Articulo 17 Medidas administrativas y presupuestarias urgentes para la mejora de la prestación de los servicios públicos en La Rioja

Se añade una nueva disposición adicional quinta, con el siguiente contenido:

"Disposición adicional quinta. Fundamento y garantías adicionales de los sistemas de identificación biométrica en establecimientos de juego y sitios webs de juegos y apuestas.

1. A efectos de las funciones de identificación previa de los usuarios para el cumplimiento de los requisitos de control de acceso y participación en los establecimientos de juego y los sitios webs de juegos y apuestas, previstas en la presente ley, el servicio de control de admisión se realizará mediante sistemas biométricos, en las condiciones establecidas en la legislación europea y estatal de protección de datos personales y garantía de los derechos digitales. Los datos biométricos obtenidos solo podrán utilizarse para las finalidades y con las limitaciones que se determinan en el capítulo IV del título VI de la ley en relación con los derechos, obligaciones y prohibiciones de acceso y participación de los usuarios.

No obstante, las empresas titulares de los establecimientos de juego y sitios webs de juegos y apuestas que implanten sistemas de identificación biométrica deberán respetar el derecho de las personas usuarias a decidir que su identificación y registro se realice a través de la exhibición de un documento de identidad válido o sistemas de identificación electrónica.

2. La utilización de estos sistemas de identificación biométrica se declara de interés público esencial con la finalidad de impedir el acceso y participación de menores de edad y de las personas que lo tienen prohibido. Este interés se fundamenta en principios y derechos recogidos constitucional y legalmente, como la protección de la salud, de los consumidores y usuarios, así como muy especialmente de la infancia, adolescencia, juventud y la de otros colectivos vulnerables, como aquellas personas que han solicitado su exclusión en juegos y apuestas por causas de adicción al juego, se hallen incapacitadas legalmente o sometidas a tutela o curatela, a defensor judicial o cualquier otra medida de apoyo que afecte a su libre participación en los juegos y apuestas, según el artículo 53 de la presente ley.

3. Los tratamientos de datos de categorías especiales declarados de interés público esencial deberán respetar las siguientes garantías:

a) Atendiendo al principio de responsabilidad desde el diseño y por defecto, previsto en el artículo 25 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos (RGPD), deberán adoptarse, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, e incluso la agregación y anonimización. Además, deberá garantizarse que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento y que no serán accesibles, sin intervención de la persona, a un número indeterminado de personas.

b) Se deberá realizar una evaluación de impacto relativa a la protección de datos conforme a lo dispuesto en el artículo 35.3 del RGPD con carácter previo a la implantación de sistemas de identificación biométricos. Periódicamente o, al menos, cuando exista un cambio del riesgo que representen estas operaciones de tratamiento, el responsable examinará si el tratamiento es conforme con la evaluación de impacto.

c) Deberán adoptarse las medidas de seguridad necesarias conforme a lo previsto en el artículo 32 del RGPD, que deberán ser lo más rigurosas que permita el estado de la técnica teniendo en cuenta que se están tratando datos biométricos, cuya regulación en materia de protección de datos considera de categoría especial.

Entre dichas medidas se incluirán, al menos, las siguientes:

La protección contra programas o copias maliciosas.

La reevaluación bienal del sistema mediante auditoría externa, con base en el Esquema Nacional de Seguridad, sobre la idoneidad de las medidas de seguridad y organizativas del sistema y su eficacia frente a la constante evolución de los riesgos.

El establecimiento de mecanismos que permitan asegurar la trazabilidad de los accesos y auditar su uso adecuado, garantizando su integridad y asociación temporal a fuentes de tiempo fiables.

El refuerzo del control de acceso a los sistemas operativos y a las aplicaciones que dan soporte al tratamiento de datos biométricos.

En caso de que el establecimiento de juego y el sitio web de juegos y apuestas utilice un sistema técnico ofrecido por un tercero, el cumplimiento de dichas medidas de seguridad por éste se entenderá suficiente a los efectos de garantizar la seguridad del sistema. No obstante, el establecimiento de juego mantendrá la plena responsabilidad, sin perjuicio de que la empresa de servicios aporte la documentación y evidencias adecuadas para su cumplimiento.

d) Queda prohibido cualquier tipo de almacenamiento o conservación de los tratamientos biométricos de datos de personas menores de edad legal.

e) Cuando el tratamiento se vaya a realizar por un encargado del tratamiento, deberá seleccionarse uno que ofrezca garantías suficientes y haberse suscrito un contrato con el contenido del artículo 28 del RGPD, en el que deberá quedar plenamente garantizado que el encargado actuará solo siguiendo instrucciones del responsable, debiendo dichas instrucciones contemplar todas las garantías necesarias.

4. La utilización de los sistemas de identificación biométrica deberá ajustarse a la normativa que establezca las condiciones técnicas del servicio de control de admisión de los establecimientos y sitios webs de juego y apuestas para la homologación prevista en el apartado 1 del artículo 35 de la presente ley".