BOLETÍN OFICIAL DEL ESTADO
Lunes 1 de julio de 2024

Sec. III. Pág. 77318

ANEXO
Cláusulas relativas a la protección de datos de carácter personal
Primera. Obligaciones de los operadores adheridos al Servicio en relación con la
protección de datos de carácter personal.
1. De conformidad con lo dispuesto en el párrafo a) del apartado 2) de la disposición
adicional novena de la Ley 13/2011, de 27 de mayo, de regulación del juego, los
operadores de juego ostentan la condición de encargados del tratamiento de los datos que
faciliten, en los términos previstos en el artículo 28 del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante,
Reglamento general de protección de datos).
2. En calidad de encargados del tratamiento, los operadores adheridos al Servicio:
a) tratarán los datos personales únicamente siguiendo instrucciones documentadas
de la DGOJ, quedando prohibido el tratamiento de datos personales que revelen el
origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la
afiliación sindical, los datos genéticos, biométricos y los relativos a la salud, orientación o
vida sexual de las personas, así como cualquier otro dato que sea irrelevante o
innecesario;
b) garantizarán que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza estatutaria;
c) tomarán todas las medidas necesarias de conformidad con el artículo 32 del
Reglamento general de protección de datos;
d) respetarán las condiciones indicadas en los apartados 2 y 4 del artículo 28 del
Reglamento general de protección de datos para recurrir a otro encargado del
tratamiento;
e) asistirán a la DGOJ, teniendo en cuenta la naturaleza del tratamiento, a través
de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este
pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el
ejercicio de los derechos de los interesados establecidos en el capítulo III –Derechos del
Interesado– del Reglamento general de protección de datos;
f) ayudarán al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36 del Reglamento general de protección de datos,
teniendo en cuenta la naturaleza del tratamiento y la información a disposición del
encargado;
g) suprimirán todos los datos de carácter personal una vez finalice el período de
conservación previsto en la cláusula segunda, y suprimirán las copias existentes a
menos que se requiera la conservación de los datos personales en virtud del Derecho de
la Unión o de los Estados miembros;
h) pondrán a disposición de la DGOJ toda la información necesaria para demostrar
el cumplimiento de las obligaciones establecidas en el citado artículo 28 del Reglamento
general de protección de datos, así como para permitir y contribuir a la realización de
auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado
por dicho responsable.
En relación con lo dispuesto en la letra h), el encargado informará inmediatamente a
la DGOJ si, en su opinión, una instrucción infringe el Reglamento general de protección
de datos, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales
y garantía de los derechos digitales u otras disposiciones en materia de protección de
datos de la Unión o de los Estados miembros.

cve: BOE-A-2024-13314
Verificable en https://www.boe.es

Núm. 158