BOLETÍN OFICIAL DEL ESTADO
Sábado 7 de junio de 2025

Sec. I. Pág. 74719

sus datos personales y a la libre circulación de estos datos, y en particular las
siguientes:
a) Atendiendo al principio de responsabilidad desde el diseño y por defecto,
deberán adoptarse, tanto en el momento de determinar los medios de tratamiento
como en el momento del propio tratamiento, medidas técnicas y organizativas
apropiadas, como la seudonimización, e incluso la agregación y anonimización.
Además, deberá garantizarse que, por defecto, solo sean objeto de tratamiento los
datos personales que sean necesarios para cada uno de los fines específicos del
tratamiento y que no serán accesibles, sin intervención de la persona, a un
número indeterminado de personas.
b) Se deberá realizar una evaluación de impacto relativa a la protección de
datos con carácter previo a la implantación de sistemas de identificación
biométricos. Periódicamente o, al menos, cuando exista un cambio del riesgo que
representen estas operaciones de tratamiento, el responsable examinará si el
tratamiento es conforme con la evaluación de impacto.
c) Deberán adoptarse las medidas de seguridad necesarias que deberán ser
lo más rigurosas que permita el estado de la técnica teniendo en cuenta que se
están tratando datos biométricos, cuya regulación en materia de protección de
datos considera de categoría especial.
Entre dichas medidas se incluirán, al menos, las siguientes:
La protección contra programas o copias maliciosas.
La reevaluación bienal del sistema mediante auditoría externa, con base en el
Esquema Nacional de Seguridad, sobre la idoneidad de las medidas de seguridad
y organizativas del sistema y su eficacia frente a la constante evolución de los
riesgos.
El establecimiento de mecanismos que permitan asegurar la trazabilidad de los
accesos y auditar su uso adecuado, garantizando su integridad y asociación
temporal a fuentes de tiempo fiables.
El refuerzo del control de acceso a los sistemas operativos y a las aplicaciones
que dan soporte al tratamiento de datos biométricos.
En caso de que el propietario del local de juego utilice un sistema técnico
ofrecido por un tercero, el cumplimiento de dichas medidas de seguridad por éste
se entenderá suficiente a los efectos de garantizar la seguridad del sistema. No
obstante, el establecimiento de juego mantendrá la plena responsabilidad, sin
perjuicio de que la empresa de servicios aporte la documentación y evidencias
adecuadas para su cumplimiento.
d) Cuando el tratamiento se vaya a realizar por un encargado del tratamiento,
deberá seleccionarse uno que ofrezca garantías suficientes y haberse suscrito un
contrato en el que deberá quedar plenamente garantizado que el encargado
actuará solo siguiendo instrucciones del responsable, debiendo dichas
instrucciones contemplar todas las garantías necesarias.
8. Cada una de las entradas de las que disponga el local deberá contar con
un sistema de control de admisión, a los efectos de impedir el paso a quien lo
tenga prohibido.
En todo caso, el sistema tendrá que estar permanentemente actualizado con
los datos contenidos en cada momento en el Registro de interdicción de acceso al
juego.
9. Las empresas comercializadoras y organizadoras que exploten
modalidades de juego por medios electrónicos, informáticos, telemáticos o
interactivos dispondrán de un sistema de control que permita identificar a la
persona jugadora y comprobar que no está incursa en las prohibiciones para la
práctica de los juegos.»

cve: BOE-A-2025-11442
Verificable en https://www.boe.es

Núm. 137