← España

PS-00330-2021

1/18  Expediente Nº: PS/00330/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de julio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SPORTIUM APUESTAS DIGITAL S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00330/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, SPORTIUM APUESTAS DIGITAL S.A.U., con CIF.: A65640252, titular de la página web: www.sportium.es (en adelante, “la parte reclamada”), en virtud de denuncia presentada por A.A.A., (en adelante, “la parte reclamante”), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 26/03/21, tiene entrada en esta Agencia, escrito presentado por el reclamante, en la que indicaba, entre otras, lo siguiente: “Me remiten un correo electrónico con fecha de 24 de marzo de 2021 a pesar de que ejercité el derecho de supresión en junio de 2020 y fue confirmado por la reclamada el 7 de julio de 2020. Adicionalmente, el aviso actual de cookies de la web de la reclamada no cumple con la legalidad, obligando a aceptarlas”. Al escrito de denuncia, se acompaña la siguiente documentación: 1.- Correo electrónico enviado el día 13/06/20, desde la dirección del reclamante a la dirección protecciondedatos@cirsa.com, con el siguiente mensaje: "Buenos días. Por medio de la presente, vengo a solicitar la supresión de todos mis datos personales que obren en su poder”. 2.- Correo electrónico enviado el día 15/06/20, desde la dirección protecciondedatos@cirsa.com a la dirección del reclamante, en el cual le indican: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 “(…) con el fin de garantizar su privacidad y la confidencialidad de su información, en cumplimiento de lo estipulado en el RGPD y la LOPD, para proceder a dar contestación al derecho de supresión ejercitado por Ud. necesitaremos que: Nos especifique la sociedad del Grupo CIRSA ante la que ejercita su derecho. En caso de que desconozca el nombre de la sociedad, necesitaremos que nos indique cualquier información que nos ayude a identificarla (…). Nos facilite una copia de su DNI, pasaporte o documento identificativo equivalente con el fin de confirmar debidamente su identidad y asegurarnos de que quien ejercita el derecho de supresión es efectivamente el titular de los datos y no un tercero. Únicamente utilizaremos dichos datos para confirmar su identidad y poder tramitar correctamente su petición”. 3.- Correo electrónico enviado el día 01/07/20, desde la dirección del reclamante a la dirección protecciondedatos@cirsa.com con el siguiente mensaje: “Se adjunta el DNI. Los datos sobre los que solicito la supresión se refieren a los que tenga acerca de mi persona la entidad SPORTIUM, o cualquier otra entidad de su grupo a los que hayan podido ser comunicados Igualmente solicito que, una vez ejecutado el derecho de supresión, sea eliminado mi correo electrónico y el DNI que les aporto para ejercitar el derecho”. 4.- Correo electrónico enviado el día 07/07/20, desde la dirección protecciondedatos@cirsa.com a la dirección del reclamante, en el cual le indican: “(…) por el presente le comunicamos: I. Que, de conformidad con el derecho de supresión ejercitado, le informamos que procedemos a suprimir todos los datos personales que disponemos de Ud. II. Que, sin perjuicio de lo anterior, deberemos conservar y mantener debidamente bloqueados aquellos datos que, en virtud del artículo 17.3 apartado (

  1. b)y (
  2. e)del RGPD, estamos obligados legalmente a conservar con el único fin de que queden a disposición de Juzgados y Tribunales, Ministerio Fiscal, la Agencia Española de Protección de Datos u otras Administraciones Públicas para el cumplimiento de las correspondientes obligaciones legales y/o para la formulación, el ejercicio o la defensa de reclamaciones durante el plazo de prescripción de las correspondientes acciones legales. III. Que, si considera que su solicitud de ejercicio de derechos no ha sido correctamente satisfecha por nuestra parte, puede recabar la tutela de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de la Comunidad Autónoma correspondiente”. 5.- Correo electrónico enviado el 24/03/21, desde la dirección ayuda@sportium.es a la dirección del reclamante, con el siguiente mensaje: “Estimado/a: Nos ponemos en contacto contigo para informarte que hemos procedido al cierre y autoexclusión de tu cuenta en Sportium.es tal y como has solicitado. Mientras dure el período de autoexclusión no podrás acceder a tu cuenta de juego, y, por ende, no podrás hacer depósitos o jugar. Por el contrario, puedes solicitar el retiro:
  3. a)Del saldo de tu cuenta de juego, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 incluyendo los premios obtenidos con anterioridad a la suspensión.
  4. b)De los premios ganados durante la suspensión de la cuenta de juego a consecuencia de participaciones en el juego realizadas con anterioridad a dicha suspensión. Para la solicitud de un retiro debes ponerte en contacto con el servicio de atención al cliente, el cual derivará tu petición para que se proceda de forma manual a la misma a través de uno de los métodos de pago usados que dispongan de esta opción. Puedes encontrar más información sobre el régimen de autoexclusión de Sportium aquí. Recibe un cordial saludo, Equipo de atención al cliente de Sportium.es”. SEGUNDO: Con fecha 05/05/21, por parte de esta Agencia se dirigió requerimiento informativo a la parte reclamada, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 16/06/21, la parte reclamada remitió a esta Agencia escrito de contestación al requerimiento, en el cual, entre otras, indicaba: “SOLICITUD DE AUTOEXCLUSIÓN.- En fecha 6 de mayo de 2016 el reclamante tramitó su petición para darse de alta como jugador autoexcluido a través del portal de juego de SPORTIUM, https://sports.sportium.es/es (la “Web”). Tras la recepción de dicha solicitud, SPORTIUM realizó todas las gestiones oportunas para tramitar correctamente la autoexclusión del reclamante en la Web y remitió en la misma fecha 6 de mayo de 2016 citada el correo electrónico adjunto como Anexo Nº 1 informándole del cambio de estado que SPORTIUM había realizado en su perfil de usuario como jugador autoexcluido. Así, desde la citada fecha de 6 de mayo de 2016 el reclamante no ha podido acceder a su cuenta de usuario creada en la Web de SPORTIUM en aras de reproducir los efectos que implica la autoexclusión de un usuario en la Web, todo ello en cumplimiento de la normativa de juego. TRAMITACIÓN DEL DERECHO DE SUPRESIÓN EJERCITADO POR EL RECLAMANTE.- Como bien indica el reclamante, el reclamante, el pasado 13 de junio de 2020 ejercitó su derecho de supresión de sus datos personales y, tras realizarse las comprobaciones oportunas para verificar que la identidad de quien ejercitaba el derecho era efectivamente el titular de los datos, SPORTIUM procedió a tramitar internamente el derecho de supresión ejercitado y, posteriormente, a comunicarle al interesado la correcta gestión de su petición en fecha 7 de julio de 2020. Se adjunta como Anexo Nº 2 la cadena de emails mantenida con el interesado a tales efectos. Sin perjuicio de lo anterior, como está Agencia bien sabe, ante la recepción de cualquier derecho de supresión, el Responsable del Tratamiento debe suprimir todos los datos personales que disponga del interesado, si bien debe conservar y mantener debidamente bloqueados aquellos datos personales que dicho Responsable esté obligado legalmente a conservar con el único fin de dejar esta información a disposición e Juzgados y Tribunales, Ministerio Fiscal, la Agencia Española de Protección de Datos u otras Administraciones Públicas para el cumplimiento de las obligaciones legales y/o para la formulación, el ejercicio o la defensa de reclamaciones durante el plazo de prescripción de las correspondientes acciones legales, tal y como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 estipula el artículo 17.3 apartado (
  5. b)y (
  6. e)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (el “RGPD”). En consecuencia, tras la recepción del derecho de supresión ejercitado por el reclamante, SPORTIUM quedó sujeto a la obligación de bloquear determinada información personal del reclamante con el fin de cumplir con el plazo de conservación legalmente exigible por la normativa de juego, procediendo a eliminar únicamente aquellos datos personales concernientes a su persona respecto a los que no recaía ninguna obligación legal de conservación o de prescripción de acción legal. Este bloqueo de la información se ha realizado por parte de SPORTIUM en los términos recogidos en el artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (la “LOPD”), dado que los datos bloqueados (
  7. i)se almacenan fuera del tráfico habitual del flujo de información de la Compañía, (
  8. i)NO son tratados para ninguna otra finalidad distinta de la señalada en el párrafo anterior, y (iii) su acceso queda restringido única y exclusivamente para el caso en que fuese estrictamente necesario y por el mínimo personal designado por la Compañía a tal efecto. CAMBIO REGULATORIO EN LA NORMATIVA DE JUEGO SPORTIUM.- como compañía operadora de juego, está obligada por normativa de juego a mantener un registro actualizado en sus bases de datos del listado de personas auto prohibidas, bien inscritas directamente a través de la Web de SPORTIUM o bien en el Registro General de Interdicciones de Acceso al Juego (en adelante, “RGIAJ”), encontrándose inscrito en dicho listado el reclamante, tal y como se mencionaba en la alegación primera de la presente contestación Recientemente ha tenido lugar un cambio regulatorio en materia de juego, siendo su cumplimiento plenamente exigible a SPORTIUM, que conllevado la necesidad de implementar por parte de SPORTIUM determinados cambios organizativos y técnicos en las bases de datos de los jugadores excluidos. Los cambios implementados en la plataforma de juego de SPORTIUM implicaron simple y llanamente una modificación en la gestión y organización interna dentro de la propia plataforma y, por tanto, no conllevaron ningún tratamiento de datos, ni tuvieron relevancia ni impacto ninguno en el estado de las cuentas de los jugadores que constaban como autoexcluidos inscritos en la correspondiente base de datos. A pesar de lo anteriormente expuesto, esta parte reclamada quiere poner de manifiesto que, a nivel interno, su plataforma de juego donde, entre otros, se almacena la base de datos de jugadores de autoexcluidos, por cuestiones de transparencia está configurada para que, cada vez que SPORTIUM realice cualquier acción interna en dichas bases de datos (como ha sido en este caso a nivel organizativo interno), se envíe un aviso informativo automático por correo electrónico a los usuarios informándoles de la acción realizada por parte de SPORTIUM. SPORTIUM considera de vital importancia aclarar a esta Agencia que la compañía no realizó ningún tratamiento de datos del reclamante, pues el correo electrónico que recibió por parte de la compañía en fecha 24 de marzo de 2021 fue un comunicado automático que se envió desde la plataforma de juego al detectar esta la realización C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 de cambios internos en la misma derivados de la obligación de dar cumplimiento a los cambios regulatorios acaecidos en la citada normativa de juego. El reclamante, en ningún momento ha tenido acceso desde mayo de 2016 (fecha en la que SPORTIUM tramitó su autoexclusión) a su antigua cuenta de usuario, la cual, además, fue bloqueada en los términos del artículo 32 del RGPD tras la recepción del derecho de supresión ejercitado por su parte el pasado 13 de junio de 2020, dado que SPORTIUM tiene el deber de conservar dichos datos debidamente bloqueados por imperativo legal en virtud de las normativas de juego y de prevención de blanqueo de capitales y de la financiación del terrorismo. ADECUACIÓN DE LA WEB A LA NORMATIVA APLICABLE EN MATERIA DE aplicable en materia de cookies y garantizar los derechos de los usuarios en esta materia y, es por ello que, tras la primera publicación y posterior actualización de la Guía sobre el uso de cookies publicada por esta Agencia, SPORTIUM siempre ha implementado las acciones oportunas y necesarias para ajustar el uso y gestión de las obligaciones recogidas tanto en la Ley 34/2002, de 11 de julio de servicios de la sociedad de la información y de comercio electrónico, el RGPD y la LOPD, como en la citada Guía. En septiembre de 2020 SPORTIUM adaptó de nuevo el aviso informativo de su Web con el fin de cumplir con la última actualización de la Guía sobre el uso de respecto garantizándose así el cumplimiento del deber de informar que ostenta frente a los interesados en el momento de captación de los datos en su condición de Responsable del Tratamiento, todo ello, en virtud del artículo 13 del RGPD. En este sentido, desde SPORTIUM queremos poner de manifiesto que el aviso informativo que el reclamante proporciona en su reclamación es, como mínimo, anterior a las actualizaciones y cambios realizados por SPORTIUM en la Web en septiembre de 2020, desconociendo por completo cual es la finalidad perseguida por el reclamante al formular tal alegación contra SPORTIUM, la cual es totalmente desacertada. Se adjunta como Anexo Nº 3 un screenshot del aviso informativo sobre el uso de MEDIDAS CORRECTORAS.- Siendo los derechos y libertades de todos nuestros usuarios de gran importancia para SPORTIUM y con el fin de garantizar al reclamante la correcta protección por parte de la Compañía de todos sus derechos y libertades, SPORTIUM ha procedido a remitir un comunicado al reclamante en fecha 15 de junio de 2021 informándole de las causas que motivaron el envío del correo electrónico de fecha 24 de marzo de 2021 y confirmándole la correcta tramitación del derecho de supresión ejercitado por su parte en junio de 2020 tras la recepción de su petición. Como evidencia de ello, se adjunta como Anexo Nº 4 el citado correo electrónico enviado por parte de SPORTIUM al reclamante”. CUARTO: Con fecha 23/06/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, al aprecian indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 QUINTO: Con fecha 04/07/20, por parte de esta Agencia se realizaron las siguientes comprobaciones sobre la “Política de Cookies”, en la página web: https://www.sportium.es : 1.- Al entrar en la web por primera vez, sin aceptar cookies ni realizar ninguna acción sobre la página, se comprueba que se utiliza las siguientes cookies propias y de terceros (.dynamicyeld.com; .doublclick.net; youtube.com y Google.com): Dominio Dominio DYSES .dynamicyield.com .sportium.es DYID .dynamicyield.com _dy_ses_load_s eq _dy_soct .sportium.es _ga .sportium.es .sportium.es _dy_toffset .sportium.es _dy_ses_load_se .sportium.es q _dy_geo .sportium.es _dyid .sportium.es custval1 www.sportium.es _dycst .sportium.es custname1 www.sportium.es _gcl_au .sportium.es _ga .sportium.es _dy_csc_ses .sportium.es lang www.sportium.es _dyjsession .sportium.es cplat www.sportium.es dy_fs_page .sportium.es ctype www.sportium.es _dyfs .sportium.es _dy_c_exps .sportium.es _dycnst .sportium.es _gid .sportium.es _dy_c_exps .sportium.es ai_user www.sportium.es _dy_df_geo .sportium.es brand www.sportium.es _dy_toffset .sportium.es DE .doubleclick.net _dy_df_geo .sportium.es .youtube.com mode www.sportium.es VISITOR_INFO1_LI VE _dy_csc_ses .sportium.es CONSENT .google.com _gcl_au .sportium.es YSC .youtube.com ai_session www.sportium.es _dy_geo .sportium.es _dyid .sportium.es _dycst .sportium.es _dyjsession .sportium.es dy_fs_page .sportium.es _dyfs .sportium.es _dycnst .sportium.es _dy_soct .sportium.es _dy_lu_ses .sportium.es _gid .sportium.es _dy_lu_ses C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 2. El banner sobre cookies que aparece en la página principal de la web, tiene el siguiente mensaje: “En Sportium utilizamos cookies propias y de terceros de sesión y persistentes para analizar tu navegación y obtener estadísticas en base a la misma y mostrarte publicidad relacionada con tus preferencias basada en tus hábitos de navegación. Clica aquí para más información. Puedes aceptar todas las cookies pulsando el botón "ACEPTAR" o configurarlas o rechazar su uso pulsando el botón "CONFIGURAR" <<ACEPTAR>> <<Configurar cookies>>. 2.1.- Si se opta por aceptar todas las cookies mediante la opción correspondiente, <<ACEPTAR>>, se comprueba que la web sigue utilizando las mismas cookies indicadas en el punto Nº 1. 2.2.- Si se opta por ir al panel de control, a través del enlace, <<configurar cookies>>, se despliega una nueva página donde se pueden gestionar las cookies de formas granular o por grupos, estando las opciones de cada grupo premarcadas en la opción de, “no aceptar”: - Se utilizan para poder proporcionarte las promociones y las comunicaciones que más se ajustan a tus preferencias, intereses y juegos preferidos. - Se utilizan para integrar funcionalidades de otras plataformas de marketing como Facebook, YouTube, Google Analytics entre otros. <<ACCEPT>> 2.3.a).- Si se opta por “aceptar” la configuración sin haber habilitado ningún grupo de <<accept>> directamente, se comprueba que la web elimina el grupo de cookies de terceros: .doubleclick.net; youtube.com y Google.com. 2.4.- Si se desea acceder a la “Política de Cookies” de la web, se comprueba que en la página inicial no existe ningún enlace directo que redirija al usuario a la política de inferior de la página principal, la web redirige a una nueva página https://www.sportiumnews.com/actualidad/ y en la parte inferior de la misma, se encuentra un enlace a la <<política de cookies>>, a través del cual, se puede acceder a la página, https://www.sportiumnews.com/wp-content/uploads/2019/11/Pol %C3%ADtica-de-Cookies-SPORTIUM-NEWS-v2.pdf, donde se informa de, qué es una se indica lo siguiente: “A continuación, se presenta una lista de las cookies que podrá encontrar en nuestro Sitio web: Nombre Titularidad Tipo de cookie Duración Finalidad y descripción”. No obstante, el cuadrante o lista de cookies se encuentra vacío de contenido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 QUINTO: A la vista de los hechos denunciados y de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera que lo indicado anteriormente, no cumple con la normativa vigente, por lo que procede la apertura del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO I- Competencia: - Sobre el ejercicio de los derechos reconocidos en el RGPD y el tratamiento de datos personales: Es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. - Sobre la “Política de Cookies” de la web www.sportium.es De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II Según manifiesta el reclamante, ha recibió un correo electrónico de la entidad reclamada después de haber ejercido su derecho de supresión de los datos personales y haber obtenido respuesta afirmativa de la entidad de haber borrado todos sus datos de sus bases de datos. No obstante, el correo electrónico enviado por la entidad al reclamante indicaba textualmente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 “Estimado/a: Nos ponemos en contacto contigo para informarte que hemos procedido al cierre y autoexclusión de tu cuenta en Sportium.es tal y como has solicitado. Mientras dure el período de autoexclusión no podrás acceder a tu cuenta de juego, y, por ende, no podrás hacer depósitos o jugar. Por el contrario, puedes solicitar el retiro:
  9. a)Del saldo de tu cuenta de juego, incluyendo los premios obtenidos con anterioridad a la suspensión.
  10. b)De los premios ganados durante la suspensión de la cuenta de juego a consecuencia de participaciones en el juego realizadas con anterioridad a dicha suspensión. Para la solicitud de un retiro debes ponerte en contacto con el servicio de atención al cliente, el cual derivará tu petición para que se proceda de forma manual a la misma a través de uno de los métodos de pago usados que dispongan de esta opción. Puedes encontrar más información sobre el régimen de autoexclusión de Sportium aquí. Recibe un cordial saludo, Equipo de atención al cliente de Sportium.es”. Según la entidad reclamada, este correo electrónico enviado al reclamante después de haber ejercido este su derecho a la supresión de datos personales fue debido al: “(…) cambio regulatorio en la normativa de juego: Como compañía operadora de juego, está obligada por normativa de juego a mantener un registro actualizado en sus bases de datos del listado de personas autoprohibidas, bien inscritas directamente a través de la Web de SPORTIUM o bien en el Registro General de Interdicciones de Acceso al Juego (“RGIAJ”), encontrándose inscrito en dicho listado el reclamante, tal y como se mencionaba en la alegación primera de la presente contestación Recientemente ha tenido lugar un cambio regulatorio en materia de juego, siendo su cumplimiento plenamente exigible a SPORTIUM, que conllevado la necesidad de implementar por parte de SPORTIUM determinados cambios organizativos y técnicos en las bases de datos de los jugadores excluidos. Los cambios implementados en la plataforma de juego de SPORTIUM implicaron simple y llanamente una modificación en la gestión y organización interna dentro de la propia plataforma y, por tanto, no conllevaron ningún tratamiento de datos, ni tuvieron relevancia ni impacto ninguno en el estado de las cuentas de los jugadores que constaban como autoexcluidos inscritos en la correspondiente base de datos. A pesar de lo anteriormente expuesto, esta parte reclamada quiere poner de manifiesto que, a nivel interno, su plataforma de juego donde, entre otros, se almacena la base de datos de jugadores de autoexcluidos, por cuestiones de transparencia está configurada para que, cada vez que SPORTIUM realice cualquier acción interna en dichas bases de datos (como ha sido en este caso a nivel organizativo interno), se envíe un aviso informativo automático por correo electrónico a los usuarios informándoles de la acción realizada por parte de SPORTIUM. SPORTIUM considera de vital importancia aclarar a esta Agencia que la compañía no realizó ningún tratamiento de datos del reclamante, pues el correo electrónico que recibió por parte de la compañía en fecha 24 de marzo de 2021 fue un comunicado automático que se envió desde la plataforma de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 juego al detectar esta la realización de cambios internos en la misma derivados de la obligación de dar cumplimiento a los cambios regulatorios acaecidos en la citada normativa de juego. El reclamante, en ningún momento ha tenido acceso desde mayo de 2016 (fecha en la que SPORTIUM tramitó su autoexlusión) a su antigua cuenta de usuario, la cual, además, fue bloqueada en los términos del artículo 32 del RGPD tras la recepción del derecho de supresión ejercitado por su parte el pasado 13 de junio de 2020, dado que SPORTIUM tiene el deber de conservar dichos datos debidamente bloqueados por imperativo legal en virtud de las normativas de juego y de prevención de blanqueo de capitales y de la financiación del terrorismo (…)”. - III Sobre el ejercicio de los derechos reconocidos en el RGPD, El artículo 12 del RGPD, establecer que: 1.- El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2.El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3.El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. Por su parte, el artículo 17.1 del mismo RGPD, respecto del “Derecho de supresión («el derecho al olvido»)”, establece que: 1.El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  11. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; 4.5.2016 L 119/43 Diario Oficial de la Unión Europea ES
  12. b)el interesado retire el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  13. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  14. d)los datos personales hayan sido tratados ilícitamente;
  15. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  16. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. En el presente caso, el reclamante solicitó la supresión de los datos personales de las bases de datos de la entidad el 13/06/20, que fueron eliminados, según la entidad, el 07/07/20, salvo aquellos datos que, en virtud del artículo 17.3 apartado (
  17. b)y (
  18. e)del RGPD, están obligados legalmente a conservar, donde se establece que: “3.Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  19. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; (…)
  20. e)para la formulación, el ejercicio o la defensa de reclamaciones. No obstante, al estar el reclamante inscrito en el Registro General de Interdicciones de Acceso al Juego (“RGIAJ”), y al haber tenido lugar un cambio regulatorio en materia de juego, que obligó a la entidad a modificar la gestión de la base de datos de las personas incluidas en el RGIAJ se produjo, “un aviso informativo automático por correo electrónico a los usuarios informándoles de la acción realizada por parte de SPORTIUM”, donde se le informa de su inclusión en dicho registro: “(…) Nos ponemos en contacto contigo para informarte que hemos procedido al cierre y autoexclusión de tu cuenta en Sportium.es tal y como has solicitado. Mientras dure el período de autoexclusión no podrás acceder a tu cuenta de juego, y, por ende, no podrás hacer depósitos o jugar (…). Puedes encontrar más información sobre el régimen de autoexclusión de Sportium <<aquí>>”. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento de acuerdo de inicio de procedimiento sancionador, se considera que el tratamiento de datos personales realizados por la entidad reclamada, no se contradice con lo estipulado en el artículo 17 del RGPD. - IV Sobre la “Política de Cookies” de la página web, www.sportium.es : a).- Sobre la instalación de cookies en el equipo terminal previo al consentimiento: El artículo 22.2 de la LSSI establece que se debe facilitar a los usuarios información clara y completa sobre la utilización de los dispositivos de almacenamiento y recuperación de datos y, en particular, sobre los fines del tratamiento de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Esta información debe facilitarse con arreglo a lo dispuesto el RGPD. Por tanto, cuando la utilización de una cookie conlleve un tratamiento que posibilite la identificación del usuario, los responsables del tratamiento deberán asegurarse del cumplimiento de las exigencias establecidas por la normativa sobre protección de datos. No obstante, es necesario señalar que quedan exceptuadas del cumplimiento de las obligaciones establecidas en el artículo 22.2 de la LSSI aquellas cookies necesarias para la intercomunicación de los terminales y la red y aquellas que prestan un servicio expresamente solicitado por el usuario. En este sentido, el GT29, en su Dictamen 4/201210, interpretó que entre las cookies exceptuadas estarían las Cookies de entrada del usuario” (aquellas utilizadas para rellenar formularios, o como gestión de una cesta de la compra); cookies de autenticación o identificación de usuario (de sesión); cookies de seguridad del usuario (aquellas utilizadas para detectar intentos erróneos y reiterados de conexión a un sitio web); cookies de sesión de reproductor multimedia; cookies de sesión para equilibrar la carga; cookies de personalización de la interfaz de usuario y algunas de complemento (plug-
  21. in)para intercambiar contenidos sociales. Estas cookies quedarían excluidas del ámbito de aplicación del artículo 22.2 de la LSSI, y, por lo tanto, no sería necesario informar ni obtener el consentimiento sobre su uso. Por el contrario, será necesario informar y obtener el consentimiento previo del usuario antes de la utilización de cualquier otro tipo de cookies, tanto de primera como de tercera parte, de sesión o persistentes. En la comprobación realizada en la página web reclamada se pudo constatar que, al entrar en la página principal y sin realizar ninguna acción sobre la misma y sin aceptar las cookies, se utilizaban cookies propias y de terceros no identificadas en la “Política de Privacidad”, de la web, siendo imposible constatar sin son necesarias o no. b).- Sobre el consentimiento a la utilización de cookies no necesarias: Para la utilización de las cookies no necesarias, será preciso obtener el consentimiento del usuario de forma expresa. Este consentimiento se puede obtener haciendo clic en, “aceptar” o infiriéndolo de una inequívoca acción realizada por el usuario que denote que el consentimiento se ha producido inequívocamente. Por tanto, la mera inactividad del usuario, hacer scroll o navegar por el sitio web, no se considerará a estos efectos, una clara acción afirmativa en ninguna circunstancia y no implicará la prestación del consentimiento por sí misma. Del mismo modo, el acceso al panel de control, si la información se presenta por capas, así como la navegación necesaria para que el usuario gestione sus preferencias en relación con las cookies en el panel de control, tampoco es considerada una conducta activa de la que pueda derivarse la aceptación de cookies. Si la opción es dirigirse al panel de control de cookies (segunda capa) para la gestión de las cookies de forma granular, deberá existir dos botones más, uno para <<aceptar>> todas las cookies o en su caso, guardar la selección de cookies elegida y otro para <<rechazar>> todas las cookies. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 Si el usuario guarda su elección sin haber seleccionado ningún grupo de cookies, se entenderá que ha rechazo todas las cookies. En relación con esta posibilidad, en ningún caso son admisibles las casillas premarcadas a favor de aceptar las cookies. Si para la configuración de las cookies, la web remite a la configuración del navegador instalado en el equipo terminal, esta opción es considerada complementaria para obtener el consentimiento, pero no como único mecanismo. Por ello, si el editor se decanta por esta opción, debe ofrecer además y en todo caso, un mecanismo que permita rechazar el uso de las cookies y/o hacerlo de forma granular. La retirada del consentimiento prestado previamente por el usuario deberá poder ser realizado en cualquier momento. A tal fin, el editor deberá ofrecer un mecanismo que posibilite el acceso permanente al sistema de gestión o configuración de las cookies. Si el sistema de gestión o configuración de las cookies del editor no permite evitar la utilización de las cookies de terceros una vez aceptadas por el usuario, se facilitará información sobre las herramientas proporcionadas por el navegador y los terceros, debiendo advertir que, si el usuario acepta cookies de terceros y posteriormente desea eliminarlas, deberá hacerlo desde su propio navegador o el sistema habilitado por los terceros para ello. En el presente caso, existe la posibilidad de gestionar la utilización de cookies de forma granular en el panel de control de cookies. No obstante, si se opta por rechazar todas las cookies a través de la opción <<guardar>>, sin haber habilitado los grupos de cookies, se constata que se siguen utilizando las mismas cookies iniciales. d).- Sobre la información suministrada en la segunda capa (política de cookies): En la segunda capa se debe proporcionar información más detallada sobre las características de las cookies, incluyendo información sobre, la definición y función genérica de las cookies (qué son las cookies); sobre el tipo de cookies que se utilizan y su finalidad (qué tipos de cookies se utilizan en la página web); la identificación de quién utiliza las cookies, esto es, si la información obtenida por las cookies es tratada solo por el editor y/o también por terceros con identificación de estos últimos; el periodo de conservación de las cookies en el equipo terminal; y si es el caso, información sobre las transferencias de datos a terceros países y la elaboración de perfiles que implique la toma de decisiones automatizadas. En el caso que nos ocupa, no existe ningún enlace directo a la “Política de Cookies” en la página inicial. Para acceder a la política de cookies es necesario acceder primero al “área de prensa” y después a la política de cookies. Una vez accedido a la página de la “Política de Cookies”, ésta proporciona información qué son las cookies y los tipos de cookies que existen, pero no se identifican las el tiempo de activación. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 Los hechos indicados en el punto anterior podrían ser constitutivos de una infracción al artículo 22.2 de la LSSI, donde se establecen los derechos de los destinatarios de servicios de la sociedad de la información, indicando que: “2. Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario.” Esta infracción está tipificada como “leve” en el artículo 38.4 g), de la citada Ley, que considera como tal: “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo ser sancionada con multa de hasta 30.000 €, de acuerdo con el artículo 39 de la citada LSSI. Con arreglo a dichos criterios se estima adecuado imponer una sanción inicial de 5.000 euros (cinco mil euros), por la infracción del artículo 22.2 de la LSSI, respecto de la política de cookies realizada en la página web de su titularidad. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad, SPORTIUM APUESTAS DIGITAL S.A.U., con CIF.: A65640252, titular de la página web: www.sportium.es , por infracción del artículo 22.2) de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40) de la citada Ley, respecto de la “Política de Cookies”. NOMBRAR: como Instructor a D. R.R.R., y Secretaria, en su caso, a Dª S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 QUE: a los efectos previstos en el art. 64.2
  22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 5.000 euros (cinco mil euros), por la infracción del artículo 22.2) de la LSSI, sin perjuicio de lo que resulte de la instrucción del presente expediente. QUE: de conformidad con el artículo 58.2 del RGPD, la medida correctiva que podría imponerse a la entidad consistiría en ORDENARLE que, tomase las medidas necesarias sobre la página web de su titularidad para adecuarla a la normativa vigente en materia de Política de Cookies: - Incluyendo un enlace directo desde la página inicial y desde el banner de información de cookies a la “Política de Cookies”. - Incluyendo, en la “Política de Cookies”, la identificando las cookies utilizas en la web, su función, si son necesarias o no y el tiempo de activación de estas y en caso de no ser necesarias, un mecanismo que imposibilite su utilización de NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad SPORTIUM APUESTAS DIGITAL S.A.U., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  23. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000 euros (tres mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 7 de agosto de 2021, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  24. d)e
  25. i)y 38.4 d),
  26. g)y
  27. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00330/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 SEGUNDO: NOTIFICAR la presente resolución a SPORTIUM APUESTAS DIGITAL S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  28. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-160721 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.