1/7 Procedimiento Nº: E/03180/2020 907-141019 RESOLUCIÓN ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 21/10/19, se reciben en esta Agencia escrito de D. A.A.A., (en adelante, “el reclamante”), comunicando una posible infracción en relación con el tratamiento de los datos de carácter personal, cometida por el CLUB DEPORTIVO AVANCE, con CIF.: G78970183, (en adelante “la entidad reclamada”), indicando entre otras, lo siguiente: “El Club deportivo Avance desde la entrada en vigor del nuevo Reglamento UE 2016/79, así como su adaptación de la Ley Orgánica 3/2018, viene incumpliendo la norma en todos sus ámbitos de aplicación, siendo una de sus actividades principales el tratamiento a gran escala de datos sensibles o la observación habitual y sistemática de un número elevado de interesados, como de menores (datos relativos a reconocimientos médicos, menores, datos financieros). Entre las irregularidades incumplimiento de los artículos 5, 6, 7, 12, 13, 14, 15, 16, 17, 18, 20, 22 de la Ley Orgánica 3/2018. No asignación de Responsable, Encargado y Delegado Protección de Datos (presumiblemente necesario por la naturaleza de los datos recogidos en sus actividades principales) según artículos 28, 32, 33, 34. Así mismo la no inclusión en la página web del club de los derechos de los usuarios”. Con fecha 23/10/19, el reclamante envía un segundo escrito a esta Agencia, en el cual se indica: Tras la anterior reclamación, el Club Deportivo Avance, ha puesto en su web un supuesto bloqueador de cookies para adaptarse a la normativa, dicho bloqueador es simplemente un "anzuelo", ya que según el bloqueador de cookies Ghosthery (recomendado por la Oficina de Seguridad del Internauta perteneciente al Incibe) no bloquea ninguna cookie, al mismo tiempo han subido fotos de menores de 14 años a la web sin los consentimientos pertinentes, y no disponiendo en su página web de política de privacidad, de cookies, ni datos de representante, encargado y delegado de datos a los que dirigirse (datos que no pueden tener ya que no hay designadas ni formadas dichas personas) . Pudiendo también verse en sus redes sociales ***URL.1 fotografías de menores en las cuales se les puede identificar al llevar su nombre, como fotografías de menores en vestuarios. Igualmente siguen incumpliendo todo lo expuesto a continuación referente a la anterior reclamación”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 04/12/19, se dirige requerimiento informativo a la entidad reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 07/01/20, la entidad reclamada, remite a esta Agencia escrito informando, entre otras, de lo siguiente: “El Club Deportivo Avance sólo recoge datos de carácter personal, de diferentes personas, en las oficinas del mismo, con el único fin del desarrollo de las actividades deportivas en las que los interesados participan, y ello bajo el consentimiento del afectado. Dichos datos son de escasa o nula vulnerabilidad, pues tienen un perfil de necesidad de protección mínima, conforme a la herramienta FACILITA 2.0 que está disponible en la propia Agencia de Protección de Datos. En el momento en que se recogen dichos datos, se les informa a todos los usuarios de los derechos que se ponen a su disposición sobre las altas, bajas, modificaciones, cancelaciones así como el derecho al olvido. Al mismo tiempo se pone en conocimiento de los usuarios en formato impreso y en los diferentes tablones de anuncios la disposición de dichos derechos para que los usuarios puedan ejercitarlos cuando lo deseen. El Club Deportivo dispone de una página web ***URL.2 que constituye un mero tablón de anuncios, donde no se recogen bajo ningún concepto datos de carácter personal. Por ello, la aplicación de la legislación vigente en cuanto al tratamiento de datos de carácter personal sobre la página web ***URL.2 no es necesaria. Adjuntamos los enlaces de la página web para su revisión - Política de Privacidad ***ENLACE.1 Política de Cookies ***ENLACE.2 Aviso legal ***ENLACE.3 En relación con la reclamación que se ha interpuesto, negamos absolutamente que, tal y como se denuncia A.A.A., en nuestro Club se estén produciendo irregularidades por incumplimiento de los artículos 5, 6, 7, 12, 13, 14, 15, 16, 17, 18, 20, 22 de la Ley Orgánica 3/2018 y por la no asignación de Responsable, Encargado y Delegado Protección de Datos (presumiblemente necesario por la naturaleza de los datos recogidos en sus actividades principales) según artículos 28, 32, 33, 34. Negamos, desde luego, que, como se indica en la reclamación, una de las actividades principales del Club Deportivo Avance sea el tratamiento a gran escala de datos sensibles, ni de datos relativos a menores en relación con certificados médicos, ni datos financieros. En este sentido, indicar que, externamente, tan sólo se tratan los datos de los trabajadores del Club por parte de la Asesoría Laboral que tiene el encargo directo de elaborar la documentación relativa a contratación, seguridad social, nóminas y declaraciones fiscales, conforme exige la normativa correspondiente, siendo que por el Club se le ha facultado al uso de la información, estrictamente para los indicados fines y con la advertencia y compromiso de devolver los datos tratados al finalizar su cometido de prestación de servicios. CUARTO: Con fecha 22/02/20 y de conformidad con el artículo 65 de la LOPDGDD y a los efectos previstos en su artículo 64.2, la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Protección de Datos acordó admitir a trámite la denuncia presentada por el reclamante. FUNDAMENTOS DE DERECHO I Competencia: - Sobre el consentimiento prestado y la Política de Privacidad: En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. - Sobre la Política de Cookies: De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos. II El Artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), establece, sobre la Funciones y potestades de la Agencia Española de Protección de Datos que: “Corresponde a la AEPD supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo. Asimismo, corresponde a la Agencia Española de Protección de Datos el desempeño de las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.” Por su parte, la Disposición adicional cuarta de la LOPDGDD determina, sobre el Procedimiento en relación con las competencias atribuidas a la AEPD, por otras leyes, que: “Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” III A).- Sobre la reclamación de la NO existencia de consentimiento para la utilización de las imágenes de jugadores menores de edad por parte del club, la entidad afirma que, “sólo recogen datos de carácter personal, de diferentes personas, en las oficinas del mismo, con el único fin del desarrollo de las actividades deportivas en las que los interesados participan, y ello bajo el consentimiento del afectado y que en el momento en que se recogen dichos datos, se les informa de los derechos que se ponen a su disposición. Al mismo tiempo se pone en conocimiento de los usuarios en formato impreso y en los diferentes tablones de anuncios la disposición de dichos derechos para que los usuarios puedan ejercitarlos cuando lo deseen”. Así las cosas, el artículo 6.1.
- a)del RGPD, indica, sobre la licitud del tratamiento de los datos personales, que: “El tratamiento solo será lícito si el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;(…)”. Por su parte, el artículo 7 de la LOPDGDD, sobre el consentimiento de los menores de edad, indica que: 1.- El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela. Por todo ello, de conformidad con las evidencias de las que se dispone en el presente momento, respecto del consentimiento prestado para la utilización de los datos personales y de las imágenes de jugadores menores de edad por parte del Club, se puede constatar que su actuación no se contradice con lo estipulado en el artículo 6 del RGPD ni con lo estipulado en el artículo 7 de la LOPDGDD. IV B).- Sobre la denuncia de la NO existencia de “Política de Privacidad” en la web del club, indicar que, la información se proporciona en la página web: ***URL.3, y es, entre otras, la siguiente: “CLUB DEPORTIVO AVANCE (también CD AVANCE o “el Club”), pone a su disposición la presente información concerniente al tratamiento de sus datos personales a fin de que usted tenga conocimiento detallado sobre: •Por qué necesitamos tratar sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 •Qué datos suyos podemos tener y por cuánto tiempo. •Con quién los compartimos. •Cuáles son sus derechos al respecto y cómo puede ejercitarlos. CD AVANCE trata datos personales de las diferentes personas físicas inscritas en el club con las que se relaciona para llevar a cabo diversas actividades deportivas dentro de nuestras instalaciones físicas. Así sus datos personales pueden ser utilizados de diversas maneras y compartidos con diferentes personas dentro del club en función de cada una de las finalidades concretas para las que los necesitemos. A continuación, proporcionamos información detallada sobre cada uno de estos tratamientos de datos. En ningún caso llevamos a cabo decisiones exclusivamente automatizas ni perfilados que puedan afectarle gravemente y tampoco destinamos sus datos personales a finalidades ulteriores distintas a las reflejadas en este documento. Al mismo tiempo, indicar a todos los usuarios que la página web https://cdavance.com es un mero tablón de anuncios, donde no se recogen bajo ningún concepto datos de carácter personal. Por ello, la aplicación de la legislación vigente en cuanto al tratamiento de datos de carácter personal sobre la página web https://cdavance.com no es aplicable. ¿Quién es el Responsable del tratamiento de sus datos? - Identidad: CD AVANCE Club de Futbol Dirección postal: ***DIRECCIÓN.1 Contacto Oficina de Protección de Datos: ***EMAIL.1 A parte de la información anterior, también se proporciona información sobre los siguientes puntos: - Finalidad y legitimación del tratamiento de los datos personales Cómo se garantiza la seguridad de los datos Cómo se tratan los datos de menores de edad Por cuánto tiempo se conservan los datos Quiénes recibirán los datos Cuáles son los derechos en relación con el tratamiento de los datos Ante qué autoridad se puede ejercitar los derechos y las reclamaciones Cómo se puede contactar con el Delegado de Protección de Datos del club Otras cuestiones adicionales: Así las cosas, el artículo 13 del RGPD, sobre la información que debe facilitarse a los interesados cuando se recogen sus datos personales, indica: 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado (…)”. Por todo ello, de conformidad con las evidencias de las que se dispone en el presente momento, respecto de la Política de Privacidad de la página web reclamada, se puede constatar que no se contradicen lo estipulado en el artículo 13 del RGPD. V C).- Sobre la denuncia de la NO existencia de “Política de Cookies” en la web del club, indicar que dicha información se proporciona en la página web: ***URL.3, y es, entre otras, la siguiente: - qué son las cookies; tipos de cookies y sus finalidades. Se proporciona información sobre cookies propias y de terceros Para la desactivación o eliminación de las cookies se proporciona link a los navegadores que puedan estar instalado en el equipo terminal. Por su parte, el artículo 22.2 de la LSSI, indica: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. Por todo ello, de conformidad con las evidencias de las que se dispone en el presente momento, respecto de la existencia de “Política de Cookies” en la página web reclamada se puede constatar la existencia de la misma y que no contradice lo estipulado en el artículo 22.2 de la LSSI. VI Por tanto, de acuerdo con lo expuesto, no se aprecia infracción alguna en el marco de la protección de datos, por lo que, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al Club Deportivo AVANCE y al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es