PA-00052-2025

1/19  Expediente N.º: EXP202415305 (PA/00052/2025) RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO De las actuaciones practicadas por la Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 16 de octubre de 2024, se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la entidad CLUB JUDO DOJO TARRACO, con CIF.: G43853373 (en adelante, la parte reclamada), por una presunta vulneración del REGLAMENTO (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD). En el escrito de reclamación se manifiesta que la parte reclamada incumple la normativa de protección de datos en lo relativo a la política de privacidad que incluye en los documentos de recogida de datos personales pues no especifica los tratamientos a realizar; se establece un consentimiento general para distintos fines; se incluye la previsión de una comunicación de datos a terceros que considera incompatible con la finalidad del contrato, y no se informa de la posibilidad de revocar el consentimiento y de presentar una reclamación. Señala asimismo que se solicitan datos innecesarios para la finalidad de tratamiento, ya que, tras el pago a través de transferencia bancaria del primer trimestre del curso contratado y del seguro, se le solicitó la remisión a través de correo electrónico, lo que la parte reclamante considera no seguro. La parte reclamada le habría indicado que la información relativa a dichas transferencias era insuficiente, condicionando la continuidad del desarrollo del curso a la remisión de documentación adicional. Junto al escrito de reclamación se adjunta la siguiente documentación: - Formulario de inscripción en el que se recaban los datos personales del deportista y en el que se facilita la información relativa a la política de privacidad aplicable al tratamiento de dichos datos, en los siguientes términos: o C/ Jorge Juan, 6 28001 – Madrid “INFORMACIÓN SOBRE POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS De acuerdo con lo que establece el REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS 679/2016 DE LA UNIÓN EUROPEA, (RGPDUE), Vd. consiente en que sus datos sean recopilados y tratados por JUDO DOJO TARRACO con el fin de prestarle los servicios acordados y gestionar los datos para tareas asociadas de contacto, administrativas, y fiscal-contables que se deriven, tal como se indica en la información sobre protección de datos. Información sobre Protección de Datos: www.aepd.es sedeaepd.gob.es 2/19 Responsable: JUDO DOJO TARRACO Finalidad: Gestión de los datos necesarios con el fin de prestarle los servicios acordados y gestionar los datos para tareas asociadas de contacto, administrativas, y fiscal/contables. Legitimación: -El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. -El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación de medidas precontractuales. -El tratamiento es necesario 'para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Destinatarios: Los datos pueden ser compartidos con otros profesionales para la supervisión de la terapia. No se cederán datos a otros terceros “, salvo obligación legal. Derechos: Puede ejercer sus derechos de acceso, rectificación y supresión, así como otros que pueda tener reconocidos, tal y como se detalla en la Información adicional: Puede solicitar información adicional y detallada sobre la protección de datos en la siguiente dirección electrónica: ***EMAIL.1 En cumplimiento de la Ley 34/2002 de 11 de Julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI CE), Usted. Nos autoriza a remitir por medios electrónicos publicidad y comunicaciones que puedan ser de su interés y/o documentos para la correcta ejecución de la relación establecida. He leído, entendido y acepto la recogida de datos, Firma…” - Correo electrónico fechado el 07/10/24 enviado desde la dirección de correo ***EMAIL.1 a la dirección del reclamante con el siguiente mensaje: o C/ Jorge Juan, 6 28001 – Madrid “Hola Le escribo porque me consta que han pedido hablar con el responsable de las extraescolares del Club y para ayudar a desbloquear la situación creada. Nosotros, como receptores del pago de la extraescolar y del seguro, solicitamos el resguardo del mismo para poder disfrutar de la actividad. Esa es la norma para poder asistir a las clases. Hemos dejado unos días sin dejar a los niños fuera de la actividad porque entendemos que el principio de curso es complicado hasta que se coge la rutina y se fijan las agendas de los niños. Llegados a este punto, nos tenemos que poner más serios y no dejar patinar a los niños de los que no hayamos recibido el resguardo del pago. Si su angustia es que aparezcan los datos personales puede borrarlos o pedir un certificado bancario. Quedo a su disposición para cualquier aclaración, pero tenga en cuenta que mañana no podrán patinar si no tenemos el resguardo de los pagos. Si no le parecen bien nuestras normas, o forma de gestionar, no le podemos obligar a ello, y dado que es una actividad voluntaria puede buscar otro sitio, lo cual entenderíamos perfectamente, por lo que si solicita la baja, y dado la www.aepd.es sedeaepd.gob.es 3/19 excepcionalidad de la situación, le devolveríamos el abono realizado. Saludos”. SEGUNDO: De acuerdo con el mecanismo previo a la admisión a trámite de las reclamaciones que se formulan ante la AEPD, previsto en el artículo 65.4 de la LOPDGDD, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, o a estos cuando no los hubieren designado, y con la finalidad señalada en el referido artículo, se dio traslado de la reclamación a la parte reclamada para que procediera a su análisis y diera respuesta en el plazo de un mes. TERCERO: Con fecha 25 de noviembre de 2024, la parte reclamada presentó escrito de respuesta al traslado el que manifestaba, en síntesis, lo siguiente: - Que cuenta con el consentimiento del interesado y que los datos personales no son comunicados a terceros, salvo en los supuestos legalmente previstos. Las únicas cesiones se realizan a entidades y/o profesionales colaboradores en virtud de las bases legales aplicables, concretamente: a la Administración Tributaria, para el cumplimiento de obligaciones legales y a entidades financieras, para la gestión de los recibos. - Se afirma que no existe ningún otro tipo de cesión de datos, ni siquiera con fines de conservación, y que los interesados pueden ejercer sus derechos de acceso, rectificación, supresión, limitación del tratamiento y oposición, así como revocar el consentimiento, mediante solicitud acompañada de documento identificativo. - Asimismo, se informa siempre de la posibilidad de presentar reclamación ante la Autoridad de Control competente en materia de protección de datos, a través de su página web www.aepd.es, en caso de considerar vulnerados sus derechos. - Que los datos personales tratados han sido facilitados voluntariamente por el interesado, en el marco de la prestación de los servicios solicitados, y se limitan a las categorías de datos identificativos y, en su caso, datos bancarios necesarios para la domiciliación de los recibos. CUARTO: En fecha 16 de enero de 2025, de conformidad con el artículo 65.5 de la LOPDGDD, se admitió a trámite la reclamación presentada. QUINTO: En fecha 4 de febrero de 2025 tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación al considerarse que había sido atendida correctamente la reclamación presentada. SEXTO: En fecha 3 de marzo de 2025, la parte reclamante presentó recurso potestativo de reposición frente a la resolución dictada en el expediente EXP202415305, expresando su disconformidad con el contenido de la misma e interesando la continuación de la tramitación de la reclamación inicial. En síntesis, alegaba lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 - Solicitud injustificada de justificantes bancarios: el reclamado exige la remisión de resguardos de pago que contienen datos personales innecesarios, pese a haberse facilitado previamente información suficiente para identificar y verificar las transferencias, contraviniendo el principio de minimización de datos (art. 5.1.c RGPD). La exigencia se mantiene en periodos posteriores y bajo amenaza de exclusión de la menor de la actividad. - Deficiencias en la política de privacidad: el formulario de inscripción incluye menciones a cesiones de datos “para la supervisión de terapias” que el reclamado califica como error material, pero que se siguieron utilizando incluso después de detectada la supuesta incidencia. - Cesión de datos a terceros no informada: se constata la transmisión de datos personales (…) al Consell Comarcal del Tarragonès — Área d’Esports, a través de la aplicación “(…)”, sin haberlo informado en la política de privacidad, donde se indicaba que no se realizarían cesiones a otros terceros. - Información por capas incompleta o no accesible: la denominada “segunda capa” de información sobre protección de datos adolece de las mismas deficiencias que la primera, no fue distribuida a los interesados y únicamente se conoció a raíz de la tramitación del expediente, incumpliendo el deber de transparencia (art. 12 RGPD) y el derecho a la información (art. 13 RGPD). - Base jurídica indeterminada y consentimiento inválido: la política de privacidad presenta ambigüedad al invocar simultáneamente las bases jurídicas de ejecución contractual (art. 6.1.b RGPD) y consentimiento (art. 6.1.a RGPD), sin documentar adecuadamente la legitimación del tratamiento. En caso de basarse en el consentimiento, este sería inválido por no ser libre, informado, específico e inequívoco, al estar incluido como cláusula no negociable en el formulario. - Falta de motivación de la resolución impugnada: se denuncia la ausencia de motivación suficiente en la resolución de archivo, que no analiza el fondo de la reclamación ni valora presuntas infracciones de los arts. 5.1.c, 5.1.f, 13 y 32 RGPD, limitándose a afirmar que las peticiones fueron atendidas sin fundamentar dicha conclusión. SÉPTIMO: En fecha 3 de abril de 2025, se dio traslado del recurso interpuesto a la parte reclamada, de conformidad con lo previsto en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), a fin de que pudiera formular las alegaciones que estimara oportunas y aportar los documentos y justificantes que considerase pertinentes. OCTAVO: En fecha 21 de abril de 2025, la parte reclamada presentó escrito de alegaciones en el que exponía, en síntesis, lo siguiente: - Solicitud de justificante de pago: el Club afirma que no exige un documento específico, sino cualquier medio que permita acreditar la realización del pago por parte del participante, siendo aceptados justificantes, resguardos o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 certificados bancarios. Niega que se trate de una amenaza o reconocimiento de pago previo, sosteniendo que se trata de un requisito interno para vincular el pago con el alumno y evitar incidencias administrativas. - Error material en la información básica y cesión de datos: reconoce un error material en la información básica de protección de datos, que se corrigió en los formularios de inscripción, aunque no en el modelo de colonias —actividad que finalmente no se llevó a cabo ni generó recogida de datos—. Niega la existencia de una cesión oculta a terceros, justificando la comunicación de datos al Consell Esportiu del Tarragones en el marco del “Pla Català d’Esport a l’Escola”, como entidad competente para la gestión de la actividad, competiciones y seguros. - Información por capas: sostiene que la información básica del formulario se ajusta al modelo recomendado por la AEPD y que la información adicional (“segunda capa”) se encuentra disponible en el Club y puede solicitarse por los interesados. Niega que se haya creado un documento “ad hoc” para el expediente y aporta reporte digital para acreditar su autenticidad. NOVENO: En fecha 25 de abril de 2025, se dictó Resolución estimatoria del recurso de reposición interpuesto contra la resolución de esta Agencia de 4 de febrero de 2025, por la que se acordaba el archivo de la reclamación presentada frente al CLUB JUDO DOJO TARRACO, ordenándose la continuación de la tramitación ante la existencia de indicios de posibles incumplimientos de la normativa de protección de datos que requieren un análisis adicional. En particular, la resolución disponía lo siguiente: “(…) respecto a la información disponible a los usuarios, no se ha aportado evidencia de que la política de privacidad se haya corregido de modo que cumpla con los requisitos actualmente vigentes en materia de protección de datos personales, ni que se haya puesto a disposición de los interesados conforme a la normativa. Así como que Tampoco consta que la parte reclamada haya modificado la política de obtención del consentimiento para el tratamiento de datos personales con finalidad publicitaria, sin que se haya hecho mención al respecto ni en la respuesta a la actuación de traslado ni en la respuesta al trámite de audiencia del presente recurso de reposición. DÉCIMO: En fecha 2 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.

1. b)del mismo RGPD y por la presunta infracción del artículo 7 del RGPD, tipificada en el artículo 83.5.
2. a)del mismo RGPD. DÉCIMO PRIMERO: Notificado el acuerdo de inicio señalado en el antecedente anterior, en fecha 21 de octubre de 2025, la parte reclamada presenta escrito de alegaciones en el que manifiesta, en síntesis, lo siguiente: - Que ya en el recurso de reposición anterior aportó toda la información disponible y que se advirtió un error material en la primera hoja del formulario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 utilizado, error que el club corrigió de manera inmediata tras conocer la incidencia ocurrida en septiembre de 2024. - Sostiene que la información sobre la cesión de datos al Consell Esportiu aparecía correctamente reflejada en el propio formulario y también podía solicitarse por correo electrónico o consultarse presencialmente, por lo que —a su juicio— no existía intención de inducir a error, ni la información resultaba ambigua o insuficiente. Añade que la redacción de los formularios se ha mejorado y que los nuevos modelos se encuentran a disposición de los usuarios. - Afirma que siempre ha mantenido una actitud diligente y proactiva en materia de protección de datos, ajustándose a las recomendaciones de la AEPD y actuando de buena fe. Aporta información sobre las actuaciones realizadas para reforzar el cumplimiento del artículo 7 y 13 del RGPD, entre ellas: separar la obtención del consentimiento por finalidades distintas, mejorar la información incluida en la cláusula de privacidad, asegurar la identificación de los destinatarios, fijar los plazos de conservación, clarificar los criterios de cesión y reforzar la transparencia mediante la colocación de la información en tablones y envío electrónico a los interesados cuando lo soliciten. - Por último, solicita que se incorporen al expediente los documentos adicionales remitidos y afirma estar dispuesta a facilitar cualquier aclaración adicional si la instructora lo considera necesario. Junto al escrito de alegaciones, se presenta la siguiente documentación: - Formulario de inscripción del Club Judo Dojo Tarraco, mediante el cual se recaban datos identificativos, de contacto y bancarios con la finalidad de gestionar el alta del interesado y el desarrollo de la actividad deportiva. El documento incorpora, asimismo, las autorizaciones relativas a menores, la información sobre la licencia y el seguro del Consell Esportiu, las normas internas del club, la información básica en materia de protección de datos, el consentimiento para el envío de comunicaciones electrónicas y la autorización para el uso de imágenes. - Política de Privacidad del Club, en la que se proporciona la información adicional exigida por el Reglamento General de Protección de Datos (RGPD), detallando la identidad del responsable del tratamiento, las finalidades del mismo —gestión de usuarios, actividades y cobros—, los plazos de conservación, las bases jurídicas aplicables, los posibles destinatarios de los datos (entidades bancarias, Agencia Tributaria y Consell Esportiu), así como los derechos que asisten al interesado y las categorías de datos objeto de tratamiento, aportados directamente por el propio usuario. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19 PRIMERO: CLUB JUDO DOJO TARRACO responsable del tratamiento de los datos identificativos, de contacto y datos bancarios para la gestión de cobros de sus alumnos, recogidos a través del formulario de inscripción habilitado al efecto. SEGUNDO: En dicho formulario se incluye una cláusula de información básica de protección de datos, en la que se identifica al responsable del tratamiento, se describen las finalidades previstas, se enumeran varias bases jurídicas de legitimación, se mencionan determinados destinatarios, se indican los derechos de las personas interesadas y se facilita la dirección de correo electrónico ***EMAIL.1 para solicitar información adicional. No se indica claramente la finalidad de cada uno de los tratamientos que realiza y hace una referencia a una base de legitimación del tratamiento múltiple (datos necesarios para la ejecución de un contrato y consentimiento del interesado). No se informa de forma suficiente sobre el plazo de conservación de los datos o los criterios para determinarlo; tampoco se detalla el procedimiento para ejercer los derechos del interesado más allá de facilitar un correo electrónico. En el mismo documento se incorpora una referencia expresa a la autorización para el envío de comunicaciones electrónicas, así como un apartado relativo al uso de la imagen del alumno. Ambas autorizaciones figuran integradas en el propio formulario de inscripción y aparecen vinculadas al sistema general de aceptación del documento, sin constar la existencia de mecanismos diferenciados de aceptación o rechazo independientes para cada una de dichas finalidades, más allá de la cumplimentación y firma del formulario. En el momento de los hechos objeto de reclamación, la cláusula de información contenía referencias a cesiones “para la supervisión de terapias”. Consta que esta referencia ha sido eliminada con posterioridad. TERCERO: La Política de Privacidad del CLUB JUDO DOJO TARRACO, en el momento en que ocurrieron los hechos reclamados se identifica al responsable del tratamiento y se describen como finalidades del tratamiento de datos personales la gestión de altas, el desarrollo de actividades deportivas y la gestión de cobros. En dicho documento se mencionan de forma conjunta distintas bases jurídicas de legitimación del tratamiento, incluyendo la ejecución de una relación contractual, el consentimiento del interesado y el cumplimiento de obligaciones legales, sin constar en el propio texto la asignación concreta de cada base jurídica a finalidades determinadas. Asimismo, en la citada Política de Privacidad se indican como posibles destinatarios de los datos las entidades financieras, la Administración Tributaria y el Consell Esportiu del Tarragonès, y se enumeran los derechos reconocidos a las personas interesadas, señalándose que los datos personales tratados proceden de la aportación del usuario. Según se informa, dicha comunicación se realiza para la gestión del seguro obligatorio necesario para la práctica de la actividad deportiva, pero, ni el formulario ni la Política de Privacidad recogen información específica sobre el tratamiento derivado de la solicitud de resguardos bancarios para acreditar el pago de las actividades. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. Considerando la naturaleza de los hechos que han dado lugar a las actuaciones y las circunstancias concurrentes, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Síntesis de los hechos En fecha 16 de octubre de 2024 se presentó en esta Agencia Española de Protección de Datos una reclamación contra el CLUB JUDO DOJO TARRACO por presuntas irregularidades en la información ofrecida en su formulario de inscripción y en la forma de recabar y gestionar los datos personales de los participantes. El reclamante alegó que el documento no detallaba de forma adecuada los tratamientos realizados, incorporaba un consentimiento genérico para diversas finalidades, contemplaba cesiones no justificadas, omitía información relevante sobre los derechos de los interesados y exigía el envío de justificantes bancarios por correo electrónico como condición para continuar la actividad, pese a tratarse de un medio que consideraba inseguro y de datos innecesarios. La reclamación se acompañó del formulario de inscripción y de un correo electrónico remitido por el club, en el que se reiteraba la obligación de aportar el resguardo del pago para permitir la asistencia a las clases. Recibido el traslado inicial, la entidad sostuvo que actuaba conforme a la normativa y que los datos recabados eran necesarios para gestionar la actividad. Posteriormente, el reclamante interpuso recurso de reposición frente al archivo inicial, denunciando que persistían deficiencias informativas, que no se había comunicado adecuadamente la cesión de datos al Consell Comarcal del Tarragonès y que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 consentimiento recabado no era válido por no permitir una aceptación diferenciada de finalidades. Estimado el recurso, la Agencia acordó continuar la tramitación y en el curso de las actuaciones, la entidad reclamada procedió a revisar y actualizar su documentación interna, aportando un nuevo formulario de inscripción y una política de privacidad revisada, en los que se corrigieron las referencias erróneas, se desglosaron las finalidades del tratamiento, se separó la obtención del consentimiento para comunicaciones comerciales, se identificaron los destinatarios de los datos, se especificaron los plazos de conservación y se reforzó la transparencia mediante la puesta a disposición de la información en soportes accesibles. IV Contestación a las alegaciones presentadas La reclamada ha presentado escrito de alegaciones al acuerdo de inicio de procedimiento de apercibimiento, en el que, en síntesis, sostiene:
3. i)que la referencia a la “supervisión de la terapia” en la información básica de protección de datos obedecía a un mero error material ya corregido;
4. ii)que ha revisado y mejorado la cláusula de información básica y la política de privacidad, incorporando de forma expresa al Consell Esportiu del Tarragonès como destinatario de los datos, clarificando las bases de legitimación y separando la obtención del consentimiento para distintas finalidades; y iii) que su actuación ha sido siempre diligente, consciente y proactiva, habiendo puesto a disposición de los usuarios la nueva redacción mediante su exposición en los tablones del club y su utilización en los formularios de nuevas inscripciones, acompañando a tal fin el formulario actualizado y la política de privacidad detallada. En primer lugar, en cuanto al carácter de “error material” de la mención a la “supervisión de la terapia” incluida en la información básica del formulario de inscripción utilizado en el momento de los hechos, procede señalar que, con independencia de que la redacción derive de una plantilla previa o de un error en la transcripción, lo determinante a efectos del artículo 13 del RGPD es el contenido efectivo de la información facilitada a los interesados. La cláusula empleada en el formulario aportado por la parte reclamante contiene una referencia a “otros profesionales para la supervisión de la terapia” que resulta objetivamente incongruente con la actividad real del club (práctica deportiva en el ámbito escolar) y que no se corresponde con las operaciones de tratamiento que se llevan a cabo, generando confusión sobre las posibles cesiones de datos y la naturaleza del tratamiento. El hecho de que la entidad manifieste que se trata de una equivocación evidente no enerva, por sí mismo, la infracción del deber de información, pues lo cierto es que dicha cláusula formó parte del documento entregado a los usuarios y producía un contenido informativo inexacto y potencialmente engañoso en relación con los destinatarios y finalidades del tratamiento. En segundo lugar, ha de valorarse que la propia entidad reconoce que la corrección de la cláusula y la revisión de la información básica y adicional se produjeron a raíz de la incidencia detectada en septiembre de 2024 y, de forma más sistemática, en abril y junio de 2025, cuando se introdujo la nueva redacción, se incorporó expresamente al Consell Esportiu del Tarragonès como destinatario y se ajustaron las bases jurídicas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 la mecánica de obtención del consentimiento en la documentación puesta a disposición. En tercer lugar, respecto de la información por capas, la parte reclamada sostiene que la información básica incluida en el formulario se ajusta al modelo recomendado por la AEPD y que la información adicional puede solicitarse por correo electrónico y se encuentra expuesta en las instalaciones del club, negando que se haya elaborado un documento ad hoc para el expediente. Sin embargo, del conjunto de actuaciones practicadas se desprende que, en el momento de los hechos, la denominada “segunda capa” de información no fue efectivamente entregada o puesta a disposición de forma accesible y directa a los interesados, sino que su existencia y contenido solo se conocieron con ocasión de la tramitación del expediente y a raíz de las posteriores alegaciones de la entidad. Ello no satisface las exigencias de los artículos 12 y 13 del RGPD, que imponen que la información sobre el tratamiento sea fácilmente accesible, comprensible y proporcionada en el momento de la recogida de datos, sin que pueda condicionarse a que el interesado conozca de antemano su existencia y deba solicitarla activamente por su iniciativa. En cuarto lugar, la nueva documentación aportada por la parte reclamada –formulario actualizado y política de privacidad detallada– muestra una mejora apreciable en la estructuración de las finalidades, la identificación de los destinatarios (incluidas entidades bancarias, Administración Tributaria y Consell Esportiu del Tarragonès), la delimitación de las bases jurídicas (ejecución de contrato para la gestión ordinaria y consentimiento para comunicaciones electrónicas) y la descripción de los plazos de conservación y de los derechos de los interesados. Esta mejora, sin embargo, tiene un doble efecto jurídico: por una parte, confirma que la redacción anterior era menos precisa, ambigua en cuanto a la legitimación y deficiente en la identificación de cesiones, lo que abona la existencia de un incumplimiento previo del artículo 13 RGPD; por otra, permite apreciar que la entidad ha adoptado medidas correctivas razonables tras la intervención de esta Agencia. En quinto lugar, en relación con el consentimiento, la parte reclamada alega que ha revisado la redacción de las cláusulas para asegurar que, cuando la base jurídica sea el consentimiento, este se manifieste como una acción libre, informada, específica e inequívoca, y que no se perciba como cláusula no negociable del formulario. De la documentación aportada se desprende que, en la versión actual, la obtención del consentimiento para el envío de comunicaciones electrónicas y para el uso de la imagen se articula mediante casillas de aceptación diferenciadas, lo que se ajusta a la exigencia del artículo 7 del RGPD. No obstante, tal configuración responde a la situación posterior a la reclamación y a la estimación del recurso de reposición, mientras que en el momento de los hechos el reclamante cuestionó precisamente que el consentimiento se encontrara integrado en una cláusula general de aceptación del formulario, sin plena posibilidad de otorgar o denegar separadamente cada finalidad. Por tanto, la posterior separación y clarificación del consentimiento no impide apreciar que, en la fase inicial, el diseño del formulario podía comprometer las garantías de un consentimiento libre y específico, aspecto que justifica la subsunción de los hechos en el artículo 7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 Por último, en cuanto a la invocada actitud “diligente y proactiva” del club y a la petición de que se confirme el archivo acordado en febrero de 2025, debe indicarse que la resolución estimatoria del recurso de reposición ya dejó sin efecto dicho archivo precisamente porque se apreciaron indicios de posibles incumplimientos de los artículos 7 y 13 del RGPD que requerían un análisis adicional. A la vista de las alegaciones actualmente formuladas y de la documentación aportada, puede concluirse que la entidad ha avanzado en la adecuación de sus cláusulas informativas y mecanismos de consentimiento, pero ello no desvirtúa la infracción acreditada en el momento de los hechos. En consecuencia, las alegaciones formuladas por la parte reclamada no desvirtúan la apreciación de que, en el momento de los hechos, la información facilitada a los interesados no cumplía íntegramente con las exigencias del artículo 13 del RGPD ni que el diseño inicial del consentimiento planteaba deficiencias relevantes a la luz del artículo 7 del RGPD. V Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que JUDO DOJO realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas que se inscriben en el club de judo (nombre y apellido, fecha de nacimiento y correo electrónico, etc.). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 La entidad reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. VI Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado: artículo 13 del RGPD El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
6. b)los datos de contacto del delegado de protección de datos, en su caso;
7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
11. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
12. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
13. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
14. d)el derecho a presentar una reclamación ante una autoridad de control;
15. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar la existencia de decisiones automatizadas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." El artículo 13 RGPD establece que, cuando los datos personales se obtengan del propio interesado, el responsable del tratamiento deberá facilitar, en el momento de su recogida, la información mínima recogida en sus apartados 1 y 2, incluyendo, entre otros extremos, la identidad y datos de contacto del responsable, la finalidad y base jurídica del tratamiento, los destinatarios de los datos, el plazo de conservación, la existencia de derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición, y, en su caso, la existencia de decisiones automatizadas y transferencias internacionales. De conformidad con los artículos 4.1, 4.2 y 4.7 RGPD, la parte reclamada actúa como responsable del tratamiento al determinar los fines y medios de la recogida y tratamiento de datos personales de los participantes (datos identificativos, de contacto y otros necesarios para la gestión de la actividad). El expediente se inicia como consecuencia de la posible vulneración del artículo 13 del RGPD, que exige que, cuando los datos personales se obtienen directamente del interesado, el responsable del tratamiento facilite —en el momento de su recogida— una información mínima que incluya, entre otros elementos, la identidad y datos de contacto del responsable, las finalidades y bases jurídicas del tratamiento, los destinatarios, el plazo de conservación, los derechos y la forma de ejercerlos. Con base en la documentación que obra en el expediente, se constató que CLUB JUDO DOJO TARRACO, responsable del tratamiento de los datos identificativos, de contacto y bancarios de sus alumnos, utilizaba un formulario de inscripción que incorporaba una cláusula de información básica y una política de privacidad adicional. Del análisis conjunto de ambos documentos se desprendían las siguientes circunstancias: - El formulario de inscripción incorporaba la información básica relativa al responsable del tratamiento, finalidades, bases jurídicas, destinatarios y derechos de los interesados; no obstante, contenía referencias a cesiones “para la supervisión de terapias” que el propio Club ha reconocido como erróneas y que, además, se mantuvieron en los modelos utilizados con posterioridad. - Tanto en el formulario como en la política de privacidad se recogía una base jurídica múltiple (ejecución contractual y consentimiento), sin indicar claramente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 qué finalidad se vincula a cada una de ellas, lo que dificultaba la identificación de la base aplicable en cada tratamiento. - La documentación aportada no reflejaba de manera completa todos los elementos exigidos por el artículo 13 RGPD. En particular, no se informa de forma suficiente sobre el plazo de conservación de los datos o los criterios para determinarlo; tampoco se detalla el procedimiento para ejercer los derechos del interesado más allá de facilitar un correo electrónico. - Consta que se realizaba una comunicación de datos al Consell Esportiu del Tarragonès para la gestión del seguro deportivo, pero esta cesión no aparecía identificada en el modelo inicial de información básica aportado. - Se solicitaba la aportación de resguardos bancarios por correo electrónico para acreditar pagos, lo que implicaba un tratamiento adicional de datos identificativos y bancarios, sin que constase una ampliación o actualización de la información precontractual o del mecanismo de información al efecto. De este modo, los documentos analizados revelaban deficiencias en la información proporcionada a los interesados en el momento de la recogida de los datos, en particular por la existencia de elementos erróneos, información incompleta y ausencia de claridad respecto a determinados extremos obligatorios del artículo 13 RGPD. De la documentación aportada por la reclamada en su escrito de alegaciones de fecha 21/10/2025 se constata que el formulario de inscripción actualmente utilizado por la entidad contiene información básica sobre el responsable del tratamiento, las finalidades, las bases jurídicas, los destinatarios, el tiempo de conservación de los datos los derechos de los interesados y a través de qué medio solicitar información adicional y el ejercicio de derechos, eliminándose la referencia a la cesión de datos “para la supervisión de terapias”. Sobre la cesión de datos al Consell Esportiu del Tarragonès aparece identificada tanto en la primera como en la segunda capa de información, indicando que dicha comunicación se realiza para la gestión del seguro obligatorio necesario para la práctica de la actividad deportiva y se constata que, ni el formulario ni la Política de Privacidad recogen información específica sobre el tratamiento derivado de la solicitud de resguardos bancarios por correo electrónico para acreditar el pago de las actividades. VII Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de Prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…) "
16. b)los derechos de los interesados a tenor de los artículos 12 a 22;" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
17. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica." VIII Obligación incumplida. Condiciones para recabar el consentimiento: artículo 7 del RGPD El artículo 4.11) del RGPD determina qué es el consentimiento a los efectos del RGPD, indicando que es "toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen", siendo una de las bases jurídicas que permiten el tratamiento de los datos personales en los términos del artículo 6.1.
18. a)del RGPD. El artículo 7 del RGPD regulador de las condiciones del consentimiento establece que, "1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato". Asimismo, el artículo 6 de la LOPDGDD determina que: "1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual". En el supuesto examinado se aprecia la existencia de indicios suficientes de que el consentimiento recabado por la entidad reclamada no reunía los requisitos de validez exigidos por el artículo 7 del RGPD. En particular, se constató que el formulario de inscripción utilizado incluía, bajo una única firma y sin delimitación funcional, diversas manifestaciones de voluntad dirigidas a finalidades claramente diferenciables: la aceptación de las condiciones del servicio, el consentimiento para el tratamiento de los datos personales necesario para la prestación de dicho servicio y la autorización para el envío de comunicaciones electrónicas con fines comerciales. Esta configuración impedía que el consentimiento prestado pudiera considerarse libre, en la medida en que vinculaba finalidades necesarias y no necesarias en un solo acto; específico, al no permitir al interesado seleccionar de forma separada y consciente cada finalidad del tratamiento; informado, al no ofrecer información suficiente y desglosada sobre la base jurídica y las consecuencias asociadas a cada tratamiento; e inequívoco, al no proporcionar un mecanismo claro de acción afirmativa independiente para cada una de las finalidades. No obstante, en la documentación aportada por la parte reclamada con fecha 21 de octubre de 2025, consta que la entidad ha procedido a modificar el sistema de obtención del consentimiento, introduciendo mecanismos de separación por finalidades que permiten al interesado otorgarlo o denegarlo de forma diferenciada, particularmente en lo relativo a la recepción de comunicaciones comerciales. IX Tipificación de la infracción del artículo 7 del RGPD y calificación a efectos de Prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
19. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
20. c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento." X Apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, el artículo 58.2 del RGPD atribuye a las autoridades de control, entre otros, los siguientes poderes correctivos: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
21. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento.” Por su parte, el artículo 64.3 de la LOPDGDD, establece que la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” De los hechos probados se desprende que la entidad CLUB JUDO DOJO TARRACO, en su condición de responsable del tratamiento, llevó a cabo la recogida y tratamiento de datos personales de los usuarios inscritos en sus actividades deportivas mediante la utilización de formularios de inscripción y documentos informativos que, al menos durante el periodo comprendido entre el 16 de octubre de 2024 —fecha en que esta Agencia tuvo conocimiento de los hechos— y el 21 de octubre de 2025, presentaban deficiencias relevantes tanto en la información facilitada a los interesados en el momento de la recogida de los datos como en el sistema de obtención del consentimiento. En particular, respecto del deber de información, se constata que los modelos utilizados incluían referencias inexactas o incongruentes sobre determinadas cesiones de datos, no identificaban de forma clara y completa todos los destinatarios del tratamiento, invocaban de manera simultánea distintas bases jurídicas sin vinculación expresa a finalidades concretas, no incorporaban criterios específicos sobre los plazos de conservación de los datos y no contemplaban de forma diferenciada el tratamiento derivado de la solicitud y recepción de justificantes o resguardos bancarios remitidos por los usuarios a través de correo electrónico. Tales circunstancias suponen un incumplimiento de las exigencias establecidas en el artículo 13 del RGPD, que impone al responsable la obligación de facilitar, en el momento de la recogida de los datos, una información clara, accesible y completa sobre el tratamiento. Asimismo, en relación con las condiciones de validez del consentimiento, se ha constatado que el formulario de inscripción utilizado integraba, bajo una única cláusula y mediante una sola firma, diversas manifestaciones de voluntad relativas a finalidades diferenciadas, incluyendo la aceptación de las condiciones del servicio, el consentimiento para el tratamiento de los datos necesarios para la prestación de la actividad y la autorización para el envío de comunicaciones con fines comerciales. Esta configuración no permitía una manifestación de voluntad separada e independiente para cada una de las finalidades, afectando a las garantías exigidas por el artículo 7 del RGPD en cuanto a que el consentimiento sea libre, específico, informado e inequívoco. De acuerdo con las circunstancias del caso procede dirigir un apercibimiento a la entidad CLUB JUDO DOJO TARRACO por la infracción de los artículos 13 y 7 del RGPD, al haber utilizado, al menos durante el periodo comprendido entre el 16 de octubre de 2024 y el 21 de octubre de 2025, modelos de información y formularios de obtención del consentimiento que no se ajustaban a las exigencias de transparencia y a las condiciones de validez del consentimiento establecidas en la normativa vigente. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a la entidad CLUB JUDO DOJO TARRACO, con CIF.: G43853373, por la infracción del artículo 13 del RGPD, tipificada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 en el artículo 83.5.
22. b)del mismo RGPD y por la infracción del artículo 7 del RGPD, tipificada en el artículo 83.5.
23. a)del mismo RGPD, sin imposición de medidas. SEGUNDO: NOTIFICAR la presente resolución a la entidad CLUB JUDO DOJO TARRACO. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/ ], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es