← España

E-01437-2020

1/8  Procedimiento Nº: E/01437/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 3 de octubre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra la FEDERACIÓN MADRILEÑA DE DEPORTES PARA SORDOS (en adelante, la reclamada). Los motivos en que basa la reclamación son los siguientes: - La reclamada ha publicado en su portal web una lista con una clasificación de corredores de carreras, en modalidad 6k absoluta masculina, donde se muestran nombres, apellidos, equipo para el que corren, y tiempos brutos y netos de carrera. El reclamante denuncia que se han incluido sus datos personales sin su autorización. - El reclamante ha ejercido su derecho de supresión mediante sendos correos electrónicos enviados en fechas 14/08/2019 y 16/09/2019 a la dirección de e-mail indicada en la política de privacidad, fmds@fmds.es, pero no ha obtenido respuesta. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/10279/2019, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fechas de 6 de noviembre de 2019 y 17 de diciembre de 2019, en el procedimiento E/10279/2019, se dio traslado de la reclamación a la reclamada a la dirección postal que aparece en su página web, resultando devuelta por “Desconocido” y a la dirección postal publicada por el motor de búsqueda GOOGLE. resultando devuelta por “Dirección incorrecta”. TERCERO: Con fecha 9 de enero de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 - Examinada la documentación aportada por el reclamante, en el mes de enero de 2020, no se encuentra evidencia alguna de lo que señala en la reclamación. Tampoco aporta documento alguno ejerciendo su derecho de supresión. - Con fecha de 1 de junio de 2020, se comprueba que el documento señalado en la reclamación con datos personales del reclamante no existe en el sitio web reclamado. - No obstante lo anterior, con fechas de 2 de junio y 29 de junio de 2020, se envían solicitudes de información sobre los hechos reclamados a las dos direcciones de contacto que constan en su página web. Las dos notificaciones quedan sin practicar debido a devolución de ambas por “Desconocido”. - Finalmente, con fecha de 18 de enero de 2021 se vuelve a acceder al sitio web de la reclamada con el fin de encontrar algún dato adicional que permita la notificación comprobándose que este sitio web está temporalmente deshabilitado. - Por tanto, no se han podido constatar los hechos reclamados ni obtener información sobre las posibles causas que dieron lugar a ellos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La reclamación se refiere a dos actuaciones presuntamente contrarias a la normativa de protección de datos por parte de la reclamada: la publicación en su portal web de una lista con la clasificación de corredores de carreras, en modalidad 6k absoluta masculina, donde se muestran nombres, apellidos, equipo para el que corren, y tiempos brutos y netos de carrera, sin su autorización; y la falta de atención al derecho de supresión de sus datos por parte de la reclamada. Sobre el primer hecho denunciado, la falta de consentimiento del reclamante para la publicación de sus datos relacionados con la participación y tiempos obtenidos en una carrera, hay que señalar que el artículo 5 del RGPD relativo a los principios que han de regir el tratamiento de datos personales menciona entre ellos el de transparencia. El apartado 1 del precepto dispone: “Los datos personales serán:

  1. a)tratados de manera lícita, leal y transparente en relación con el interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 («licitud, lealtad y transparencia»)” Manifestación del principio de transparencia es la obligación que incumbe a los responsables del tratamiento de informar, en los términos del artículo 13 del RGPD, al titular de los datos personales cuando éstos se obtengan directamente del interesado: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  3. b)los datos de contacto del delegado de protección de datos, en su caso;
  4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  11. d)el derecho a presentar una reclamación ante una autoridad de control;
  12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” El artículo 5.1.
  14. a)del RGPD enuncia el principio de «licitud, lealtad y transparencia», principio en el que incide el Considerando 39: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. […]” Por su parte, el Considerando 60 vincula el deber de información con el principio de transparencia, al establecer que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les deben informar si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran […]”. En este orden, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz materialización y el artículo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. III La reclamación que examinamos versa sobre el tratamiento de los datos del reclamado sin su consentimiento. El artículo 6 del RGPD, “Licitud del tratamiento”, establece como causas legitimadoras: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  15. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  16. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  17. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  18. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  19. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  20. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  21. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  22. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  23. c)y e), deberá ser establecida por:
  24. a)el Derecho de la Unión, o
  25. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. Paralelamente el artículo 4 del RGPD define el “tratamiento” como “cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción o consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación, de acceso, cotejo o interconexión, limitación, supresión o destrucción” Por tanto, el tratamiento realizado por la reclamada podría estar legitimado en otra causa diferente al consentimiento, como podrían ser el apartado b), c), o
  26. e)del mencionado artículo. Esa información debe incluirse en la cláusula informativa que ha de facilitarse a las personas que se federen, detalladas en el artículo 13 del RGPD. Uno de los fines de esta investigación era verificar estos concretos apartados. IV El artículo 67 de la LOPDGDD, relativo a las actuaciones previas de investigación, determina lo siguiente: <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> Al objeto de verificar la información facilitada a los federados en el momento de iniciar el tratamiento de sus datos y la causa de legitimación, se iniciaron estas actuaciones previas, sin que se haya podido obtener ninguna información, al no haberse recibido las solicitudes por parte de la reclamada, y no estar operativa su página web. V En segundo lugar, reclama porque la reclamada no ha atendido el derecho de supresión ejercido por el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 El artículo 17 del RGPD dispone lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  27. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  28. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  29. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  30. d)los datos personales hayan sido tratados ilícitamente;
  31. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  32. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  33. a)para ejercer el derecho a la libertad de expresión e información;
  34. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  35. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  36. h)e i), y apartado 3;
  37. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  38. e)para la formulación, el ejercicio o la defensa de reclamaciones.” Cuando un afectado ejercite sus derechos, el responsable del tratamiento deberá, de forma gratuita (salvo que la solicitud sea infundada o excesiva, especialmente por su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 carácter repetitivo), facilitarle información en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. En el caso de que el responsable no haya resuelto las cuestiones planteadas, puede alcanzar una solución amistosa, poniéndose en contacto con el Delegado de Protección de Datos (DPD) que, en su caso, haya designado el responsable o el encargado de tratamiento, entre cuyas funciones figura la de supervisar el cumplimiento de la normativa de protección de datos. También puede, sin perjuicio de las acciones ejercitables ante los Tribunales de Justicia, hacer uso de los mecanismos de mediación, procedimientos extrajudiciales y otros procedimientos de resolución de conflictos previstos para resolver las controversias surgidas con los responsables del tratamiento. A través de www.aepd.es puede obtener información adicional, incluyendo formularios para el ejercicio de sus derechos. Cuando no logre que sean atendidos sus derechos y desee la intervención de esta Agencia deberá, una vez concluido el plazo previsto, presentar una reclamación, aportando una copia de la solicitud, cursada por un medio que permita acreditar el envío y, si resulta posible, su recepción por el responsable del tratamiento, así como de la contestación recibida, en su caso o que no ha sido atendida, como en el caso objeto de reclamación. En el presente caso, no se aportó por parte del reclamante acreditación de haberse dirigido al reclamado ejerciendo el derecho de supresión de sus datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  39. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.