1/26 Expediente Nº: EXP202103915 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 8 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CLUB CORNELLÁ ATLETIC, S.C.P. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 2 de marzo de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202103915 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 17/09/2021, interpuso reclamación ante la Agencia de Protección de Datos Catalana que traslada con entrada en la Agencia Española de Protección de Datos el día 21/09/
(23)” 27 “Garantizar y acreditar que los Profesionales, monitores, entrenadores y técnicos que trabajan en instalaciones o equipamientos deportivos, así como aquellos que desarrollen la práctica económica vinculada con la actividad física y el deporte deben estar asintomáticos y siempre que las autoridades sanitarias lo determinen deben dar negativo en el test COVID19. “ Consta en el apartado: “normas generales de prevención” “a las instalaciones deportivas que se han de aplicar las normas de carácter general establecidas por las autoridades sanitarias” “no pueden acceder a la instalación deportiva las personas con la COVID-19, los que hayan estado en contacto estrecho o los que presenten síntomas compatibles con la enfermedad”. “normas específicas de la instalación: Para aplicar los protocolos de la prevención se ha de identificar una persona responsable. Esta persona también será la interlocutora con la autoridad sanitaria cuando sea necesario”. “Control de las personas usuarias y trabajadores: toda persona usuaria individual o trabajadora de la instalación habrá de declarar responsablemente que no presenta ningún síntoma compatible con la COVID-19, no ser positivo o contacto estrecho con una persona contagiada”” el responsable de la instalación ha de adoptar medidas necesarias para identificar a los usuarios que hayan participado de las actividades programadas para asegurar la trazabilidad en caso de que se detecte algún positivo entre los participantes de las diferentes actividades”. En el apartado “Práctica de actividad física y deportiva” “criterios generales para la práctica de actividad física y deportiva organizada” 5” “Las personas que participen en actividades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 deportivas organizadas tendrán que declarar responsablemente que en los últimos 14 días no se ha tenido ninguna sintomatología compatible con la COVID-19, no haber sido positivo, no haber convivido con personas que lo hayan sido ni haber tenido contacto estrecho con personas afectadas por la misma, así como obligarse a poner en conocimiento en caso de tener síntomas o haber sido positiva. En el apartado 5 “competiciones y acontecimientos deportivos” se indica: “Todo organizador de competiciones y acontecimientos deportivos habrá de disponer de un protocolo que vele por garantizar la trazabilidad de los participantes y deportistas evite los riesgos de contagio por COVID-19 y garantice las medidas previstas en el presente Plan. Asimismo, las personas participantes habrán de declarar responsablemente que en los últimos 14 días no se ha tenido ninguna sintomatología compatible con el COVID-19, no ha dado positivo, ni se ha convivido con personas que lo hayan estado, ni haber tenido contacto estrecho con personas infectadas” “De acuerdo con el DECRETO 63/2020, de 18/06, de la nueva gobernanza de la emergencia sanitaria provocada por la COVID-19 y de inicio de la etapa de la reanudación en el territorio de Cataluña, así como también establece la Resolución SLT/1429/2020, de 18/06, por la que se adoptan medidas básicas de protección y organizativas para prevenir el riesgo de transmisión y favorecer la contención de la infección por SARS-CoV-2, la Secretaría General del Deporte y de la Actividad Física ha adoptado las medidas básicas de protección y organizativas para prevenir el riesgo de transmisión y favorecer la contención de la infección por SARS-CoV-2 en el sector deportivo. Por este motivo se indica que por medio de este anexo “incorporado en el PLAN DE ACCIÓN DEL DESCONFINAMIENTO DEPORTIVO DE CATALUÑA aprobado por el Comité Técnico del PROCICAT el pasado 13/06/2020, pasan a describirse las medidas adoptadas, las cuales serán recogidas en el instrumento jurídico oportuno”, entre las que figuran las referidas a las declaraciones de salud. Se aprecia que en el plan no se alude en ningún punto a que la autoridad sanitaria recomiende u obligue realizar las mencionadas declaraciones responsables de salud o alguna otra medida que se incluyen en el citado formulario. El citado Decreto 63/2020, de 18/06, en su artículo 5, establece: “Facultar la consejera de Salud y el consejero de Interior, en su condición de autoridades integrantes del Comité de Dirección del Plan de actuación PROCICAT para emergencias asociadas a enfermedades transmisibles emergentes con potencial alto riesgo, a fin de que adopten las resoluciones necesarias para hacer efectivas las medidas que han de regir la nueva etapa que se inicia.” ● “Protocolo básico para la minoración del riesgo de contagio de COVID-19 en el desarrollo de la práctica deportiva y competición”, de la Federación Catalana de Atletismo, que no porta fecha pero alude al Plan de la “Secretaría general del Deporte y de la actividad físicaSGEAF y aprobado por el PROCICAT”. El protocolo se inicia indicando que de acuerdo con el “plan de acción para el desconfinamiento deportivo de Cataluña” presentado por la SGEAF, se determina la fase de vuelta a la actividad deportiva y a la competición requiriendo a los organizadores y titulares de las instalaciones la adopción de protocolos específicos para la determinación de medidas que procuren evitar el riesgo de contagio de COVID-19 entre los usuarios de instalaciones deportivas, así como entre los participantes en la actividad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 El protocolo “genérico” “se ira adaptando a los diferentes comunicados que la autoridad competente determine”, según la evolución de la pandemia. - “La Federación Catalana de Atletismo propone este protocolo adaptado a nuestro deporte y siguiendo las instrucciones del plan de acción del SGEAF que se complementa con los reglamentos específicos de cada competición. Además de contener medidas preventivas y de higiene, se indica en “recomendaciones a tener en cuenta en la organización de competiciones”, apartado
- a)“antes de iniciar la actividad”, para el “deportista” ”cada deportista aportará una declaración responsable conforme no presenta síntomas de tener COVID-19 y en caso de haber pasado la enfermedad declarar que ha superado el periodo de cuarentena adecuada. Asimismo, la declaración responsable habrá de acreditar que no se ha estado en contacto con personas infectadas, o se ha viajado a zonas en riesgo declaradas oficialmente en los 14 días inmediatamente anteriores a la fecha de firma del documento”. “Se recomienda que los desplazamientos de los deportistas se hagan de forma individual o exclusivamente con familias convivientes. “ “Cada deportista facilitará los datos de contacto para el registro de las personas asistentes a la actividad que garantice la trazabilidad del grupo“. El mismo literal se contiene para los “trabajadores, entrenadores jueces y voluntarios.”, y “público”. “Para el organizador”: “Registrará el nombre y apellidos así como los datos de contacto de las personas participantes en la actividad, ya sean deportistas, trabajadores, entrenadores, jueces, voluntarios, organizadores, o público, para garantizar la trazabilidad”. “Después de la actividad”, para el organizador, se impone: “Guardará el registro de asistentes y participantes así como las declaraciones responsables aportadas por un término mínimo de 30 días naturales desde la fecha de la actividad y estará a disposición de las autoridades sanitarias en caso de que sea requerido como consecuencia de los positivos en contagio por COVID-19.” Sobre la vacuna, no se cita extremo alguno. ● -En las “Medidas específicas para la competiciones” que se contiene en el mismo documento anteriormente mencionado y a continuación, también, de la Federación Catalana de Atletismo, se señalan medidas específicas para las competiciones, sin aludir a las declaraciones de responsabilidad. 1. Tratamientos que se realizan con dicha información. Se recogía en papel y actualmente están destruidos. 2. Habilitación legal para realizar dichos tratamientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 Reiteran que Adjuntan la documentación del punto 1 3. Análisis de riesgos de los ficheros que contienen datos médicos relativos al COVID: Indica que “Los documentos han sido destruidos.” 4. Número de registros que contienen estos ficheros, relativos a menores y relativos a mayores de edad. “Los números aproximados atendiendo al número de socios se recogieron 220 documentos de menores y 198 de mayores de edad.” 5. Detalle se si se tratan datos exclusivamente de los socios o de terceros que se apuntan a competiciones o acceden a las instalaciones del club. “Única y exclusivamente los socios.” 6. Información que se facilita a los interesados conforme indica el artículo 13 del Reglamento General de Protección de Datos. “En las inscripciones y renovaciones en el club, los socios están informados de sus derechos respecto al Reglamento General de Protección de Datos.” 7. Tiempo durante el que se conservan estos datos. “Desde septiembre de 2020 hasta Junio de 2021.” CUARTO: Con fecha 8/07/2022, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a CLUB CORNELLÁ ATLETIC, S.C.P., con NIF G59338822, por la presunta infracción de los siguientes preceptos: Artículo 9.2 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD y a efectos de prescripción en el artículo 72.1.
- e)de la LOPDGDD. Artículo: 13 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD y a efectos de prescripción en el artículo 72.1.
- h)de la LOPDGDD.” “a los efectos previstos en el art. 64.2
- b)de la LPACAP, las sanciones que pudieran corresponder serían de multa administrativa, de 4.000 euros por la infracción del artículo 9.2 del RGPD y de 2.000 euros por la infracción del artículo 13 del RGPD, sin perjuicio de lo que resulte de la instrucción.” QUINTO: Transcurrido el plazo de alegaciones que se concedió en el acuerdo de iniciación del procedimiento sancionador, con fecha 30/01/2023, se acordó abrir periodo de práctica de pruebas, según lo dispuesto en el artículo 77 y 78 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), practicando las siguientes: 1. Dar por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/13556/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por CLUB CORNELLÁ ATLETIC, S.C.P., y la documentación que a ellas acompaña. 3. Se solicitará a través del Departamento de Interior de la Generalitat de Catalunya, que solicite información al Comité de Dirección del Plan de actuación del PROCICAT por emergencias asociadas a enfermedades transmisibles emergentes de alto riesgo (integrado por titulares del Departamento de Interior y del departamento de Salud que, sobre el “Plan sectorial de uso de instalaciones deportivas”, aprobado por el comité técnico del PROCICAT para emergencias asociadas a enfermedades transmisibles emergentes con potencial de alto riesgo, informe o aporte: -
- a)Fecha de aprobación y que autoridades lo aprobaron. Normas de competencia que son aplicables para dicha aprobación. -
- b)Si el Plan contiene informes de alguna autoridad sanitaria que hiciera referencia a la obligatoriedad para las entidades deportivas, como las Federaciones y clubs deportivos, de que debían aportar una declaración responsable de salud los deportistas de dichas entidades así como los empleados. Copia del mismo, y si fue publicado en algún diario oficial. -Si se proporcionaba modelo de declaración responsable sobre salud relacionada con deportistas, COVID 19 y participación en actividades deportivas. -Si se contemplaba alguna medida en cuanto al tratamiento de los derechos de las personas de los que se iban a obtener la citada declaración, o se impuso alguna directriz en este sentido. -
- c)Relación que guarda el Plan con el denominado “Plan de acción para el desconfinamiento deportivo en Cataluña” de la SGEAF-actualización fase “Represa junio 2020”, y que papel juegan aquí los órganos o autoridades del PROCICAT. Transcurrido el tiempo otorgado, no se recibió respuesta. 4. Al reclamado, informe en el plazo de diez días de lo siguiente: Según su información, la declaración de salud responsable se autorizó por PROCICAT y luego por la Federación Catalana. A tal efecto, se le pide que informe si los modelos que proporcionó para sus socios, mayores y menores de edad sobre declaración responsable de salud, eran propios o fueron recogidos de alguna otra entidad, dado que en uno de ellos se introducía: “Vigilar diariamente el estado de mi hijo-a tomando la temperatura antes de salir de casa para ir al centro educativo. “ También, que pretendían con la cuestión que figuraba en el cuestionario de menores –“Que tiene el calendario vacunal al día.”, cuando en el Plan de PROCICAT ni en la Federación se aludía a vacunas. Se recibe respuesta del reclamado el 18/02/2023, en la que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 -“nos basamos en el modelo utilizado por un centro educativo, dado que una gran masa de nuestros atletas estaba en edad escolar en ese momento. En algunos de esos modelos también figuraban esos dos aspectos”. Ponemos, por ejemplo el enlace a un modelo propuesto para alumnos en algún centro de El Prat de Llobregat, en algún tipo de actividad educativa, siendo la dirección https://seu.elprat.cat/siac/procedimiento_tver_doc.aspx?solcomp=20398. Se trata de un documento de declaración responsable, “de aceptación de condiciones de participación, obligación de información del consentimiento informado”. El documento tiene aspectos en común con los del reclamado, si bien hay otros que no se incluyen. Si que se incluye la referencia a la “declaración de haber recibido la pauta completa de la vacunación COVID 19”. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) El reclamado es un Club de atletismo, situado en la provincia de Barcelona, que solicita a sus socios deportistas, incluyendo a los menores de edad ,que cumplimenten y firmen unos impresos que les ofrece, denominados “declaración responsable de salud”, que contienen espacios para rellenar sus datos, y del literal ya precumplimentado. La declaración es sobre sintomatología de la COVID-19, que no lo ha tenido ni estado en contacto con personas que lo tuvieran, y que tiene el calendario vacunal al día.”(esto para menores solamente). 2) Cuando respondió la reclamada al traslado de la reclamación, el 1/04/2022, antes del acuerdo de inicio, manifestó que recogió datos exclusivamente de sus socios en impresos en papel, con las citadas declaraciones, con unos 220 documentos de menores y 198 de mayores de edad, durante el período septiembre 2020 a junio 2021, y que los había destruido. 3) Los modelos de declaración responsable en los que se recogen datos de salud de los socios deportistas del reclamado, carecen de información alguna sobre el tratamiento de datos, su finalidad, ejercicio de derechos y resto de elementos que conforman el artículo 13 del RGPD. La reclamada indicó que los socios están informados de sus derechos del RGPD “en las inscripciones y renovaciones en el Club”. 3) La reclamada implementó las citadas declaraciones responsables de acuerdo con el “PLAN SECTORIAL DE USO DE INSTALACIONES DEPORTIVAS” que para la fase de vuelta a la actividad deportiva y a la competición, aprobó el PLAN DE ACCIÓN PARA EL DESCONFINAMIENTO DEPORTIVO EN CATALUÑA, por la Secretaria General del Deporte y Actividad Física de la Generalidad de Cataluña, SGEAF, junio 2020. El citado Plan “recoge medidas básicas y organizativas de protección para prevenir el riesgo de transmisión y favorecer la contención de las infección para el SARS-COV 2 en el sector deportivo”. Se indica en el Plan, que por parte de cada titular de una instalación deportiva se han de realizar planes de contingencia que contengan protocolos y normas para prevenir y minimizar la propagación de la pandemia. En varios puntos del citado Plan, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 comprenden los literales que componen la obligatoria declaración responsable de datos de salud que la reclamada implementó y que comprende variados aspectos, como: -Usuarios o deportistas que al acceder a instalaciones, si se ha estado con persona afectada por COVID 19, o si tienen síntomas o han sido contactos estrechos, no acudir. -Lo mismo, para trabajadores que se han de comprometer a no acudir al centro si tiene síntomas o es un contacto estrecho. -Usuario o deportista, que no han tenido sintomatología compatible con COVID en los últimos 14 días, no haber sido positivo ni haber convivido con personas que hubieran tenido contacto estrecho con personas infectadas. -Asimismo, establece que: “Todo organizador de competiciones y acontecimientos deportivos habrá de disponer de un protocolo que vele por garantizar la trazabilidad de los participantes y deportistas evite los riesgos de contagio por COVID-19 y garantice las medidas previstas en el presente Plan. “ 4) La Federación Catalana de Atletismo elaboró un protocolo con tal objeto, que alude y desarrolla a lo dispuesto en el citado Plan de la Secretaría General del Deporte y de la actividad física. El Protocolo sigue las instrucciones del Plan de la SGEAF y refiere las citadas declaraciones de responsabilidad. 5) La reclamada implementó las declaraciones de responsabilidad por la aprobación y obligatoriedad del plan de “PLAN DE ACCIÓN PARA EL DESCONFINAMIENTO DEPORTIVO EN CATALUÑA de la SGEAF” y de su Federación 6) Los formularios escritos a cumplimentar por los socios los realizó la reclamada basándose en modelo que encontró de centros educativos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 El artículo 4 del RGPD define: “A efectos del presente Reglamento se entenderá por: 1) datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” “15) datos relativos a la salud: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” Además, para una comprensión cabal del concepto de dato de salud, hay que acudir para su interpretación a las normas internacionales, según especifica el artículo 10 de la Constitución Española. La Organización Mundial de la Salud en su Carta Magna definió el término la "salud" como "el estado de completo bienestar físico, mental o social, y no solamente la ausencia de afecciones o enfermedades". Es el apartado 45 de la Memoria Explicativa del Convenio 108 del Consejo de Europa, el que indica que su concepto abarca "las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo", "pudiendo tratarse de informaciones sobre un individuo de buena salud, enfermo o fallecido", añadiendo que "debe entenderse que estos datos comprenden igualmente las informaciones relativas al abuso del alcohol o al consumo de drogas". Se trata de un concepto amplio, según la sentencia del Tribunal de Justicia de las Comunidades Europeas, Sala Pleno, de 6/11/2003, asunto C-101/2001 (Caso Lindqvist), en la que se razona que la indicación, en una página web de Internet, de que una persona se ha lesionado un pie y está en situación de baja parcial constituye un dato personal relativo a la salud en el sentido del artículo 8, apartado 1 de la Directiva. Es decir, según el citado Tribunal, la expresión datos relativos a la salud, empleada por la Directiva 95/46 /CE, debe ser interpretada de forma amplia, que comprenda la información relativa a los aspectos físicos y psíquicos de la salud de una persona. En el presente caso, se mencionaba en correo electrónico, medio automatizado, que el denunciante, identificable, padecía baja por motivos psicológicos. Los socios del Club de atletismo de la reclamada, son los que cumplimentan los formularios declarando datos referidos a su salud, al menos así se deduce de la primera parte, que contiene declaraciones referidas a datos de salud del declarante, aun cuando no procedan expresamente de un historial clínico de los sujetos, deben ser considerados como datos refeC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 rentes a la salud de las personas, habida cuenta que, o bien conciernen directamente a la salud del individuo o bien se encuentran estrechamente relacionados con la salud. La finalidad de la recogida y el contenido de estos datos relacionados con la COVID-19 con el objeto de impedir la transmisión es distinta y de distinto carácter de la recogida que se hace del socio con la finalidad de su alta en el Club como federado con el objeto de poder participar en las competiciones. En la situación de crisis sanitaria ocasionada por la COVID19, el Club de Atletismo adopta las medidas encaminadas a prevenir nuevos contagios de COVID-19, bajo las instrucciones señaladas por el PROCICAT y los planes aplicables, pero hay que examinar si se ajustan a los mismos o incluye algo no contemplado en el mismo y si es acorde con la normativa de protección de datos, considerando que las medidas deben aplicarse atendiendo a los criterios definidos por las autoridades sanitarias que son las que definen las medidas generales de prevención e higiene. El artículo 3 de la Ley Orgánica 3/1986, de 14/04, de Medidas Especiales en Materia de Salud Pública, es una norma de cobertura de las medidas sanitarias que comporten alguna restricción de derechos fundamentales, en concreto, cuando dispone que "con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible". La Resolución SLT/1429/2020, de 18/06, del Departamento de Salud de la Generalitat de Catalunya, por la cual se adoptan medidas básicas de protección y organizativas para prevenir el riesgo de transmisión y favorecer la contención de la infección por SARS-CoV-2 contiene medidas básicas de prevención, “las cuales deben completarse con planes de acción sectoriales elaborados y aprobados en el marco del Plan de actuación del PROCICAT (Protección civil de Cataluña) para emergencias asociadas a enfermedades transmisibles emergentes con potencial alto riesgo, como garantía de una gobernanza de la emergencia sanitaria de alto nivel técnico y especializado que refuerza la autoridad sanitaria.” Entre las medidas generales establece: “Las personas que presenten síntomas compatibles con la COVID-19 deben contactar con el sistema público de salud y deben seguir, tanto ellas como sus estrechos contactos, las indicaciones de aislamiento domiciliario de acuerdo con los protocolos aprobados por la autoridad sanitaria.” “las medidas de esta resolución se deben completar con planes sectoriales de las actividades que deben aprobarse de acuerdo con lo que prevea el Plan de Transición del confinamiento, ratificado por el Gobierno el 25/04/2020, y que “en todo caso, deben elaborarse planes sectoriales en relación con los siguientes ámbitos y actividades: “instalaciones deportivas”. Estos planes deben irse actualizando para adaptarse a la situación.” “Las personas titulares de las distintas actividades son responsables de adaptar sus condiciones a las medidas y previsiones contenidas en el plan sectorial correspondiente”. Se establece la coordinación del cumplimiento de las medidas será a través de los órganos previstos en el plan de actuación del futuro hombres emergentes con potencial de alto riesgo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 “…Si se trata de actividades obligadas a adoptar medidas de autoprotección de acuerdo con el Decreto 30/2015, de 3/03, por el que se aprueba el catálogo de actividades y centros obligados a adoptar medidas de autoprotección y se fija el contenido de estas medidas, las personas titulares de las actividades deben elaborar, bajo su responsabilidad, un protocolo organizativo específico de acuerdo con el plan sectorial correspondiente, el cual debe anexarse a su plan de autoprotección, a disposición de las autoridades correspondientes. Las personas titulares de las actividades deben informar del protocolo a sus trabajadores y trabajadoras ya las personas asistentes o usuarias.” El Decreto Ley 27/2020, de 13/07, de modificación de la Ley 18/2009, de 22/10, de salud pública, y de adopción de medidas urgentes para hacer frente al riesgo de brotes de la COVID19, de la Generalitat de Catalunya , BOE 12/08/2020, DOGC 14/07/2020, modifica la ley de salud pública de Cataluña 19/2009 de 22/10 añadiendo al artículo 55 una letra k que señala: “En situaciones de pandemia o epidemia declaradas por las autoridades competentes, las autoridades sanitarias competentes podrán adoptar medidas de limitación a la actividad, del desplazamiento de las personas y la prestación de servicios en determinados ámbitos territoriales previstas en el anexo 3, de acuerdo con lo que dispone el artículo 55 bis. Segundo. Se añade un artículo 55 bis con el siguiente tenor: Procedimiento para la adopción de medidas en situación de pandemia declarada “1. La adopción de las medidas a que hace referencia la letra
- k)del artículo anterior tienen por objeto garantizar el control de contagios y proteger la salud de las personas, adecuándose al principio de proporcionalidad. A estos efectos, la adopción de las medidas indicadas requerirá la emisión de un informe emitido por el director/a de la Agencia de Salud Pública, en los aspectos asistenciales a propuesta del Servicio Catalán de la Salud y en los aspectos epidemiológicos y de salud pública, a propuesta de la propia Agencia, el cual tendrá por objeto acreditar la situación actual de riesgo de contagio, la situación de control de la pandemia, la suficiencia de las medidas, y propondrá las medidas a adoptar. Los informes se ajustarán a los parámetros establecidos en los anexos del citado Decreto ley 27/2020, de 13/07. 2. Siempre que sea posible, la resolución formulará recomendaciones a seguir para evitar riesgos de contagio. En caso de que se establezcan medidas de carácter obligatorio, se tiene que advertir expresamente de esta obligatoriedad, la cual estará fundamentada en los informes emitidos…. 3. La resolución que establezca las medidas indicará su duración, que en principio no tiene que ser superior a 15 días, excepción hecha que se justifique el necesario establecimiento de un plazo superior, sin perjuicio de que se pueda pedir la prórroga, justificando el mantenimiento de las condiciones que justificaron su adopción. En todo caso, se emitirán informes periódicos de los efectos de las medidas, así como un informe final, una vez agotadas estas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 4. El establecimiento de las medidas mencionadas se tendrá que llevar a cabo teniendo en cuenta siempre a la menor afectación a los derechos de las personas, y siempre que sea posible, se tendrán que ajustar territorialmente al mínimo ámbito necesario para su efectividad. 5. La resolución por la cual se adopten las medidas concretas podrá establecer mecanismos de graduación de las medidas en función de la evolución de los indicadores.” A los tratamientos de datos personales en situaciones de emergencia sanitaria, le siguen siendo aplicables la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad, principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. III El RGPD establece un concepto muy amplio de los datos de salud, y le otorga un régimen específico, el correspondiente a las denominadas “categorías especiales de datos” a que se refiere el artículo 9 del texto normativo. Este artículo 9 RGPD, tras establecer en su apartado 1 una prohibición general para el tratamiento de estos datos, contempla, su apartado 2, una serie de excepciones en las que el tratamiento de los datos es posible, cuando concurra una de las circunstancias siguientes, (se refieren solo las que tienen alguna relación con el caso). “
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; […]”
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional” Por su parte la LOPDGGD, dedica su disposición adicional decimoséptima a los tratamientos de datos de salud, en los siguientes términos: “Disposición adicional decimoséptima. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 Tratamientos de datos de salud. 1. Se encuentran amparados en las letras g), h),
- i)y
- j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo:
- a)La Ley 14/1986, de 25 de abril, General de Sanidad.
- b)La Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales.
- c)La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
- d)La Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.
- e)La Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias.
- f)La Ley 14/2007, de 3 de julio, de Investigación biomédica.
- g)La Ley 33/2011, de 4 de octubre, General de Salud Pública.
- h)La Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras.
- i)El texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, aprobado por Real Decreto Legislativo 1/2015, de 24 de julio.
- j)El texto refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social, aprobado por Real Decreto Legislativo 1/2013 de 29 de noviembre.” Las medidas adoptadas en el marco de la COVID-19 en el ámbito de la Generalitat de Catalunya se rigen por la ley 18/2009 de 22/10 de salud pública. Su artículo 55, establece la intervención administrativa en protección de salud y prevención de la enfermedad de modo que autoriza a la autoridad sanitaria a intervenir en actividades públicas y privadas para proteger la salud de la población y prevenir la enfermedad, pudiendo establecer exigencia de registros, autorizaciones comunicaciones previas o declaraciones responsables a instalaciones, establecimiento o servicios e industrias, productos y actividades con sujeción a las condiciones previstas en el artículo 61. Como medidas a adoptar en el marco de la COVID-19 el anexo III indica que “La alerta derivada de la COVID y las resoluciones para controlar la pandemia pueden comprender las siguientes previsiones: Medidas de salud pública: Consejos generales de salud pública Identificación de contactos, Pruebas diagnósticas, aislamiento y cuarentena, desplazamientos territoriales desplazamiento personal, transporte de mercancías reuniones espacios públicos y otros de reunión, deporte profesional y no profesional regulación de las actividades deportivas tanto profesionales y federadas como no profesionales atendiendo al tipo de deporte, aforos y uso de las instalaciones. Estas medidas pueden ser objeto de actualización mediante resolución del comité de dirección del plan para emergencias asociadas a enfermedades transmisibles y emergentes con potencial riesgo PROCICAT y pueden ser aplicables a cualquier otra pandemia o epidemia declarada en el marco de la ley 18/ 2009 de 22 de octubre” En tal sentido, el Plan de acción para el desconfinamiento deportivo de Cataluña elaborado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 por la SGEAF, aprobado por el plan PROCICAT, introduce la declaraciones del responsabilidad de personas que accedan a instalaciones deportivas y los compromisos que asumen a través de los formularios. El PROCICAT es el Plan de protección civil de Cataluña que tiene como objetivo hacer frente a las emergencias generales que se puedan presentar en su ámbito territorial y en ámbitos inferiores. El PROCICAT y la Ley de protección civil de Cataluña prevén la creación de procedimientos o protocolos de actuación dentro del mismo PROCICAT para hacer frente a emergencias no cubiertas por planes especiales. Concretamente, la Ley de protección civil de Cataluña, en el artículo 16, establece que: “El Plan de protección civil de Cataluña tiene que integrar los diversos planes territoriales y especiales, y tiene que contener la previsión de emergencias a que se puede ver sometido el país a causa de situaciones de catástrofe o calamidades públicas, el catálogo de recursos humanos y materiales disponibles y los protocolos de actuación para afrontarlas, además de las directrices básicas para restablecer los servicios y recuperar la normalidad”. El RGPD y la LOPDGDD legitiman el tratamiento de datos de salud sin consentimiento del interesado, o salva la prohibición del tratamiento de los datos de salud de los afectados, en algunos de los mencionados supuestos, añadiéndose, que además, como cualquier tratamiento, ha de ajustarse a una base jurídica legitimadora que establece el artículo 6.1 del RGPD, y cumplir los principios generales establecidos en el artículo 5 del citado RGPD. En el presente caso, las normas recogidas en el protocolo de la Federación Catalana de Atletismo en el desarrollo de la práctica deportiva y competición, imponen ”al deportista como imperativo”: “aportará”, una declaración responsable y le obliga a registrar los datos, procediendo de la previa aprobación dispuesta por el PROCICAT de una serie de criterios para los que figuraba habilitado por la Ley de Salud Pública. El Plan, contiene criterios a tener en cuenta en la utilización de las instalaciones deportivas durante la etapa de reanudación de la COVID-19 que inciden en personas usuarias y trabajadores, con prácticamente el mismo contenido en las declaraciones que ejecutan las Federaciones deportivas. La cumplimentación de declaración responsable en cuanto a que no se tiene la enfermedad, en la que no figura información alguna sobre su fundamentación ni consecuencias de la inveracidad de la misma, aparece pues impuesta por una entidad a la que se refiere la ley de salud pública, y en un Plan elaborado por la Administración por lo que dichas declaraciones de no tener sintomatología, no haber sido positivo o haber tenido contactos ,se adecuarían tal como determina el articulo 9.2
- i)del RGPD a razones de interés público en la salud, pero siempre que se añadieran medidas adecuadas y específicas para proteger los derechos y libertades del interesado, circunstancia que aquí, se estima que no se producen, porqué: -no se informa sobre la fundamentación legal que origina la recogida de datos. -no se informa sobre extremo alguno de obligado cumplimiento que señala del artículo 13 del RGPD, entre los que se comprende el ejercicio de derechos. -no solo se recogen datos procedentes de “declaración responsable”, sino que se añaden datos de la pauta vacunal, elemento este, no previsto en la norma del PROCICAT como medida para el acceso a instalaciones o la práctica de la competición. Por tanto, no se cumple el criterio que podría salvar el citado tratamiento de datos de salud que se enmarcaría en la letra
- i)del artículo 9.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 Se observa, por lo demás, que en ningunas de las dos entidades Federación Catalana o PROCICAT, como medidas, se hace alusión alguna a la pauta vacunal completa que se refiere en la declaración de menores. Por ello, se considera que el reclamado ha cometido esta infracción del artículo 9.2 del RGPD. IV El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones La pertenencia de personas al Club reclamado, presupone que sus datos pueden ser tratados con la finalidad de su relación asociativa, con el fin de la promoción y extensión de la actividad deportiva ordinaria, finalidad que marca el tratamiento de esos datos, pudiendo tratar los datos en esos supuestos, que no son los que aquí se analizan, que guardan relación con las medidas de salud COVID-19 en instalaciones y pruebas deportivas. Se estima que podría existir en este caso concreto una causa habilitadora del tratamiento de datos de los socios deportistas federados del reclamado. V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 Además, las declaraciones que se contienen en los impresos objeto de reclamación carecen de información alguna sobre los extremos que debe contener cualquier recogida de datos del propio interesado, considerando en este caso una finalidad especifica relacionada con la COVID 19. El reclamado ha infringido el artículo 13 del RGPD, que indica: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información” La finalidad de la recogida de datos referentes a salud por prevención del COVID supone almacenar unos nuevos datos de categoría especial sobre los que no se informó a sus titulares. Se considera que se a infringido el citado artículo. VI De conformidad con las evidencias de las que se dispone en el presente acto de trámite de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían vulnerar lo dispuesto en los artículos: 9.2, y 13 del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que, supone la comisión de las infracciones tipificadas en el artículo 83 apartado 5.
- a)y
- b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22.” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: […]
- e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. (…)” VII Los apartados
- d)e
- i)del artículo 58.2 del RGPD, disponen lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” En este caso, se acude al procedimiento sancionador de multa administrativa, dada la categoría de los datos que se recogen y los riesgos de los derechos y libertades que con ellos resultan comprometidos. La imposición de medidas de ajuste en el tratamiento es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. VIII La determinación de las sanciones que procede imponer en el presente caso, exige observar las previsiones de los artículos 83.1) y .2) del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, a efectos de fijar los importes de las sanciones de multa a imponer en el presente caso tipificadas en el artículo 83.5.
- a)del RGPD, de la que se responsabiliza al reclamado, para la infracción del artículo 9.2 del RGPD, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado: -Artículo 83.2.
- a)RGPD “naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;”. Los datos se recogieron durante nueve meses ascendiendo a un total de 220 de menores, y 198 de mayores de edad, todos ellos socios del Club, y afectaba a todos los deportistas socios del Club que acudían a cualquier competición organizada por el mismo. -Artículo 83.2
- g)“las categorías de los datos de carácter personal afectados por la infracción” se han recabado datos de salud. Con estos factores, se estima adecuada una sanción de 4.000 euros, sin perjuicio de lo que resulte de la instrucción. Para la infracción del artículo 13 del RGPD, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado: -Articulo 83.2.
- a)“la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;” significando su gravedad determinada por la absoluta falta de referencia informativa en una medida de gran calado que afectaba a todos los socios y que se produce por un tiempo amplio, alcanza nueve meses. -Artículo 83.2.
- b)“la intencionalidad o negligencia en la infracción”, concurriendo en este caso la negligencia pues era exigible otra conducta distinta que la de omitir absolutamente cualquier referencia. Con estos factores, se estima adecuada una sanción de 2.000 euros, sin perjuicio de lo que resulte de la instrucción. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 Que por la Directora de la Agencia Española de Protección de Datos se sancione a CLUB CORNELLÁ ATLETIC, S.C.P., con NIF G59338822, por: -una infracción del artículo 9.2 del RGPD de conformidad con el artículo 83.5.
- a)del RGPD y a efectos de prescripción en el artículo 72.1.
- e)de la LOPDGDD, con 4.000 euros. -una infracción del artículo 13 del RGPD, de conformidad con el artículo 83.5.
- b)del RGPD, y a efectos de prescripción en el artículo 72.1.
- h)de la LOPDGDD, con 2.000 euros. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800 euros, y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-121222 B.B.B. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 ANEXO Índice del expediente EXP202103915 21/09/2021 Reclamación de A.A.A. 06/10/2021 Escrito de (…) 03/11/2021 Traslado reclamación a CLUB CORNELLA ATLETIC, S.C.P. 15/11/2021 Reiteración a CLUB CORNELLA ATLETIC, S.C.P. 22/12/2021 Admisión a trámite a A.A.A. 24/01/2022 Solic. información 2 a CLUB CORNELLA ATLETIC, S.C.P. 24/01/2022 declaración responsable 1 24/01/2022 declaracion responsable 2 24/01/2022 Diligencia 22/02/2022 Solic. información 3 a CLUB CORNELLA ATLETIC, S.C.P. 04/04/2022 respuesta requerimiento 04/04/2022 Inf. actuaciones prevs. 04/04/2022 documento 1 04/04/2022 documento 2 31/05/2022 Escrito de (…) 11/07/2022 A. apertura a CLUB CORNELLÁ ATLETIC, S.C.P. 09/08/2022 Info. Reclamante a A.A.A. 30/01/2023 Notif. p. pruebas 2 a Generalitat de Catalunya. Secretaria General de Interior 30/01/2023 Notif. p. pruebas a CLUB CORNELLÁ ATLETIC, S.C.P. 31/01/2023 Notif. p. pruebas a CLUB CORNELLÁ ATLETIC, S.C.P. 2 >> SEGUNDO: En fecha 8 de marzo de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 4800 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202103915, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a CLUB CORNELLÁ ATLETIC, S.C.P.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es