E-02043-2019

1/7 Expediente Nº: E/02043/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la REAL FEDERACIÓN ESPAÑOLA DE FUTBOL en virtud de la reclamación presentada por D. A.A.A. y en consideración a los siguientes: HECHOS PRIMERO: En fecha 26/10/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) una reclamación de D. A.A.A. (en adelante, el reclamante), en la que explica que la web de la Real Federación Española de Futbol (en lo sucesivo, la reclamada o la RFEF) no está actualizada, toda vez que hace alusión a la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y no a la normativa actualmente vigente, el Reglamento (UE) 2016/679, (RGPD); no menciona las nuevas obligaciones que derivan del artículo 13 RGPD y los formularios de recogida de datos de la página web a los que los interesados pueden acceder no ofrecen la información prevista en el artículo 13 del RGPD. El reclamante añade que, habida cuenta de que en mayo de 2018 comunicó a la Escuela Deportiva de la RFEF que ponía fin a los servicios que le venía prestando -de los que derivaba la habilitación de esa entidad para tratar sus datos personales y los de su hijo- y, toda vez que le seguían enviando comunicaciones vía email, el 13/08/2018 ejerció ante el derecho de supresión remitiéndole a tal fin, a través de correo certificado, un escrito en el que ejercía su derecho, la copia de su DNI y documentación adjunta. Advierte que, pese a ello, en octubre de 2018 aún continúa recibiendo comunicaciones de la RFEF. Acompaña a su reclamación, entre otros, los documentos siguientes: - - Impresiones de pantalla obtenidas de la página web de la RFEF relativas a la información que ofrece en materia de protección de datos de carácter personal. En las capturas de pantalla aportadas no consta impresa la fecha en la que se obtuvieron. Copia de diversos correos electrónicos intercambiados entre el reclamante y B.B.B., cuyo email es ***EMAIL.1:

1. a)De fecha 23/05/2018, dirigido a la dirección electrónica del reclamante (***EMAIL.2), en el que le informan del plazo de renovación de matrícula para el curso 2018/2019.
2. b)De fecha 28/05/2018 enviado por el reclamante a la dirección ***EMAIL.1 con el siguiente texto: “Buenas tardes, te confirmo que no renovaremos matrícula el próximo año…”
3. c)De fecha 13/09/2018, enviado desde la dirección ***EMAIL.1 a la dirección electrónica del reclamante, en el que se facilita información a C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/7 los padres sobre el inicio de las actividades y el equipamiento.
4. d)De fecha 25/10/2018 desde la dirección ***EMAIL.1 dirigido a la dirección electrónica del reclamante en el que le informan de las dificultades surgidas en la emisión de recibos. - Escrito que el reclamante dirige a la reclamada en el ejercicio del derecho de supresión. El documento lleva impreso un sello de Correos, “***OFICINA.1” y la fecha de 13/09/2018. Se aporta un certificado de Correos que acredita el envío por correo certificado en fecha 13/09/2018 de una carta remitida por el reclamante y dirigida a la reclamada. SEGUNDO: Con fecha 07/11/2018 la AEPD dio traslado a la RFEF de la reclamación presentada a fin de que procediera a su análisis y comunicara al reclamante la decisión adoptada al respecto. El escrito se notificó a la RFEF a través del sistema notific@ constando como fecha de aceptación de la notificación el 07/11/2018. En el escrito que la AEPD remite a la reclamada le requiere para que en el plazo de un mes facilite los siguientes documentos: - Copia de la decisión adoptada y enviada al reclamante con acreditación de la recepción por el destinatario. Informe sobre las causas que motivaron la incidencia de la que procede la reclamación. Informe de las medidas adoptadas para evitar que se produzcan en el futuro situaciones similares. Ante la falta de respuesta de la RFEF, en fecha 20/12/2018 la AEPD reiteró la solicitud de información otorgándole una ampliación del plazo inicial en cinco días. El escrito de reiteración de la solicitud de información se notificó a la reclamada a través de notific@ y consta aceptada el 21/12/2018. TERCERO: La RFEF responde a la AEPD el 28/12/2018. A la vista de la reclamación y de los emails aportados con ella la reclamada reconoce haber enviado al reclamante, después de que se diera de baja en el servicio contratado, varias comunicaciones vía email relativas a los servicios que presta la Escuela de Futbol de la RFEF. Manifiesta también que, como medida correctora, ha procedido de inmediato a solventar la incidencia, por lo que el reclamante no volverá a recibir ni una comunicación más. En relación con la falta de atención del derecho de supresión, la reclamada indica que la documentación que el reclamante aportó a la AEPD únicamente acredita que el escrito de ejercicio del derecho se había presentado en la Oficina de Correos de Las Rozas el 13/09/2018 pero en ningún caso acredita que hubiera sido recibido por la Escuela de Futbol y añade que la escuela niega la recepción de esta solicitud de ejercicio de derechos. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/7 En la carta que la RFEF remite al reclamante le informa de que se ha procedido con fecha 27/12/2018 a la supresión definitiva de sus datos personales y de los de su hijo del archivo de la Escuela de Futbol de la Real Federación Española de Futbol. Mediante Diligencia de fecha 14/02/2019, la AEPD incorpora al expediente administrativo diversas capturas de pantalla obtenidas en esa misma fecha desde la página web de la RFEF. Los documentos así obtenidos evidencian, por una parte, que la entidad responsable del fichero -la RFEF- ofrece en su página web varios formularios de recogida de datos personales. Por otra, que la página web ofrece una información en materia de protección de datos que sí cumple las exigencias del artículo 13 del RGPD. Se constata que la Política de Privacidad de la página web de la RFEF facilita la identidad del responsable del tratamiento y sus datos de contacto; precisa qué tipo de datos serán objeto de tratamiento y la finalidad del tratamiento que se efectúa; en relación con las transferencias internacionales de datos indica que sólo tendrán lugar cuando así lo exija la finalidad perseguida por el tratamiento y detalla cuál es la base jurídica de los tratamientos de datos personales que la RFEF lleva a cabo. Se verifica, asimismo, que la página web de la RFEF informa del derecho a retirar el consentimiento al tratamiento en cualquier momento; que no comunicará datos a terceros salvo que resulte imprescindible para la finalidad del tratamiento o previo requerimiento Judicial o Administrativo; del plazo durante el cual conservarán los datos y de los derechos de acceso, rectificación, supresión y oposición, de las condiciones para su ejercicio y del derecho a presentar reclamaciones ante la AEPD. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control y de conformidad con lo establecido en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos. II A tenor de lo dispuesto en el artículo 55 del RGPD, la AEPD es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben y la de tratar las reclamaciones presentadas por un interesado e investigar el motivo de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/7 aquéllas. Corresponde, igualmente, a la AEPD ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que se contempla la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que les requiera a fin de poder desempeñar las funciones que tiene encomendadas. Correlativamente, el artículo 31 del RGPD impone a los responsables y encargados del tratamiento la obligación de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD le atribuye la función de cooperar con dicha autoridad. Por otra parte, el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), contempla un mecanismo “previo a la admisión a trámite” de las reclamaciones que se formulen ante la AEPD, que consiste en dar traslado de dichas reclamaciones a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, para que procedan a su análisis y den respuesta en el plazo de un mes. El artículo 65 de la LOPDGDD, bajo el título “Admisión a trámite de las reclamaciones”, dispone lo siguiente: “1. Cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
5. a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
6. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/7 tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos”. (El subrayado es de la AEPD) III En el asunto que nos ocupa, y a tenor de los hechos expuestos, resultan relevantes los siguientes extremos: Que la reclamación formulada frente a la RFEF por presunta vulneración del artículo 13 del RGPD y por no haber atendido el derecho de supresión ejercido por el reclamante se recibió en la AEPD el 26/10/2018. Que, con carácter previo a la admisión a trámite de la reclamación, la AEPD dio traslado a la RFEF para que procediese a su análisis y respondiera al reclamante y a la AEPD en el plazo de un mes. Igualmente, se solicitó a la RFEF que aportara un documento que acreditara haber notificado al reclamante su respuesta; un informe sobre las causas que motivaron la incidencia producida y otro en el que detallara las medidas adoptadas para evitar situaciones similares. Que ante la ausencia de respuesta de la reclamada en el plazo que le otorga a tal efecto el artículo 65.4 de la LOPDGDD, en fecha 20/12/2018, la AEPD reiteró a la RFEF el requerimiento efectuado, otorgándole una ampliación del plazo inicialmente concedido en cinco días. Escrito de reiteración que consta recibido por la reclamada el 21/12/218. Que la RFEF respondió a la AEPD en escrito que tuvo entrada en la sede electrónica de este organismo el 28/12/2018 y aportó con él estos documentos: Copia de una carta de fecha 27/12/2018 dirigida al reclamante y la documentación que acredita su envío en esa misma fecha por correo certificado. Que en la carta dirigida al reclamante le informó, respecto al ejercicio derecho de supresión de sus datos personales y de los de su hijo, de que “se ha procedido a la supresión definitiva y total de los archivos de la Escuela de Futbol de esta Real Federación Española de Futbol” y le pidió disculpas por las molestias que esta situación le hubiera podido ocasionar. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/7 Que la RFEF, en su respuesta a la AEPD, reconoció también que era evidente que el reclamante había recibido comunicaciones vía email relativas a los servicios de la Escuela de Futbol de la RFEF con posterioridad a la baja del servicio contratado y manifestó que había procedido de inmediato a solventar la incidencia, por lo que no volvería a recibir ni una comunicación más. Añadió, en relación con el derecho de supresión, respecto al que el reclamante manifestó que no había sido atendido, que la documentación aportada por él acreditaba que el escrito a través del cual ejerció ese derecho fue presentado en la Oficina de Correos de Las Rozas el 13/09/2018, pero no acreditaba que hubiera sido recibido por la Escuela de Futbol y que, por otra parte, la citada escuela negaba haber recibido esa solicitud de ejercicio de derechos. Es también relevante que mediante Diligencia de la Inspección de Datos de la AEPD de fecha 14/02/2019 se dejó constancia en el expediente administrativo, a través de diversas capturas de pantalla obtenidas de la página web de la RFEF, que esta entidad dispone de varios formularios de recogida de datos personales y que su página web ofrece una información en materia de protección de datos que se adecúa a las exigencias del artículo 13 del RGPD. Igualmente, se dejó constancia de que en la política de privacidad de la página web de la RFEF se identifica al responsable del tratamiento y se facilitan sus datos de contacto; se especifica qué tipo de datos serán objeto de tratamiento y la finalidad del tratamiento que se lleva a cabo; respecto a las transferencias internacionales de datos se indica que sólo tendrán lugar cuando así lo exija la finalidad perseguida por el tratamiento y se detalla la base jurídica de los tratamientos de datos personales que lleva a cabo. También se informa del derecho a retirar el consentimiento al tratamiento en cualquier momento; de que la RFEF no comunicará datos a terceros salvo que resulte imprescindible para la finalidad del tratamiento o previo requerimiento Judicial o Administrativo; del plazo de conservación de los datos y de los derechos de acceso, rectificación, supresión, oposición y condiciones para su ejercicio y del derecho a presentar reclamaciones ante la AEPD. En el presente caso, habida cuenta de que la reclamación se había presentado ante esta Agencia en fecha 26/10/2018, a tenor de lo dispuesto en el apartado 5 del artículo 65 de la LOPDGDD procedería, en principio, su admisión a trámite por el trascurso del plazo de tres meses fijado en la norma. Sin embargo, pese a haber transcurrido cumplidamente el citado plazo de tres meses, tomando en consideración los términos de la respuesta de la RFEF al requerimiento informativo de la AEPD; que tuvo entrada en este organismo en fecha 28/12/2018; analizados los motivos expuestos por la reclamada y hechas las comprobaciones pertinentes sobre la adecuación de la política de privacidad de la página web de la reclamada al RGPD y, en particular, al artículo 13 del RGPD, no se aprecian indicios razonables de una presunta infracción de la normativa de protección de datos de carácter personal en los hechos que se someten a la consideración de esta Agencia. Todo ello sin perjuicio de las posibles actuaciones que la AEPD pudiera llevar C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/7 a cabo ante el responsable del tratamiento en caso de que no se adopten medidas adicionales para evitar situaciones futuras similares que pudieran resultar irregulares. Si así ocurriera, la AEPD acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal y las posibles actuaciones correctivas que procedieran. SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a la REAL FEDERACIÓN ESPAÑOLA DE FUTBOL, con NIF Q 2878017 y a D. A.A.A. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es