sus datos y no sean validados por el adulto del que ha proporcionado el correo electrónico, sus datos son eliminados en 30 días. t. C/ Jorge Juan, 6 28001 – Madrid Si tienen constancia de que un menor de 13 años por ejemplo, ha falseado su edad para conseguir una cuenta, se eliminará dicha cuenta y cualquier otra información personal asociada a la misma. www.agpd.es sedeagpd.gob.es 12/19 u. No ha sido detectada ninguna cuenta registrada por un menor que haya falseado sus datos, haciéndose pasar por mayor de 13 años, en España. v. No se comprueba la edad en la cuenta de Google cuando se ejecuta el procedimiento de autorización con Google. w. El nombre completo del menor se recaba para el uso en otras actividades y servicios ofrecidos por The Pokemon Company International. x. Los padres no tienen límite en el número de menores que pueden incluir en el juego. y. Niantic utiliza los servicios de Google Cloud Platform para implementar el almacenamiento de datos y para funciones de tratamiento. Opera bajo un acuerdo de tratamiento incluyendo Cláusulas Contractuales Tipo sin modificaciones. z. No se almacenan datos fuera de Estados Unidos. El contrato establecido entre Niantic y Google fija el tratamiento de los datos en servidores del estado de Iowa. aa. Niantic puede compartir la información con las entidades The Pokemon Company y The Pokemon Company International con propósito de resolver errores o problemas de producto. bb. Están desarrollando un programa de localizaciones patrocinadas, y proporcionan a los patrocinadores datos agregados de números de visitas, aunque ese programa no se ha ofrecido a España. cc. Hasta la fecha, no han comunicado datos de usuarios españoles a autoridades o entidades privadas. dd. No plantean vender datos a ninguna otra compañía. 11. Con fecha de 18 de noviembre de 2016 se descargan de Internet el modelo de contrato y las cláusulas contractuales tipo referenciadas por Niantic en su respuesta de 28 de octubre de 2016 y que son comunes y no están personalizadas para el contrato con Niantic. 12. OAuth (Open Authorization) es un protocolo que permite flujos simples de autorización para sitios web o aplicaciones informáticas. La versión actual que se soporta por Google es Oauth 2.0 descrita en los RFC 6749 y RFC 6750 y sirve para implementar el servicio OpenId de autenticación de Google. Permite que el para usuario-password no sea gestionado por la aplicación, en este caso Pokemon Go, sino que para cada usuario sólo se almacene un token, quedando la gestión y el almacenamiento de las credenciales de usuario en manos del gestor de autorizaciones, en este caso Google. 13. Consultado en Internet el servicio de OpenId en las páginas de Google, se deduce que el acceso a la información de correo electrónico, edad o cualquier información de perfil de los usuarios no es necesario para implementar dichos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 servicios. TERCERO: Con fecha 20/04/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a NIANTIC INC., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RDLOPD en lo sucesivo) por la presunta infracción del artículo 4.5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (LOPD en lo sucesivo), tipificada como grave en el artículo 44.3 C) de la citada Ley. CUARTO: Con fecha de 29/05/2017 por la representación de NIANTIC INC., se presentó escrito de alegaciones, en el que se manifestaba, en síntesis, lo siguiente: Los preceptos invocados en el acuerdo de inicio, art. 4.5 LOPD y art. 8.6 RDLOPD establecen únicamente la obligación general de suprimir o anonimizar los datos personales cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados, en el presente caso cuando un usuario solicita la cancelación de sus datos o de su cuenta Pokemon Go. La supresión se entiende sin perjuicio de la posibilidad de que se mantengan dichos datos en determinadas circunstancias como por ejemplo durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación jurídica o ejecución de un contrato. Asimismo no se extrae ninguna obligación de informar a los interesados de las situaciones bajo las que sus datos pueden ser conservados. La AEPD no ha probado circunstancia alguna que vulnere los preceptos citados pues únicamente se basa en la información extraída en la política de privacidad. Y en esta figura lo siguiente: “cierta información puede permanecer en las copias archivadas o las copias de seguridad para nuestros registros o para responder a otros requisitos legales” por lo que la palabra “indefinida” que utiliza el acuerdo de inicio del procedimiento sancionador, ni si quiera consta en la política de privacidad. Respecto de los datos de usuarios que hayan solicitado la cancelación de sus cuentas, en la política de privacidad se advierte de la posibilidad de “conservar la información y el contenido de usuario durante un tiempo razonable a nivel comercial para fines de copia de seguridad, archivo y/o auditoria”. Aquí de nuevo no se prevé la conservación par un tiempo “indeterminado” como entiende la AEPD, sino “durante un periodo de tiempo razonable a nivel comercial”. También se informa a los usuarios que quieran eliminar su cuenta Pokemon go, que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 datos asociados a su cuenta serán eliminados “de forma total y permanente”, lo que evidencia que las conclusiones a las que llega la AEPD son incorrectas. Niantic ofrece la información respecto de la eliminación o conservación de los datos de los usuarios, de forma completamente voluntaria ya que no existe obligación alguna, ni bajo la LOPD ni bajo el RDLOPD, de facilitar dicha información a los interesados, por ello las afirmaciones analizadas en la política de privacidad y que la AEPD interpreta erróneamente, no son incompatibles con la cancelación de datos que imponen los arts. 4.5 LOPD y 8.6 RDLOPD. Como regla general, en las 48 horas siguientes desde el momento en que el usuario solicita la cancelación de su cuenta Pokemon Go, Niantic borra o anonimiza, según los casos, todos los datos personales del usuario: A.A.A.. Como excepción a la regla general, Niantic tiene que responder a obligaciones jurídicas sujetas a responsabilidades en lo que atañe a la preservación de cuentas, como sucede cuando se notifica a Niantic la necesidad de mantener los datos personales de las cuentas por razones legales, parando así el proceso habitual de cancelación, pues de lo contrario se podría motivar el incumplimiento de otras obligaciones legales. Todo ello está amparado en el segundo y tercer párrafo del art. 8.6 RDLOPD: Podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento. El hecho de que Niantic no haya tenido que responder a ninguna solicitud de cancelación de datos personales al amparo de la LOPD, excluye la posibilidad de que se haya cometida la infracción del art. 4.5 LOPD en relación con el art. 8.6 RDLOPD, en lo que respecta a usuarios que ejercitan su derecho de cancelación. Ya que solo podría infringirse dicho precepto si Niantic conservase los datos personales con posterioridad al efectivo ejercicio del derecho de cancelación por parte de los interesados. Por todo lo expuesto solicita el archivo de las actuaciones. Sobre la necesaria proporcionalidad de las sanciones. En el presente caso, y solo para el improbable caso de que se resuelva la imposición de la sanción, debe aplicarse lo dispuesto en el art. 45.4 y 5 LOPD, para determinar la cuantía de la sanción en su grado mínimo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 QUINTO: En fecha de 27 de julio de 2017 se incorpora al expediente la documentación obtenida de la impresión de pantalla alojada en los enlaces www.nianticslabs.com/privacy/pokemongo/es y www.pokemon.com/es/politicadeprivacidad/ que hacen referencia a las POLITICAS DE PRIVACIDAD de dichos sitios webs. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  18. g)en relación con el artículo 36 de la LOPD. II En el acuerdo de inicio del procedimiento sancionador se atribuye a NIANTIC, INC., la comisión de la infracción del artículo 4.5 de LOPD, que señala que 5. Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados, en relación con lo dispuesto en el artículo 8.6 del RDLOPD que señala que Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre. Frente a ello, NIANTIC INC., manifestó que no existe prueba alguna de que algún usuario haya solicitado la cancelación de sus datos y no se haya llevado a cabo, por lo que no existe elemento probatorio que de soporte a la infracción imputada. Asimismo sostiene que en el acuerdo de inicio se dice que (…) El almacenamiento y retención de información de modo indefinido e indeterminado, respecto de la que se ha solicitado la cancelación y respecto de cuentas de usuario cerradas - tal como se advierte en la Política de Privacidad de Pokemon GO - podría suponer por parte de NIANTIC INC.,(…) la infracción de los preceptos, sin embargo no existe elemento alguno del que pueda derivarse tal circunstancia, ni por tanto es adecuado utilizar los adjetivos indefinido e indeterminado. Únicamente conservan información al amparo del art. 8.6 RDLOPD, por cuestiones legales y durante el plazo de prescripción de las acciones derivadas de la ejecución del contrato que se trate. Finalmente manifiesta que la información que ofrece, se basa en una deferencia con los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 usuarios y no en una obligación legal, pues los preceptos imputados, no requieren el ofrecimiento de una información determinada. III Respecto del periodo de conservación de datos personales, dentro de los principios recogidos en el artículo 4 de la Ley Orgánica15/1999 bajo el título “Calidad de los datos” su número 5 recoge el relativo a la conservación de éstos disponiendo que “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.” En desarrollo de este precepto el artículo 8.6 del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, dispone “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.” Como ha señalado la Agencia en el Informe 0408/2010 (…) la cancelación de los datos no supone su eliminación automática, sino su bloqueo tal y como dispone el artículo 16.3 de la Ley Orgánica 15/1999 al establecer que “La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.(…) En cuanto al modo de llevar a cabo el bloqueo, se señalaba en el Informe de 5 de junio de 2007 de esta Agencia que (…)deberá efectuarse de forma tal que no sea posible el acceso a los datos por parte del personal que tuviera habitualmente tal acceso, por ejemplo, el personal que preste sus servicios en el centro consultante, limitándose el acceso a una persona con la máxima responsabilidad y en virtud de la existencia de un requerimiento judicial o administrativo a tal efecto. De este modo, pese a permanecer el tratamiento de los datos, el acceso a los mismos quedaría enteramente restringido a las personas a las que se ha hecho referencia.” Respecto del plazo de cancelación, la previsión contenida en el artículo16.3 se complementa con la previsión contenida en el artículo16. 5 que indica que “los datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado(…) En todo caso, debe recordarse que el mantenimiento del dato bloqueado, supone una excepción al borrado físico del mismo que, en definitiva, es el fin último de la cancelación (tal y como prevé el propio artículo16.3, al indicar que “cumplido el citado plazo deberá procederse a la supresión).” Por consiguiente, los datos deberán cancelarse una vez hayan dejado de ser necesarios para la finalidad para la que se recabaron, manteniéndose bloqueados, en los términos vistos, al menos durante el tiempo necesario para la prescripción de las acciones que pudieran derivarse de la relación jurídica que vincula al responsable del fichero o tratamiento con el interesado, así como los derivados de la normativa tributaria ( artículo 66 de la Ley 58/2003, de 17 de diciembre, General Tributaria) , el plazo de prescripción previsto en el artículo 47.1 de la Ley Orgánica15/1999, o los establecidos en otras normas con rango de Ley que resulten de aplicación al caso, debiendo suprimirse los datos una vez transcurridos dichos plazos. Una vez expuesto el criterio interpretativo y de aplicación de esta Agencia, en relación con los criterios de almacenamiento, conservación y cancelación de los datos de acuerdo con los preceptos citados, debe tenerse en cuenta que, en el presente caso, tal como señala NIANTIC, INC, no existe prueba de que algún usuario se haya dirigido a la entidad para solicitar la cancelación de sus datos y que no se lleve a cabo, por lo que de acuerdo con el principio de presunción de inocencia que debe informar el ejercicio de la potestad sancionadora por parte de las administraciones públicas, la solución procedente en derecho es el archivo de las actuaciones. IV Ahora bien, lo expuesto hasta ahora debe ponerse en relación con la información que el responsable del fichero o tratamiento debe ofrecer respecto de los periodos y finalidades que se extraen de los preceptos citados. NIANTIC INC., manifiesta que la información obedece a su voluntad, que no se encuentra obligada por disposición legal alguna y en segundo término que cumple las exigencias del deber de información. Pues bien, al contrario de lo que manifiesta NIANTIC, INC., utilizar expresiones como las siguientes (…)responder a otros requisitos legales(…) o (…)tiempo razonable a nivel comercial para fines de copia de seguridad, archivo y/o auditoria(…) para dar por explicado el periodo de tiempo y la consiguiente finalidad, para la que se conservan los datos personales en su fichero, se muestra insuficiente. Ni la expresión “tiempo razonable a nivel comercial” u “otros requisitos legales”, no pueden contribuir a la convicción del titular de los datos personales acerca de para qué y por cuánto tiempo se almacenan los datos, pues las expresiones citadas admiten diversas interpretaciones y vacían de contenido la finalidad del deber de información que requiere cumplir todo responsable de fichero o tratamiento que recoja y trate datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 carácter personal. Asimismo, no puede obviarse la obligación que recoge el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, - en vigor desde mayo del año 2016 y de aplicación a partir del 25 de mayo de 2018 - , en su artículo 13.2 bajo la rúbrica (…) Información que deberá facilitarse cuando los datos personales se obtengan del interesado (…) que dispone lo siguiente: 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  19. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; En el caso analizado, ni se puede deducir el plazo durante el que se conservan los datos, ni tampoco se muestran en la citada política de privacidad, criterios objetivos que no admitan diversas interpretaciones, para determinar dicho plazo. Lo “razonable a nivel comercial” y los “requisitos legales” no pueden servir de parámetro, a priori, para determinar el plazo de conservación. El primero porque responde a elementos subjetivos y el segundo, pues concede un amplísimo abanico de posibilidades de acuerdo con el ordenamiento jurídico de que se trate y en relación con otros elementos azarosos. Por lo expuesto, a la fecha de aplicación del citado Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, NIANTIC, INC., deberá haber adecuado la información ofrecida en su política de privacidad a las obligaciones derivadas del mismo. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR EL PROCEDIMIENTO SANCIONADOR a la entidad NIANTIC INC., por la presunta infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3
  20. d)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a NIANTIC INC. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.