← España

PS-00042-2023

1/16  Expediente N.º: EXP202204794 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11/04/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra CLUB VOLEIBOL ***CLUB.1 con NIF G67697904 (en adelante, la parte reclamada) por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es padre de tres menores de edad y que dos de ellos han sido matriculados por la madre de los menores, sin consultar o consensuar dicha matriculación con la parte reclamante, en el Club reclamado. En fecha 16/02/2022, fue incorporado al Grupo de WhatsApp de alevines del Club en el que figuraba inscrito uno de sus hijos, pero, el 28/02/2022, se le excluye del mismo. A pesar de haber facilitado su número de teléfono para ser reincorporado al Grupo que sirve como interlocución con los padres de los menores, se le ha restringido el acceso al mismo. Tampoco se le ha incorporado al Grupo de WhatsApp de cadetes en el que están inscrito sus otros dos hijos. Además, la parte reclamada ha publicado imágenes en sus redes sociales de, al menos, uno de sus hijos, sin haber recabado su consentimiento, contando únicamente con el consentimiento de la madre, lo que entiende insuficiente. Por otro lado, ha solicitado acceso a la ficha de inscripción de los menores y hoja de consentimiento para el tratamiento de datos de estos. En este sentido, la parte reclamada, en fecha 03/04/2022, le responde que la documentación requerida es accesible a través de la madre de las menores, que se erige interlocutora de los mismos con el Club y le remiten a esta para que lo solicite a ella, entendiendo la parte reclamante que la respuesta es inadecuada y contraria a la normativa de protección de datos. Aporta copia de los correos intercambiados con la reclamada. Aporta, entre otra, la siguiente documentación: - Conversaciones de WhatsApp en el Grupo “***GRUPO.1” entre los días 16/02/2022 y 28/02/2022. Se publican varias fotografías en las que aparece uno de los hijos de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Conversaciones de WhatsApp mantenidas entre la parte reclamante y ***TELÉFONO.1 (teléfono móvil cuya titularidad correspondería a B.B.B., (…)) entre los días 28/02/2022 y 03/03/2022. - Copia del Libro de Familia y del Certificado de empadronamiento de la parte reclamante y de sus tres hijos. - Copia de la Sentencia ***SENTENCIA.1, de 29/04/2021, de modificación de medidas de guarda y custodia de los hijos menores. Se establece que, a partir del 31/08/2021, la guarda y custodia de los tres menores pasa a ser compartida. - Correos electrónicos intercambiados entre la parte reclamante y la reclamada, entre el 03/03/2022 y 03/04/2022, para el restablecimiento del derecho a la información de los hijos menores de la parte reclamante, así como de solicitud de información. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 22/04/2022 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 03/05/2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 17/05/2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 11/07/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Tras haber realizado requerimiento de información a la parte reclamada, esta contestó el 09/09/2022 manifestando que “El motivo por el cual se decide no añadir ni dar ninguna información a esta persona es que el Club no es capaz de identificarlo en persona, pues sólo quería hablar vía WhatsApp o mail, y obviamente sin conocer ni identificar a una persona este Club no puede ingresar en diferentes grupos donde hay menores a personas desconocidas. Es la madre, con la que el club tiene trato, la responsable cara al club de los 3 niños y la única que se encarga de que los niños vengan a la actividad y del pago de las cuotas de las mismas, además es esta la que no nos autoriza a dar ningún tipo de información, ni añadir a nadie a ningún grupo para información de sus hijos que no sea ella”. Añade que “la causa que ha motivado la incidencia que ha originado la reclamación ha sido la negativa del Club a entregar datos personales de menores a una persona totalmente desconocida y NO identificada por este Club y que había sido pedido expresamente por la madre de los niños”. Asimismo, indica que “todos los datos son lo justo que se solicita en la federación para poder dar de alta a esos jugadores y que tengan un seguro deportivo para su competición”. En concreto, “tratamos los nombres, apellidos, direcciones, datos de contacto de padres que así lo soliciten, datos médicos sobre lesiones o enfermedades que puedan ser un problema para la práctica deportiva y autorización de los padres para aceptar que publiquemos fotos de sus hijos en redes sociales y en grupos de mensajería”. También, señala que “el único responsable de las personas que pertenecen a los grupos de WhatsApp es el presidente del Club. Los datos que se dan son los horarios de entrenamientos o suspensión de los mismos, horarios y ubicación de los partidos y cualquier otro tipo de información relevante para la realización de la actividad. También los usan los padres para compartir las fotos o videos que hacen en los partidos para todos los usuarios de dicho grupo. Todos los padres que están en el grupo son los registrados en el formulario que rellenan a principio de temporada como responsables de esos niños y aceptan este tipo de cosas de los grupos de WhatsApp y redes sociales”. Matiza que “en los grupos se publica libremente, ya que es algo que los progenitores así aceptaron a la vez que inscribían a sus hijos en el Club, la persona responsable de que las conversaciones y fotos sean las debidas en el presidente del Club, es decir en caso de alguna foto o comentario no debida el presidente se ocupa de eliminarla. El único responsable y con acceso a las redes sociales, instagram y facebook, es el presidente del club”. En respuesta al segundo requerimiento de información realizado, el 10/01/2023 la parte reclamada facilita el enlace al formulario que se debe rellenar para inscribir a los menores en el CLUB VOLEIBOL ***CLUB.1 en las temporadas 2021-2022 y 20222023. Además, adjunta los pdfs de las inscripciones de los niños solicitados. QUINTO: Con fecha 30/03/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 artículos 6.1 y 15 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificadas en el artículo 83.5.

  1. a)y
  2. b)del RGPD. Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, fue entregado a la parte reclamada el 30/03/2023. SEXTO: Con fecha 14/04/2023, la parte reclamada presentó escrito, en tiempo y forma, ante esta Agencia en el que manifiesta que no es responsable de las imágenes publicadas en el mencionado grupo donde aparece uno de los hijos menores de la parte reclamante, ya que son los padres de los otros jugadores del Club quienes comparten las fotografías. Así pues, el Club solo trata los datos personales de los padres que previamente hubieran autorizado su inclusión, como sucede en el presente caso. Asimismo, entiende que no es necesario recabar el consentimiento de ambos progenitores para poder tratar los datos personales y divulgar imágenes de los menores de edad con fines publicitarios, ya que no se trata de “una cuestión con una relevancia comparable a un tratamiento médico”. En relación con la supuesta infracción del artículo 15 del RGPD, la parte reclamada indica que, a raíz de la incoación del presente procedimiento sancionador, atendió el derecho de acceso ejercido por la parte reclamante en representación de sus tres hijos menores. Añade que, a fin de adecuar su actividad al cumplimiento de la normativa de protección de datos de carácter personal, ha aprobado y difundido el “Protocolo de atención de derechos”. Junto al escrito de alegaciones acompaña la siguiente documentación: - Cláusula informativa en materia de protección de datos que suscriben los padres de los jugadores menores. - Guía de uso y buenas prácticas de multiplataforma Whatsapp. - Protocolo de atención a los derechos de los interesados aprobado por el Club Voleibol ***CLUB.1. - Copia del correo electrónico, de fecha 13/04/2023, enviado por la parte reclamada (***EMAIL.1) a la parte reclamante (***EMAIL.2), con el asunto “Formulario inscripción y consentimiento tratamiento de datos”. SÉPTIMO: Con fecha 03/11/2023, el órgano instructor del procedimiento acordó la apertura de un período de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, así como las alegaciones al acuerdo de inicio del presente procedimiento sancionador presentadas por la parte reclamada y la documentación que a ellas acompaña. OCTAVO: Con fecha 17/11/2023, el órgano instructor elaboró una propuesta de resolución en la que se proponía sancionar con una multa de 1.500€ y 500€ a la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 reclamada, por las infracciones de los artículos 6.1 y 15 del RGPD, tipificadas en el artículo 83.5.
  3. a)y b), respectivamente. La propuesta de resolución se notificó a la parte reclamada a través de medios electrónicos el 20/11/2023, como consta en el acuse de recibo que obra en el expediente. Con fecha 04/12/2023, la parte reclamada presentó, en tiempo y forma, escrito de alegaciones ante esta Agencia en el que reitera lo manifestado en el escrito de alegaciones al acuerdo de inicio y, además, indica que en ningún momento la parte reclamante mostró ante el Club oposición alguna a que se traten los datos de los menores. Su petición se centró únicamente en ser reincorporado al grupo de WhatsApp. Con respecto a la infracción del artículo 15 del RGPD, la parte reclamada alega un error en la documentación anexa al escrito de alegaciones al acuerdo de inicio donde no adjuntó el contenido del link con el formulario de inscripción que facilitó a la parte reclamante en el correo electrónico de 14/04/2023. Junto al escrito aporta la siguiente documentación: - Documentación acreditativa de la atención al derecho ejercido por el reclamante. - Consentimientos firmados por parte de los propios menores (ya con 14 años). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En la Sentencia nº ***SENTENCIA.1, de 29/04/2021, dictada por el Juzgado de Primera Instancia ***JUZGADO.1, se acordó la modificación de medidas estableciéndose un régimen de custodia compartida de los tres menores entre la parte reclamante y la madre de estos desde el 31/08/2021. SEGUNDO: El 27/10/2021 a las 20:03 horas, el número móvil ***TELÉFONO.1, línea telefónica correspondiente a B.B.B., (…) del CLUB VOLEIBOL ***CLUB.1, creó el grupo de WhatsApp “***GRUPO.1”. TERCERO: El 16/02/2022 a las 21:51 horas, el número móvil +***TELÉFONO.2, línea telefónica correspondiente a la entrenadora de la categoría alevín del CLUB VOLEIBOL CUARTE DE HUERVA, añadió a la parte reclamante al grupo de WhatsApp “***GRUPO.1”. En la captura de pantalla aportada por la parte reclamante, se observa que el grupo está compuesto por 20 personas y que los administradores: - ***TELÉFONO.2 (…) ***TELÉFONO.3 (…) ***TELÉFONO.1 (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 CUARTO: El 17 y 19/02/2022, el número móvil ***TELÉFONO.2 (…) envió al grupo de WhatsApp “***GRUPO.1” un total de 7 imágenes de las cuales 6 muestran el rostro sin pixelar de un grupo de menores de edad, entre los que aparece uno de los hijos de la parte reclamante. QUINTO: El 28/02/2022 a las 17:46 horas, el (…) del CLUB VOLEIBOL ***CLUB.1 (***TELÉFONO.1) eliminó del grupo de WhatsApp “***GRUPO.1” a la parte reclamante, tras enviar el siguiente mensaje: “Hola buenas tardes, desde el club, estamos revisando las normas sobre protección de datos sobre vuestros hij@s, dado que ya hemos comenzado con los partidos y pasaremos tanto, ubicaciones, fotografías, vídeos… Y viendo que hay personas en el grupo de las cuales ya dieron de baja a sus hij@s o no tengo conocimiento alguno… Eliminaré todos los teléfonos para mí desconocido, dejando solo los números que dejasteis en las inscripciones como responsables legales de los jugador@s. Cualquier cosa, la persona responsable que nos aparece en la ficha, que nos escriba y dejaremos constancia de los cambios de teléfonos e información. Un saludo y disculpar por las molestias. Att (…). D. B.B.B..” SEXTO: Entre el 28/02/2022 y el 03/03/2022, la parte reclamante contactó en varias ocasiones a través de WhatsApp con el (…) del Club Voleibol ***CLUB.1(***TELÉFONO.1), solicitando su reincorporación al grupo de WhatsApp “***GRUPO.1” y su inclusión en el de “(…)”, categorías en la que están inscritos sus tres hijos menores de edad. Le remite copia del Libro de Familia y de la Sentencia ***SENTENCIA.1. El (…) se limitó a responder que la madre de los menores es la única que figura en la ficha de inscripción como responsable, debiendo contactar esa persona con el Club para que se añadan los datos de la parte reclamante como responsable y, posteriormente, poder incluirle en los grupos de WhatsApp. SÉPTIMO: El 04/03/2022 a las 01:09 horas, la parte reclamante (***EMAIL.3) envió un correo electrónico a la dirección electrónica de la parte reclamada (***EMAIL.2), con el asunto “Restablecimiento del derecho a la información de los menores (…)”. El contenido es el siguiente: “Buenas tardes XXXX. No te he respondido antes, al no ver clara tu respuesta. Por lo cual he solicitado consulta legal. En el mensaje al grupo de WhatsApp “(…)” del Club de Voleibol ***CLUB.1del que formaba parte señalabas: dado que ya hemos comenzado con los partidos y pasaremos tanto, ubicaciones, fotografías, vídeos… Y viendo que hay personas en el grupo de las cuales ya dieron de baja a sus hij@s o no tengo conocimiento alguno… Eliminaré todos los teléfonos para mí desconocidos, dejando solo los números que dejasteis en las inscripciones como responsables legales de los jugadores. Tras haberme eliminado del grupo de WhatsApp “(…)” y en respuesta te facilité mi teléfono y copia de los documentos sobre la patria potestad y filiación de los menores que fijan claramente que soy RESPONSABLE LEGAL DE LOS MENORES. Me responden que “esto desde la persona que tenemos autorizada como responsable, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 que ahora mismo no sé quién es que todos los datos los lleva persona que tenemos contratada para las gestiones”. Tu mensaje y tu respuesta me resultó comprensible ante lo delicado del manejo de información de menores en clubes deportivos. Por lo que solicité el “teléfono o correo de contacto de esa persona y le doy traslado de la documentación”. En respuesta a esta petición me respondes “Pues en la ficha la persona responsable sale la madre, a través de ella es el conducto para añadir”. Me indicas que para que sea “Readmitido” en el grupo de WhatsApp de (…), del que eres administrador, ha de consentir la madre. Ambos progenitores tenemos la custodia compartida y la patria potestad de los tres menores, debiendo estar puntualmente informados y en igualdad de todo lo relacionado con la formación y desarrollo integral de los hijos. Así pues, te solicito que restituyas mi derecho a seguir recibiendo información sobre la actividad y formación deportiva que desarrollan los tres menores en el del Club de Voleibol ***CLUB.1 del que eres presidente. En relación con XXXXXX en el grupo de WhatsApp de “(…)”. Y, en cuanto a XXXX y XXXXXXX, de ser cierto lo que señalan los niños, el Club tiene un grupo de Wasap “(…)” donde se informa sobre la actividad deportiva vinculada con la categoría en las que amos menores participan. En este caso, por favor, me añades al grupo con el fin de recibir también información deportiva de XXXX y XXXXXX. Por todo lo anteriormente expuesto, solicito se me reintegre mi derecho a estar puntualmente informado de todo lo relacionado con la actividad y formación deportiva que desarrollan los tres menores en el Club de Voleibol Cuarte de Huerva. En caso de rechazo y no aceptación me traslades los fundamentos de derecho que estimes para denegarme este derecho. Atentamente. Saludos. XXXXXXX.” OCTAVO: El 04/03/2022 a las 14:43 horas, la parte reclamante (***EMAIL.1) envió un nuevo correo electrónico a la parte reclamada (***EMAIL.2), con el asunto “Solicitud documentación”. El contenido es el siguiente: “Buenos días, XXXX A la espera de una respuesta que deseo sea a la mayor brevedad posible, te solicito una copia del formulario de inscripción y la hoja del consentimiento sobre el tratamiento de datos personales e imagen de los menores que obra en poder del Club referidos a (…). Queda sobreentendido que la copia que me envíes debe salvaguardar los datos de terceras personales y de la madre. La confidencialidad de los datos es fácilmente realizable cubriendo dichos datos con “Tipp-ex”. En caso de no acceder a facilitarme dicha copia, me trasladas el formulario de inscripción y la hoja de consentimiento sobre el tratamiento de datos personales e imagen de los menores del Club, en blanco.” NOVENO: Entre el 07/03/2022 y el 03/04/2022, la parte reclamante y la parte reclamada intercambiaron varios correos electrónicos en relación con la solicitud de información y participación de la parte reclamante en los grupos de WhatsApp. El 03/04/2022 a las 13:25 horas, la parte reclamada envió el siguiente correo electrónico a la parte reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 “Buenas tardes, Tal y como nos hizo constar la madre de los chicos, ella es la que se hace responsable de la actividad, tanto en pagos, como en llevar a los entrenamientos, etc. Ella, nos consta de que le mantiene informado de todo lo que sucede en nuestro club, eso sí cuando Uds. Le pregunta sobre algo relacionado con la actividad. Así que le vuelvo a repetir, que toda la documentación e información que usted solicita, la tiene la MADRE DE LOS CHICOS, así que le pido amablemente que hable con ella y ella le facilitará todo lo que UD está solicitando. Si bien, ella no le facilitará la documentación que UD está solicitando, existen otros cauces legales, los cuales UD presenta una demanda judicial ante los organismos competentes y nosotros, cuando la persona competente con un informe judicial y viendo que la responsable ante nosotros no le facilitara lo que UD está solicitado. Encantados le facilitaremos toda la documentación que UD está solicitando. Dicho esto y repito, toda esa documentación la tiene simplemente pidiendo al igual que hace por esta vía. A la madre de los chicos. Ella nos hizo constar que se hacía cargo de todo sobre esta actividad e incluso informar al padre de los chicos. Espero que con este mail, le pueda haber resuelto todas sus consultas sobre todos los temas a tratar. Un saludo” Ese mismo día, la parte reclamante se limitó a responder que, como representante legal de los menores, tiene derecho a que la parte reclamada, responsable del tratamiento de datos, le facilite la documentación solicitada anteriormente. DÉCIMO: El 10/01/2023 la parte reclamada, en respuesta al requerimiento de información, aporta copia de la “Inscripción Club Voleibol ***CLUB.1” para las temporadas 2021-2022 y 2022-2023 de cada uno de los menores. En todos los formularios aparece la siguiente información: - Apartado jugador/a: datos personales de los menores de edad (nombre, apellidos y DNI, entre otros). - Apartado madre, padre o tutor: datos personales de la madre de los menores (nombre, apellidos y DNI, entre otros). - Apartado “Información en cumplimiento de la normativa de protección de datos personales”: política de privacidad y permisos específicos marcados en relación con los tres menores de edad: C/ Jorge Juan, 6 28001 – Madrid o Consiento que se utilice mi número de teléfono para comunicar a través de la plataforma de mensajería multiplataforma WhatsApp, mejorando así la rapidez y eficacia de las distintas gestiones y comunicaciones. o Consiento que se utilice mi imagen para su publicación a través de las redes sociales con el fin de dar a conocer la entidad y difundir su actividad. o Consiento la publicación de mi imagen en Internet y otros medios similares para difundir las actividades de su entidad. www.aepd.es sedeagpd.gob.es 9/16 o Consiento el uso de mis datos personales para recibir publicidad de su entidad. o Consiento la cesión de mis datos personales a: (…). UNDÉCIMO: El 13/04/2023, a las 20:43 horas, la parte reclamada (***EMAIL.1) envió un correo electrónico a la parte reclamante (***EMAIL.2), bajo el asunto “Formulario inscripción y consentimiento tratamiento de datos”, con el siguiente contenido: “Buenas tardes, le adjunto los formularios de inscripción de (…). Además, le paso el enlace de inscripción al club. Para cualquier duda, póngase en contacto a través de este medio” DUODÉCIMO: Consta que la parte reclamada en su escrito de alegaciones al acuerdo de inicio aporta la siguiente documentación: - Anexo I, sin fecha ni firma, lleva por título “Cláusula informativa en materia de protección de datos”. En su contenido informa de la Política de Privacidad y de los permisos específicos que, mediante casilla de verificación, pueden marcar los padres de los jugadores (las cláusulas son idénticas a las enumeradas en el apartado anterior). - Anexo II, denominado “Guía de uso y buenas prácticas de multiplataforma WhatsApp, sin fecha y firmado por CLUB VOLEIBOL ***CLUB.1, recoge las pautas a seguir por el personal del Club para el uso de WhatsApp. - Anexo III, titulado “Protocolo de atención a los derechos de los interesados”, informa sobre cómo ejercer los derechos reconocidos por la normativa de protección de datos de carácter personal ante la parte reclamada. DÉCIMO TERCERO: Consta que la parte reclamada en su escrito de alegaciones a la propuesta de resolución aporta la siguiente documentación: - Anexo I, denominado “Respuesta ejercicio derecho acceso”, recoge el documento adjunto al correo electrónico, de fecha 13/04/2023, enviado a la parte reclamante con los formularios de inscripción, temporadas 2021-2022 y 2022-2023, de los tres menores de edad cumplimentados. Los datos personales relativos a la madre de los menores aparecen anonimizados. - Anexo II, denominado “Autorizaciones de (…)”, con firma manual (XXXXXX y XXXX), de fecha 18/10/2023. Su contenido recoge “Información en cumplimiento de la normativa de protección de datos personales”, así como “Permisos específicos (todas las casillas aparecen marcadas)” iguales a los enumerados en el punto décimo, del apartado “Hechos Probados”. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre, apellidos o DNI del jugador/a. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 III Alegaciones aducidas Con respecto a las alegaciones presentadas por la parte reclamada contra la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas. 1. De la infracción del artículo 15 del RGPD. La parte reclamada aporta copia del formulario de inscripción temporada 2021-2022 y 2022-2023 cumplimentado con los datos personales de los tres menores y que adjuntó en el correo electrónico de 13/04/2023, en el que dio respuesta a la solicitud de acceso de la parte reclamante. Además, facilita un link que dirige a un ejemplar del formulario a fin de mostrar la forma y procedimiento de ejercicio del derecho y deber de información a los interesados. Al respecto, esta Agencia desea señalar que, efectivamente, la parte reclamada atendió adecuadamente la petición de acceso presentada por la parte reclamante, toda vez que son legibles los datos personales de los tres menores de edad en el formulario de inscripción facilitado. Pues, el derecho de acceso ejercido por la parte reclamante en representación de sus tres hijos solo abarca los datos personales de estos, siendo adecuada la anonimización de los datos relativos a la madre de los menores. No obstante, de conformidad con el artículo 12.3 del RGPD, el responsable del tratamiento dispone de un mes desde que recibe la solicitud de acceso para dar respuesta al derecho ejercido, sin perjuicio de que pueda prorrogarse por otros dos meses en caso necesario, debiendo informar de ello al interesado. En el presente caso, la parte reclamada no atendió debidamente el derecho de acceso ejercido por la parte reclamante hasta el 13/04/2023, más de un año después de que hubiera presentado su solicitud, el 04/03/2022. Por lo tanto, esta Agencia desestima la presente alegación. 2. De la infracción del artículo 6.1 del RGPD. La parte reclamada mantiene lo expuesto en el escrito de alegaciones al acuerdo de inicio. Añade que, el tratamiento de los datos personales de los tres menores es lícito, toda vez que la parte reclamante, como padre de los menores, no se ha opuesto en ningún momento a la difusión de imágenes de los menores vía WhatsApp. Pues, solo ha manifestado no estar de acuerdo con ser eliminado del grupo de WhatsApp “***GRUPO.1”. Al respecto, esta Agencia desea señalar que, como indica la parte reclamada, la parte reclamante solo muestra su disconformidad con ser eliminado del grupo de WhatsApp al que tuvo acceso desde el 16/02/2022 hasta el 28/02/2022. Prueba de ello son los mensajes de WhatsApp y correos electrónicos intercambiados entre las partes en los que el padre de los tres menores solicita en varias ocasiones su reincorporación al grupo de WhatsApp “***GRUPO.1”; pero, en ningún caso, se opone al tratamiento de las imágenes de sus hijos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 Si bien es cierto que la parte reclamante señaló expresamente en la reclamación presentada ante esta Agencia no haber dado su consentimiento para inscribir a sus tres hijos menores de edad en el Club y, por consiguiente, tratar sus datos personales; no es menos cierto que, en base a la documentación que obra en el expediente administrativo, no consta que pusiera en conocimiento de la parte reclamada tal oposición. Por lo expuesto, esta Agencia estima la presente alegación. IV Derecho de acceso El artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  4. a)los fines del tratamiento;
  5. a)las categorías de datos personales de que se trate;
  6. b)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
  7. c)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  8. d)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  9. e)el derecho a presentar una reclamación ante una autoridad de control;
  10. f)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
  11. g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” Por su parte, el artículo 13 “Derecho de acceso” de la LOPDGDD dispone que: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” En el presente caso, consta que el 04/03/2022 la parte reclamante ejerció el derecho de acceso en representación de sus tres hijos menores de edad a través de correo electrónico enviado a la dirección ***EMAIL.1, en el que solicitaba “una copia del formulario de inscripción y la hoja del consentimiento sobre el tratamiento de datos personales e imagen de los menores que obra en poder del Club referidos a (…) (…). No fue hasta el 13/04/2023 cuando la parte reclamada atendió la solicitud de acceso presentada por la parte reclamante, enviándole un correo electrónico con un anexo en el que consta el formulario de inscripción temporada 2021-2022 y 2022-2023 relleno con los datos personales de los tres menores de edad, salvo los relativos a la madre de los menores que fueron previamente anonimizados. No obstante, tal y como se indicó en la respuesta de esta Agencia a las alegaciones aducidas por la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 reclamada al acuerdo de inicio, el derecho de acceso fue atendido más de un año después de haberse ejercido. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 15 del RGPD. V Tipificación y calificación de la infracción del artículo 15 del RGPD La citada infracción del artículo 15 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5.
  12. b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  13. a)(…)
  14. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  15. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679; (…)” VI Sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite fijar una sanción de 500€ (quinientos euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CLUB VOLEIBOL ***CLUB.1, con NIF G67697904, por una infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.
  16. b)del RGPD, una multa de 500€ (quinientos euros). SEGUNDO: NOTIFICAR la presente resolución a CLUB VOLEIBOL ***CLUB.1. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
  17. b)de la LPACAP, en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  18. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.