5. Sistema de control interno e inspección.
5. Sistema de control interno e inspección de la Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la Ley 13/2011, de 27 de mayo, de regulación del juego. · BOE-A-2014-10302
Redacción vigente según el texto consolidado del BOE, en vigor desde el 2025-03-22.
Texto consolidado
5.1 Sistema de control interno.
5.1.1 Descripción. La monitorización y la supervisión de las actividades de juego realizadas por el operador se efectuará a través del sistema de control interno (en adelante, SCI), que los operadores deben implantar.
El SCI debe capturar y registrar la totalidad de las operaciones de juego y transacciones económicas de los participantes ubicados en España o con registro de usuario español, cualquiera que sea el medio de participación.
El sistema de control interno deberá adecuarse a los diferentes canales de comercialización de los juegos y de interacción con los participantes, de tal modo que se asegure la captura y registro de la totalidad de las operaciones de juego realizadas.
Cuando en un único juego se empleen simultáneamente diferentes canales de comercialización o de interacción con los participantes, el operador deberá establecer las pasarelas, interfaces o canales de comunicación entre la totalidad de los medios de participación o de interacción en el juego con el fin de posibilitar a la Dirección General de Ordenación del Juego acceder a la totalidad de las operaciones y transacciones que se hubieran realizado cualquiera que fuera el medio empleado para ello.
El operador ha de establecer y mantener una línea de comunicación segura para el acceso de la Dirección General de Ordenación del Juego, así como un servicio de consulta y descarga de datos disponible permanentemente para la Dirección General de Ordenación del Juego.
El SCI se compone de capturador y del almacén de operaciones de juego (almacén).
5.1.2 Acceso de la Dirección General de Ordenación del Juego al almacén. El almacén mantendrá los siguientes accesos permanentemente abiertos para el acceso de la Dirección General de Ordenación del Juego:
• Un acceso mediante el protocolo SFTP para la descarga de la información.
• Un acceso mediante SSH con atributos de solo-lectura y permisos suficientes para listar y visualizar el contenido de todo el almacén.
El operador proporcionará los siguientes métodos de autenticación a la Dirección General de Ordenación del Juego.
• Para el acceso manual, usuario y contraseña.
• Para la descarga automatizada, el operador configurará el intercambio de pares de claves (SSH keyswap) para el mismo usuario descrito en el acceso manual.
El operador puede utilizar varios almacenes. Los datos deben comunicarse una sola vez, evitando que los diferentes almacenes contengan información redundante.
5.1.3 Modelo de datos del SCI. La Dirección General de Ordenación del Juego, mediante resolución, establecerá el modelo de datos del SCI.
El modelo de datos del SCI contiene el alcance de los datos que deban ser registrados, el período de actualización de los mismos y los requerimientos técnicos de disponibilidad y de acceso, en los términos establecidos en el artículo 24 del Real Decreto 1613/2011, de 14 de noviembre, por el que se desarrolla la Ley 13/2011, de 27 de mayo, de regulación del juego, en lo relativo a los requisitos técnicos de las actividades de juego.
Los datos se almacenarán en una estructura de ficheros, en un formato estructurado en XML, según la definición del esquema de datos de monitorización (XSD-XML Schema Definition).
5.1.4 Fuente de tiempo del SCI. El sistema de control interno, incluyendo el capturador y el almacén, estará sincronizado con un servidor NTP de estrato 1. Toda la información de carácter temporal reportada en el SCI deberá incluir la zona horaria tomada como referencia mediante la inclusión de las desviaciones positivas o negativas respecto de la hora UTC.
5.1.5 Firma, compresión y cifrado de los datos del SCI. Los datos que vayan a ser registrados en el almacén se agruparán en lotes. Cada lote debe ser firmado, comprimido y cifrado por el operador, utilizando el formato y procedimiento descritos en el Modelo de datos de monitorización.
El operador deberá proporcionar a la Dirección General de Ordenación del Juego, la parte pública del certificado electrónico que utilizará para realizar la firma de los lotes. El operador deberá informar a la Dirección General de Ordenación del Juego si se produce una revocación del certificado utilizado. El operador podrá utilizar un certificado de su propiedad o encargar a un tercero que en su nombre firme los lotes.
5.1.6 Rendimiento del capturador y del almacén. El capturador debe tener capacidad para procesar y registrar la información de las transacciones.
Salvo situaciones excepcionales debidamente justificadas, el capturador debe estar diseñado para que la información quede procesada, formateada y registrada en el almacén en un tiempo máximo de dos veces el tiempo definido para tiempo real en el Modelo de datos de monitorización.
El almacén tendrá una capacidad o caudal de comunicaciones mínimo en Internet, suficiente para que la Dirección General de Ordenación del Juego pueda acceder al mismo:
• Para la descarga de datos, deberá disponer de un caudal mínimo asegurado que permita la descarga de la información máxima a generar en un día, en cuatro horas, mediante el protocolo definido SFTP.
• Para la subida de datos, se requiere un mínimo de 64 kbps.
El almacén como sistema deberá tener un rendimiento igual o superior al necesario para garantizar los caudales de comunicaciones descritos, independientemente de otras operaciones que deba realizar.
5.1.7 Seguridad del SCI. El SCI en su conjunto, tanto el capturador como el almacén de operaciones de juego, son considerados componentes críticos. Los requisitos de seguridad establecidos en el apartado 4 resultan de aplicación al SCI.
Si bien el modelo de datos requiere que la información en el almacén se registre finalmente cifrada no se exige que esté cifrada en todo momento. La cadena de custodia de la clave de cifrado se debe incluir en el diseño de la seguridad del SCI.
El capturador debe poder registrar las transacciones en todo momento y de manera permanente. El operador debe diseñar la disponibilidad, el plan de prevención de pérdida de información, el tiempo de recuperación ante desastres y la continuidad de negocio cumplimentando este requisito.
5.1.8 Indisponibilidad del SCI y suspensión de la oferta de juego. El operador debe suspender la oferta de juego en los supuestos de indisponibilidad del sistema de control interno.
Ante una indisponibilidad del almacén inferior a 24 horas, el operador podrá continuar su oferta de juego si el capturador sigue disponible, siempre que sea capaz de continuar registrando las transacciones a la espera de que vuelva a estar disponible el almacén. El operador suspenderá la oferta de juego ante una indisponibilidad del almacén superior a 24 horas.
5.1.9 Disponibilidad del SCI. El capturador debe poder registrar las transacciones en todo momento y de manera permanente. El almacén no podrá tener un tiempo de caída acumulado mensual superior a 48 horas.
5.1.10 Plan de prevención de la pérdida de información en el SCI. El SCI es un componente crítico. Los operadores de juegos deben implementar un procedimiento que minimice el riesgo de pérdida de información a un máximo de 24 horas.
En caso de pérdida de información en el SCI, el operador deberá disponer de un procedimiento de nueva extracción de la información perdida que permita subsanar la pérdida en el plazo máximo de una semana.
Cualquier pérdida de información que afecte al SCI debe comunicarse a la Dirección General de Ordenación del Juego con carácter inmediato, indicando una evaluación de la pérdida así como el plan de medidas a aplicar.
5.1.11 Calidad de la información del SCI. El operador deberá disponer de un procedimiento documentado de control de la calidad de los datos del SCI. Este procedimiento, deberá ejecutar con periodicidad mínima mensual, incluirá al menos las siguientes comprobaciones:
– Que los datos incluyen a todos los participantes registrados en el operador.
– Que los datos económicos incluyen a todas las transacciones de juego del periodo, incluyendo depósitos y retiradas, así como que las cifras obtenidas se corresponden con las cifras oficiales del operador.
– Que los saldos de las cuentas de los participantes están adecuadamente reflejados en la información del sistema de control interno.
– Que se han generado los ficheros mensuales del periodo, así como los ficheros diarios de cada uno de los días del periodo.
El operador conservará la documentación del resultado de las comprobaciones anteriores, incluyendo en esta documentación la fecha de realización, la firma de la persona responsable por parte del operador, las principales magnitudes, económicas y de número de usuarios registrados, transmitidas en los ficheros del sistema de control interno, así como su contraste con las cifras oficiales del operador.
El operador deberá estar preparado para, mediante nuevas extracciones, rectificar los datos incorrectos en el plazo máximo de un mes.
5.1.12 Continuidad de negocio en el SCI. Dado que la indisponibilidad del SCI conlleva la suspensión de la oferta de juego, el operador deberá disponer de un procedimiento de continuidad de negocio que ante un eventual desastre permita tener el SCI operativo en un tiempo inferior a un mes.
Cualquier desastre que afecte al SCI debe comunicarse a la Dirección General de Ordenación del Juego con carácter inmediato, indicando una evaluación de la pérdida así como el plan de medidas a aplicar.
5.1.13 Conservación de la información del SCI.
El almacén debe conservar sus datos por un periodo mínimo de cuatro años.
Los operadores de juego tendrán la obligación de facilitar y permitir a la Dirección General de Ordenación del Juego el acceso online a la información correspondiente a los doce últimos meses de actividad registrada en el almacén.
Los operadores deberán tener previsto un procedimiento de recuperación de la información correspondiente a un periodo mínimo de cuatro años.
5.1.14 Ubicación del almacén en la Unión Europea.
El almacén o almacenes del SCI, así como sus copias de seguridad o sitios de réplica secundarios, deberán estar ubicados en la Unión Europea, con la finalidad de realizar las operaciones de verificación y control de la información. La ubicación y cualquier modificación de esta deberán ser comunicadas a la Dirección General de Ordenación del Juego.
Téngase en cuenta que esta actualización de los apartados 5.1.13 y 5.1.14, establecida por el apartado 3.9 y 10 de la Resolución de 6 de junio de 2024, Ref. BOE-A-2024-12639, entra en vigor el 22 de marzo de 2025, según determina su apartado sexto.
Redacción anterior:
"5.1.13 Conservación de la información del SCI. El almacén debe conservar sus datos por un periodo mínimo de seis años.
Los operadores de juego tendrán la obligación de facilitar y permitir a la Dirección General de Ordenación del Juego el acceso online a la información correspondiente a los doce últimos meses de actividad registrada en el almacén.
Los operadores deberán tener previsto un procedimiento de recuperación de la información correspondiente a un periodo mínimo de seis años.
5.1.14 Ubicación del almacén en España. El almacén o almacenes del SCI deberán estar ubicados en España, con la finalidad de realizar las operaciones de verificación y control de la información. La ubicación y cualquier modificación de la misma deberán ser comunicadas a la Dirección General de Ordenación del Juego.
Las copias de seguridad del almacén o los sitios de réplica secundarios de un almacén principal podrán estar ubicados fuera de España."
5.2 Inspección presencial y telemática.–La Dirección General de Ordenación del Juego deberá tener la posibilidad de monitorizar y supervisar cualquiera de los elementos de las plataformas técnicas de juego de los operadores.
Para ello, el operador deberá articular los mecanismos necesarios de comunicación segura a sus sistemas técnicos, así como permitir y facilitar en todo momento el acceso a los mismos por parte de la Dirección General de Ordenación del Juego, independientemente de su ubicación.
La Dirección General de Ordenación del Juego comunicará al operador su intención de realizar una conexión al sistema técnico de juego proporcionando una descripción de las funcionalidades a las que se pretende acceder y el tiempo y duración previstos para el acceso.
El operador proporcionará a la Dirección General de Ordenación del Juego los medios para realizar un acceso seguro al sistema. El personal designado por el operador colaborará con la Dirección General de Ordenación del Juego para el adecuado acceso y consulta de otros sistemas y aplicaciones. La Dirección General de Ordenación del Juego podrá realizar grabaciones de la sesión de usuario y cuantas constataciones de hecho sean necesarios para el ejercicio de sus funciones.
Si no se requiere lo contrario, deberá entenderse que el acceso proporcionado a la Dirección General de Ordenación del Juego es de sólo lectura y que cuenta con el nivel de autorización para acceder a todos los sistemas y aplicaciones del sistema técnico de juego sin ningún filtro en los datos a que puede acceder.
Finalizado el acceso el operador deberá cerrar el acceso seguro.
Se modifican los apartados 5.1.13 y 5.1.14, con efectos de 22 de marzo de 2025, por los apartados 3.9 a 10 de la Resolución de 6 de junio de 2024. Ref. BOE-A-2024-12639#se
Redacciones de este artículo
Este precepto ha tenido 3 redacciones. La redacción vigente la dio Resolución de 6 de junio de 2024, de la Dirección General de Ordenación del Juego, por la que se aprueba el Modelo de datos del sistema de monitorización de la información y se modifican los anexos I de las Resoluciones de 6 de octubre de 2014, y de 12 de julio de 2012, relativas a las especificaciones técnicas y a la identificación y prohibiciones subjetivas a la participación en las actividades de juego previstas en la Ley 13/2011, de 27 de mayo, de Regulación del Juego..
Más artículos de BOE-A-2014-10302
- ← 4. Seguridad de los sistemas de información.
- → 6. Registros y logs del sistema técnico de juego.
- Ver la norma completa: Resolución de 6 de octubre de 2014, de la Dirección General de Ordenación del Juego, por la que se aprueba la disposición por la que se desarrollan las especificaciones técnicas de juego, trazabilidad y seguridad que deben cumplir los sistemas técnicos de juego de carácter no reservado objeto de licencias otorgadas al amparo de la Ley 13/2011, de 27 de mayo, de regulación del juego.