PS-00063-2021 | Europaius

1/31  Expediente Nº: PS/00063/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: Con fecha 30/09/2020 tiene entrada en la Agencia Española de Protección de Datos (AEPD) la reclamación presentada por D.ª A.A.A., con NIF ***NIF.1 (en adelante, la representante de las reclamantes), en representación de D.ª B.B.B., con NIF ***NIF.2 (en adelante la reclamante 1) y D.ª C.C.C., con NIF ***NIF.3 (en adelante la reclamante 2). La reclamación se dirige contra el CLUB DEPORTIVO SAN ROQUE, E.F.F., con CIF G80588098 -C.D. San Roque- (en adelante, el reclamado o el club) y versa sobre el tratamiento que el club ha efectuado de los datos personales de las reclamantes 1 y 2 y de sus hijos de siete años. Las reclamantes, madres de menores de edad integrados en el club de futbol del Colegio ***COLEGIO.1 y afiliados a la Real Federación de Futbol de Madrid (RFFM) en la categoría de Prebenjamines, recibieron el 17/06/2020 sendas llamadas telefónicas desde el número de ***TELÉFONO.1 de quien se identificó como el coordinador del club reclamado con la finalidad de ofrecerles que sus hijos jugaran en su equipo la próxima temporada. Manifiestan que no facilitaron al reclamado sus datos de contacto ni habían tenido previamente ninguna relación con él, pese a lo cual el coordinador conocía su número de teléfono móvil, el nombre de sus hijos menores, el nombre del club en el que se encontraban dados de alta, su círculo de amistades dentro de su equipo de futbol y la “forma de juego”. La representante de las reclamantes considera que el tratamiento realizado vulnera el artículo 5 del Reglamento (UE) 2016/679, de 27 de abril, del Parlamento Europeo y del Consejo, de protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD) e incumple los principios de licitud, lealtad y transparencia. Añade que las reclamantes tampoco fueron informadas en los términos del artículo 14 del RGPD. Invoca también la vulneración del artículo 26 del Libro IV del Reglamento General de la Real Federación de Futbol Madrileña (en adelante el R.G. de la RFFM) que “considera prohibido el contacto para la captación con jugadores de otros clubes mientras estos se encuentren federados, sino media autorización expresa de los mismos.” La representante de las reclamantes, ante la explicación que sobre el origen de los datos de los menores de edad dio el reclamado en su respuesta al acceso ejercitado por las reclamantes, afirma que “los datos de los hijos de mis representadas no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/31 pueden entender en ningún caso procedentes de fuentes accesibles al público con fines propios.” A tal efecto incluye en el escrito de reclamación un enlace a la página web de la RFFM desde la que, dice, es posible obtener información de los jugadores exclusivamente el nombre y apellidos- si bien advierte que en la fecha en la que presenta la reclamación no se puede acceder a los datos pues la página web no se encuentra activa entonces, dado que se actualiza al comienzo de cada temporada. Aporta con la reclamación estos documentos: (

i)Acreditativos de los correos que las reclamantes enviaron al reclamado ejercitando el derecho de acceso a sus datos: Se trata de los certificados emitidos por la empresa Safe Creative, S.L., relativos al envío al reclamado de sendos correos electrónicos a la dirección ***EMAIL.1, en los que solicitan el acceso a sus datos personales y a los de sus hijos menores; que se les informe de la finalidad del tratamiento realizado; de los destinatarios a los que se hubieran comunicado los datos o se preveía comunicarlos; de los plazos previstos para la conservación de los datos o de los criterios para determinar este plazo; de si existían tratamientos automatizados de datos o elaboración de perfiles y de la importancia y consecuencias previstas de dicho tratamiento. El documento de fecha 23/06/2020 certifica el correo electrónico enviado por la reclamante 1 y el de fecha 24/06/2020 certifica el correo remitido por la reclamante 2. (
ii)La respuesta del reclamado al acceso solicitado, de fecha 03/07/2020. Respuesta que es idéntica para ambas reclamantes excepto en algunos puntos. En ambos escritos el reclamado informa de la identidad del responsable del tratamiento; del CIF; del número de teléfono; del domicilio y de la dirección electrónica. También informa de la finalidad del tratamiento de los datos, una oferta para que sus hijos jugaran en el club; que no comunica datos a terceros; que no hace transferencias internacionales de datos; que no utiliza técnicas de perfilado de datos y que el plazo de conservación de los datos es de cinco años “atendiendo a la normativa civil de las prescripciones”. Que pueden solicitar la rectificación o supresión de sus datos personales o la limitación del tratamiento de datos relativos a su persona u oponerse a dicho tratamiento así como presentar una reclamación ante la Agencia Española de Protección de Datos. En su respuesta a las reclamantes les comunica que “El fin del tratamiento fue la oferta para jugar en nuestro Club de su hijo, lo cual usted aceptó y nos trató de forma amable, cosa que agradecemos.” Respecto a las categorías de datos tratados, indica que son su nombre y teléfono, y sobre el origen de los datos dice que “fueron facilitados por una persona conocida de usted, lo cual entendimos que tenía su consentimiento.” Respecto a los datos del hijo menor dice que “Con relación a las categorías de datos objeto de tratamiento de su hijo [en el escrito figura el nombre y dos apellidos del menor] le comunicamos que no disponemos de ningún dato de carácter personal salvo los que son de acceso público a través de la ficha federativa de la RFFM.” (iii) Una copia del Reglamento General de la Real Federación de Futbol de Madrid. (
iv)El poder de representación otorgado por las reclamantes a favor de su representante para “gestionar todos los procedimientos a realizar ante la Agencia Española de protección de datos en orden a proteger la intimidad de sus personas y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/31 las de sus hijos menores de edad.” Está firmado por las representadas y la representante el 16/09/2020. Incorpora la copia del DNI de las tres. SEGUNDO: La AEPD, a la vista de los hechos expuestos en la reclamación, a fin de evaluar su admisibilidad a trámite, da traslado de ella al reclamado para que en el plazo de un mes facilite una explicación sobre los hechos denunciados, detalle las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares y proceda a comunicar su decisión a las reclamantes. El escrito se notificó al reclamado por medios electrónicos. Se puso a disposición en la sede electrónica el 29/10/2020 produciéndose el rechazo el 09/11/2020, tal y como consta en el certificado expedido por la FNMT que obra en el expediente. Se reiteró la notificación por correo postal y resultó entregada el 18/11/2020. El 21/12/2020 se recibe en la Agencia la respuesta del reclamado a la solicitud informativa de la Subdirección de Inspección en la que ofrece una explicación de los hechos acaecidos, informa de la medida adoptada para evitar incidentes similares en el futuro y solicita que no se admita a trámite la reclamación. En síntesis, expone lo siguiente: - Considera que la reclamación se resume en el “Tratamiento ilícito de la información y no manifestar cómo se obtienen los datos, así como la información de sus hijos por fuentes no accesibles al público.” - Explica que el 17/06/2020 se celebró un partido de futbol de Prebenjamines entre el club reclamado y el Colegio ***COLEGIO.1, al que pertenecen los hijos menores de las reclamantes, lo que le permitió conocer la forma de juego de todos los jugadores y “atendiendo a que cada jugador lleva su nombre en la camiseta no es difícil identificar el nombre de un jugador con su forma de juego”. - Que en su club hay jugadores que son alumnos de ese colegio y entre ellos se conocen y manifiestan su interés por jugar juntos y que “no tratamos datos de estos jugadores más allá de los datos públicos o los conocidos por la celebración de partidos”. - Que pusieron en conocimiento de un padre de su club, D. D.D.D. cuyo hijo estudia en ese colegio, nuestro interés en los jugadores “y solicitamos si podía ponerse en contacto con sus padres por si estuvieran interesados en que jueguen en nuestro Club para la próxima temporada.” Indica que “Este padre nos facilitó el contacto de estas madres a través de una amiga de estas madres y que comparten grupo de WhatsApp, por lo que entendemos que les han comunicado nuestro interés y están conformes con que las llamemos.” “Entendimos por este hecho su manifestación de voluntad libre e informada del motivo de nuestra solicitud y nuestro fundamento para solicitar su teléfono como vía de contacto”. - Que en el contacto telefónico mantenido con las reclamantes se identificaron en todo momento y que incluso una de ellas les devolvió la llamada solicitando día para poder realizar la prueba a su hijo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/31 -Que el partido de futbol tuvo lugar el 17/06/2020 y que en esta categoría de futbol los jugadores quedan libres al final de la temporada, “lo cual se produce cuanto tiene lugar este partido, (17 de Junio)”, y las llamadas a las madres se hicieron “en días posteriores”, por lo que no se incumplió el artículo 26 del Reglamento General de la RFFM, en contra de lo que sostiene la representante de las reclamantes. - Sobre las medidas adoptadas para evitar sucesos como el acaecido, explica que, puesto que tienen implementadas todas las necesarias para evitar la conculcación de los principios legales cuyo cumplimiento se cuestiona en la reclamación formulada contra él, “sólo faltaba reconvenir a quien de manera efectiva ha podido causar una violación puntual e involuntaria de estos principios implantados en la filosofía y práctica del Club. Se comunica al coordinador la necesidad de requerir documento firmado que autorice la llamada y los motivos de ella a los padres.” TERCERO: El 01/02/2021 la Directora de la AEPD dicta resolución admitiendo a trámite la reclamación formulada. El acuerdo de admisión a trámite se notificó electrónicamente a la representante de las reclamantes en fecha 01/02/2021. CUARTO: Con fecha 25/06/21 la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador al reclamado con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
a)del RGPD. En el acuerdo de apertura se dispuso que podría adoptarse la medida correctiva de apercibimiento (artículo 58.2.b, del RGPD) y ordenar al reclamado, conforme al artículo 58.2.g del RGPD, que procediera a la supresión de los datos personales de las reclamantes 1 y 2 y de sus respectivos hijos menores. QUINTO: El acuerdo de apertura del procedimiento sancionador se notificó al reclamado electrónicamente. Se puso a disposición el 28/06/2021 y se produjo el rechazo de la notificación transcurridos diez días conforme al artículo 43.2. de la LPACAP, con los efectos previstos en el artículo 41.5 de la citada ley, tal y como lo acredita el certificado de la FNMT que obra en el expediente. El reclamado no formula alegaciones al acuerdo de inicio. SEXTO: Con fecha 29/09/2021 la instructora del procedimiento acuerda la apertura de una fase de prueba y la práctica de las siguientes diligencias: Dar por reproducidos a efectos de prueba la reclamación presentada por las reclamantes 1 y 2 y su documentación anexa, así como los documentos generados y obtenidos por la Subdirección General de Inspección de Datos con ocasión del traslado de la reclamación y la solicitud informativa al reclamado. Se practicaron pruebas (
i)ante el reclamado; (
ii)ante la RFFM y (iii) ante las reclamantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/31 i. Petición de prueba al reclamado: El escrito dirigido al reclamado, en el que se le comunica la apertura de la fase de prueba y se solicitan varias diligencias de prueba, se notificó electrónicamente en fecha 29/09/2021 produciéndose el rechazo de la notificación conforme al artículo 43.2. de la LPACAP, como lo acredita el certificado de la FNMT que obra en el expediente. No obstante, esta Agencia reiteró la notificación a través de correo postal que consta recibido por el reclamado el 28/10/20210. Se requiere al reclamado que informe y aporte: 1. Cuál fue la base jurídica del tratamiento de los datos personales de los jugadores menores de edad y de sus respectivas madres con ocasión de las llamadas telefónicas que les dirigió. 2. Acreditación documental de la fecha exacta en la que realizó las llamadas telefónicas a las reclamantes. 3. Copia del registro de actividades de tratamiento (RAT) del Club En fecha 15/11/2021 tiene entrada en este organismo la respuesta del reclamado a las cuestiones planteadas con la que aporta dos capturas de pantalla relativas a “Detalles del historial de llamadas” y una copia del RAT del Club. 1. Respecto a la base jurídica del tratamiento efectuado el reclamado dice: “La base legal para el procesamiento de la información es el interés legítimo del responsable de tratamiento.” “La finalidad es la comunicación del interés del responsable en proporcionar prueba de acceso al club”. Y ofrece esta explicación: “Considerando la ponderación del procesamiento de los datos de los menores les comunicamos que son de acceso público a través de la Real Federación de Futbol de Madrid. Estos menores manifiestan a amigos de ellos y jugadores de nuestro club su interés en jugar en nuestro club y uno de sus motivos es que su club tiene esta actividad como extraescolar y por la situación del Covid su colegio suspendería las actividades extraescolares. Así mismo es de acceso público al llevar su dorsal y nombre en las camisetas de los partidos que realizan.” “En el cumplimiento de nuestras obligaciones conforme al RGPD y LOPDGDD tenemos establecida una cláusula informativa que han de firmar todos los jugadores o en el caso de menores sus padres o tutores legales cuando se realizan pruebas o pasan a formar parte de nuestro equipo.” “Analizando el interés del Responsable y el interés de los jugadores en un análisis de la forma menos intrusiva y más transparente y desde el máximo respeto al tratarse de menores y en nuestra obligación de cumplimientos legales, se solicita a través de un padre de nuestro club ponga en conocimiento de sus padres nuestro interés en evaluar y realizar una prueba a sus hijos con la finalidad de que puedan jugar en nuestro club. Entendemos que el tratamiento es necesario para el interés legítimo del Responsable y el interés manifestado por los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/31 “Es asumido cultural y socialmente por costumbre que los equipos ofrezcan sus clubs a jugadores que consideran con opciones de progreso. La comunidad en general reconoce y espera realmente que los responsables de tratamiento puedan actuar y tratar los datos en la búsqueda de dicho interés.” “No encontramos en nuestra valoración ningún método alternativo que nos permita comunicar nuestro interés y finalidad a los interesados y que así mismo nos permita cumplir con nuestras obligaciones legales para conseguir los objetivos perseguidos y con el menor impacto para los interesados. La autorización expresa de los interesados para el procesamiento de su información y el establecimiento del contacto no lo encontramos viable hasta que se haya establecido el contacto. Respecto al tratamiento de los datos personales de las reclamantes precisa: “El facilitarnos los datos a través de intermediario con la finalidad clara que le comunicamos a sus madres, en este caso entendemos que dieron su conformidad para que pudiésemos comunicarnos con ellas, estableciendo una “acción” o un acto afirmativo claro que refleja una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen.” “Los datos que se nos facilitó fueron su nombre (no apellidos) y teléfono de contacto atendiendo a la calidad de los datos ya que para la finalidad comunicada no es necesario procesar un mayor número de datos.” “Analizando los datos aportados entendemos que es proporcional a la finalidad planteada para la comunicación y oferta de prueba en nuestro club, estableciéndose una única llamada por nuestra parte con relación a la finalidad comunicada a las madres y con la probabilidad que haya una nula injerencia en los intereses o los derechos o libertades fundamentales de los interesados.” “Nuestra comunicación y la finalidad para la que solicitamos sus datos consideramos que permiten la decisión del interesado de oponerse o no, a la entrega de sus datos. Si por su parte no se hubiese manifestado interés y no se nos emplazara a una posterior llamada, se procedería a una exclusión voluntaria por nuestra parte del procesamiento de la información.” “Después de lo expuesto entendemos que los afectados dieron su consentimiento al procesamiento de sus datos para el establecimiento de contacto para la finalidad comunicada al facilitarnos sus datos ya que de otra forma no podríamos haber establecido ese contacto.” “Así mismo el impacto sobre los derechos de los interesados entendemos que es nulo o muy bajo ya que con fecha 07/07/2020 atendimos su derecho de acceso ejercido ante nuestra entidad y en él le comunicamos nuestra intención de atender sus derechos y en especial que podía ejercer el derecho de oposición tal como se estipula en el artículo 14.” “Entendemos que esta condición complementa el requisito de necesidad, en virtud del artículo 6 y que exige una relación entre el tratamiento y el interés perseguido.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/31 “En atención a la protección de los interesados hemos tenido muy en cuenta el interés de los afectados y no solo sus derechos y libertades fundamentales.” “Los términos <<intereses>> y <<derechos>> entendemos que se han de interpretar en sentido amplio Entendemos que es exigible que se tenga en cuenta también el <<interés>> de los afectados, no solo sus derechos y libertades fundamentales, los cuales respetamos en todo momento y así lo hicimos saber a sus madres.” Respecto a las “garantías ofrecidas a los interesados entendemos suficientes y adecuadas para reducir la repercusión de los interesados y la no utilización de manera indebida. Se ofrece la atención de sus derechos y nuestra disposición ante cualquier presión de terceros por su posición con ellos.” (El subrayado es nuestro) 2. Aporta dos capturas de pantalla relativas a “Detalles del historial de llamadas”. En el documento hay registradas cinco llamadas, todas del 17 de junio, efectuadas entre las 17.34 horas y las 20.23 horas, todas ellas dirigidas a, o procedentes de, la línea número ***TELÉFONO.2. En el historial constan dos llamadas salientes, dirigidas a ese número, efectuadas a las 17.34 horas. Ambas con el siguiente comentario: “No se pudo contactar”. Desde ese número de teléfono constan dos llamadas entrantes, a las 20.08 horas y a las 20.20 horas, con estos comentarios, respectivamente: “sonó 8 veces”, “sonó 6 veces”. Figura una llamada saliente dirigida a ese número a las 20.23 horas. Así pues, cabe concluir del historial de llamadas que se aporta que el coordinador del club reclamado no logró contactar telefónicamente con la reclamante titular del número de teléfono hasta las 20.23 horas, pese a que lo intentó sin éxito en dos ocasiones (a las 17.34 horas) y pese a que la destinataria de la llamada le devolvió la llamada, también sin éxito, en dos ocasiones, a las 20.08 y a las 20.20 horas. 3. Copia del RAT del club elaborado el 14/06/2019 y actualizado a fecha 23/11/2019. El documento recoge un total de trece actividades de tratamiento y respecto a cada una identifica el tratamiento en cuestión, incluye los datos del responsable de tratamiento y del DPD, informa de la base de licitud, del plazo de conservación de los datos, del origen de los datos y de los colectivos afectados, de la categoría de datos tratados, de las medidas de seguridad, de las comunicaciones de datos y de las transferencias internacionales. Entre las actividades de tratamiento registradas se incluye el tratamiento consistente en “Gestión de jugadores/as” (RAT-01-001) y “Gestión de jugadores/as menores” (RAT-01-0002) También se contempla la actividad de tratamiento denominada “Prospección de Jugadores/as” (RAT-01-012) Sobre esta última el documento ofrece la siguiente información: - “1. Identificación del tratamiento”. “Descripción finalidad”: “Gestión de los datos de potenciales jugadores/as así como de sus padres o tutores en el caso de menores para ofrecerles la participación en las siguientes temporadas en nuestro club.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/31 - “4. Licitud del tratamiento. Base de licitud. El tratamiento se basa en el consentimiento del afectado.” - “5. Plazos de conservación. Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Una vez concluido el citado plazo, se suprimirán o a solicitud del afectado.” - “6. Descripción del tratamiento.” “Origen y procedencia de los datos. De la propia persona afectada o de su representante legal. Colectivos afectados: Personas interesadas en pasar las pruebas para pertenecer al club”. (El subrayado es nuestro) - “7. Categorías de datos tratados. Tipología de datos.” Se mencionan el nombre y apellidos, teléfono, correo electrónico y firma manuscrita. Se analiza también el tratamiento denominado “Agenda de contactos” del club (RAT01-010) del que se especifica que la base de licitud del tratamiento “será el consentimiento de los afectados”. (
ii)Petición de prueba a la RFFM. El escrito se notificó electrónicamente el 29/09/2021 y fue aceptado por su destinataria en la misma fecha. Transcurrido con creces el plazo concedido para evacuar el trámite sin que se hubiera recibido respuesta, se reitera la petición de prueba mediante un nuevo escrito notificado electrónicamente el 27/10/2021. Se solicita: 1.Que informe si la fecha de finalización de la temporada 2019/2020 fue la misma para todos los clubes que participaron en la competición oficial de Prebenjamines o si difería de un club a otro en función de la fecha en la que cada uno hubiera celebrado el último partido de la competición. De ser así, se solicita que informe de la fecha de finalización de la temporada 2019/2020 en la categoría de Prebenjamines para el CLUB DEPORTIVO SAN ROQUE, E.F.F., y para el Colegio ***COLEGIO.1. 2.Que explique si las gestiones para darse de alta como jugador aficionado en una licencia de esa RFFM se practican por el interesado o su representante, directamente ante la RFFM o exclusivamente ante el club al que pertenece el jugador. 3.Que informe si durante la temporada 2019/2020 estuvieron dados de alta con licencia de esa federación en la categoría de Prebenjamines los niños que formaban parte del club de futbol del Colegio ***COLEGIO.1cuyos nombres y apellidos se detallaban (los hijos de las reclamantes 1 y 2). 4.Que aporte copia de la información en materia de protección de datos de carácter personal que la RFFM facilitó a los progenitores de los menores de edad que obtuvieron una licencia ante esa Real Federación en la categoría de Prebenjamines para la temporada 2019/2020. 5.Respecto al listado que publica la web de la RFFM -que incluye los datos personales de los jugadores que pertenecen cada uno de los clubes inscritos en la competición oficial- y en particular respecto a la temporada 2019/2020, se solicita: -Que detalle cuál fue la base jurídica de ese tratamiento: la publicación de los listados con los datos personales de los jugadores. -Que detalle cuál fue la finalidad de ese tratamiento de datos. -Que detalle qué información se facilitó a los clubes que participaron en la competición oficial de la temporada 2019/220 respecto a la finalidad del tratamiento materializado en la publicación en la web de la RFFM de los datos de los jugadores de cada club, en sus diversas categorías. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/31 La RFFM responde el 03/11/2021 y aporta una copia de las licencias federativas de los hijos de las reclamantes y de la Circular Federativa nº5 -Temporada 2019/2020. 1.Manifiesta que “La fecha de finalización fue la misma para todas las categorías competicionales, independientemente de la fecha en la que hubieren celebrado el último partido.” Declara que “el catorce de mayo de dos mil veinte , en reunión mantenida por la Comisión Delegada de la Asamblea General de la Real Federación de Futbol de Madrid, se acuerda dar por finalizadas las competiciones en el estado en que se encontraban en el momento de la declaración del estado de alarma por parte del Gobierno, con la clasificación existente a dicha fecha y computándose a esos efectos todos los partidos disputados en cada una de ellas, con las consecuencias clasificatorias que ello conlleva.” En ese sentido, la Circular Federativa nº5Temporada 2019/2020, cuya copia aporta, que recoge los acuerdos adoptados por la Comisión Delegada de la Asamblea General el 14/05/2020, establece que, como consecuencia de las excepcionales circunstancias de fuerza mayor que se derivan de la pandemia del COVID-19, se ha acordado: “1. Dar por finalizadas en el estado en que se encontraban al momento de la declaración del estado de alarma por parte del Gobierno, con la clasificación existente a dicha fecha y computándose a esos efectos todos los partidos disputados en cada una de ellas, con las consecuencias clasificatorias que ello conlleva.” Recordemos que el estado de alarma entró en vigor el 14/03/2020 según dispuso el Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el Covid 19. 2. Respecto a las gestiones para darse de alta como jugador aficionado en una licencia de la RFFM, informa que se practican por el jugador -o en caso de menores de edad por sus padres o tutores- ante el club de su elección, siendo el club quien posteriormente solicita a la RFFM el alta de las licencias. 3. Confirma que los menores de edad hijos de las reclamantes 1 y 2 estuvieron dados de alta durante la temporada 2019/2020 en la RFFM con el club de fútbol Colegio ***COLEGIO.1 en la categoría de Prebenjamín. 4. Sobre la información relativa a la protección de datos que se facilitó manifiesta que “se contiene en la propia licencia que los progenitores de los menores suscriben con el club de su elección en el momento de formalizar la licencia, en este caso, Colegio ***COLEGIO.1.” La RFFM ha aportado la copia de la licencia federativa de los dos jugadores menores de edad. Se trata de un formulario con el anagrama y los datos identificativos de la RFFM y la leyenda Temporada 2019/2020. Cada documento lleva un código de barras. La licencia está firmada por el jugador menor de edad y consta la autorización de uno de sus progenitores (datos personales, nombre, apellidos, NIF y la firma). Al pie del documento aparece esta leyenda: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/31 De acuerdo con lo dispuesto en el RGPD “y respecto a los datos que le identifican como federado se le informa que serán tratados para llevar a cabo el encargo solicitado. Trataremos su imagen y/o su voz basándonos en el interés legítimo de la Federación, según dispone el artículo 36 de la Ley 15/1994, de 28 de diciembre, del Deporte de la Comunidad de Madrid. Sus datos serán incorporados al Sistema de Protección de Datos de Real Federación de Futbol de Madrid, con NIF G78965043, y domicilio en [...]. Serán conservados durante el tiempo que dure el consentimiento, o en su caso, el tiempo legal establecido para cada una de las obligaciones legales que deriven de los tratamientos para los que se ha consentido. [....].” 5. Relacionado con la publicación en la web de la RFFM de un listado con los datos personales de los jugadores de cada uno de los clubes inscritos en la competición responde lo siguiente: 5.1. Que la base jurídica que legitima la publicación de los listados con los datos personales de los jugadores miembros de las plantillas de los clubes federados es el cumplimiento de una misión realizada en interés público, artículo 8.2 LOPDGDD, que se funda en que la Ley 15/1994 “dispone como funciones de las federaciones la organización de las competiciones deportivas oficiales, así como la promoción, con carácter general, de su modalidad o modalidades deportivas en todo el territorio de la Comunidad de Madrid, artículo 36, apartados
a)y b). Entendiendo que estas funciones son tareas que corresponden o toca realizar a la federación por derivación de una competencia atribuida por una norma con rango de ley.” En particular los apartados d),
e)y
h)del artículo 36 de la Ley 15/1994, de 28 de diciembre, del Deporte de la Comunidad de Madrid le atribuye las funciones de “
d)Organizar y tutelar las competiciones oficiales de su ámbito territorial.”; “
e)Ejercer la potestad disciplinaria en los términos establecidos en la presente Ley y en sus disposiciones de desarrollo.”; y “
h)Colaborar, en su caso, en la organización o tutela de las competiciones oficiales de ámbito estatal o internacional.” 5.2. Respecto de la finalidad de ese tratamiento, destaca que se realizó y se realiza “para dar cumplimiento a las funciones de organización de competiciones de un deporte de equipo y la promoción de dicho deporte, haciendo visibles los participantes componentes de las respectivas plantillas y trasladando, como razón principal de un deporte desde sus categorías inferiores hasta las profesionales, que quien quiere puede practicarlo con todas las garantías federativas, es decir, oficialmente.” 5.3. Manifiesta que es el Club del jugador quien facilita a la RFFM los datos del jugador con ocasión de tramitar la licencia de éste, “por lo que esta federación no requiere hacerle llegar dato que no tenga”. Respecto al resto de clubes dice: “siendo la web de la RFFM, en este apartado, de acceso libre, no requieren que se les faciliten datos, sino que pueden acceder a la web y tratarlos según la finalidad para la cual han sido publicados.” (El subrayado es nuestro) (iii) Petición de prueba a las reclamantes: El escrito se notificó electrónicamente el 30/09/2021 y fue aceptado por su destinataria en la misma fecha. Se solicita que remita a la AEPD los documentos que acrediten C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/31 cuál fue la fecha exacta en la que cada una de las reclamantes recibió la llamada telefónica desde el número ***TELÉFONO.1. La representante de las reclamantes responde el 13/10/2021 y aporta diversos documentos de los que se infiere que las llamadas telefónicas efectuadas por el reclamado se habrían producido el día 17/06/2020. En síntesis, aporta: -Copia del registro efectuado con fecha 18/06/2020 en el Formulario de Incidencias del Colegio al que pertenece el club de futbol de los menores del incidente ocurrido el día 17/06/2020. Los hechos que se detallan son las llamadas telefónicas realizadas a los progenitores de los dos menores. -Copia del correo electrónico remitido al DPO del Colegio por la reclamante 1 en el que relata que recibió desde el número ***TELÉFONO.1 dos llamadas telefónicas el 17/06/2020 a las 17:34, a las que no pudo responder, y otra a las 20:23 en las que el interlocutor se identificó como el coordinador del club reclamado, le mostró su interés por que su hijo jugara en el club y le informó de su intención de hacerles esa misma oferta a otros dos menores, compañeros de equipo de su hijo, pues sabía que eran amigos entre sí. - Correo electrónico remitido el 19/06/2020 a la reclamante 1 desde una dirección electrónica del Colegio informándole del registro de la incidencia que había comunicado en la que consta como fecha en la que se hicieron las llamadas el día 17/06/2020. -Correo electrónico certificado por ***URL.1 enviado a la RFFM el 19/06/2020 en el que se comunican los hechos acaecidos, se le informa de que el club del Colegio no ha facilitado información de los federados ni de sus familias al club reclamado y se anuncia que los hechos serían denunciados ante las fuerzas de seguridad del Estado y ante la AEPD dada su gravedad. En ese mismo escrito la representante de las reclamantes, además de abundantes consideraciones jurídicas sobre la carga de la prueba, solicita, al amparo del artículo 77 de la LPACAP, que se practiquen por la instructora del expediente las siguientes diligencias de prueba: “Aportación y exhibición por la parte reclamada respecto a la acreditación de las llamadas telefónicas efectuadas a los números de móvil de mis reclamadas.” “Aportación bajo requerimiento a VODAFONE y a la compañía telefónica del reclamado para la identificación de las llamadas en relación con los números de móviles objeto del presente expediente sancionador.” Añade que “a efectos probatorios, dejamos designados los archivos, libros, registros, públicos o privados de cuantas entidades y personas físicas han sido mencionados a lo largo del presente escrito, así como cualesquiera otros que consten o se desprendan de los mismos y de la documentación acompañada, especialmente, los propios de la parte reclamada. “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/31 Sobre la prueba propuesta por la representante de las reclamantes deben hacerse las siguiente precisiones: La primera de ellas, que las reclamantes no tienen la condición de interesadas en el procedimiento administrativo ni, por consiguiente, gozan de los derechos que el artículo 53 de la LPACAP reconoce a los interesados en el procedimiento, entre ellos, apartado e), “formular alegaciones, utilizar los medios de defensa admitidos por el Ordenamiento Jurídico, y a aportar documentos en cualquier fase del procedimiento anterior al trámite de audiencia [...]” En tal sentido no habría lugar a entrar a valorar la admisibilidad de las pruebas propuestas. No obstante, las pruebas propuestas son de todo punto innecesarias por las siguientes razones: De una parte existen en el expediente elementos que confirman la fecha de 17/06/2019 como aquella en la que se efectuaron las llamadas y, de otra, porque la relevancia de esa fecha para la instrucción estaba conectada con la aplicación del artículo 26 del Reglamento General de la RFFM y, de acuerdo con la información facilitada por la RFFM, la temporada 2019/2020 finalizó muchos meses antes, exactamente en la fecha en la que se declaró por el Gobierno el estado de alarma, por lo que a raíz de la respuesta de la RFFM no es relevante el día exacto del mes de junio en el que se habrían efectuado las llamadas. SÉPTIMO: La propuesta de resolución se firma el 23/02/2022 en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se acuerde el ARCHIVO del procedimiento sancionador PS/00063/2021 abierto al CLUB DEPORTIVO SAN ROQUE E.F.F., con NIF G80588098, por no apreciarse en la conducta examinada indicios de infracción del artículo 6.1. del RGPD.>> OCTAVO: La propuesta de resolución se notificó el 23/02/2022 y la notificación fue aceptada el 24/02/2021. El artículo 73.1 de la LPACAP establece que “Los trámites que deban ser cumplimentados por los interesados deberán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto, salvo en el caso de que en la norma correspondiente se fije plazo distinto”. Transcurrido sobradamente el plazo indicado no se tiene constancia en esta Agencia de que el reclamado haya formulado alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Las reclamantes 1 y 2, madres de niños de siete años pertenecientes al club de futbol del Colegio ***COLEGIO.1 y afiliados a la Real Federación de Futbol de Madrid (RFFM) en la categoría de Prebenjamines, denuncian que recibieron en sus teléfonos móviles sendas llamadas del coordinador del club reclamado, a quien no conocían y con quien no habían tenido ninguna relación, en las que las identifica por su nombre y les comunica su interés en que sus hijos entren a formar parte del equipo del club, demostrando durante esa conversación que conoce el nombre y apellidos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/31 sus hijos, su forma de juego, el equipo de futbol al que pertenecen y el nombre de sus amigos. SEGUNDO: El club reclamado admite que su coordinador hizo sendas llamadas telefónicas a las madres de los menores (reclamantes 1 y 2) desde el número ***TELÉFONO.1 con la finalidad de ofrecerles que sus hijos jugaran en su equipo en la próxima temporada, para lo cual los menores debían realizar una prueba en el club. TERCERO: Sobre el origen de los datos personales de las reclamantes -nombre y número de móvil- el reclamado ha explicado que comunicaron a un padre de su club, D. D.D.D., cuyo hijo estudia en el mismo colegio que los hijos de las reclamantes, el interés en que los menores jugaran con ellos “y solicitamos si podía ponerse en contacto con sus padres por si estuvieran interesados en que jueguen en nuestro Club para la próxima temporada.” Ha declarado que “Este padre nos facilitó el contacto de estas madres a través de una amiga de estas madres y que comparten grupo de WhatsApp, por lo que entendemos que les han comunicado nuestro interés y están conformes con que las llamemos.” “Entendimos por este hecho su manifestación de voluntad libre e informada del motivo de nuestra solicitud y nuestro fundamento para solicitar su teléfono como vía de contacto”. CUARTO: El club reclamado admite que conocía el nombre y los apellidos de los menores, hijos de las reclamantes, y manifiesta que ese dato “es de acceso público al llevar su dorsal y nombre en las camisetas en los partidos que realizan”; que puede accederse a esa información “a través de la ficha federativa de la RFFM” y que “no tratamos datos de estos jugadores más allá de los datos públicos o los conocidos por la celebración de partidos”. QUINTO: El club reclamado admite que conocía la forma de juego de los menores, hijos de las reclamantes y explica que celebraron un partido de futbol de Prebenjamines con el equipo de su Colegio el 17/06/2020 lo que le permitió conocer la forma de juego de todos los jugadores y “atendiendo a que cada jugador lleva su nombre en la camiseta no es difícil identificar el nombre de un jugador con su forma de juego”. SEXTO: Los menores, hijos de las reclamantes 1 y 2, estuvieron afiliados a la RFFM durante la temporada 2019/2020, como lo acreditan sus respectivas fichas federativas que obran en el expediente remitidas por la Federación de Futbol de Madrid. La licencia, en la que constan los nombres y apellidos y el club al que pertenecían durante esa temporada -Colegio ***COLEGIO.1-, está firmada por el jugador menor de edad e incluye la autorización de uno de sus progenitores (datos personales, nombre, apellidos, NIF y la firma). Al pie del documento aparece esta leyenda: “[...] respecto a los datos que le identifican como federado se le informa que serán tratados para llevar a cabo el encargo solicitado. Trataremos su imagen y/ o su voz basándonos en el interés legítimo de la Federación, según dispone el artículo 36 de la Ley 15/1994, de 28 de diciembre, del Deporte de la Comunidad de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/31 Sus datos serán incorporados al Sistema de Protección de Datos de Real Federación de Futbol de Madrid, con CIF G78965043, y domicilio en [...]. Serán conservados durante el tiempo que dure el consentimiento, o en su caso, el tiempo legal establecido para cada una de las obligaciones legales que deriven de los tratamientos para los que se ha consentido. [...]” SÉPTIMO: La RFFM ha informado que en la temporada 2019/2020 la fecha de terminación de la competición fue la misma en todas las categorías, “independientemente de la fecha en la que hubieran celebrado el último partido” y que tal fecha coincidió con la fecha en la que el Gobierno declaró el estado de alarma. Ha aportado la Circular de la RFFM “nº 5-Temporada 2019/2020” en la que se recoge la decisión adoptada por la Comisión Delegada de la Asamblea General el 14/05/2020, como consecuencia de las excepcionales circunstancias de fuerza mayor que se derivan de la pandemia del COVID-19: <<1. Dar por finalizadas en el estado en que se encontraban al momento de la declaración del estado de alarma por parte del Gobierno, con la clasificación existente a dicha fecha y computándose a esos efectos todos los partidos disputados en cada una de ellas, con las consecuencias clasificatorias que ello conlleva.>> OCTAVO: Obra en el expediente la documentación que acredita que las reclamantes 1 y 2 ejercitaron el derecho de acceso a sus datos y a los de sus hijos menores mediante correo electrónico dirigido al reclamado, respectivamente, el 23 y el 24 de junio de 2020 y que el reclamado respondió el 03/07/2020. El reclamado informó en su respuesta de la identidad del responsable del tratamiento; del NIF; del número de teléfono; domicilio; dirección electrónica; finalidad del tratamiento de los datos; plazo de conservación; que no comunica datos a terceros; no hace transferencias internacionales de datos y que no utiliza técnicas de perfilado de datos. Sobre los datos tratados y su origen informó que, respecto a las reclamantes, los datos de que disponía era el nombre y número de teléfono y que “fueron facilitados por una persona conocida de usted, lo cual entendimos que tenía su consentimiento.” Respecto a los datos de los hijos menores, nombre y dos apellidos, informó que “[...] no disponemos de ningún dato de carácter personal salvo los que son de acceso público a través de la ficha federativa de la RFFM.” NOVENO: El Registro de Actividades de Tratamiento (RAT) del reclamado menciona trece actividades de tratamiento, entre ellas las denominadas “Gestión de jugadores/as” (RAT-01-001, “Gestión de jugadores/as menores” (RAT-01-0002) y “Prospección de Jugadores/as” (RAT-01-012). En relación con esta última actividad figura en ella, en el punto 6, “Descripción del tratamiento”, como “Colectivos afectados: Personas interesadas en pasar las pruebas para pertenecer al club”. DÉCIMO: El RAT informa de que el reclamado tiene designado un Delegado de Protección de Datos del que facilita únicamente esta información: ***EMAIL.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/31 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. El artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los principios relativos al tratamiento de los datos personales se recogen en el artículo 5 del RGPD, que dispone: “1. Los datos personales serán:
a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>)
b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»); (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, concreta en su apartado 1 en qué supuestos se considera lícito el tratamiento de datos: “1. El tratamiento solo será lícito si cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/31 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 6 del RGPD dispone en los apartados 2, 3, y 4: 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
c)y e), deberá ser establecida por:
a)el Derecho de la Unión, o
b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d)las posibles consecuencias para los interesados del tratamiento ulterior previsto; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/31
e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” El artículo 4 del RGPD, “Definiciones”, precisa en los apartados 1 y 2, respectivamente, qué se entiende por “datos personales” y “tratamiento” a efectos de este Reglamento: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” III 1.El acuerdo de apertura de este procedimiento sancionador atribuyó al club reclamado una presunta infracción del artículo 6.1 del RGPD al haber tratado datos personales de las reclamantes -sus nombres y números de teléfono móvil- y de sus hijos de siete años -sus nombres y apellidos, su forma de juego, el equipo en el que jugaban y el nombre de sus amigos- sin haber justificado que ambos tratamientos respetaban el principio de licitud. El tratamiento sobre el que versó la reclamación consistió, respecto a los datos de las reclamantes, en su recogida y en las llamadas telefónicas que el reclamado hizo el 17/06/2020 a cada una de las madres con la finalidad de ofrecerles que sus hijos jugaran en su club la temporada siguiente y, por lo que atañe a los datos personales de los menores de edad, en su recogida y en su utilización para la identificación de los jugadores. También, respecto a los datos de ambos, en su conservación, según lo manifestado por el club reclamado en su respuesta al acceso ejercitado por las reclamantes. Cabe recordar que el reclamado, en su contestación a la solicitud de información de la Subdirección de Inspección de la AEPD, previa a la admisión de la reclamación y al inicio del expediente sancionador, no justificó cuál era el fundamento de la licitud del tratamiento efectuado. Manifestó entonces que el tratamiento de los datos de los menores se basaba en que habían sido obtenidos de una fuente de acceso público y, sobre el tratamiento de los datos de las reclamantes, madres de los menores, dijo que entendía que, el hecho de que el padre de otro jugador de su equipo le hubiera facilitado sus números de teléfono móvil y sus nombres era consecuencia de la voluntad de ambas de consentir su tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/31 Ante estas afirmaciones del reclamado, en el acuerdo de apertura del procedimiento se destacó que las fuentes de acceso público, a las que hacían referencia los artículos 6.2 y 3.j de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), no existen en la actual normativa de protección de datos con el sentido que tenían en la LOPD y que el RGPD exige que el consentimiento sea expreso (artículo 4.11), a diferencia de lo que preveía la LOPD que admitía el consentimiento tácito, por lo que no quedaba acreditado el pretendido consentimiento de las reclamantes para el tratamiento de sus datos. Conforme al artículo 5.2. del RGPD -principio de responsabilidad proactiva- incumbe al responsable del tratamiento estar en condiciones de acreditar que el tratamiento se basa en alguna de las casusas de licitud previstas en el artículo 6.1 del RGPD. Tomando en consideración esa disposición, que incide en la carga de la prueba del cumplimiento de los principios que presiden el tratamiento de datos de carácter personal, por lo que aquí interesa, del principio de licitud, y la circunstancia de que en este caso particular era obligado extremar el control sobre la licitud del tratamiento, pues concernía a datos de menores de edad, a fin de esclarecer los hechos y depurar la responsabilidad en la que el reclamado pudiera haber incurrido se acordó la apertura del procedimiento sancionador PS/00063/2021. 2. El reclamado no formuló alegaciones al acuerdo de apertura, muy probablemente porque no accedió a la notificación electrónica. No obstante, en fase de prueba -cuyas diligencias se notificaron además de electrónicamente por correo postal- el reclamado ha respondido a las preguntas formuladas y ha justificado la licitud del tratamiento en una base jurídica distinta de que la que invocó en su escrito de respuesta a la solicitud de información previa. El reclamado afirma en su contestación a las pruebas practicadas, escrito de fecha 15/11/21, que el tratamiento se funda en la prevalencia del interés legítimo que ostenta, a tenor del artículo 6.1.
f)del RGPD. Dice expresamente que “La base legal para el procesamiento de la información es el interés legítimo del responsable de tratamiento.” y que “La finalidad es la comunicación del interés del responsable en proporcionar prueba de acceso al club”. Sobre el motivo de licitud del tratamiento que ahora invoca, el reclamado hace diversas consideraciones que tratan sobre las siguientes cuestiones: (
i)el origen de los datos de los menores; (
ii)las expectativas razonables que existían de que los datos de los menores fueran tratados con la finalidad de ofrecerles la posibilidad de jugar en su equipo la próxima temporada; (iii) la ponderación de los intereses del responsable del tratamiento y de los intereses de los afectados; (
iv)el impacto que el tratamiento pudo haber tenido sobre los derechos de los interesados; (
v)la necesidad del tratamiento; (
vi)y las salvaguardas para protección de los derechos de los interesados. Se transcribe a continuación lo manifestado por el reclamado: (
i)“Considerando la ponderación del procesamiento de los datos de los menores les comunicamos que son de acceso público a través de la Real Federación de Futbol de Madrid. [....]. Así mismo es de acceso público al llevar su dorsal y nombre en las camisetas de los partidos que realizan.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/31 (
ii)“Es asumido cultural y socialmente por costumbre que los equipos ofrezcan sus clubs a jugadores que consideran con opciones de progreso. La comunidad en general reconoce y espera realmente que los responsables de tratamiento puedan actuar y tratar los datos en la búsqueda de dicho interés.” (iii) “Analizando el interés del Responsable y el interés de los jugadores en un análisis de la forma menos intrusiva y más transparente y desde el máximo respeto al tratarse de menores y en nuestra obligación de cumplimientos legales, se solicita a través de un padre de nuestro club ponga en conocimiento de sus padres nuestro interés en evaluar y realizar una prueba a sus hijos con la finalidad de que puedan jugar en nuestro club. Entendemos que el tratamiento es necesario para el interés legítimo del Responsable y el interés manifestado por los menores. “En atención a la protección de los interesados hemos tenido muy en cuenta el interés de los afectados y no solo sus derechos y libertades fundamentales.” “Los términos <<intereses>> y <<derechos>> entendemos que se han de interpretar en sentido amplio Entendemos que es exigible que se tenga en cuenta también el <<interés>> de los afectados, no solo sus derechos y libertades fundamentales, los cuales respetamos en todo momento y así lo hicimos saber a sus madres.” “Estos menores manifiestan a amigos de ellos y jugadores de nuestro club su interés en jugar en nuestro club y uno de sus motivos es que su club tiene esta actividad como extraescolar y por la situación del Covid su colegio suspendería las actividades extraescolares.” (
iv)“Así mismo el impacto sobre los derechos de los interesados entendemos que es nulo o muy bajo ya que con fecha 07/07/2020 atendimos su derecho de acceso ejercido ante nuestra entidad y en él le comunicamos nuestra intención de atender sus derechos y en especial que podía ejercer el derecho de oposición tal como se estipula en el artículo 14.” (
v)“No encontramos en nuestra valoración ningún método alternativo que nos permita comunicar nuestro interés y finalidad a los interesados y que así mismo nos permita cumplir con nuestras obligaciones legales para conseguir los objetivos perseguidos y con el menor impacto para los interesados. La autorización expresa de los interesados para el procesamiento de su información y el establecimiento del contacto no lo encontramos viable hasta que se haya establecido el contacto.” (
vi)Respecto a las “garantías ofrecidas a los interesados entendemos suficientes y adecuadas para reducir la repercusión de los interesados y la no utilización de manera indebida. Se ofrece la atención de sus derechos y nuestra disposición ante cualquier presión de terceros por su posición con ellos.” “En el cumplimiento de nuestras obligaciones conforme al RGPD y LOPDGDD tenemos establecida una cláusula informativa que han de firmar todos los jugadores o en el caso de menores sus padres o tutores legales cuando se realizan pruebas o pasan a formar parte de nuestro equipo.” Por lo que respecta al tratamiento de los datos de las reclamantes, madres de los menores, el reclamado no expone con claridad cuál es, a su juicio, la base jurídica de ese tratamiento. Si bien comienza afirmando que, con carácter general, “La base legal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/31 para el procesamiento de la información es el interés legítimo del responsable de tratamiento.”, más adelante parece dar a entender que la base jurídica de ese tratamiento es el consentimiento. Así, dice: “El facilitarnos los datos a través de intermediario con la finalidad clara que le comunicamos a sus madres, en este caso entendemos que dieron su conformidad para que pudiésemos comunicarnos con ellas, estableciendo una “acción” o un acto afirmativo claro que refleja una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen.” (El subrayado es nuestro) A su vez, parece contradecir lo anterior en otro párrafo cuando alude al derecho de oposición de los interesados, lo que presupone que el fundamento jurídico del tratamiento de los datos personales de las reclamantes era también la prevalencia de su interés legítimo con arreglo al artículo 6.1.
f)del RGPD. El reclamado dice en ese sentido, al referirse a la obtención de los datos de las madres a través de intermediario: “Nuestra comunicación y la finalidad para la que solicitamos sus datos consideramos que permiten la decisión del interesado de oponerse o no a la entrega de sus datos.” Pues bien, más allá de lo manifestado por el reclamado respecto al tratamiento de los datos de las reclamantes -manifestaciones que adolecen de falta de claridad- se adelanta que el mismo fundamento jurídico que legitima el tratamiento de los datos de los menores de edad con la finalidad de ofrecerles jugar en el club la siguiente temporada opera en el presente caso como base jurídica del tratamiento de los datos personales de las reclamantes, en particular, su nombre y número de móvil, únicos datos sobre los que versó el tratamiento que denuncian. En el supuesto que nos ocupa los jugadores a quien el reclamado quiere hacer un ofrecimiento para jugar con él en la próxima temporada son menores de edad, tienen siete años, por lo que cualquier contacto que el reclamado deseara establecer con la finalidad indicaba debía dirigirse a sus representantes legales, en este caso a los padres que ostentan la patria potestad (artículo 162 del Código Civil). Así pues, en la medida en que podamos afirmar que el tratamiento que el reclamado hizo de los datos de los jugadores menores de edad era lícito, por cuanto se fundaba en la prevalencia de su interés legítimo en hacerles una oferta para jugar en su club frente a los intereses, derechos fundamentales y libertades de esos menores, deberá concluirse que la satisfacción de su interés hace igualmente necesario que se traten los datos de las representantes legales (en este caso particular, de las madres) de los jugadores menores de edad. La consecuencia es, por tanto, que la base de licitud del tratamiento de los datos de los menores es, en este supuesto, también y necesariamente, el fundamento de licitud del tratamiento de los datos de las madres, las reclamantes, por su condición de representantes legales de sus hijos. 3.Como se ha expuesto en los párrafos precedentes, el reclamado invoca como fundamento de licitud del tratamiento realizado la prevalencia del interés legítimo que ostenta frente a los intereses, derechos fundamentales y libertades de los interesados, los menores y sus madres, en aplicación del artículo 6.1.
f)del RGPD, precepto que dispone que será lícito el tratamiento “necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/31 sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. En relación con esta causa de licitud, debe traerse a colación la sentencia del Tribunal de Justicia de la Unión Europea (STJUE) de 24/11/2011 (asuntos acumulados C468/10 y C-469/10) que reconoció el efecto directo del artículo 7.
f)de la Directiva 95/46 derogada por el RGPD. La razón es que, siendo esa disposición de la Directiva, en esencia, idéntica al artículo 6.1.
f)del RGPD, sus consideraciones son plenamente aplicables al asunto que nos ocupa. La STJUE indicó (epígrafe 38) que el artículo 7.
f)establecía dos requisitos acumulativos para que un tratamiento de datos personales fuera lícito: por una parte, que el tratamiento fuera necesario para la satisfacción de un interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra, que no prevalecieran sobre él los derechos y libertades fundamentales del interesado. Sobre la ponderación que debe hacerse entre el interés legítimo del responsable y los derechos fundamentales, libertades o intereses del titular de los datos, la STJUE indica que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate, en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que confieren al interesado los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea (epígrafe 40). A propósito de la causa de licitud del tratamiento prevista en el artículo 6.1.
f)del RGPD, es ilustrativo el considerando 47 del RGPD y el Dictamen 6/2014 elaborado por el Grupo de Trabajo del Artículo 29 (en adelante, GT29) relativo al “Concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE”, de fecha 09/04/2014, que ofrece algunos criterios para su aplicación. El considerando 47 del RGPD dice: “El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/31 que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.” (El subrayado es nuestro) A su vez, según el Dictamen del GT29 6/2014 para poder concluir que un determinado tratamiento es lícito sobre la base de la prevalencia del interés legítimo del responsable o de los terceros frente a los intereses, derechos fundamentales o libertades de los titulares de los datos, el análisis debe comenzar por examinar si el interés legítimo invocado (
i)es lícito, es decir, si se adecúa a la legislación nacional y de la Unión Europea (U.E.) que resulta aplicable; (
ii)suficientemente específico, esto es, si está articulado con la suficiente claridad para permitir que la prueba de sopesamiento se lleve a cabo en contraposición a los intereses y los derechos fundamentales del interesado y (iii) representa un interés real y actual, no especulativo. Sobre ese primer elemento a examinar, (
i)la licitud del interés legítimo invocado, esto es, si el tratamiento de datos que el responsable considera necesario para satisfacer su interés respeta la legislación nacional y de la U.E., el Dictamen 6/2014 del GT29 dice que un interés puede considerarse legítimo “siempre que el responsable del tratamiento pueda perseguir este interés de conformidad con las leyes relativas a la protección de datos y con el resto de la legislación”. Según el Dictamen del GT29 solo si se cumple esta primera condición será procedente efectuar la prueba de sopesamiento o ponderación entre el interés invocado por el responsable y el impacto que el tratamiento supone sobre los intereses y los derechos fundamentales y libertades de los interesados. Por otra parte, la ponderación o juicio de sopesamiento entre el interés legítimo del responsable del tratamiento de un lado y el de los intereses, derechos fundamentales y libertades de los titulares de los datos de otra, debe respetar el principio de proporcionalidad. El Tribunal Constitucional -SSTC 66/1995, de 8 de mayo, FJ 5; 55/1996, de 28 de marzo, FFJJ 6, 7, 8 y 9; 207/1996, de 16 de diciembre, FJ 4 e), y 37/1998, de 17 de febrero, FJ 8- ha considerado que para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad será preciso constatar que cumple estos tres requisitos o condiciones: si esa medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto). 4. Examinamos si, a la luz de los criterios expuestos, en el caso aquí planteado y atendidas las circunstancias que en él concurren, el tratamiento que el club reclamado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/31 hizo de los datos de los menores y de sus madres podía estar amparado en el motivo de licitud descrito en el artículo 6.1.
f)del RGPD. Como punto de partida se ha de analizar la licitud del interés del responsable del tratamiento: si el responsable del tratamiento, el club, podía atender su interés sin vulnerar la normativa de protección de datos y el resto de la legislación. Al hilo de la exigencia de que el interés que el reclamado busca satisfacer sea lícito hay que recordar que las reclamantes alegaron que el reclamado vulneró el artículo 26 del R.G. de la RFFM y afirmaron que esa disposición “considera prohibido el contacto para la captación con jugadores de otros clubes mientras estos se encuentren federados, si no media autorización expresa de los mismos.” Sin embargo, el artículo 26 del Libro IV del RG de la RFFM establece: “Ningún Club, bien directamente a través de alguna persona unida de alguna manera al mismo, o por medio de intermediario, podrá ejercitar acciones de captación de jugadores aficionados sin el conocimiento y autorización expresa del club con el que estén inscritos, mientras no haya terminado la competición de la última temporada de su licencia. Igual prohibición se extiende a cualquier persona cuya filiación conste en la organización federativa afecta a la RFFM o a la RFEF.” (El subrayado es nuestro) El precepto alude a la captación de “jugadores aficionados”. Para el R.G. de la RFFM (Libro IV, artículo 1.1.) “Los futbolistas pueden ser Profesionales y no Profesionales o Aficionados.” Y el artículo 1.4. indica que “Son futbolistas aficionados aquéllos o aquéllas que se dedican a la práctica del fútbol por mero afán deportivo dentro de la disciplina de un club, no percibiendo de éste retribución alguna, sin perjuicio de su derecho a ser resarcidos de los gastos que pudiera ocasionarles los desplazamientos, estancias, concentraciones, manutención, pérdida de horario laboral en su ocupación habitual u otras actividades, tanto por la celebración de entrenamientos o partidos oficiales o amistosos.” Según la definición transcrita y visto que los menores, hijos de las reclamantes, estuvieron afiliados a la RFFM en la categoría de Prebenjamines durante la temporada 2019/2020 (nos remitimos a las licencias federativas de ambos que se describen en los Hechos Probados de esta resolución) es evidente que ambos tenían la condición de jugadores aficionados. El artículo 26 del Libro IV del R.G. de la RFFM prohíbe que un club capte a jugadores aficionados “mientras no haya terminado la competición de la última temporada de su licencia.” Ahora bien, una vez finalizada la competición de la última temporada de la licencia, conforme a ese precepto no existirá ninguna prohibición para la captación de jugadores. La RFFM ha informado que la competición de la temporada 2019/2020 finalizó en el momento de la declaración del estado de alarma por parte del Gobierno, lo que aconteció el 14/03/2020, fecha de publicación y entrada en vigor del Real Decreto 463/2020, de 14 de marzo, por el que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el Covid 19. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/31 A la pregunta que se hizo a la RFFM acerca de si todos los clubes y categorías finalizaron la competición de la temporada 2019/2020 en la misma fecha y, en caso de no ser así, en qué fechas la finalizaron el club reclamado y el club del Colegio de los menores, declara que “La fecha de finalización fue la misma para todas las categorías competicionales, independientemente de la fecha en la que hubieren celebrado el último partido.” La RFFM ha aportado una copia de la “Circular Federativa nº5-Temporada 2019/2020” en la que constan los acuerdos adoptados por la Comisión Delegada de la Asamblea General el 14/05/2020, en la que se establece que, como consecuencia de las excepcionales circunstancias de fuerza mayor que se derivan de la pandemia del COVID-19, se ha acordado: “1. Dar por finalizadas en el estado en que se encontraban al momento de la declaración del estado de alarma por parte del Gobierno, con la clasificación existente a dicha fecha y computándose a esos efectos todos los partidos disputados en cada una de ellas, con las consecuencias clasificatorias que ello conlleva. [...]” Por tanto, cuando el coordinador del club reclamado trató los datos de los menores y de sus madres a través de las llamadas telefónicas que hizo a las reclamantes -el 17/06/2020- habían transcurrido más de tres meses desde que la competición de la temporada 2019/2020 había terminado, por lo demás la única temporada contemplada en las licencias federativas de los menores. En consecuencia, en contra de lo que defiende la representante de las reclamantes, el reclamado no incumplió el artículo 26 del Libro IV del R.G. de la RFFM. Y en la medida que el club cumplió las normas federativas que regulan la práctica de este deporte y, en particular, las que afectan al interés que busca satisfacer, desde esa perspectiva, su interés debe reputarse lícito. Siguiendo con el examen de la licitud del interés que ostenta el reclamado, puede afirmarse, a la vista de la información y documentación que obra en el expediente, que, al margen de la cuestión relativa a si los tratamientos de datos realizados infringieron el principio de licitud -cuestión sobre la que versa este expediente sancionador- los tratamientos que el reclamado hizo con la finalidad de satisfacer su interés cumplían los principios de minimización de datos (artículo 5.1.c,RGPD) y de limitación de la finalidad (artículo 5.1.b, RGPD) y además el reclamado tenía implementadas medidas técnicas y organizativas adecuadas para estar en condiciones de cumplir las obligaciones que le impone el RGPD. La documentación aportada demuestra que tenía un Registro de Actividades de Tratamiento (RAT) desde el 14/06/2019, antes de que se produjeran los hechos de los que trae causa este expediente sancionador, que fue actualizado a fecha 23/11/2019 y que tiene designado un DPD. El tratamiento que el reclamado hizo, tanto de datos de los menores de edad como de las reclamantes, cumplió el principio de minimización ya que versó sobre aquellos datos que eran estrictamente necesarios para poder atender el interés que perseguía. En ese sentido, y por lo que hace referencia a las reclamantes, trató exclusivamente los datos que eran indispensables para contactar con ellas: número de móvil y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/31 nombre. Respecto a los datos de los menores la conclusión es idéntica. Los datos tratados fueron el nombre y apellidos, esenciales para identificar a los jugadores a quienes iba dirigida su oferta; el club en el que habían jugado, su forma de juego y el nombre de sus amigos. Esta última información se estima también necesaria en el contexto de la finalidad del tratamiento: la captación de los jugadores mediante una oferta para que los menores jugasen en su club la siguiente temporada que el reclamado hace llegar a sus madres en una conversación telefónica. Atendiendo a esas circunstancias, la referencia a las características del juego es también necesaria, pues parece lógico que la oferta del club reclamado sea consecuencia de las cualidades deportivas que apreció en los jugadores. En cuanto a los nombres de sus amigos debe valorarse el hecho de que los jugadores tienen siete años y que es relevante, por cuanto influye en el bienestar que podrían encontrar en el club reclamado y en la tranquilidad de sus padres, saber que en el equipo iban a estar sus amigos. Nos remitimos al documento aportado por la representante de las reclamantes en fase de prueba denominado “Prueba número 3” que incluye el correo electrónico que personal del Colegio dirigió a una de las reclamantes confirmándole que la incidencia que había comunicado había quedado registrada y en el que consta el formulario de la incidencia que ella cumplimentó, en el que describe la conversación mantenida con el coordinador del club reclamado y dice entre otras cosas: “Le comento que ahora mismo el principal motivo de jugar al fútbol para XXXXX es estar con sus amigos y me dice que habían hablado con C.C.C. (la madre de XXXXX) y que iban a llamar a los padres de XXXXX ya que sabía que los tres eran amigos y que la idea era que fueran los tres juntos.” Cabe añadir, además, a propósito del tratamiento del dato relativo a la forma de juego que no puede obviarse que quien decide participar como jugador federado en una competición deportiva acepta que, en el marco de la competición, entre los equipos participantes y en esa comunidad deportiva que de facto se crea entre ellos, sean conocidos ciertos aspectos de su privacidad como es el relativo a las características de su juego. El tratamiento de datos que el reclamado llevó a cabo para satisfacer su interés - una oferta a las madres de los dos jugadores menores de edad para que sus hijos jugaran en su club la siguiente temporada- también respetó el principio de limitación de la finalidad descrito en el artículo 5.1.b, RGPD: “Los datos personales serán: (...)
b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»)” El reclamado declaró en su respuesta a las pruebas y en el escrito informativo previo a la admisión a trámite de la reclamación, e incluso en su respuesta al acceso solicitado por las reclamantes, que obtuvo los datos de los menores de una fuente de acceso público, a través de la información que facilita la página web de la federación y de la que consta en el dorsal de la camiseta de los jugadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/31 Ante esa declaración es necesario subrayar de nuevo que, el hecho de que los datos de los menores resultasen accesibles a través de la página web de la RFFM o por otras vías durante el desarrollo de la competición, por ejemplo, por la información que aparece en su ropa deportiva, no constituye en ningún caso una base jurídica de la licitud del tratamiento que ulteriormente pudiera hacerse de los datos obtenidos a través de esos medios. No lo es con la normativa actual, el RGPD, y tampoco lo fue durante la vigencia de la LOPD a raíz de la STJUE de 24/11/2011 que obligó a hacer una interpretación de su artículo 6.2 acorde con la Directiva 95/46/CE. En la normativa actual “todo” tratamiento de datos personales tiene necesariamente que fundarse en alguno de los seis motivos de licitud que se relacionan en el artículo 6.1 del RGPD, entre los que no figuran, como puede comprobarse con su lectura, las llamadas fuentes de acceso público. Por tal razón, en el acuerdo de apertura de este procedimiento se advertía que las llamadas fuentes de acceso público, a las que hacía referencia la derogada LOPD y su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007, no existen con el mismo carácter en el marco del actual régimen jurídico de protección de datos y que la posición de la AEPD sobre la cuestión era clara: El Informe de 03/10/2019, (Registro de entrada 045824/2019) dijo que “a partir de la entrada en vigor del RGPD no puede hablarse de un concepto legal de “fuentes accesibles al público” como el que existía en la anterior Ley Orgánica 15/1993 (...) El RGPD sólo habla de fuentes de acceso público al regular el derecho a la información si los datos no se han recogido del interesado”. La RFFM dispone de una página web en la que se publican los datos de quienes participan en las competiciones. Excede del objeto de este procedimiento el análisis de la referida página web. No obstante, sí podemos afirmar que la RFFM cumple una misión de interés público en la promoción de este deporte en el ámbito de la Comunidad de Madrid y que Ley 15/1994 del Deporte de la Comunidad de Madrid le confiere, entre otras funciones, (artículo 36
d)“Organizar y tutelar las competiciones oficiales de su ámbito territorial.” El tratamiento que la RFFM hace de los datos personales de sus afiliados -en la medida en que el tratamiento en cuestión tenga por finalidad dar cumplimiento de las funciones que le encomienda la Ley 15/1994 de la CAM- tiene su base jurídica en el apartado
e)del artículo 6.1 del RGPD que se refiere al “tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”. La RFFM ha declarado que la base jurídica que legitima la publicación en su página web de los listados con los datos personales de los jugadores miembros de las plantillas de los clubes federados es el cumplimiento de una misión realizada en interés público, artículo 8.2 LOPDGDD, que se funda en que la Ley 15/1994 de la CAM “dispone como funciones de las federaciones la organización de las competiciones deportivas oficiales, así como la promoción, con carácter general, de su modalidad o modalidades deportivas en todo el territorio de la Comunidad de Madrid, artículo 36, apartados
a)y b). Entendiendo que estas funciones son tareas que corresponden o toca realizar a la federación por derivación de una competencia atribuida por una norma con rango de ley.” Respecto de la finalidad de ese tratamiento, la RFFM destaca que se realizó y se realiza “para dar cumplimiento a las funciones de organización de competiciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/31 un deporte de equipo y la promoción de dicho deporte, haciendo visibles los participantes componentes de las respectivas plantillas y trasladando, como razón principal de un deporte desde sus categorías inferiores hasta las profesionales, que quien quiere puede practicarlo con todas las garantías federativas, es decir, oficialmente.” Y añade refiriéndose a los clubes que “siendo la web de la RFFM, en este apartado, de acceso libre, no requieren que se les faciliten datos, sino que pueden acceder a la web y tratarlos según la finalidad para la cual han sido publicados.” (El subrayado es nuestro) El reclamado respetó el principio de limitación de la finalidad en el tratamiento ulterior que hizo de los datos de los menores (sus nombres y apellidos), que obtuvo de la citada página web. Como se ha razonado, el interés que el reclamado buscaba satisfacer mediante el tratamiento realizado era lícito (i). Podemos afirmar, también, que era (
ii)“suficientemente específico”, pues se podría concretar en la captación de jugadores, lo que implica poder comunicar al jugador la oferta para jugar en su club previa realización de una prueba, y siendo los jugadores en este caso particular menores de edad la oferta debía comunicarse a sus representantes legales. El interés perseguido por el reclamado, así definido, permite realizar la prueba de sopesamiento contraponiéndolo con los intereses y los derechos fundamentales de los interesados. Y, por último, parece evidente que el interés perseguido por el reclamado era (iii) “real” y no especulativo. Paralelamente, el tratamiento efectuado por el club reclamado cumple los tres requisitos que según la doctrina del T.C. garantizan que la restricción de un derecho fundamental cumpla el principio de proporcionalidad: juicio de idoneidad; juicio de necesidad y juicio de proporcionalidad en sentido estricto. El tratamiento de los datos personales de las reclamantes y de sus hijos fue el idóneo para la finalidad perseguida como lo demuestra que el reclamado consiguió contactar con las madres de los jugadores y comunicarles su oferta para la siguiente temporada. Igualmente, el tratamiento de datos que el reclamado efectuó para satisfacer el interés que ostentaba fue “necesario”, pues no existían otras vías menos invasivas que permitieran al club contactar con las madres de los menores y hacerles llegar su oferta. En ese aspecto son esclarecedoras estas declaraciones del reclamado: “No encontramos en nuestra valoración ningún método alternativo que nos permita comunicar nuestro interés y finalidad a los interesados y que así mismo nos permita cumplir con nuestras obligaciones legales para conseguir los objetivos perseguidos y con el menor impacto para los interesados. La autorización expresa de los interesados para el procesamiento de su información y el establecimiento del contacto no lo encontramos viable hasta que se haya establecido el contacto.” El requisito de la “necesidad” del tratamiento, que se menciona al inicio de la redacción del artículo 6.1.
f)del RGPD, es un elemento integrante de la causa de licitud descrita en ese precepto. Puede citarse la Sentencia del Tribunal de Justicia de la Unión Europea (STJUE) de 04/05/2017, asunto C-13/16 (ECLI: EU:C:2017:336) que resuelve la cuestión prejudicial planteada por el tribunal remitente sobre el concepto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/31 “necesidad” recogido en el artículo 7.
f)de la Directiva 95/46/CEE, precepto muy similar al actual artículo 6.1.
f)del RGPD: El TJUE dice que “[…] de la sistemática de la Directiva 95/46 y del tenor de su artículo 7 se desprende que la letra
f)de este mismo artículo no establece, en sí, la obligación de que se efectúe el tratamiento de datos (por ejemplo, la comunicación a un tercero de datos necesarios para la satisfacción de un interés legítimo perseguido por éste), sino que confiere la facultad de llevar a cabo ese tratamiento.” (párrafo 26) Añade que “[...] el artículo 7, letra f), de la Directiva 95/46 fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito: primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades fundamentales del interesado en la protección de los datos.” (párrafo 28) Y que “[...]Por lo que atañe al requisito de que el tratamiento de datos sea necesario, procede recordar que las excepciones y restricciones al principio de protección de los datos de carácter personal deben establecerse sin sobrepasar los límites de lo estrictamente necesario (sentencias de 9 de noviembre de 2010, Volker und Markus Schecke y Eifert, C 92/09 y C 93/09, EU:C:2010:662, apartado 86; de 7 de noviembre de 2013, IPI, C 473/12, EU:C:2013:715, apartado 39, y de 11 de diciembre de 2014, Ryneš, C 212/13, EU:C:2014:2428, apartado 28). Procede observar a ese respecto que, según lo indicado por el tribunal remitente, la comunicación exclusiva del nombre y el apellido del causante del daño no permite identificarlo con precisión suficiente como para poder demandarlo. Así pues, a tal efecto resulta necesario obtener asimismo su domicilio y número de identificación o al menos uno de esos dos datos.” (El subrayado es nuestro) Así pues, hemos de concluir que el interés del reclamado en tratar los datos de los menores y de las reclamantes con la finalidad de contactar con ellas para comunicarles una oferta para que sus hijos menores jugaran en el club era un interés lícito. Centrados en el juicio de proporcionalidad en sentido estricto o, según la expresión empleada en el Dictamen del GT29, “prueba de sopesamiento”, se debe analizar el impacto que el tratamiento ha tenido sobre los derechos fundamentales y libertades de los interesados y valorar si el tratamiento en cuestión ha sido equilibrado, por derivarse de él más beneficios o ventajas para el interés general que perjuicios para otros bienes o valores, en este caso para el derecho de protección de datos de las reclamantes y de sus hijos menores; derechos que como consecuencia del tratamiento han sufrido una restricción. A ese respecto se aprecia que el impacto que el tratamiento ha tenido sobre los intereses, derechos fundamentales y libertades de los menores y de sus madres ha sido mínimo y no se han derivado consecuencias adversas para ellos. Además, debe valorarse que existía una expectativa razonable de que este tratamiento pudiera producirse. Quienes deciden afiliarse a la RFFM y participar como federados en las competiciones que ella organiza son conscientes de que de que sus datos personales serán objeto de determinados tratamientos tanto por la RFFM, en cumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/31 funciones que le encomienda la Ley 15/1994 de la CAM, como por el club con el que se vinculan y tampoco pueden ignorar que el artículo 26 del R.G. de la RFFM admite que los clubes puedan captar jugadores cuando se cumplen determinadas condiciones, de modo que es posible que sus datos sean tratados con esa finalidad. Y, en este caso, siendo los interesados menores de edad cuyos padres autorizaron expresamente que sus hijos solicitaran la licencia federativa, debemos entender que también los padres tenían una expectativa razonable de que un tratamiento con el propósito que perseguía el reclamado llegara a producirse. En esa línea argumental se añade que el documento de la licencia federativa de los menores, en las que constan las autorizaciones de sus respectivos padres, incluye al pie del documento una leyenda informativa que, entre otras cosas, dice lo siguiente: “[...] respecto a los datos que le identifican como federado se le informa que serán tratados para llevar a cabo el encargo solicitado. Trataremos su imagen y/ o su voz basándonos en el interés legítimo de la Federación, según dispone el artículo 36 de la Ley 15/1994, de 28 de diciembre, del Deporte de la Comunidad de Madrid. [...]”. Por otra parte, el artículo 1.3 del Libro I del R.G. de la RFFM -que aún sigue citando la LOPD- establece que: “A los efectos previstos en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, todas las personas [...] a quienes por su actividad deportiva les sea expedida licencia federativa por ésta, prestan su consentimiento para que sus datos de carácter personal sean incorporados al fichero cuyo titular es la Real Federación de Fútbol de Madrid que está inscrito en el Registro General de Protección de Datos. Así mismo, autorizan a que sus datos puedan ser hechos públicos en aquellos supuestos en los que sea preciso para el cumplimiento de las funciones de la Real Federación de Fútbol de Madrid. Quedando informados que pueden ejercer su derecho de acceso, rectificación y cancelación.” La práctica ausencia de un impacto negativo sobre los interesados derivado del tratamiento de sus datos por el reclamado, impacto que estimamos que queda reducido a la restricción que sufre su derecho fundamental de protección de datos, hay que ponerla en relación con el beneficio que se deriva para la sociedad de los tratamientos que tienen idéntica finalidad que el efectuado por el reclamado en el marco de una actividad deportiva cuya promoción y organización tiene encomendada la RFFM por la Ley 15/1994 de la CAM, cumpliendo con ello fines de interés general. En esa ponderación son dignos de mención, por su carácter decisivo, elementos como la expectativa razonable de que se produjera un tratamiento con esta finalidad que tienen quienes deciden afiliarse a la RFFM o las medidas que el club reclamado tenía implementadas para cumplir con rigor las obligaciones que le impone el RGPD. Cabe añadir en relación con los menores de edad, cuyo derecho fundamental a la protección de datos se ha visto limitado, que quienes han demostrado el deseo -en este caso, con el beneplácito de sus padres- de jugar al futbol como deportistas federados y participar en una competición deportiva verán con agrado que sus cualidades deportivas se vean valoradas positivamente por otros equipos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/31 Por último, se ha de hacer una importante precisión sobre el alcance del tratamiento de datos efectuado por el reclamado cuya licitud se fundamenta en el artículo 6.1.
f)del RGPD. El reclamado ha hecho en el curso del procedimiento estas declaraciones: “En el cumplimiento de nuestras obligaciones conforme al RGPD y LOPDGDD tenemos establecida una cláusula informativa que han de firmar todos los jugadores o en el caso de menores sus padres o tutores legales cuando se realizan pruebas o pasan a formar parte de nuestro equipo.” “La autorización expresa de los interesados para el procesamiento de su información y el establecimiento del contacto no lo encontramos viable hasta que se haya establecido el contacto.” En la copia del RAT del club que nos ha facilitado se incluye entre las actividades de tratamiento que lleva a cabo la denominada “Prospección de jugadores/as”. Respecto a esta actividad consta en el punto 6, “Descripción del tratamiento”, “Personas interesadas en pasar las pruebas para pertenecer al club” y en el punto 4, “Licitud del tratamiento” se indica: “Base de licitud. El tratamiento se basa en el consentimiento del afectado.” Así las cosas se debe concluir que el tratamiento de datos para el cual el reclamado ha invocado como base jurídica de licitud la prevalencia de su interés legítimo, artículo 6.1.
f)RGPD, será únicamente aquel que resulte necesario para contactar con los jugadores, en este caso, al ser menores, con sus representantes legales, en particular sus madres, para hacer un oferta para la siguiente temporada, pero que, los tratamientos de datos que realice a raíz de que los destinatarios de la oferta acepten someterse a una prueba en el club exigirán que previamente se recabe el consentimiento de los interesados, de tal manera que la base jurídica del tratamiento que se efectúe con esta finalidad -la realización de las pruebas previa a la consolidación de la oferta- no será ya el artículo 6.1.
f)del RGPD sino el artículo 6.1.
a)RGPD. Por último, se informa que los interesados pueden oponerse a que sus datos personales sean objeto de un tratamiento basado en lo dispuesto en el artículo 6.1.
f)RGPD, en los términos establecidos en el artículo 21.1 del RGPD. Asimismo, pueden solicitar la supresión de sus datos personales cuando concurra alguna de las circunstancias recogidas en el 17 del RGPD entre las que el precepto menciona las siguientes: “
a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;” y “
c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;”. En atención a lo expuesto, es obligado concluir que el tratamiento que el club reclamado hizo de los datos personales de las reclamantes 1 y 2 y de los de sus hijos menores de edad con la finalidad de contactar con ellas para ofrecerles que sus hijos jugaran en su club la siguiente temporada, previa realización de una prueba, respetó el principio de licitud siendo la base jurídica del tratamiento la circunstancia descrita en la letra
f)del artículo 6.1. del RGPD. Así pues, no existiendo en el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/31 realizado indicios de infracción del principio de licitud, debe acordarse el archivo del procedimiento sancionador. Por lo tanto, de acuerdo con los hechos que han quedado acreditados y la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ACORDAR EL ARCHIVO del procedimiento sancionador PS/00063/2021 abierto al CLUB DEPORTIVO SAN ROQUE E.F.F., con CIF G80588098, al no apreciarse indicios de infracción del artículo 6.1. del RGPD. SEGUNDO: NOTIFICAR la presente resolución a C.D SAN ROQUE E.F.F., con NIF G80588098. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-100322 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.