BOLETÍN OFICIAL DEL ESTADO
Martes 9 de julio de 2024

Sec. I. Pág. 85586

con los derechos, obligaciones y prohibiciones de acceso y participación de los
usuarios.
No obstante, las empresas titulares de los establecimientos de juego y sitios
webs de juegos y apuestas que implanten sistemas de identificación biométrica
deberán respetar el derecho de las personas usuarias a decidir que su
identificación y registro se realice a través de la exhibición de un documento de
identidad válido o sistemas de identificación electrónica.
2. La utilización de estos sistemas de identificación biométrica se declara de
interés público esencial con la finalidad de impedir el acceso y participación de
menores de edad y de las personas que lo tienen prohibido. Este interés se
fundamenta en principios y derechos recogidos constitucional y legalmente, como
la protección de la salud, de los consumidores y usuarios, así como muy
especialmente de la infancia, adolescencia, juventud y la de otros colectivos
vulnerables, como aquellas personas que han solicitado su exclusión en juegos y
apuestas por causas de adicción al juego, se hallen incapacitadas legalmente o
sometidas a tutela o curatela, a defensor judicial o cualquier otra medida de apoyo
que afecte a su libre participación en los juegos y apuestas, según el artículo 53
de la presente ley.
3. Los tratamientos de datos de categorías especiales declarados de interés
público esencial deberán respetar las siguientes garantías:
a) Atendiendo al principio de responsabilidad desde el diseño y por defecto,
previsto en el artículo 25 del Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas
en lo que respecta al tratamiento de sus datos personales y a la libre circulación
de estos datos (RGPD), deberán adoptarse, tanto en el momento de determinar
los medios de tratamiento como en el momento del propio tratamiento, medidas
técnicas y organizativas apropiadas, como la seudonimización, e incluso la
agregación y anonimización. Además, deberá garantizarse que, por defecto, solo
sean objeto de tratamiento los datos personales que sean necesarios para cada
uno de los fines específicos del tratamiento y que no serán accesibles, sin
intervención de la persona, a un número indeterminado de personas.
b) Se deberá realizar una evaluación de impacto relativa a la protección de
datos conforme a lo dispuesto en el artículo 35.3 del RGPD con carácter previo a
la implantación de sistemas de identificación biométricos. Periódicamente o, al
menos, cuando exista un cambio del riesgo que representen estas operaciones de
tratamiento, el responsable examinará si el tratamiento es conforme con la
evaluación de impacto.
c) Deberán adoptarse las medidas de seguridad necesarias conforme a lo
previsto en el artículo 32 del RGPD, que deberán ser lo más rigurosas que permita
el estado de la técnica teniendo en cuenta que se están tratando datos
biométricos, cuya regulación en materia de protección de datos considera de
categoría especial.
Entre dichas medidas se incluirán, al menos, las siguientes:
La protección contra programas o copias maliciosas.
La reevaluación bienal del sistema mediante auditoría externa, con base en el
Esquema Nacional de Seguridad, sobre la idoneidad de las medidas de seguridad
y organizativas del sistema y su eficacia frente a la constante evolución de los
riesgos.
El establecimiento de mecanismos que permitan asegurar la trazabilidad de los
accesos y auditar su uso adecuado, garantizando su integridad y asociación
temporal a fuentes de tiempo fiables.
El refuerzo del control de acceso a los sistemas operativos y a las aplicaciones
que dan soporte al tratamiento de datos biométricos.

cve: BOE-A-2024-14006
Verificable en https://www.boe.es

Núm. 165