← España

A-00111-2013

1/16 Procedimiento Nº: A/00111/2013 RESOLUCIÓN: R/02331/2013 De conformidad con lo establecido en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), vistas las actuaciones practicadas en relación con las entidades REAL CLUB DEPORTIVO MALLORCA S.A.D. con CIF nº: A.A.A. y PENYA MALLORQUINISTA BARRALET en virtud de denuncia presentada ante esta Agencia por los dos denunciantes que aparecen en el anexo 1 y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas de 16 y 17 de julio de 2012 tienen entrada en esta Agencia escritos de los dos denunciantes que aparecen en el anexo I (en lo sucesivo los denunciantes) en los que manifiestasn haber recibido en sus respectivos domicilios una carta de la PEÑA MALLORQUINISTA BARRALET (en adelante PMB) conteniendo datos personales suyos que solo debían ser conocidos por el REAL CLUB DEPORTIVO MALLORCA (en lo sucesivo RCDM). Denuncian la comunicación de dichos datos por parte del Club a la Peña pues ellos nunca han tenido vínculos asociativos con PMB. Aportan copia de las cartas recibidas y de los sobres que las contenía. En las comunicaciones se recogen datos como la condición de socio del RCDM, la tribuna del campo donde se ubican sus localidades (fondo norte) y el número de partidos a los que han asistido, con los precios de renovación para el abono de la temporada 2012/2013 y su nombre y apellidos. En los sobres consta el nombre completo del destinatario con su dirección, incluyendo piso y puerta. Figura además un sello de correos con fecha, en ambos casos, 06/07/2012 y, al igual que en la comunicación recibida, el sello de la “PENYA MALLORQUINISTA BARRALET”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan detallados en el Informe de Actuaciones Previas de 26 de febrero de 2013, del que se desprende lo siguiente:  Se ha solicitado información con relación a los hechos denunciados a PMB en dos ocasiones, habiendo sido el primer requerimiento recogido en destino el 27 de noviembre de 2012, según su acuse de recibo y el segundo, de reiteración al no recibir contestación al primero, devuelto por el servicio de correos consignando “no se hace cargo”.  También se solicitó información al RCDM en cuya respuesta de 11 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 de febrero de 2013 pone de manifiesto: • • • El RCDM conserva en la ficha de los socios los datos básicos de los mismos así como el número de partidos de la temporada anterior (2011/2012), y la tribuna donde se ubican sus localidades. Consultando las fichas de socio de los afectados aportadas por el RCDM se comprueba que los datos de número de partidos y ubicación en el campo de las localidades, que figuran en las comunicaciones remitidas a los afectados por PMB, coinciden con los plasmados en sus fichas de socios. También son coincidentes las direcciones postales completas de los afectados. La actividad de RCDM, es la de gestión de un Club de Fútbol y otras actividades deportivas. • Respecto a su relación con las peñas, la función de éstas es la promoción social, cultural y deportiva de la afición mallorquinista. Las peñas, normalmente bares y restaurantes, actúan como enlaces entre los aficionados y el club para determinados actos en todo el ámbito de la geografía mallorquina, acercando la información social y de eventos del club a las más importantes poblaciones, y sirviendo de núcleos de reunión de la afición. Formalmente, la relación entre el club y las peñas se coordina entre el RCDM y la Federación de Peñas Mallorquinistas, que actúa de interlocutor aunque por otro lado en la práctica, cada peña tiene un representante formal (presidente), que se pone en contacto con el club directamente en relación con las necesidades o incidencias que en cada momento tengan los socios del Club asociados a la peña. • En relación con los datos personales que el Club gestiona, el fichero de socios es el principal. El proceso de alimentación del fichero es el siguiente: 1. Obtención de datos: deriva de dos acciones: alta inicial (socio nuevo) o una solicitud de renovación de temporada (socio existente). Los socios, mediante un formulario al efecto en el que se señala si se trata de un alta inicial o una renovación, solicitan su inscripción cada temporada. En este formulario se incluye la preceptiva información sobre derechos establecida en el art. 5 de la LOPD. 2. Método de obtención. Fundamentalmente, tres vías:

  1. a)Los nuevos o antiguos socios pueden dirigirse personalmente a las oficinas centrales del Club, sitas en el mismo estadio. Personal interno les facilita el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 formulario y gestiona directamente el alta, renovación y pago.
  2. b)Mediante un convenio con entidades financieras y sólo a los efectos de renovaciones, al abonado que lo solicite (telefónicamente) se le puede enviar un documento de validación de pago automática ante una entidad financiera, por lo que de esta manera realiza la acción de renovación en la oficina bancaria.
  3. c)A través de las peñas: A los efectos de alta y renovación del abono, los socios pueden dirigirse a las peñas más cercanas, solicitando su alta inicial o su renovación, Tras dicha solicitud, el representante de la peña se pone en contacto con las oficinas centrales para verificar, en su caso, los datos sobre partidos que puedan suponer un descuento en el abono. El club facilita estos datos al representante de la peña solo a los efectos del cálculo de las bonificaciones, y tras petición realizada por el socio o el abonado. Los socios cumplimentan los mismos formularios de alta en las peñas y los representantes los envían a las oficinas centrales del club, donde son tramitadas. • Respecto a este supuesto, la información que consta actualmente en el club es que la comunicación se realizó según el procedimiento establecido; tras solicitud de los socios según informó el representante de la peña (PMB). La organización de esos datos y su posterior uso dependen del representante, y son hechos que están siendo investigados. • En relación con la habilitación legal que fundamente la comunicación de datos personales desde el club a las peñas, RCDM señala que en el formulario de la solicitud de abono que se adjunta con este escrito se informa a los socios que los datos recogidos son incorporados al fichero con objeto de, entre otras, la gestión de los abonados.  Requerida de nuevo información al RCDM, de la respuesta recibida el 15 de marzo de 2013 se desprende que no existen contratos suscritos entre el RCDM y las peñas en cuyo marco se realice la tramitación de las solicitudes de altas de socios o renovaciones de temporada y que incluyan clausulas de protección de datos. El Club nos informa que debido a los hechos aquí analizados, la Dirección General del Club se ha interesado en profundidad sobre el flujo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 datos de personales y de su adecuación a la legislación vigente en materia de protección de datos y ha decidido llevar a cabo las siguientes actuaciones para mejorar, la seguridad de los interesados: • PRIMERA: Respecto al sistema de abonos de temporada, el Club ha decidido finalizar con el sistema actual de bonificaciones por partidos asistidos durante la temporada. De esta manera, elimina cualquier tipo de comunicación sobre datos de socios entre las peñas y el Club, que no sea el formalmente establecido a través del formulario de inscripción. • SEGUNDA: El Club remitirá a todas las peñas la nota informativa que se adjunta, donde se especifican los protocolos de actuación y obligaciones de los receptores de la información sobre protección de datos. Asimismo el Club, en la próxima reunión habitual con la federación de peñas, informará a los responsables sobre los derechos y obligaciones en materia de protección de datos, facilitando una copia de la "Guía para e! ciudadano" emitida por la Agencia Española de Protección de Datos. • Igualmente se informará que cualquier pregunta, consulta o incidencia en materia de protección de datos que se planteen los interesados en el momento de la suscripción será atendida por los servicios centrales del club tal como consta en el formulario.  Adjuntan copia de la notificación remitida a PMB, suscrita por su responsable. En ella se citan obligaciones para la peña respecto a la protección de los datos de los socios. TERCERO: Con fecha 8 de julio de 2013, el Director de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento al REAL CLUB DEPORTIVO MALLORCA, S.A.D., por presunta infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3.
  4. k)de dicha norma legal. CUARTO: Con fecha 8 de julio de 2013, el Director de la Agencia Española de Protección de Datos acordó otorgar audiencia previa al procedimiento de apercibimiento a la PENYA MALLORQUINISTA BARRALET por presunta infracción del artículo 6.1 de la LOPD tipificada como grave en el artículo 44.3.
  5. b)de la citada ley orgánica. QUINTO: En fecha 12 de julio de 2013, se notificó el citado acuerdo de audiencia previa al procedimiento de apercibimiento al REAL CLUB DEPORTIVO MALLORCA, S.A.D., tal y como figura en la copia de acuse de recibo expedido por el Servicio de Correos y que forma parte de este expediente. SEXTO: Con fecha 12 de julio de 2013 se intentó notificar a la PENYA MALLORQUINISTA BARRALET en su domicilio situado en la A.A.A., el acuerdo referido en el antecedente cuarto siendo devuelto por el Servicio de Correos con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 anotación “desconocido”. Finalmente el acuerdo se entiende notificado desde el día siguiente al del vencimiento del plazo señalado para comparecer en el anuncio publicado en el Boletín Oficial del Estado de 23 de agosto de 2013. A esta dirección fueron dirigidas dos notificaciones durante la fase de actuaciones previas, a las que se alude en el primer punto del hecho segundo. SÉPTIMO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, el 30 de julio de 2013, se ha registrado en esta Agencia, escrito de alegaciones del RCDM, en el que se pone de manifiesto lo siguiente: - Tal y como recoge el acuerdo de trámite de audiencia, el Club cuando se le solicitó información durante la fase de actuaciones previas, informó de su decisión de tomar medidas para adecuar su organización a la legislación de protección de datos y para resolver las incidencias planteadas. - Aportan documentación probatoria de que dichas medidas se han llevado a cabo diligentemente. - La primera medida es la finalización del sistema actual de bonificaciones para incorporación de socios, que fue la carta que recibieron los denunciantes y que ha dado origen a este procedimiento. De esta forma el Club elimina cualquier comunicación no incluida en el formulario de comunicación y recepción de información entre las peñas y el club. Aporta copia de la campaña de abonados 2013-2014. - Han remitido a las peñas una nota informativa sobre protocolos de actuación y obligaciones de los receptores de información sobre protección de datos. Adjunta copia de veintinueve notas recibidas y firmadas por veintinueve responsables de peñas, entre las que no se encuentra la PMB denunciada en este procedimiento (fue adjuntada en la información remitida por el RCDM registrada el 15 de marzo de 2013 durante la fase de actuaciones previas.) OCTAVO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de audiencia previa al apercibimiento, no consta que se hayan recibido las de la PMB. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Ambos denunciantes han recibido una carta fechada el 6 de julio de 2012 con el sello de la PMB estampado en la carta y en el sobre que la contiene. En el escrito aparecen su nombre y apellidos, la condición de socio del RCDM, la tribuna del campo donde se ubican sus localidades (fondo norte) y el número de partidos a los que han asistido, con los precios de renovación para el abono de la temporada 2012/2013. En los sobres consta el nombre completo del destinatario con su dirección, incluyendo piso y puerta. Los denunciantes han aportado copia del escrito y del sobre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 SEGUNDO: Ambos denunciantes manifiestan que no han tenido vínculos asociativos con la peña denunciada, PMB. En el listado de socios del club asociados a la peña PMB que remite el club RCDM el 15 de marzo de 2013 y que forma parte de este expediente, entre los 84 socios registrados no aparecen los datos de ninguno de los dos denunciantes. TERCERO: Tal y como se recoge en el hecho probado anterior, el RCDM es el responsable del fichero de socios, con su escrito del 11 de febrero de 2013, remite copia de las fichas de los dos denunciantes que reconocen en su denuncia que son socios de ese club de fútbol. La ficha contiene datos personales de los mismos (nombre y apellidos, DNI, fecha de nacimiento, domicilio, teléfonos, dirección de correo electrónico, lugar que ocupa en el graderío y número de partidos a los que ha asistido en la temporada 2011/2012). CUARTO: En la información facilitada por el RCDM registrada el 11 de febrero de 2013, afirma en relación con los datos personales que el club tramita, que el fichero de socios es el principal. Informa que los datos se obtienen por tres vías: directamente del socio que acude al club a darse de alta o renovar su abono rellenando un formulario de datos, a través de un convenio con entidades financieras y sólo a los efectos de renovaciones y por último por medio de las peñas, los socios pueden dirigirse a las peñas más cercanas, solicitando su alta inicial o su renovación, tras dicha solicitud, el representante de la peña se pone en contacto con las oficinas centrales para verificar, en su caso, los datos sobre partidos que puedan suponer un descuento en el abono. El club facilita estos datos al representante de la peña para el cálculo de las bonificaciones, y tras petición realizada por el socio o el abonado. Los socios cumplimentan los mismos formularios de alta en las peñas y los representantes los envían a las oficinas centrales del club, donde son tramitadas. El RCDM ha manifestado que en este caso concreto siguió el procedimiento establecido entre el club y las peñas al facilitar la información de los dos socios denunciantes a PMB, el representante de esta peña se puso en contacto con el club a solicitud de los socios, sin embargo no ha aportado copia del formulario de alta o renovación de abono firmado por los denunciantes. QUINTO: En la respuesta dada por el RCDM registrada el 15 de marzo de 2013 afirma que no existen contratos suscritos entre el RCDM y las peñas en cuyo marco se realice la tramitación de las solicitudes de altas de socios o renovaciones de temporada y que incluyan clausulas de protección de datos. SEXTO: Con sus alegaciones al acuerdo de trámite de audiencia, registrado el 30 de julio de 2013, el RCDM informa de la adopción de dos medidas que buscan la adecuación de su organización a la legislación de protección de datos. Una de ellas es la supresión de las bonificaciones en la renovación de los abonos por asistencia a partidos y otra, es una nota informativa remitida a las peñas, se adjuntan copia de las notas recibidas y firmadas por los representantes de 29 peñas. La nota informa sobre los protocolos de actuación y las obligaciones de los receptores de información sobre protección de datos, pero no incluye ninguna clausula con el contenido exigido en el artículo 12.2 de la LOPD en relación con el acceso a los datos por cuenta de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD en relación con su objeto dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  7. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
  8. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. Esta actuación constitutiva de un tratamiento de datos debe además cumplir con las exigencias establecidas en la LOPD para ser legítima. Entre los principios recogidos en la normativa de protección de datos, el del consentimiento ocupa un lugar predominante. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento y los datos sean necesarios para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados, siempre que no venga legitimado en una excepción legal, constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son elementos consustanciales al derecho fundamental a la protección de datos personales, la facultad que tiene el afectado a consentir en la recogida y tratamiento de sus datos personales y el conocimiento de la finalidad y del uso posterior que se va a dar a sus datos, así como de la identidad del que realiza el tratamiento. En este caso concreto, los dos denunciantes afirman que son socios del club RCDM, por tanto esta entidad está legitimada para el tratamiento de los datos personales que sus socios le han facilitado a la hora de darse de alta. El RCDM es el responsable del fichero de socios, El artículo 3
  9. d)de la LOPD, entiende por responsable del fichero “a toda persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Sin embargo, los denunciantes niegan estar asociados a la peña PMB que es la que les ha remitido la carta conteniendo sus datos personales y que ha derivado en la correspondiente denuncia ante esta Agencia. Del análisis de la documentación aportada por la entidad RCDM, ya que el otro denunciado en este procedimiento la peña PMB ni respondió a la solicitud de información en la fase de actuaciones previas ni ha realizado alegación alguna al acuerdo del trámite de audiencia, se deriva que las altas de los socios o la renovación de los abonados se realiza por tres vías: 1.- por el propio socio o abonado directamente en las oficinas del club rellenando un formulario de alta. 2.- mediante un convenio con entidades financieras y sólo en el caso de las renovaciones. 3.- a través de las distintas peñas, tras la solicitud del socio o abonado que cumplimenta los mismos formularios de alta, los representantes de las peñas los envían a las oficinas centrales del club, donde son tramitadas. Los datos sobre partidos a los que ha asistido el socio en la temporada anterior sirven para el cálculo de bonificaciones y para la reducción del precio del nuevo abono. El club facilita estos datos al representante de la peña para el cálculo de las bonificaciones, y tras petición realizada por el socio o el abonado. El RCDM declara que en este caso se siguió el procedimiento habitual, tal y como les informó el representante de la peña PMB, los dos socios habían solicitado la renovación, por esta razón facilitó los datos de los dos denunciantes. No obstante no se ha aportado a este procedimiento ningún documento o prueba que sirva para justificar esta afirmación. Ni el club RCDM ni la peña PMB han remitido copia de los formularios de renovación de su abono firmado por cada uno de los denunciantes. Las peñas realizan una función de promoción social, cultural y deportiva de la afición mallorquinista, normalmente son bares y restaurante que actúan como enlaces entre los socios y el club. Entre sus funciones tal y como ya se ha mencionado, se encuentra la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 de tramitar el alta de nuevos socios o la renovación de abonados, estas funciones conllevan el tratamiento de datos personales por cuenta del responsable del fichero, que en este caso, es el club RCDM. No obstante, tal y como ha declarado el propio club en su escrito de 15 de marzo de 2013 no existen contratos o acuerdos suscritos entre el RCDM y las peñas en cuyo marco se realice la tramitación de las solicitudes de altas de socios o renovaciones de temporada y que incluyan clausulas de protección de datos. Es decir, que el tratamiento de datos personales de los dos socios denunciantes por parte de la peña PMB no está legitimado, al no cumplir con los requisitos de la LOPD. Así pues, y en relación con el RCDM, nos encontramos con que el tratamiento de los datos de los dos denunciantes que realiza está amparado en el consentimiento de los mismos (ambos denunciantes reconocen que son socios de este club de fútbol). El principio del consentimiento se recoge en el artículo 6 de la LOPD, cuyo tenor literal expresa: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…” Este principio preside igualmente, la comunicación de datos del responsable del fichero o tratamiento a terceros, el artículo 11 de la LOPD dispone que: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  10. a)Cuando la cesión está autorizada en una ley.
  11. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  12. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
  13. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
  14. e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16
  15. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.” La comunicación de datos que realiza el RCDM a la peña PMB no cuenta con el consentimiento de los dos denunciantes que manifiestan en su escrito de denuncia que no han tenido vínculos asociativos con esta peña. Este hecho unido a que el club no ha aportado el formulario de renovación de abono firmado por los socios y tramitado a través de la peña PMB y a que ninguno de los denunciantes aparecía en el listado de socios del club asociados a esta peña, supone la vulneración del artículo 11 de la LOPD citado anteriormente, ya que no ha quedado acreditado que la cesión de los datos de los denunciantes por parte del club RCDM a la peña PMB cuente con el consentimiento de estos. RCDM tampoco ha acreditado que dicha cesión esté amparada en alguna de las excepciones recogidas en el apartado 2 del artículo 11 de la LOPD. III En resumen, de conformidad con la normativa y argumentos expuestos, la comunicación de los datos de los dos denunciantes por parte del REAL CLUB DEPORTIVO MALLORCA S.A.D. a la peña PMB sin contar con el consentimiento de estos y sin estar amparado en ninguna de las excepciones del artículo 11.2 de la LOPD, constituye una infracción del artículo 11 de la LOPD tipificada como grave en el artículo 44.3.
  16. k)de la LOPD que establece: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. IV A continuación toca analizar la actuación de PMB en los hechos aquí denunciados ya que consta que ha sido la remitente de la carta recibida por cada uno de los denunciantes en las que se recogía los datos personales de estos en relación con su condición de socios del club RCDM. En la denuncia se remitía copia de la carta en la que se reproduce el escudo de la peña denunciada y se hace mención al responsable de la peña facilitándose un teléfono de contacto del mismo. Asimismo tanto en el sobre como en el escrito aparece estampado el sello de la peña con la siguiente información: “ B.B.B.”. Los dos denunciantes que reconocen ser socios del club RCDM niegan tener ningún vínculo asociativo con la peña denunciada, además sus nombres no aparecen en el listado de los 84 socios del club del fútbol asociados a la peña PMB aportado por el club en su escrito de 15 de marzo de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Tal y como se ha recogido anteriormente una de las vías de recogida de datos de nuevos socios y abonados es a través de las peñas, tal y como afirma RCDM no existen contratos o acuerdos suscritos entre el RCDM y las peñas en cuyo marco se realice la tramitación de las solicitudes de altas de socios o renovaciones de temporada y que incluyan clausulas de protección de datos. Es decir, las relaciones que mantienen el club y las peñas que llevan aparejadas el tratamiento de datos de carácter personal (fundamentalmente de los socios del club) no están amparadas jurídicamente en un contrato o acuerdo que recoja la información contenida en el artículo 12.2 de la LOPD. Esta cuestión es de suma importancia porque las peñas están prestando un servicio al club que es el responsable del fichero que contiene los datos personales de los socios. Aunque este servicio (facilitar las relaciones entre los socios y el club) se haga de manera altruista conlleva un tratamiento de datos que para que esté legitimado debe cumplir con las condiciones establecidas en el artículo 12 de la LOPD. Ya hemos visto que el artículo 11 de la LOPD, establece como condición imprescindible el previo consentimiento del interesado para que sus datos de carácter personal puedan ser comunicados a un tercero por parte del responsable del tratamiento de sus datos. No obstante el propio art. 11.2 de la LOPD, recoge una serie de excepciones al consentimiento previo del interesado como es: “2. El consentimiento exigido en el apartado anterior no será preciso:
  17. a)Cuando la cesión está autorizada en una ley.” La propia LOPD en su artículo 12, establece una excepción al previo consentimiento del interesado en la comunicación de datos a un tercero, su tenor literal expresa: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite que el responsable del fichero, habilite el acceso a datos de carácter personal a la entidad que va a prestarle un servicio, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos siempre y cuando se cumpla con las condiciones establecidas en su apartado segundo que dispone lo siguiente: “2.- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas….” Es decir, que si la peña PMB está prestando un servicio al club RCDM que conlleva el tratamiento de los datos personales de socios del club, dicho tratamiento para ser válido debe estar regulado por un contrato o acuerdo que cumpla con las condiciones establecidas en el artículo 12.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 En el supuesto que nos ocupa, el propio RCDM reconoce que no existe este tipo de contrato entre el club y las peñas por tanto el tratamiento de datos personales de los dos denunciantes por PMB no está legitimado ya que ni está amparado en el artículo 12 de la LOPD ni cuenta con el consentimiento de los denunciantes. De esta forma se vulnera directamente el principio del consentimiento recogido en el artículo 6.1 de la LOPD que dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” V Así pues, de acuerdo con lo anterior, el tratamiento de los datos de los dos denunciantes que realiza la denunciada PENYA MALLORQUINISTA BARRALET supone una infracción del artículo 6.1 de la LOPD tipificada como grave en el artículo 44.3.
  18. b)de la citada norma que establece: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VI La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) (LES), ha añadido un nuevo apartado 6 al artículo 45 de la LOPD en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  19. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  20. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Los criterios a los que alude el nuevo artículo 45.6 de la LOPD, vienen recogidos en el apartado 5 de este mismo artículo, que también ha sido modificado por la Disposición Final Quincuagésima Sexta de la LES, quedando redactado del siguiente modo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente supuesto se cumplen los requisitos recogidos en los apartados
  26. a)y
  27. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una disminución de la culpabilidad de los dos imputados teniendo en cuenta que no existen beneficios obtenidos como consecuencia de la comisión de la infracción. Por último, cabe indicar que el club denunciado, RCDM ha informado a esta Agencia que ha adoptado dos medidas para adecuar su organización a la legislación de protección de datos y para resolver las incidencias planteadas: - La finalización del sistema actual de bonificaciones para incorporación de socios, de esta forma el Club elimina cualquier comunicación no incluida en el formulario de comunicación y recepción de información entre las peñas y el club. - La remisión a las peñas de una nota informativa sobre protocolos de actuación y obligaciones de los receptores de información en relación con la protección de datos. Aportan documentación probatoria de que dichas medidas se han llevado a cabo diligentemente. A pesar de las medidas adoptadas por el club RCDM al que se reconoce su voluntad de colaborar, debe indicarse que las mismas no son suficientes para entender cumplidas las condiciones del artículo 12 de la LOPD. Si el RCDM es el responsable del fichero de socios y las peñas van a prestarle el servicio de facilitar las relaciones entre los socios y el club, y este servicio conlleva el tratamiento de los datos personales de los socios, deberá regularse en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En cuanto a la PMB Debido a la naturaleza de la infracción que se le imputa no se insta por parte de esta Agencia la adopción de una concreta medida correctora. No obstante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 se solicita se comuniquen las que de forma autónoma decida adoptar la peña. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00111/2013) al REAL CLUB DEPORTIVO MALLORCA S.A.D. con CIF nº: A.A.A., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 11 de la LOPD, tipificada como grave en el artículo 44.3.
  28. k)de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR al REAL CLUB DEPORTIVO MALLORCA S.A.D., de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que acredite en el plazo de un mes desde este acto de notificación lo siguiente, (abriéndose el expediente de actuaciones previas nº: E/05751/2013):  Debe acreditar que ha regulado la prestación de los servicios de las peñas al club que conlleven el tratamiento de datos de carácter personal de los socios y abonados cumpliendo con los requisitos establecidos es el artículo 12 de la LOPD.  informe a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el punto anterior, acreditando dicho cumplimiento. En caso de no cumplir el presente requerimiento, se procederá a acordar la apertura de un procedimiento sancionador pudiendo llegar a imponerse una sanción de 900 a 40.000 euros. 3.- APERCIBIR (A/00111/2013) a la PENYA MALLORQUINISTA BARRALET, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  29. b)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 4.- NOTIFICAR el presente Acuerdo al REAL CLUB DEPORTIVO MALLORCA S.A.D. y a la PENYA MALLORQUINISTA BARRALET. 5.- NOTIFICAR el presente Acuerdo a cada uno de los dos denunciantes que aparecen en el anexo 1. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.