Protección de datos en apuestas de tenis: RGPD, cifrado y derechos del usuario
El día que un amigo descubrió que su operador había sufrido una brecha menor de datos llegó a mí con una pregunta: «¿qué derechos tengo aquí?». No había perdido dinero. Lo que le preocupaba era que su DNI, su dirección y un año de historial de apuestas pudieran acabar en un foro cualquiera. Ese incidente, que se resolvió sin consecuencias mayores, sirvió para ordenar en una conversación las ideas que un usuario de apuestas debería tener claras desde el primer registro, sobre todo porque en 2024 ya había 1.992.889 jugadores activos con licencia estatal, un 21,71% más que el año anterior, y ese volumen de cuentas significa volumen equivalente de datos en juego.
Cargando...
Qué datos recoge exactamente un operador
La primera vez que miras la pantalla de registro parece mucho. Nombre, apellidos, DNI, dirección, teléfono, email, cuenta bancaria, preguntas sobre actividad previa. No es gratuito: cada campo tiene función concreta dentro del marco regulatorio y cada uno tiene base legal distinta para el tratamiento.
Los datos básicos de identidad son obligatorios por la Ley 13/2011: sin ellos no hay cuenta verificada y por tanto no hay servicio. Los datos de domicilio cruzan con registros censales para confirmar residencia fiscal española. La cuenta bancaria se valida para prevención de blanqueo. El teléfono y email sirven para comunicaciones operativas y también, previo consentimiento separado, para marketing.
Hay datos que se generan después del registro. Cada apuesta queda registrada con timestamp, importe, mercado, resultado. Cada depósito y retirada se archiva con fecha y contraparte. Cada sesión se guarda con IP, dispositivo y duración. El conjunto forma un perfil detallado de actividad que los operadores licenciados tienen que conservar durante plazos fijados por la normativa sectorial, normalmente varios años.
Base legal del tratamiento según el RGPD
El RGPD exige que cada tratamiento de datos tenga una base legal concreta. En apuestas deportivas conviven varias bases que se aplican a categorías distintas de datos, y entender esta división explica muchas dudas habituales de los usuarios.
La ejecución del contrato es la base para los datos necesarios para prestar el servicio: identidad, cuenta, historial de apuestas. No puedes oponerte a este tratamiento sin cerrar la cuenta, porque sin esos datos no hay servicio posible.
La obligación legal es la base para los datos que la normativa obliga a conservar aunque el cliente cerrara mañana la cuenta. Registros de apuestas para cumplimiento fiscal, documentación KYC para prevención de blanqueo, información para el RGIAJ si aplica. Estos datos se conservan por imperativo legal y no puedes exigir su borrado inmediato.
El interés legítimo cubre algunos tratamientos secundarios como prevención de fraude interno o mejora del servicio mediante análisis agregado. Es la base más discutible y la que más reclamaciones genera ante la AEPD. Un usuario puede oponerse al tratamiento por interés legítimo exponiendo sus circunstancias particulares.
El consentimiento es la base para marketing, newsletters, analítica no esencial y cookies no técnicas. Aquí el usuario tiene control total: puede retirar el consentimiento en cualquier momento sin que eso afecte al servicio principal.
Cifrado de la conexión y protocolo TLS
Una prueba rápida que hago con cualquier web de apuestas antes de recomendarla a alguien: comprobar el certificado TLS. Es literalmente cinco segundos y descarta un porcentaje sorprendente de sitios mal mantenidos.
El icono del candado en la barra de direcciones indica conexión cifrada mediante TLS. Hacer clic sobre él muestra el certificado: autoridad emisora, validez, titular. Un operador serio tiene certificado emitido por una autoridad reconocida, vigente durante meses y expedido al nombre de la sociedad que figura en el registro de la DGOJ. Si el certificado está caducado, si el titular no coincide o si la autoridad emisora es extraña, algo no va bien.
El cifrado TLS protege la comunicación entre tu navegador y el servidor del operador. Impide que alguien en tu misma red WiFi pública intercepte la contraseña o los datos de tarjeta. No es protección mágica contra todo, pero es la línea base sin la cual ningún operador serio puede funcionar.
Una actualización razonable desde hace algunos años es exigir TLS 1.2 o superior. Navegadores modernos marcan como inseguros los sitios que todavía dependen de versiones antiguas del protocolo. Si tu operador genera esa advertencia, desconfía.
Derechos de acceso, rectificación y supresión
Los derechos RGPD más importantes en este contexto son tres: acceso, rectificación y supresión. Los nombres oficiales son secos, pero la aplicación práctica es cercana al día a día de cualquier usuario.
El derecho de acceso te permite solicitar al operador toda la información que tiene sobre ti en un formato legible. Es útil para auditar tu propio historial antes de declarar ganancias al fisco, para detectar registros incorrectos o para transferir datos si cambias de operador. La solicitud se hace por escrito al delegado de protección de datos del operador y tiene que responderse en un mes.
El derecho de rectificación corrige datos inexactos. Un cambio de domicilio, un error en apellido, un teléfono equivocado. Los operadores tramitan estas rectificaciones desde la propia cuenta en la mayor parte de los casos, aunque algunas modificaciones sensibles como cambio de cuenta bancaria exigen verificación adicional.
El derecho de supresión es el más limitado en este sector, precisamente por la obligación legal de conservar registros. Puedes cerrar la cuenta y pedir borrado, pero los operadores mantendrán los datos durante los plazos que la normativa les obliga. Lo que desaparece es el uso activo; lo que permanece es el archivo legal.
Existen también el derecho de oposición, el de portabilidad y el de limitación del tratamiento. Menos habituales en apuestas pero válidos cuando se dan las circunstancias correctas. Toda solicitud bien fundamentada tiene que ser respondida por escrito, aceptada o denegada con motivación.
Brechas de datos e historial reciente del sector
El sector de juego online ha tenido incidentes de seguridad como cualquier otra industria que maneja datos masivos. Los 1.992.889 jugadores activos de 2024 son también 1.992.889 perfiles que pueden acabar expuestos si un operador sufre una brecha. Conocer cómo se tramitan estos incidentes es tan importante como saber usar los derechos RGPD en tiempos normales.
El RGPD obliga al responsable del tratamiento a notificar a la autoridad de protección de datos, en este caso la AEPD, en un plazo de 72 horas desde que tiene conocimiento de una brecha que suponga riesgo para los derechos de las personas afectadas. Si el riesgo es alto, también tiene obligación de comunicarlo directamente a los afectados. Esa es la razón por la que a veces recibes un email comunicando que tus datos han podido quedar expuestos: es cumplimiento normativo, no propaganda.
Cuando recibes una notificación de brecha, los pasos recomendables son cambiar inmediatamente la contraseña del operador afectado y de cualquier otro servicio donde uses la misma contraseña, activar alertas en las cuentas bancarias asociadas durante los meses siguientes y guardar la notificación por si la AEPD abre expediente y te pide documentación.
La operativa cotidiana con un operador que cumple correctamente el marco regulatorio y el RGPD se parece bastante a cualquier otro servicio digital serio: puedes olvidarte del asunto hasta que surja un incidente, y entonces tienes canales claros para actuar. Más contexto sobre el conjunto de obligaciones que asume un operador con autorización española aparece en el artículo sobre la licencia DGOJ aplicada a apuestas de tenis.
¿Qué derechos RGPD puede ejercer un apostador frente a una casa de apuestas de tenis?
Los derechos estándar del RGPD se aplican íntegramente: acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento. La particularidad del sector es que la supresión tiene límites porque la normativa obliga a conservar registros durante años. Las solicitudes se dirigen al delegado de protección de datos del operador y deben resolverse por escrito en el plazo máximo de un mes.
¿Cómo saber si la conexión con el operador está cifrada correctamente?
Hay que comprobar el candado en la barra de direcciones del navegador y revisar el certificado TLS. El certificado debe estar vigente, emitido por una autoridad reconocida y expedido al nombre de la sociedad registrada en la DGOJ. Si el navegador muestra una advertencia de certificado inválido o si la conexión usa versiones antiguas del protocolo, conviene no introducir datos sensibles y reportar al operador.
Creado por la redacción de «Apuestas Tenis Seguras».
