← España

PS-00491-2023

1/23  Expediente Nº: EXP202213326 - RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SPORTIUM APUESTAS DIGITAL S.A.U. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202213326 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 14 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SPORTIUM APUESTAS DIGITAL S.A.U. con NIF A65640252 (en adelante, SPORTIUM). Los motivos en que basa la reclamación son los siguientes: La parte reclamante pone de manifiesto que sus datos personales han sido utilizados para dar de alta fraudulentamente cuentas de usuario en distintos sitios web de juego online, entre ellos SPORTIUM, a cuyos responsables se ha dirigido para denunciar los hechos y para solicitar acceso a información relacionada con el alta de las citadas cuentas. La parte reclamante manifiesta que envió un correo electrónico en fecha 21 de julio de 2022 y un burofax en fecha 25 de julio de 2022, a SPORTIUM indicando que se ha suplantado su identidad en la página web de sportium.es, y solicita el bloqueo y eliminación de las cuentas asociadas a la parte reclamante. Asimismo, también solicita el acceso a los datos referentes al histórico de operaciones de las cuentas a nombre de la parte reclamante y las direcciones IP desde las que se han generado esas cuentas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 Por último, manifiesta que, a fecha de presentación de la reclamación ante esta Agencia, no se ha recibido ninguna respuesta por parte de SPORTIUM. Junto a la notificación se aporta, entre otros: - Denuncia presentada por la parte reclamante ante la Policía Nacional el 12 de julio de 2022. - Copia de escrito remitido por la Dirección General de Ordenación del Juego, fechado el 19 de julio de 2022, en respuesta a la solicitud de la parte reclamante para inscribirse en el servicio de alertas por suplantación de identidad en plataformas de juego online (Phishing Alert). En este escrito se muestra que los datos de la parte reclamante han sido verificados por varios operadores, entre los que se encuentra “Sportium”. Además, se muestran los datos de contactos para Phishing de “Sportium”, que son los siguientes: “reclamaciones@sportium.com” y “900.44.77.44” - Impresión del acuse de recibo de burofax postal con membrete de “www.notificados.com”, y número de localizador. En este documento, EXTERNALIZACIÓN DE NOTIFICADOS Y APLICACIONES ONLINE SL acredita el envío del burofax el día 25 de julio de 2022 remitido a SERVICIO AT CLIENTE SPORTIUM CALLE SENA 2-10, POLlG INDUSTRIAL CAN SANT JOAN 08174 SANT CUGAT DEL VALLES (BARCELONA), y acredita que la entrega de este documento fue rehusada el 26 de julio de 2022. El acuse de recibo se acompaña de una copia de lo que se indica que es el contenido del burofax, que es una carta dirigida a la atención del servicio de atención al cliente de SPORTIUM, en la que se indica el nombre, apellidos y NIF de la parte reclamante y se manifiesta que “Que la persona que representamos ha sido víctima de un delito de suplantación de identidad llevado a cabo, entre otras, en su página web sprortium.es. Mi mandante en ningún momento ha accedido a su dominio, ni se ha dado alta como (...) de su servicio, habiéndose detectado que la misma situación se ha producido en varias páginas web de apuestas y juegos de azar”. Y se solicita lo siguiente: “Así mismo, les solicitamos nos faciliten copia de todos los datos referentes al histórico de operaciones que hayan podido realizarse utilizando los datos personales de (…) cliente, todo ello a fin de tratar de esclarecer el asunto y detectar posibles irregularidades fiscales, que, con motivo de la suplantación sufrida, puedan ponerse de manifiesto en ejercicios sucesivos. Igualmente, solicitamos su colaboración para identificar correctamente las direcciones IP desde las que se ha/n generado la/s cuenta/s falsa/s y cualquier otra información relativa y de utilidad para poder identificar al presunto autor del delito denunciado.” - Impresión de correo electrónico remitido por el representante legal de la parte reclamante a SPORTIUM en el que se copia un correo enviado por este representante hacia “reclamaciones@sportium.es” fechado el 21 de julio de 2022 con el asunto “SUPLANTACIÓN IDENTIDAD SPORTIUM”. Este correo es una copia del contenido del burofax enviado el 25 de julio de 2022 que se ha mencionado anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a SPORTIUM, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de enero de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 3 de febrero de 2023 se recibe en esta Agencia escrito de respuesta indicando: 1. Indicación, respecto a la solicitud enviada mediante correo electrónico por el representante legal de la parte reclamante de que “SPORTIUM no recibió dicha solicitud dado que la dirección electrónica empleada es errónea y no existe”, e indican que la solicitud fue dirigida a la dirección de correo electrónico “reclamaciones@sportium.es”, mientras que “Tal y como se detalla en la Política de Privacidad de SPORTIUM, accesible en la página web https://www.sportium.es/politica-de-privacidad, los usuarios pueden ejercitar sus derechos de protección de datos poniéndose en contacto con nuestro Delegado de Protección de Dates a través de la dirección de correo electrónico protecciondedatos@sportium.com. Si bien, a pesar de que SPORTIUM pone a disposición el mencionado correo para realizar peticiones y/o consultas relativas a protección de datos personales, SPORTIUM es consciente de la posibilidad de que los usuarios utilicen medios o canales distintos al correo. Por ejemplo, utilizando el correo de atención al cliente. Por ello, SPORTIUM cuenta con su propio “Manual de Gestión de Derechos RGPD” que pone a disposición a todas las personas de la organización que, por razón del ejercicio de sus funciones, tratan datos de carácter personal y pueden recibir peticiones de datos personales.” 2. Indicación, respecto a la solicitud enviada mediante burofax de que “En SPORTIUM se reciben múltiples solicitudes, cartas certificadas y burofaxes por diversos canales que se gestionan con agilidad y eficiencia de forma ordinaria. Tras las investigaciones realizadas, no existe constancia de dicho burofax, ni de su recepción, ni de su rechazo.” Y se indica que “a fecha 14 de octubre de 2022, que es cuando se presentó la reclamación a esta Agencia, SPORTIUM no era conocedor del ejercicio de derechos por parte de A.A.A..” 3. Respecto a la respuesta al ejercicio de derecho de supresión de la parte reclamante, indican que, tras recibir la reclamación presentada por la parte reclamante ante la AEPD, “En fecha 9 de enero de 2023 SPORTIUM tramitó el derecho de supresión ejercitado, dando de baja y bloqueando la cuenta “***CUENTA.1”, asociada al nombre y DNI de A.A.A., de conformidad con el artículo 17 del RGPD.” 4. Respecto a la respuesta al ejercicio de derecho de acceso a sus datos de la parte reclamante, indican que, tras recibir la reclamación presentada por la parte reclamante ante la AEPD, respondieron de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 “En fecha 18 de enero de 2022 SPORTIUM dio respuesta a la petición de la interesada, informando a A.A.A. que se dio de baja la cuenta asociada a su nombre y DNI, así como facilitándole toda la información solicitada, de conformidad con el art. 15 del RGPD, en concreto: i. Copia de los datos identificativos de carácter personal; ii. Copia de todos los datos referentes al histórico de operaciones realizados; y iii. Detalles de navegación, incluyendo la dirección IP desde donde se creó la cuenta, coincidente con el día en que se realizaron las apuestas.” 5. Indicación de que se han tomado “las siguientes medidas correctoras con el fin de evitar que vuelva a ocurrir una situación similar: i. En fecha 2 de febrero de 2023, SPORTIUM ha remitido un comunicado dirigido a los departamentos de recepción de Sant Cugat y Ceuta, Servicio de Atención al Cliente, Reclamaciones y Protección de datos, recordando el protocolo de actuación ante la recepción de comunicaciones por vía postal tanto en las oficinas situadas en el edificio SCTC, C/ Sena, 2-10, 08174, Sant Cugat del Vallés (Barcelona) como en la Calle Independencia 11 – Entreplanta, 51001, Ceuta. Todo ello, con el fin de garantizar que, en caso de tratarse de solicitudes de ejercicio de derechos de protección de datos, se tramiten en el plazo y forma que la normativa exige, así como concienciar sobre su importancia y recordar el procedimiento establecido a seguir para evitar que, al menos por lo que respecta a SPORTIUM, pueda darse un incidente similar en el futuro. ii. SPORTIUM ha documentado internamente dicho protocolo de actuación en el Manual de gestión de derechos de protección de datos personales de SPORTIUM, que ya disponía, y ha remitido dicho Manual actualizado a los departamentos implicados, instándoles a revisarlo.” … “iii. Asimismo, con el fin de dar cumplimiento al principio de responsabilidad proactiva del artículo 5 del RGPD, SPORTIUM quiere informar a esta Agencia que realiza formaciones periódicamente en materia de protección de datos personales” 6. SPORTIUM ha aportado en este escrito: - una impresión de correo electrónico, fechado el 2 de febrero de 2023, en el que se copia otro correo electrónico dirigido a varias direcciones de correo electrónico del dominio “sportium.com” en el que se indica que, a raíz de un burofax rehusado el 26 de julio de 2022 con una solicitud de ejercicio de derechos de protección de datos, se envía este comunicado recordando cómo se debe gestionar la recepción de correo postal que contenga cuestiones relacionadas con la protección de derechos personales, y se indica que el correo lleva adjunto un manual actualizado en el que se encuentra descrito el procedimiento y el protocolo de actuación a seguir. A este correo, además, se adjunta un documento denominado “MANUAL GESTIÓN DERECHOS RGPD SPORTIUM ONLINE 2023.docx”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 -Copia del “Manual de gestión del ejercicio de derechos RGPD por usuarios en SPORTIUM ONLINE”, en cuya página dedicada al control de versiones, se observa que ha habido cuatro versiones del manual, siendo la última versión de fecha 31 de enero de 2023. TERCERO: Con fecha 14 de enero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 20 de julio de 2023, se presenta un escrito ante la AEPD en nombre y representación de SPORTIUM, como respuesta a un requerimiento de información, en el que se aporta, entre otra, la siguiente información: 1. Indicación de que “El 20 de enero de 2016 a las 4:59:29 horas se solicitó el registro de la cuenta de usuario “***CUENTA.1” a nombre de A.A.A. con el correo electrónico ***EMAIL.1 y número de DNI ***NIF.1 a través del procedimiento de registro disponible en la página web de SPORTIUM https://www.sportium.es/register.” 2. SPORTIUM indica que “el proceso de registro y los datos solicitados son de conformidad con la normativa aplicable” y alega la aplicación de la Resolución de 12 de julio de 2012, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación, que el apartado cuarto de su Anexo establece que: “La apertura de un registro de usuario se iniciará mediante la correspondiente solicitud de registro, en la forma y por medio del sistema que determine el operador de juego”. E indican los siguiente: “siendo este el procedimiento habitual, SPORTIUM recibió la solicitud de apertura de cuenta y procedió con el proceso de verificación de identidad que se expone y detalla en la alegación segunda del presente escrito, de conformidad con el artículo 26.3 del Real Decreto 1613/2011, de 14 de noviembre, 4 por el que se desarrolla la Ley 13/2011, de 27 de mayo, regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego, que establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 “La apertura de un registro de usuario requerirá que el participante aporte los datos referidos y que el operador compruebe la veracidad de los mismos”. A efectos meramente aclarativos, la comprobación de la veracidad de los datos se realiza mediante una consulta automática y por conexión directa con el servicio web de verificación de jugadores de la Dirección General de Ordenación del Juego (en adelante, “DGOJ”), que es quien verifica que los datos introducidos por el usuario coinciden con los de la base de datos que ésta dispone. Por tanto, la obligación de comprobar los datos reside en el hecho de realizar la consulta como tal al servicio de la DGOJ, siendo ésta quien realiza la verificación en sí misma, tal y como se expone en la siguiente alegación. En todo caso, lo que aquí interesa a esta parte exponer es que la apertura de la cuenta no se produce sin realizarse previamente la comprobación de identidad, pues es requisito indispensable para ello y de obligado cumplimiento para SPORTIUM.” 3. SPORTIUM alega la aplicación de la Resolución de 12 de julio de 2012, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación, que en el párrafo segundo del apartado quinto de su Anexo establece: “En los casos en los que el solicitante pueda aportar el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), el operador de juego podrá proceder a la verificación del nombre, apellidos y fecha de nacimiento del solicitante a través del Sistema de Verificación de Identidad de los Participantes de la Comisión Nacional del Juego al que se refiere el siguiente apartado.” Y en el párrafo segundo del apartado duodécimo de su Anexo establece: “El registro de usuario solicitado por un participante no residente en España y que no aportara el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), podrá ser activado por el operador sin la previa verificación de los datos aportados. En este supuesto, la verificación de los datos deberá ser realizada por el operador en el plazo máximo de un mes desde la activación del registro de usuario.” Y SPORTIUM indica lo siguiente: “A través de un sistema propiamente integrado en SPORTIUM, esta parte realiza dichas comprobaciones de forma automática, por conexión directa y en tiempo real con el servicio web de verificación de jugadores de la DGOJ, que es quien dispone del servicio de comprobación con un sistema homologado al efecto y con una base de datos basada en los datos contenidos en el Ministerio de Interior. Al realizarse dicha conexión, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 SPORTIUM comunica el nombre completo del usuario que solicita la apertura de la cuenta, su fecha de nacimiento y el número de identificación. Automáticamente, el sistema o servicio comprueba lo siguiente: i. Si los datos introducidos por el usuario corresponden con los datos que aparecen en la base de datos ya referenciada. ii. Si es un menor de edad. iii. Si la persona se encuentra en el registro de defunciones. iv. Si la persona se encuentra inscrita en el Registro General de Interdicciones de Acceso al Juego En caso de que todos los datos coincidan y siempre que el usuario no incurra en ninguna de las causas que prohíben el acceso al juego previstas por la normativa aplicable, SPORTIUM activa automáticamente la cuenta del usuario. Así pues, cuando el usuario de la cuenta “***CUENTA.1” introdujo los datos de A.A.A. en el procedimiento de registro, se comprobó, de acuerdo con los requisitos técnicos determinados por el regulador y en base a la normativa de obligado cumplimiento para SPORTIUM, que no estaba incluida en ninguna de las prohibiciones anteriormente mencionadas y que los datos introducidos se correspondían con los datos de A.A.A..” SPORTIUM aporta impresión de pantalla de los datos sobre la consulta realizada para registrar la cuenta de usuario “***CUENTA.1” que conserva SPORTIUM siguiendo los preceptos del párrafo 5 del apartado séptimo de la Resolución de 12 de julio de 2012, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación. En esta impresión de pantalla, se observa un registro de datos con la fecha del 20 de enero de 2016 de “***CUENTA.1” con el mensaje “NGC verification (NGC service response received for ***CUENTA.1. CheckPlayer: [COD002 – El usuario no está inscrito en el RGIAJ. COD003 – La identidad del usuario es correcta])” Y se indica que “Esta parte supone que el usuario o suplantador debía o podía estar en posesión de los datos personales de A.A.A., como resultado de un posible ilícito, y que, habiéndose apoderado de dicha información por algún medio o manera desconocida por SPORTIUM, los utilizó para solicitar el registro como usuario.” 4. Declaración de que “dado que SPORTIUM desconocía y no tuvo medio alguno para poder saber que los datos (…) se estaban utilizando sin su consentimiento o conocimiento, pues ya había procedido a la verificación de sus datos conforme a lo exigido por la normativa aplicable, activó su cuenta de juego, de acuerdo con el artículo 26.3 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 5. Alegan que la Resolución de 31 de octubre de 2018, de la Dirección General de Ordenación del Juego, por la que se modifican determinadas resoluciones sobre las actividades de juego previstas en la Ley 13/2011, de 27 de mayo, de regulación del juego; que modifica el apartado duodécimo la Resolución de 12 de julio de 2012, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación modificó la norma sobre el registro de usuarios de tal manera que se pasó a indicar lo siguiente: “El operador procederá de la siguiente manera:

  1. a)Los usuarios cuya identidad no haya sido validada en el Servicio de Verificación de Identidad de los participantes de la DGOJ ni en ningún otro servicio de verificación de identidad, no podrán jugar, ni hacer depósitos o retiradas.
  2. b)Los usuarios correctamente identificados a través de cualquier sistema de verificación de identidad y que estén pendientes de verificación documental podrán depositar, hasta un límite conjunto de 150 euros, y participar en los juegos, pero no podrán retirar los premios cualquiera que sea su importe o naturaleza. El estado de estos usuarios tendrá la consideración de pendiente de verificación documental.
  3. c)Los usuarios correctamente identificados mediante verificación documental podrán depositar, participar en los juegos y hacer retiradas. El estado de estos usuarios tendrá la consideración de activo.” Y declaran que “Y así es como sucedió con el usuario de la cuenta “***CUENTA.1”: habiéndose comprobado que A.A.A. no estaba incluida en ninguna de las prohibiciones mencionadas a través del Sistema de Verificación de Identidad de los participantes de la Dirección General de Ordenación del Juego y el Registro General de Interdicciones de Acceso al Juego, se activó el proceso de verificación documental. De forma que, el usuario podría haber subido a su cuenta de juego la copia del DNI y los métodos de pago o depósito que deseara utilizar. Sin embargo, nunca llegó a realizarlo.” … “En cualquier caso, el usuario de la cuenta nunca llegó a completar este proceso ni a subir ninguna documentación: ni la copia del DNI ni los métodos de pago. Y, aun así, pudo jugar. En concreto, el usuario únicamente gastó la cantidad de diez euros (10€) – correspondientes al bono de registro que concede SPORTIUM cada vez que un usuario se registra por primera vez. Es por esta misma razón que SPORTIUM no puede aportar a esta Agencia ninguna copia del DNI ni de la tarjeta o método de pago utilizado, dado que en ningún caso fueron aportados por el usuario.” 6. SPORTIUM ha aportado una impresión de un reenvío de un correo electrónico remitido por ayuda@sportium.es al correo electrónico ***EMAIL.2 con fecha de envío del 18 de enero de 2023 y asunto “Reclamación” en el que se indica, entre otras, las siguientes declaraciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 “queremos informarle que, de acuerdo con su solicitud de supresión, hemos procedido a dar de baja y bloquear la cuenta “***CUENTA.1” que figura asociada a su nombre y DNI. Asimismo, atendiendo a su petición de derecho de acceso a sus datos personales, de conformidad con el artículo 15 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, adjunto al presente email le hacemos llegar mediante un documento de Excel la información que en SPORTIUM disponemos de Ud.: a. Copia de los datos identificativos de carácter personal. Como podrá comprobar, entre sus datos identificativos se encuentran su DNI, nombre y apellidos, nombre de usuario con el que se hizo el registro de la cuenta (“***CUENTA.1”), lugar desde donde se efectuó el registro, fecha de nacimiento y datos de contacto, entre otros. b. Copia de todos los datos referentes al histórico de operaciones realizados. Para su mejor referencia, le informamos que el registro de la cuenta se efectuó el 20 de enero de 2016 y que ese mismo día y en menos de una hora se hicieron todas las transacciones – en concreto, en apuestas de casino. Asimismo, le informamos que el saldo gastado asciende a un total de diez euros (10€) correspondiente al bono de registro en SPORTIUM y que, una vez alcanzada esta cantidad, no se volvieron a efectuar más apuestas. c. Detalles de navegación, incluyendo la dirección IP desde donde se creó la cuenta y cuya única conexión tiene lugar en fecha 20 de enero de 2016, coincidente con el día en que se realizaron las mencionadas apuestas.” Este correo lleva un adjunto que se denomina ***ADJUNTO.1”, del cual se aporta una impresión en la que se observa que contiene datos sobre la cuenta “***CUENTA.1”; las apuestas realizadas, que se observa que todas están fechadas el 20 de enero de 2016; y los datos de conexión, en los que se observa que sólo se produjo una conexión el día 20 de enero de 2016. Se obtiene una copia de la Resolución de 12 de julio de 2012, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación, publicada en el Boletín Oficial del Estado (https://www.boe.
  4. es)de fecha 19 de julio de 2012, del que se extracta la siguiente información relevante para estas actuaciones: A). En el apartado Quinto “Verificación de los datos del registro de usuario” establece: “1. El operador es el responsable de la veracidad de los datos que figuren en sus registros de usuario y de la correcta identificación de los participantes en los juegos que organicen o desarrollen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 2. En los casos en los que el solicitante pueda aportar el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), el operador de juego podrá proceder a la verificación del nombre, apellidos y fecha de nacimiento del solicitante a través del Sistema de Verificación de Identidad de los Participantes de la Comisión Nacional del Juego al que se refiere el siguiente apartado. 3. En los supuestos en los que el solicitante se identifique como no residente en España y no aporte el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), la verificación de los datos será realizada por el operador en el plazo de un mes contado desde que activara el registro” B). En el primer párrafo del punto 3 de su apartado Séptimo “Verificación a través del Sistema de Verificación de Identidad” establece: “Realizada la consulta, si los datos coinciden con los del Sistema de Verificación de Identidad, el operador obtendrá una respuesta positiva y los datos se tendrán por verificados.” C). En el punto 5 del apartado Séptimo establece: “El operador registrará y conservará cuantas consultas realice al Sistema de Verificación de Identidad, dejando constancia de la fecha, hora y minuto de la consulta. Los datos deberán ser conservados, junto con los correspondientes al registro de usuario, durante el período de vigencia del registro de usuario y durante los seis años siguientes a su cancelación o anulación.” Se obtiene una copia de la Resolución de 31 de octubre de 2018, de la Dirección General de Ordenación del Juego, por la que se modifican determinadas resoluciones sobre las actividades de juego previstas en la Ley 13/2011, de 27 de mayo, de regulación del juego, publicada en el Boletín Oficial del Estado (https://www.boe.
  5. es)de fecha 8 de noviembre de 2018, del que se extracta la siguiente información relevante para estas actuaciones: A). En su apartado Primero se establece: “Modificar la Resolución de 12 de julio de 2012, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación, en los siguientes términos: 1. El apartado quinto del anexo I queda redactado del siguiente modo: «Quinto. Comprobación de los datos de identidad y la verificación de los datos aportados por los participantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 1. El operador es el responsable de la veracidad de los datos que figuren en sus registros de usuario y de la correcta identificación de los participantes en los juegos que organicen o desarrollen. 2. En los casos en los que el solicitante pueda aportar en su proceso de registro el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), los operadores deberán:
  6. a)Comprobar los datos de identidad que figuren en sus registros de usuario, bien a través del Sistema de Verificación de Identidad de los participantes de la Dirección General de Ordenación del Juego, bien a través de otros sistemas o medios de verificación alternativos.
  7. b)Verificar documentalmente los datos aportados por el participante. 3. En los supuestos en los que el solicitante, en su proceso de registro, se identifique como no residente en España y no aporte el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE), la verificación y comprobación de los datos, que se realizará mediante el sistema de verificación documental que se considere procedente, será realizada por el operador en el plazo de un mes contado desde que se haya completado el proceso de registro. 4. El operador adoptará las medidas oportunas para evitar que usuarios residentes se registren como usuarios no residentes.»” B). En su apartado primero, también se modifica el párrafo 1 del apartado duodécimo sobre “Activación del registro de usuario” de la Resolución de 12 de julio de 2012, por la que se aprueba la disposición que desarrolla los artículos 26 y 27 del Real Decreto 1613/2011, de 14 de noviembre, en relación con la identificación de los participantes en los juegos y el control de las prohibiciones subjetivas a la participación, quedando de la siguiente forma: “La activación de los registros de usuario en los que el solicitante sea residente en España o hubiera aportado el número del documento nacional de identidad (DNI) o el número de identificación de extranjeros (NIE) requiere la previa verificación de los datos del mismo en los términos previstos en el párrafo 2 del apartado quinto de esta Resolución, y la comprobación de que no figura inscrito en el Registro General de Interdicciones de Acceso al Juego. El operador procederá de la siguiente manera:
  8. a)Los usuarios cuya identidad no haya sido validada en el Servicio de Verificación de Identidad de los participantes de la DGOJ ni en ningún otro servicio de verificación de identidad, no podrán jugar, ni hacer depósitos o retiradas.
  9. b)Los usuarios correctamente identificados a través de cualquier sistema de verificación de identidad y que estén pendientes de verificación documental C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 podrán depositar, hasta un límite conjunto de 150 euros, y participar en los juegos, pero no podrán retirar los premios cualquiera que sea su importe o naturaleza. El estado de estos usuarios tendrá la consideración de pendiente de verificación documental.
  10. c)Los usuarios correctamente identificados mediante verificación documental podrán depositar, participar en los juegos y hacer retiradas. El estado de estos usuarios tendrá la consideración de activo.” C). En su disposición adicional única “Entrada en vigor” establece que “La presente Resolución entrará en vigor el 30 de marzo de 2019”. En la fecha del 27 de octubre de 2023, desde los servicios de inspección de esta Agencia se realiza una captura del contenido de la política de privacidad del sitio web https://www.sportium.es (contenida en la página web https://www.sportium.es/politicade-privacidad), obteniéndose, entre otra, la siguiente información: a). Dentro de la sección sobre “¿QUÉ TRATAMIENTOS REALIZAMOS SOBRE TUS DATOS PERSONALES Y QUÉ DERECHOS PUEDES EJERCER?”, en el apartado sobre “¿Cómo ejercitar estos derechos?”, se indica lo siguiente: “Podrás ejercer tu derecho, mandándonos tu petición a la siguiente dirección de correo electrónico: protecciondedatos@sportium.com o bien por correo postal, acreditando tu identidad, dirigido a: Sportium Dpto. de Servicio de Atención al Cliente, edificio SCTC, C/ Sena, 2-10, 08174 Sant Cugat del Vallés (Barcelona). Asimismo, te informamos de que, en el caso que consideres que Sportium no ha satisfecho correctamente el ejercicio de tus derechos, podrás presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) dirigiéndote a su página web http://www.aepd.es” En la fecha del 27 de octubre de 2023, desde los servicios de inspección de esta Agencia se realiza una captura del histórico del contenido de la página web https://www.sportium.es/politica-de-privacidad dentro del sitio https://web.archive.org/, sin que se haya podido obtener cuál era el contenido histórico de la página web https://www.sportium.es/politica-de-privacidad. El día 31 de octubre de 2023, se presenta un escrito ante la AEPD en nombre y representación de EXTERNALIZACION DE NOTIFICADOS Y APLICACIONES ONLINE SL (sociedad que opera el sitio web www.notificados.com), como respuesta a un requerimiento de información, en el que se aporta, entre otra, la siguiente información: 1. Certificación de texto de burofax postal, que coincide con el presentado por la parte reclamante tanto en su contenido como en el remitente, en la dirección de destino y en las fechas de envío (25 de julio de 2022) y de rehusado (26 de julio de 2022). 2. Indicación de que el resultado final de Rehusado “indica que el envío de burofax no ha sido entregado, pues el destinatario ha rechazado expresamente recoger el envío.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SPORTIUM APUESTAS DIGITAL S.A.U. es una empresa de tipo “Filial de grupo” con unas ventas en el ejercicio 2021 de ***CANTIDAD.1 € y un número de empleados de 18. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que SPORTIUM realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, fecha de nacimiento, correo electrónico, D.N.I., entre otros tratamientos. SPORTIUM realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 15 del RGPD regula el derecho de acceso del interesado, mientras que el artículo 17 del RGPD regula el derecho de supresión (derecho al olvido). III Derecho de acceso El artículo 15 del RGPD, titulado “Derecho de acceso del interesado” establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  11. a)los fines del tratamiento;
  12. b)las categorías de datos personales de que se trate;
  13. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  14. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  15. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  16. f)el derecho a presentar una reclamación ante una autoridad de control;
  17. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  18. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” En el presente supuesto, de conformidad con la documentación que obra en el expediente, ha quedado constatado que la parte reclamante, al tener conocimiento de una cuenta abierta en el sitio web de juego online correspondiente a SPORTIUM (sportium.es), le habría enviado un correo electrónico, en fecha 21 de julio de 2022, y un burofax, en fecha 25 de julio de 2022, constando en el acuse de recibo que había sido rehusado el día 26 de julio de 2022, indicando que se había suplantado su identidad, y solicitando el bloqueo y eliminación de dicha cuenta, así como el acceso a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 los datos referentes al histórico de operaciones de las cuentas a su nombre, y a dirección IP desde la que se generó dicha cuenta. SPORTIUM ha manifestado que la dirección de correo electrónico a la que se envió dicho ejercicio de derechos era errónea, y no existía. Sin embargo, si ha quedado acreditado el envío del burofax en fecha 25 de julio de 2022, que ha sido rehusado en fecha 26 de julio de 2022, tal y como consta en el acuse de recibo incorporado al expediente. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de a instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SPORTIUM, por vulneración del artículo 15 del RGPD. IV Tipificación y calificación de la infracción del artículo 15 del RGPD De confirmarse, la citada infracción del artículo 15 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  19. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 72 “infracciones consideradas muy graves” de la LOPDGDD, indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  20. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” V Propuesta de sanción por la infracción del artículo 15 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por la no atención debidamente del derecho de acceso que afectó a una persona, desde julio de 2022, fecha en que fue solicitado, constando que dicho envío fue rehusado, hasta el 18 de enero de 2023, fecha en la que se comunicó a la parte reclamante la información solicitada, una vez recibida la primera comunicación por parte de esta Agencia. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La entidad realiza para el desarrollo de su actividad un elevado volumen de tratamientos de datos personales El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 de RGPD, permite fijar inicialmente una sanción de multa administrativa de 20.000 euros. VI Derecho de supresión El Artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  21. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  22. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23
  23. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  24. d)los datos personales hayan sido tratados ilícitamente;
  25. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  26. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. (…) 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  27. a)para ejercer el derecho a la libertad de expresión e información;
  28. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  29. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  30. h)e i), y apartado 3;
  31. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  32. e)para la formulación, el ejercicio o la defensa de reclamaciones”. En el presente supuesto, de conformidad con la documentación que obra en el expediente, ha quedado constatado que la parte reclamante, al tener conocimiento de una cuenta abierta en el sitio web de juego online correspondiente a SPORTIUM (sportium.es), le habría enviado un correo electrónico, en fecha 21 de julio de 2022, y un burofax, en fecha 25 de julio de 2022, constando en el acuse de recibo que había sido rehusado el día 26 de julio de 2022, indicando que se había suplantado su identidad, y solicitando el bloqueo y eliminación de dicha cuenta, así como el acceso a los datos referentes al histórico de operaciones de las cuentas a su nombre, y a dirección IP desde la que se generó dicha cuenta. SPORTIUM ha manifestado que la dirección de correo electrónico a la que se envió dicho ejercicio de derechos era errónea, y no existía. Sin embargo, si ha quedado acreditado el envío del burofax en fecha 25 de julio de 2022, que ha sido rehusado en fecha 26 de julio de 2022, tal y como consta en el acuse de recibo incorporado al expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de a instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SPORTIUM, por vulneración del artículo 17 del RGPD. VII Tipificación y calificación de la infracción del artículo 17 del RGPD De confirmarse, la citada infracción del artículo 17 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (...)
  33. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  34. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” VIII Propuesta de sanción por la infracción del artículo 17 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por la no atención debidamente del derecho de supresión que afectó a una persona, desde julio de 2022, fecha en que fue solicitado, constando que dicho envío fue rehusado, hasta el 18 de enero de 2023, fecha en la que se comunicó a la parte reclamante la información solicitada, una vez recibida la primera comunicación por parte de esta Agencia. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como agravantes: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): La entidad realiza para el desarrollo de su actividad un elevado volumen de tratamientos de datos personales El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 17 de RGPD, permite fijar inicialmente una sanción de multa administrativa de 20.000 euros. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SPORTIUM APUESTAS DIGITAL S.A.U., con NIF A65640252, - por la presunta infracción del artículo 15 del RGPS, tipificada en el artículo 83.5 del RGPD; por la presunta infracción del artículo 17 del RGPS, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructor/a a R.R.R. y, como secretario/a, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  35. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 - Por la supuesta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 20.000,00 euros - Por la supuesta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 20.000,00 euros QUINTO: NOTIFICAR el presente acuerdo a SPORTIUM APUESTAS DIGITAL S.A.U., con NIF A65640252, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  36. f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 24.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (32.000,00 euros o 24.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-30102023 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 16 de enero de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 24000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202213326, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a SPORTIUM APUESTAS DIGITAL S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  37. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.