← España

AI-00046-2023

1/17  Expediente N.º: EXP202210702 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes; HECHOS PRIMERO: Con fecha 17 de agosto de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra el Ayuntamiento de Gijón, el Club Balonmano Gijón y el Patronato Deportivo Municipal de Gijón. Los motivos en que basa la reclamación son los siguientes: El 16 de julio de 2022 la parte reclamante remitió una consulta al delegado de protección de datos que no ha sido contestada. En el citado escrito solicitaba información relativa a las siguientes cuestiones: 1º Que determinasen el criterio que legitimaba la difusión de las imágenes de los menores en la página web y en las redes sociales del patronato deportivo. En este sentido, significaba que no recuerda haber autorizado la difusión de las imágenes de su hija (que en la actualidad se visualiza). 2º Que le concretasen en cuál de las actividades que constan en el inventario del registro de actividades del tratamiento publicado por la parte reclamada se encuentra el realizado por las escuelas deportivas del Patronato Deportivo. 3º Que le contestasen en qué momento y mediante que sistemática tienen evidencia de que los titulares de la patria potestad o tutela de los niños y niñas de 1º a 6º de primaria que participan en las escuelas deportivas han recibido la información requerida por los artículos 13 y 14 del RGPD. 4º Si disponen de contratos de protección de datos con todos los encargados de tratamiento de las escuelas deportivas del Patronato Deportivo. 5º Si se ha efectuado una evaluación de impacto. 6º Si la parte reclamada cumple con las medidas de seguridad establecidas en la disposición adicional primera de la LOPDGDD. 7º Si la brecha de seguridad ocurrida el 19 de abril de 2022 había sido notificada a la AEPD. Junto a la reclamación aporta: - Copia del correo electrónico remitido al delegado de protección de datos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Ayuntamiento de Gijón (***EMAIL.1), de fecha 16 de junio de 2022, en el que solicita los puntos mencionados y aporta las direcciones webs de las publicaciones de las fotografías del club de balonmano Gijón. - Copia del correo electrónico remitido al delegado de protección de datos del Ayuntamiento donde solicita el acceso al registro de actividades del tratamiento del Ayuntamiento y del Patronato deportivo municipal, de fecha 14 de febrero de 2020. - Copia de la resolución de Apercibimiento de la Agencia del procedimiento sancionador PS/00427/2020 en relación con una reclamación presentada por el reclamante en fecha 17/06/2020 por no disponer de Registro de Actividades de Tratamiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Ayuntamiento de Gijón, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 13 de octubre de 2022 como consta en el certificado que obra en el expediente. Con fechas 14 y 23 de noviembre de 2022se recibe contestación del Ayuntamiento en los que se pone de manifiesto: El Ayuntamiento manifiesta que con motivo del traslado de la reclamación realizado por la Agencia se ha procedido a la apertura de un expediente administrativo en el que se ha recabado información al Patronato Deportivo Municipal. De la información recabada respecto a las actividades deportivas realizadas por el Organismo Autónomo Patronato Deportivo Municipal en los denominados programas de “Escuelas deportivas”, en ejercicio de la competencia municipal en materia de promoción del deporte e instalaciones deportivas y de ocupación del tiempo libre recogida en el artículo 25.2.

  1. l)de la Ley 7/1985, de 2 de abril, Reguladora de las bases del régimen local que establece: “El Municipio ejercerá en todo caso como competencias propias, en los términos de la legislación del Estado y de las Comunidades Autónomas, en las siguientes materias…… Promoción del deporte e instalaciones deportivas y de ocupación del tiempo libre” Y el Patronato tiene establecido una colaboración con Centros de Enseñanza de Gijón, públicos, concertados y privados, mediante convocatorias anuales, en cuyas bases se especifica que las inscripciones y gestión de las actividades deportivas se efectuará por el Consejo Escolar de cada Centro Escolar beneficiario. De igual modo, el Patronato Deportivo Municipal suscribe convenios de colaboración con clubes deportivos, como es el caso con el Club Balonmano Gijón, al objeto de «fomento del Balonmano de Alto Nivel y del Deporte Base (Escuelas Deportivas). El Ayuntamiento manifiesta que las imágenes publicadas se encuentra en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 web del Ayuntamiento y respecto al registro de Actividades de Tratamiento, aprobado por Resolución de Alcaldía de 21 de junio de 2021, publicado en el BOPA N.º 126, de 1-VII-2021 y en la Web municipal, las actividades deportivas se encuadran en el «RAT039 Servicios deportivos», cuya finalidad del tratamiento es la «Gestión de información, programas y prestación de servicios deportivos» incluyendo entre las categorías de datos personales los de imagen y «otra información necesaria para las actividades (como autorizaciones para menores de edad)». TERCERO: Con fecha 17 de noviembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fechas 2 y 3 de marzo de 2023 se reciben nuevas reclamaciones del reclamante donde informa de la existencia de dos procedimientos sancionadores motivados por reclamaciones suyas (PS/00285/2020 a la Federación de Balonmano del Principado de Asturias y PS/00427/2020 contra el Ayuntamiento de Gijón). Aporta escritos de autorización para el tratamiento de datos de menores del Club Balonmano Gijón y de la Federación Española de Balonmano y escrito contra el Club de Balonmano de Gijón en el que se aporta, entre otra documentación, Normativa para las escuelas deportivas 2020/2021, Estatutos del Club de Balonmano Gijón, información sobre el mencionado club en el portal de Transparencia del Ayuntamiento y correo electrónico remitido a la delegada de protección de datos del Ayuntamiento y a la Alcaldesa, incluyendo documentos presentados en sus reclamaciones. En relación con los procedimientos sancionadores motivados por las reclamaciones del denunciante con anterioridad y relacionados con esta reclamación: - PS/00285/2020 a la Federación de Balonmano del Principado de Asturias: Reclamación en relación con: o La Federación no ha designado un Delegado de Protección de Datos. o En ninguno de los impresos utilizados por la Federación, que figuran en su página web, se solicita la autorización para el tratamiento de los datos personales. Además, en los impresos se hace referencia a la derogada LO 15/1999 (LOPD). o Existe constancia de la difusión de imágenes de menores sin el consentimiento expreso de sus padres o tutores. Resolución de fecha 24 de marzo de 2021 en la que se resuelve Apercibimiento por infracción del artículo 13 del RGPD respecto a la no adaptación de su política de protección de datos personales a la nueva normativa vigente y por la infracción del arC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 tículo 37 del RGPD, al no haber designación un Delegado de Protección de Datos hasta no tuvo conocimiento del presente procedimiento sancionador. - PS/00427/2020 al Ayuntamiento de Gijón. Reclamación en relación con un correo electrónico remitido al DPD del Ayuntamiento, el 14 de febrero de 2020, para consultar el registro de actividades de tratamiento y si las actividades de tratamiento del Patronato Deportivo Municipal del citado Ayuntamiento (que no tiene declarado DPD) dependen del mismo DPD (el del Ayuntamiento), y dónde puede acceder a ellas. No consta respuesta del DPD. Resolución de fecha 29 de junio de 2021: Apercibimiento por infracción del 30 RGPD y 31 de la LOPDGDD al no disponer Registro de actividades del tratamiento. En relación con información del Registro de Actividades de tratamiento y de la publicación de fotografías de menores. En fecha 23 de febrero de 2023, desde la Inspección de Datos se accede a la dirección web https://www.gijon.es/es/publicaciones/inventario-del-registro-deactividades-de-tratamiento-de-datos-personales del Ayuntamiento procediendo a la descarga del documento INVENTARIO DEL REGISTRO DE ACTIVIDADES DE TRATAMIENTO DE DATOS PERSONALES del Ayuntamiento de Gijón; también disponible en la dirección “Inventario del Registro de Actividades de Tratamiento de Datos Personales en la Administración Municipal de Gijón/Xixón. (Ayuntamiento de Gijón/Xixón, sus Organismos Autónomos y las Empresas Municipales de Desarrollo y Promoción Económica (Centro Municipal de Empresas de Gijón/Xixón, Divertia Gijón/Xixón y Empresa Municipal de la Vivienda de Gijón/Xixón), en fecha 16 de junio de 2021” aportada por el reclamante. En el documento descargado se encuentra el tratamiento SERVICIOS DEPORTIVOS con la finalidad de “Gestión de información, programas y prestación de servicios deportivos”. En el apartado de Base Jurídica o licitud de la actividad de tratamiento figuran los artículos 6.1.a), 6.1.c), 6.1.
  2. d)y 6.1.
  3. e)y 9.2.
  4. a)RGPD; artículo 8 LOPD junto con otra Normativa específica. Entre las categorías de datos figura: “Otra información necesaria para las actividades (como autorizaciones para menores de edad)”. En fecha 23 de febrero de 2023, desde la Inspección de Datos se accede a algunas de las direcciones aportadas por el reclamante, verificando la publicación de fotografías del Club de Balonmano de Gijón, entre las que se encuentran fotos de menores, incluida la hija del denunciante. En relación con información recibida en las actuaciones de inspección Con fecha 1 de marzo de 2023 se remiten requerimientos de información al Ayuntamiento, al Patronato y al Club de Balonmano de Gijón (en adelante el Club). Con fecha 2 de marzo de a 2023 se recibe información del Ayuntamiento, en el que se pone de manifiesto: El Club informa a los tutores legales sobre la política de protección de datos y deben firmar un consentimiento. En el documento donde se solicita el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 se detalla: - Actividad del tratamiento (Realización y utilización de imágenes e información de …. jugadores y menores de edad), Responsable del tratamiento (Club de Balonmano y la dirección postal completa) Finalidad (Recogida de las fotografías y videos hechos en la sesión deportiva,…). Datos recogidos (Identificativos y de imagen). Legitimación (Relación jurídica que se produce para la realización de la actividad. Consentimiento de los interesados). Cesión de los datos (Los datos no se cederán a terceros salvo obligación legal y/o consentimiento expreso del interesado) Derechos y ejercicios de los mismos, indicando la dirección del responsable, el correo electrónico e informando de la posibilidad de presentar una reclamación ante el organismo de control. El escrito de autorización para el tratamiento de datos de menores del Club Balonmano Gijón consta firmado por el reclamante en su condición de tutor, en fecha 2 de enero de 2021. Otorgando asimismo su consentimiento, marcando la casilla al erecto, para comunicaciones publicitarias y la utilización de los datos personales en cualquier medio (marketing directo, redes sociales, correo electrónico) para la promoción del Club de Balonmano. Con fechas 16 y 27 de marzo se recibe contestación del Ayuntamiento en relación con el escrito de requerimiento en el que se pone de manifiesto lo siguiente: El Ayuntamiento ha tenido conocimiento de los requerimientos emitidos desde la Inspección de datos al Patronato y al Club, manifiesta que se ha abierto un expediente administrativo cuya resolución depende de la Alcaldía y por tanto asumen la respuesta de los requerimientos. De acuerdo con sus Estatutos, el Patronato se constituye como organismo autónomo de carácter administrativo al amparo del artículo 85 de la Ley Reguladora de las Bases de Régimen Local, como Fundación Pública de Servicios, creándose con personalidad jurídica propia y autonomía financiera y funcional dependiente del Ayuntamiento de Gijón. Desde la Inspección de Datos se ha comprobado la existencia de los estatutos del Patronato en la web del Ayuntamiento en la dirección gijon.es. El Ayuntamiento manifiesta que “tomando en consideración el dictamen emitido por el Comité de Seguridad de la Información y Privacidad del Ayuntamiento, en sesión de 15 de septiembre de 2022, en las actividades deportivas objeto de reclamación, el Patronato Deportivo Municipal asume la posición de Encargado del Tratamiento, sin perjuicio de las relaciones de éste con las entidades participantes en los programas “Escuelas deportivas”, ya que, entre otros motivos, el Patronato desarrolla las competencias del Ayuntamiento en la promoción de la actividad deportiva de conformidad con lo establecido en la Ley 2/1985, de 7 de abril, reguladora de las Bases de Régimen Local”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Respecto de la consulta al delegado de protección de datos realizada por el reclamante: En el documento donde se solicita el consentimiento para el tratamiento de la realización y utilización de imágenes mencionado en puntos anteriores consta como base legitimadora la relación jurídica para la actividad y el consentimiento del interesado. Asimismo, se ha aportado dicho documento suscrito por el reclamante. Respecto del Registro de Actividades de Tratamiento, aprobado por Resolución de Alcaldía de 21 de junio de 2021, publicado en el BOPA N.º 126, de 1-VII-2021 y en la Web municipal, las actividades deportivas se encuadran en el «RAT039 Servicios deportivos», cuya finalidad del tratamiento es la «Gestión de información, programas y prestación de servicios deportivos» incluyendo entre las categorías de datos personales los de imagen y «otra información necesaria para las actividades (como autorizaciones para menores de edad)» En relación con la información suministrada a los tutores en materia de protección de datos, el Ayuntamiento ha aportado la siguiente documentación: Anexo I.- Instrucciones para la gestión de imágenes por el Patronato Deportivo Municipal Anexo II. Modelos de autorización para el tratamiento de imágenes de personas adultas Anexo III. Modelo de autorización para el tratamiento de la imagen de menores de edad Anexo IV. Comunicación / Circular a los clubs y entidades que prestan servicios en las Escuelas Deportivas de Gijón Anexo V. Comunicación / Circular a Centros Escolares destinatarios de las Escuelas Deportivas de Gijón y otras actividades deportivas promocionadas por el Ayuntamiento de Gijón a través del Patronato Deportivo Municipal. Se ha aportado Convenio de Colaboración entre el Patronato Deportivo Municipal y Club Balonmano Gijón para el fomento del balonmano de alto nivel y del deporte base para la temporada 2021/2022 y Anexo I Información sobre protección de Datos. El Ayuntamiento manifiesta que “En atención a la definición, naturaleza y finalidad de la Evaluación de impacto del tratamiento de datos personales (art. 35 RGPD, Considerando 84 RGPD; art. 28 RGPD y las listas orientativas publicadas por la AEPD en relación a los tratamientos de datos que requieren una EIPD y los que no la requieren), el tratamiento realizado no cumple con las condiciones para la realización de evaluaciones de impacto, no suponiendo un alto riesgo para los derechos y libertades de las personas afectadas”. Respecto de la brecha de seguridad: Con fecha 22 de abril de 2022 se realizó una notificación inicial a la AEPD (…). El 3 de junio de 2022, se realiza una notificación completa en la que se aporta un informe sobre la brecha. En dicho informe figura: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 Con fecha 20 de abril de 2022, se reúne de urgencia el Comité de la Seguridad de la Información y Privacidad, acordando constituirse formalmente como “Comité de Crisis de respuesta al incidente de seguridad del 19 de abril de 2022. (…) Resumen general de las principales medidas de contención: (…) En relación con la intervención del Delegado de Protección de Datos son las que se corresponden a las competencias atribuidas en el RGPD y LOPDGDD, así como a las implementadas por el Ayuntamiento definidas en la Resolución de Alcaldía, de 3 de marzo de 2021, publicada en el Boletín Oficial del Principado de Asturias Núm. 57 de 24-III-2021, ocupando también una vocalía del Comité de Seguridad de la Información y Privacidad, según Resolución de Alcaldía de 13 de septiembre de 2021, publicada en el Boletín Oficial del Principado de Asturias Núm. 188 de 29-IX2021. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  5. f)y
  6. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  14. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  15. c)y e), deberá ser establecida por:
  16. a)el Derecho de la Unión, o
  17. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  18. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  19. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  20. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  21. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  22. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado El artículo 12 del RGPD estipula: "1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solici C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 tud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
  23. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
  24. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados." IV Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  25. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  26. b)los datos de contacto del delegado de protección de datos, en su caso;
  27. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  28. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  29. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  30. f)en su caso, la intención del responsable de transferir datos personales a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  31. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  32. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  33. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  34. d)el derecho a presentar una reclamación ante una autoridad de control;
  35. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  36. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." V Encargado del tratamiento Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  37. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  38. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
  39. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  40. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  41. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  42. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  43. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  44. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  45. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento." VI Evaluación de impacto relativa a la protección de datos La evaluación de impacto relativa a la protección de datos se regula en el artículo 35 del RGPD en los siguientes términos: "1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos. 3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:
  46. a)evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
  47. b)tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
  48. c)observación sistemática a gran escala de una zona de acceso público. 4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68. 5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité. 6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión. 7. La evaluación deberá incluir como mínimo:
  49. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
  50. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
  51. c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
  52. d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas. 8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento. 10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras
  53. c)o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento. 11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento." VII Consentimiento de los menores de edad En los términos indicados en el artículo 7.2 de la LOPDGDD, "El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela." VIII Conclusión La reclamación se basa en una serie de preguntas remitidas al DPD del Ayuntamiento de Gijón en relación con protección de datos. 1º Criterio que legitimaba la difusión de las imágenes de los menores en la página web y en las redes sociales del CLUB DE BALONMANO GIJÓN. Indica que no recuerda haber autorizado la difusión de las imágenes de su hija. Se ha comprobado que en las direcciones webs aportadas en la reclamación figuran fotografías del Club de Balonmano de Gijón, entre las que se encuentran fotos de menores, incluida la hija del denunciante. Respecto del consentimiento para la publicación de la imagen de la hija del reclamante se ha aportado escrito de autorización para el tratamiento de datos de menores del Club Balonmano Gijón firmado por el reclamante en su condición de tutor, en fecha 2 de enero de 2021. En el escrito figura como actividad Realización y utilización de imágenes e información de …. jugadores y menores de edad. Es decir, el tratamiento de las imágenes de la menor se legitima en el consentimiento informado y por escrito de su tutor. 2º Que actividad que figura en el inventario del registro de actividades del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 tratamiento se encuentra el realizado por las escuelas deportivas. Se ha comprobado que dirección web https://www.gijon.es/es/publicaciones/inventario-del-registro-de-actividades-detratamiento-de-datos-personales figura el Registro de Actividades de tratamiento y el tratamiento «RAT039 Servicios deportivos», cuya finalidad es la «Gestión de información, programas y prestación de servicios deportivos» incluyendo entre las categorías de datos personales los de imagen y «otra información necesaria para las actividades (como autorizaciones para menores de edad)». Por tanto, la actividad realizada en el Patronato Municipal Deportivo se recogen en el Registro de Actividades del Tratamiento del Ayuntamiento de Gijón. 3º Procedimiento para informar sobre protección de datos a los tutores de los menores que participan en las escuelas deportivas. El Ayuntamiento ha aportado modelos de autorización para el tratamiento de imágenes donde figura información en relación con: Actividad del tratamiento, Responsable, Finalidad, Datos recogidos, Legitimación, Cesión de los datos, Derechos y ejercicios de los mismos, así como casillas para otorgar el consentimiento de comunicaciones comerciales. Asimismo, han aportado comunicaciones y circulares a los clubs y entidades que prestan servicios en las Escuelas Deportivas de Gijón con información sobre protección de datos. 4º Contratos de protección de datos con todos los encargados de tratamiento de las escuelas deportivas. Se ha aportado Convenio de Colaboración entre el Patronato Deportivo Municipal y Club Balonmano Gijón para el fomento del balonmano de alto nivel y del deporte base para la temporada 2021/2022 y Anexo I de Información sobre protección de Datos. 5º Evaluación de impacto. El Ayuntamiento manifiesta que según “el art. 35 RGPD, Considerando 84 RGPD; art. 28 RGPD y las listas orientativas publicadas por la AEPD en relación con los tratamientos de datos que requieren una EIPD el tratamiento no cumple con las condiciones para la realización de evaluaciones de impacto, no suponiendo un alto riesgo para los derechos y libertades de las personas afectadas”. 6º y 7º Medidas de seguridad e información respecto de la brecha de seguridad ocurrida el 19 de abril de 2022 (notificación a la AEPD, integridad, confidencialidad y vectores de seguridad). Se ha verificado que en fecha 22 de abril de 2022 se realizó una notificación inicial a la AEPD de una brecha de disponibilidad provocada por un ciberataque ransomware detectada el 19 de abril de 2022; y el día 3 de junio de 2022 se realizó una notificación completa en la que se aporta un informe sobre la brecha y las mediC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 das de seguridad con anterioridad y posterioridad a la misma. En la brecha no hay constancia de exfiltración de datos y se ha comunicado a los afectados en diferentes medios de difusión pública. Por último, respecto del Delegado de Protección de Datos sus funciones han quedado definidas en la Resolución de Alcaldía, de 3 de marzo de 2021, publicada en el Boletín Oficial del Principado de Asturias Núm. 57 de 24-III-2021, ocupando también una vocalía del Comité de Seguridad de la Información y Privacidad, según Resolución de Alcaldía de 13 de septiembre de 2021, publicada en el Boletín Oficial del Principado de Asturias Núm. 188 de 29-IX2021. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al AYUNTAMIENTO DE GIJÓN y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  54. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.