PS-00037-2019

1/4 Procedimiento Nº: PS/00037/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA, en virtud de reclamación presentada por A.A.A. (en adelante, el reclamante) en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. con fecha 16 de octubre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA con NIF G11712585 (en adelante, el reclamado). Los motivos en que basa la reclamación son que el CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA al que pertenece, a lo largo del procedimiento del expediente disciplinario que inició contra el reclamante desde noviembre de 2017 hasta junio de 2018, ha facilitado a todos los socios de dicho club, documentación en la que aparecen datos como su nombre, NIF, domicilio, teléfono, email, y lugar de trabajo, así como los nombres y NIF de los socios que usted propuso como testigos durante la fase de instrucción de dicho expediente disciplinario. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, de conformidad con lo establecido en el Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). TERCERO: Con fecha 13 de febrero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1

1. f)del RGPD de conformidad con lo previsto en el artículo 83.5.
2. a)del RGPD y tipificada a efectos de prescripción según el artículo 72.1
3. a)de la LOPDGDD, imputable al reclamado. CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones, manifestando que en respuesta al requerimiento de este Organismo ha llevado a cabo las siguientes medidas:  comunicar al Sr. A.A.A. la anulación de la sanción impuesta.  reclamar a cada uno de los socios que retiraron copia del expediente sancionador, a fin de que lo presenten en las dependencias del club. QUINTO: Con fecha 08/03/2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/08391/2018, así como los documentos aportados por el reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 HECHOS PROBADOS PRIMERO: El CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA ha facilitado a sus socios el acceso a documentación en la que aparecen datos como nombre, NIF, domicilio, teléfono, email, y lugar de trabajo del reclamante, así como los nombres y NIF de los socios que el reclamante propuso como testigos durante la fase de instrucción del expediente disciplinario que dicho club inició contra el reclamante. SEGUNDO: El 10 de enero de 2019, remite escrito a la Agencia Española de Protección de Datos, manifestando que en respuesta al requerimiento de este Organismos ha llevado a cabo las siguientes medidas:  comunicar al reclamante la anulación de la sanción impuesta.  reclamar a los socios que lo solicitaron, la devolución del documento donde aparecen los datos del reclamante (nombre, NIF, domicilio, teléfono, email, y lugar de trabajo), así como los nombres y NIF de los socios que el reclamante propuso como testigos durante la fase de instrucción del expediente disciplinario que dicho club inició contra el reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Además, el artículo 5.1
4. f)establece que los datos personales deberán ser tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). III De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA ha facilitado a sus socios el acceso a documentación en la que aparecen datos como nombre, NIF, domicilio, teléfono, email, y lugar de trabajo del reclamante, así como los nombres y NIF de los socios que el reclamante propuso como testigos durante la fase de instrucción del expediente disciplinario que dicho club inició contra el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 IV Los hechos conocidos son constitutivos de una infracción según el artículo 83.5.
5. a)del RGPD y tipificada a efectos de prescripción según el artículo 72.1
6. a)de la LOPDGDD, imputable al reclamado, por vulneración del artículo 5.1
7. f)del RGPD, que señala que “los datos personales deberán ser tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)” V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
8. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
9. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
10. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; El art. 83.5 del RGPD establece que se sancionarán las infracciones que afecten a: “
11. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
12. b)los derechos de los interesados a tenor de los artículos 12 a 22.” VI En el presente caso, se considera que el CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA ha facilitado a sus socios el acceso a documentación en la que aparecen datos como nombre, NIF, domicilio, teléfono, email, y lugar de trabajo del reclamante, así como los nombres y NIF de los socios que el reclamante propuso como testigos durante la fase de instrucción del expediente disciplinario que dicho club inició contra el reclamante, infringiendo lo establecido en el art. 5 .1
13. f)del RGPD. VII De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- IMPONER a CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA con NIF G11712585, por una infracción del artículo 5.1
14. f)del RGPD de conformidad con lo previsto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 en el artículo 83.5.
15. a)del RGPD y tipificada a efectos de prescripción según el artículo 72.1
16. a)de la LOPDGDD, una sanción de apercibimiento. 2.- REQUERIR a CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA con NIF G11712585, para que en el plazo de un mes desde este acto de notificación acredite ante este organismo la adopción de todas las medidas técnicas u organizativas necesarias para que los datos personales que obran en su base de datos, sean tratados de tal manera que se garantice una seguridad adecuada en su uso según la normativa vigente de protección de datos, incluida la protección contra el tratamiento no autorizado o ilícito de conformidad con el principio de «integridad y confidencialidad»”, regulado en el art. 5.1
17. f)RGPD. Las cuales deberán ser aplicables no sólo para este caso concreto, sino para posibles supuestos futuros, es decir, con todos los socios, garantizando una seguridad adecuada en el tratamiento de datos personales, protegiendo la integridad y confidencialidad de conformidad con el art. 5.1
18. f)RGPD, así como el cumplimiento de toda la normativa de protección de datos en general. 3.- NOTIFICAR el presente Acuerdo a CLUB RECREATIVO DEPORTIVO PARQUE CARTUJA con NIF G11712585 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es