PS-00238-2022

1/16  Procedimiento Nº: PS/00238/2022 RESOLUCION DEL PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES: PRIMERO: Con fecha 17/02/21, tuvo entrada en esta Agencia, escrito presentado por D. A.A.A., (en adelante, “la parte reclamante”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). El escrito de reclamación se basaba en los siguientes hechos: “1.- En 09/2017 inscribimos a mi hijo, menor de edad, en el Sport Center Gym en la actividad de Kickboxing cuyo entrenador era B.B.B.. Allí estuvo entrenando hasta Julio de 2019, fecha en la que lo cambiamos de gimnasio. Años después supimos que nuestro hijo, había sido inscrito sin nuestro consentimiento en el CENTRO DEPORTIVO ARCO de Verín con fecha 21/09/17 hasta 31/12/18 y en las EE DD CUALEDRO de Cualedro con fecha 05/06/19 hasta 31/12/19. 2.- El alta federativa había sido tramitada por la Fundación Cipri Gomes correspondiente al recibo del pago realizado en concepto de mensualidad y ficha federativa, para que pudiera competir y tuviera seguro médico por la Federación. 3.- En ningún momento la Fundación Cipri Gomes, ni el gimnasio Sport Center nos ha comentado su vinculación a las escuelas deportivas Arco de Verin ni de Cualedro, ni tan siquiera nos habían hecho entrega del carnet federativo del menor. Así mismo nosotros nunca hemos autorizado la cesión de datos del menor a ningún club. (…) Fecha en la que tuvieron lugar los hechos reclamados fue entre 01/02/19 y el 31/12/19 Al escrito de reclamación se acompaña la siguiente documentación: - Copia de un recibo firmado y con sello de la FUNDACIÓN CIPRI GÓMES donde consta “Recibí” la cantidad de €72 por “licencia Kick + mes enero”. con fecha 03/01/19. - Copia del documento de información sobre Protección de Datos fechado a 07/02/19 con logotipo de la FEDERACION DEPORTIVA GALLEGA DE KICKBOXING y donde consta una firma en el espacio reservado a la “Firma del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 representante legal y donde consta en “nombre y apellidos del afiliado”, el nombre y apellidos del hijo del reclamante. - Copia de certificado de la Federación Deportiva Gallega de Kickboxing fechado y firmado a 14 de noviembre de 2019, donde consta que el hijo del reclamante pertenece al club ESCOLAS DEPORTIVAS CUALEDRO y que ha competido en ciertos campeonatos en la temporada 2019. SEGUNDO: Con fecha 05/04/21 y 16/04/21, por parte de esta Agencia se dio trasladó de la reclamación a las ESCOLAS DEPORTIVAS CUALEDRO para que diesen respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. Los intentos de notificación tuvieron como resultado lo siguiente: - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el envío realizado a la entidad reclamada, el día 05/04/21, y 16/04/21 a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado en destino el día 16/04/21 y 27/04/21, respectivamente. TERCERO: Con fecha 05/04/21, por parte de esta Agencia se dio trasladó de la reclamación a la FEDERACIÓN GALLEGA DE KICKBOXING para que diesen respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. Los intentos de notificación tuvieron como resultado lo siguiente: - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el envío realizado a la entidad reclamada, el día 05/04/21, a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue recepcionado en destino el día 05/04/21. CUARTO: Con fecha 05/04/21 y 16/04/21, por parte de esta Agencia se dio trasladó de la reclamación a la FUNDACIÓN CIPRI GÓMES, para que diesen respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. Los intentos de notificación tuvieron como resultado lo siguiente: - Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el envío realizado a la entidad reclamada, el día 05/04/21, y 16/04/21 a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue rechazado en destino el día 16/04/21 y 27/04/21, respectivamente. QUINTO: Con fecha 05/05/21, se recibe en esta Agencia escrito de la FEDERACIÓN GALLEGA DE KICKBOXING, en contestación a la solicitud de información hecha, en el cual, entre otras, indica: “ (…) El origen de la reclamación se fundamenta en que la Fundación Cipri Gomes ha tramitado el alta federativa del hijo del reclamante sin su autorización, cediendo los datos del menor a Escolas Deportivas de Cualedro. En base a ello, esta Federación quiere hacer constar lo siguiente: La Federación Deportiva Gallega de Kickboxing, es una entidad que actúa como órgano de representación y defensa de todo aquello que concierne al kickboxing de la Comunidad Autónoma de Galicia, pero, en ningún caso, es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 responsable respecto del tratamiento de datos personales llevado a cabo por las diferentes entidades a las que se refiere el reclamante en su escrito. Concretamente, hace referencia al Centro Deportivo Arco de Verín, Escuelas Deportivas Cualedro, Sport Center Gym, Fundación Cipri Gomes y a esta Federación. Esta última tramita las altas federativas, para las cuales necesita que los clubs le proporcionen los datos de los deportistas, pero en ningún caso esta Federación es responsable de las altas efectuadas en cualquiera de los clubs mencionados, por lo que no es competente y por ende responsable, del tratamiento de datos personales efectuado por cada uno de los centros deportivos a la hora de tramitar el alta de un/una deportista. La cesión de los datos por parte de los clubs a la Federación está legitimada al ser requisito indispensable para poder tramitar el alta federativa y ser de obligado cumplimiento para la Federación. (Art. 6.1

1. c)RGPD). En el escrito de reclamación se hace alusión a que se ha procedido a dar de alta a su hijo en el Centro Deportivo Arco de Verín y, posteriormente, en EE DD Cualedro, sin su consentimiento. En fecha 07 de febrero de 2019 cuando tramitó el alta federativa de su hijo, consta en propio documento adjunto con la reclamación (Anexo 3) que la Entidad de la que procede el deportista es la de Escolas Deportivas Cualedro, por lo que ya en ese momento fue conocedor de la supuesta “irregularidad” cometida, la cual nunca fue puesta de manifiesto. El reclamante indica que solicitó a esta Federación documentación y no le fue entregada y que remitió un burofax, hechos de los que esta parte nunca tuvo constancia y tampoco quien era su Presidenta en aquel momento. Lo manifestado por el reclamante en su escrito, fue puesto en conocimiento del Comité Galego de Xustiza Deportiva. En el transcurso del procedimiento nos fue requerido que aportásemos carnet federativo del deportista y certificado de méritos, documentación enviada al reclamante. El Comité desestimó dicho recurso en fecha 30-01-2020. El reclamante insiste en que no reconoce la documentación aportada por esta Federación, concretamente, el modelo de solicitud de alta federativa y el recibo de mensualidad correspondiente al mes de enero de 2019. Desconocemos si el reclamante pretendía acreditar la falsificación de su firma que, en todo caso, tuvo más de un año para hacerlo y en ningún momento lo comunicó a esta Federación. Llama la atención que por un lado se alegue la falsificación de su firma y el alta como federado del menor y, al mismo tiempo, se alegue la tramitación de la misma a través de un recibo en el cual, en el concepto del mismo, se le especifica el alta federativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 Por lo que, aquí y frente a esta Federación no acredita tal suplantación de identidad, actuando de forma reiterada con el referido alegato sin aportar prueba alguna en ningún momento (…)”. SEXTO: Con fecha 02/07/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada por la reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al no recibir contestación alguna a las solicitudes hechas desde esta Agencia. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, realizando las siguientes actuaciones: Se reiteró el envío de requerimiento de información a la FUNDACIÓN CIPRI GOMES por notificación postal el 19/04/21 y tras dos intentos el 22/04/21 y 23/04/21, es devuelto a origen por sobrante (no retirado en la oficina). Se reitero el envío de requerimiento de información a ESCOLAS DEPORTIVAS CUALEDRO por notificación postal el 19/04/21 y es devuelto a origen por dirección incorrecta el 26/04/21 OCTAVO: Con fecha 12/04/22, FUNDACIÓN CIPRI GOMES remite a esta Agencia la siguiente información y manifestaciones: 1. Se aporta la ficha de admisión del menor en la FUNDACIÓN CIPRI GOMES donde consta: a. Los datos identificativos y de contacto del menor, hijo del reclamante; b. Fotografía del menor y c. Una firma manuscrita en el espacio reservado a “Firma del socio”. 2.- Se aporta un documento con el título “NORMATIVA SOCIOS” donde se puede leer, entre otro, el siguiente texto: “[…]Los datos personales que está cumplimentando serán tratados por la FUNDACIÓN CIPRI GOMES, de acuerdo a la Ley Orgánica 15/1999, 13 de Diciembre, de Protección de Datos, para el ejercicio de las funciones propias de la entidad, ante el cual el socio podrá ejercer los derechos de acceso, rectificación, cancelación y oposición contemplados por la Ley, en la dirección C/ Benito Vicetto, 8-bajo. 32004 Ourense. Telf/Fax 988 225302. Email: correo©fundacionciprigomes.com […]” 3. Se aporta copia del convenio de colaboración entre FUNDACIÓN CIPRI GOMES y las ESCOLAS DEPORTIVAS CUALEDRO firmado a 01/02/11 y donde consta, entre otros, la siguiente información: Escuelas Deportivas: Las disciplinas impartidas por la Fundación Cipri Gomes en las escuelas deportivas serán las de Karate y Kickboxing, realizándose las actividades en las instalaciones del Pabellón Municipal de Cualedro, (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 Los asistentes a las escuelas deportivas deberán estar en posesión de la licencia deportiva del año en curso, acogiéndose al beneficio de cobertura que esta proporciona ante siniestros comunes de la práctica deportiva. 4. En el escrito presentado por la Fundación se manifiesta que: “Por parte de la Fundación, a la hora de tramitar la afiliación en el club Escolas de Cualedro se le ha proporcionado la información sobre protección de datos”. NOVENO: Con fecha 17/05/22, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración de lo establecido en el artículo 13 del RGPD, respecto de la falta de información sobre el tratamiento de los datos personales, ofrecida a los deportistas o a sus padres o tutores cuando se inscriben en la Fundación acorde a la normativa vigente, con una sanción inicial de 2.000 euros (dos mil euros) y por vulneración de los establecido en el artículo 6.1 RGPD respecto del tratamiento ilícito que se realizó de los datos personales del hijo al seguir tratando los datos personales del menor, desde el mes de julio de 2019, cuando los padres dieron de baja a su hijo del Gimnasio, hasta el 31/12/19, con una sanción inicial de 2.000 euros (dos mil euros). DÉCIMO: Notificado el acuerdo de inicio a la parte reclamada, ésta mediante escrito de fecha 01/06/22 formuló, en síntesis, las siguientes alegaciones: Desde el momento en que la Fundación Cipri Gomes tuvo conocimiento de que existía una reclamación en materia de protección de datos por parte del padre de uno de los afiliados, trató de adoptar las medidas que más adelante se concretarán, especialmente en cuanto a la recogida inicial de datos personales de menores de edad. La Fundación nunca antes había tenido conocimiento de la reclamación interpuesta por el padre del menor afiliado, ya que no había ejercitado sus derechos en protección de datos ni tampoco ha interpuesto en ningún momento reclamación frente a esta Fundación. Únicamente tuvo conocimiento cuando se interpuso reclamación ante el Comité Galego de Xustiza Deportiva, de la que se nos ha dado traslado y se nos ha requerido para aportar documentación, siendo esta la primera comunicación oficial. Es cierto que la información relativa al tratamiento de datos se encontraba desactualizada haciendo mención de la normativa 15/99, sin embargo, el propio formulario de recogida de datos se firmó en las propias instalaciones del centro deportivo Escuelas Deportivas de Cualedro por el padre del menor y, en la licencia federativa del menor del ejercicio 2019, la cual consta en poder del afiliado, recoge que el Club es el Escuelas Deportivas de Cualedro, por lo que existe conocimiento pleno de dónde se encuentra inscrito el menor. Estas circunstancias, sobre las cuales obra documentación en el expediente, deben ser tenidas en cuenta. 2.- Medidas adoptadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 En primer lugar, indicar que, desde 16 de abril de 2021, contamos con la designación de DPD certificado conforme Esquema AEPD-DPD, comunicado a la AEPD, no resultando esta entidad obligada a ello de acuerdo al art. 37 y ss. del RGPD y art. 34 y ss. de la LOPDGDD. Se ha procedido de esta forma, a fin de realizar la adaptación normativa al RGPD y LOPDGDD, cambiando por completo la forma de trabajar de esta Fundación. En concreto, se ha confeccionado Registro de Actividad de Tratamiento de cada una de las actividades de tratamiento de datos de carácter personal, llevadas a cabo, agrupándolas según categoría y naturaleza de los datos tratados y medidas necesarias para su tratamiento. Se ha llevado a cabo la confección de nuevos formularios para la tramitación de altas, de acuerdo con la normativa vigente, puesto que en la documentación referida al ejercicio 2019, seguía constando la normativa anterior 15/99. Desde la Fundación hemos asistido a una charla informativa impartida por la Federación Gallega, a fin de concienciar a nuestro personal de la importancia de tratar correctamente los datos personales de nuestros afiliados para evitar incurrir en errores, especialmente cuando se trata de menores de edad. Desde la contratación de los servicios de Delegado de Protección de Datos, se han implementado controles de implantación, mediante la entrega y explicación de documentación, así como anualmente mediante control presencial y levantamiento de acta, independientemente de que se hayan producido incidencias, ejercicio de derechos o cambio significativo alguno. A mayores, se establecen imperativamente circunstancias en las que tiene que ponerse inmediatamente en contacto, como los ejemplos anteriores, antes de 24 horas, ante brechas de seguridad, antes de 5 días, ante ejercicio de derechos…, y que motivarán controles presenciales ante estos cambios o circunstancias. 3.-Procedimiento Sancionador La AEPD de acuerdo con el art. 72.1 h de la LOPDGDD considera que las infracciones cometidas se encuadrarían como “Muy graves”, fijando la cuantía de sendas sanciones en un total 4.000 €, 2.000 € cada una de ellas. Sobre la presunta infracción por falta de información sobre el tratamiento de datos personales (art. 13 RGPD) se podría entender que no se ha vulnerado el principio de transparencia e información a los afectados, toda vez que es el padre del menor quien en las propias instalaciones del club Escolas Deportivas de Cualedro, procede a cubrir la ficha de afiliación y a firmar la misma, no siendo discutida en ningún momento la autenticidad de la misma. Además, en la propia licencia federativa, consta que el club en el que se encuentra inscrito el menor es el de Escolas Deportivas de Cualedro, documento que se encuentra en posesión del interesado/a. Por lo que no existe un desconocimiento absoluto acerca de en qué club se encontraba inscrito el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 menor. La Fundación no disponía de documentos actualizados de acuerdo a la normativa, pero no ha existido opacidad respecto de la información facilitada a los interesados. De acuerdo con el art. 74
2. a)del RGPD podría considerarse esta infracción como leve. Si bien es cierto que la Fundación ha cometido un error administrativo en cuanto a la tramitación del alta del hijo del reclamante y tratamiento de datos personales de este, no ha existido mala fe ni se perseguía lucro o beneficio de ningún tipo, se trata de una negligencia que ha afectado a un único interesado, al que no le ha causado perjuicio alguno, además de tener en posesión la licencia federativa donde consta el club en el que estaba inscrito. Los datos personales del menor, tratados por la Fundación, no han sido objeto de difusión ni se ha hecho un uso ulterior para otras finalidades. Se trata de un error administrativo por falta de diligencia y desconocimiento en materia de Protección de Datos. En relación con el art. 83.2 del RGPD, las multas administrativas se impondrán en función de cada caso individual, teniendo en cuenta: a)Naturaleza, gravedad y duración de la infracción, teniendo en cuenta el propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido. Se trata de un error administrativo, puntual y en el que no se ha perseguido ningún propósito. Se ha visto afectado un único interesado, quien previamente no ha reclamado directamente contra esta Fundación. No se le ha causado ningún daño ni perjuicio, ya que no se ha llevado ningún tratamiento ulterior con sus datos personales.
3. b)Intencionalidad o negligencia de la infracción: la Fundación ha incurrido en una negligencia de forma imprudente. No ha habido mala fe o intencionalidad en los hechos.
4. c)Cualquier medida tomada por el Responsable para paliar los daños sufridos por los interesados: se han tomado todas las medidas oportunas a fin de que la Fundación cumpliera con la normativa de manera inmediata, procediendo a la designación de Delegado de Protección de Datos y actualizando la documentación y creando la necesaria como el RAT.
5. e)Toda infracción anterior cometida por el responsable: no existen procedimientos ni sanciones previas contra esta Fundación ni se encuentra inmersa en ningún otro actualmente.
6. f)Grado de cooperación con la autoridad de control: se ha facilitado toda la información y documentación requerida por la AEPD.
7. g)Las categorías de los datos de carácter personal afectados por la infracción: los datos personales afectados únicamente son nombre, apellidos y DNI del interesado.
8. k)Cualquier otro factor agravante o atenuante aplicable a las circunstancias, tales como beneficios financieros o pérdidas evitadas a través de la infracción. La Fundación no ha obtenido ningún beneficio ni busca obtenerlo teniendo en cuenta que se trata de una fundación sin ánimo de lucro. De acuerdo con el art. 76.1 y 2 de la LOPDGDD las sanciones previstas en los apartados 4, 5 y 6 del art. 83 del RGPD, en los cuales encajan las sanciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 propuestas en el presente procedimiento, podrán ser graduadas atendiendo a determinadas circunstancias, tales como: - A) (art. 76.2
9. a)El carácter continuado de la infracción: en este sentido, la Fundación Cipri Gomes ha cesado de inmediato en su conducta negligente, buscando las medidas correctivas necesarias para un correcto cumplimiento, mediante la adaptación de documentación y estableciendo protocolos de recogida y destrucción de datos personales de los interesados/as. - C) (art. 76.2
10. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción: la Fundación Cipri Gomes no se ha beneficiado de ninguna forma a raíz de haber cometido dicho error. - G) (art. 76.2
11. g)Disponer, cuando no fuera obligatorio, de un Delegado de Protección de Datos: desde fecha 16-04-2021, se ha designado un Delegado de Protección de Datos (DPD) aun no siendo necesario designarlo de acuerdo con lo establecido en el art. 37 y ss. del RGPD y, art. 34 y ss. de la LOPDGDD. Por otro lado, la Fundación Cipri Gomes, inscrita en el Registro de Entidades de Acción Voluntaria de la Dirección Xeral de Xuventude y Voluntariado de la Xunta de Galicia con el número O-629, es una Fundación sin ánimo de lucro que cuenta con un programa de voluntariado social, que anualmente cuenta con entre 20 y 30 personas que ayudan a la Fundación en sus trabajos. Las labores que realizan los voluntarios son de diversa índole, desarrolladas en los diversos centros con los que cuenta la Fundación. Todas ellas se centran en la ayuda y colaboración en materia de inclusión social de colectivos desfavorecidos, educación y apoyo, etc. Entiende esta parte que, lo expuesto anteriormente, debe tenerse en cuenta a efectos de graduar las sanciones impuestas, calificando la supuesta infracción sobre la falta de información sobre el tratamiento de datos personales (art. 13 RGPD) como leve, de acuerdo al art. 74.
12. b)RGPD teniendo en cuenta los criterios de graduación que aplican al presente procedimiento además del ánimo y objeto principal de la Fundación, que no persigue fines lucrativos, sino todo lo contrario. Por lo expuesto, esta Fundación considera que la presente propuesta de sanción no ha tenido en cuenta las circunstancias concretas y expuestas a través de la presente, por lo que la propuesta de sanción total, atendiendo a todas las circunstancias atenuantes, podría minorarse en un 50 %. Una vez valorado por la AEPD, esta Fundación de conformidad con el art. 85 de la LPACAP, pone de manifiesto que reconocerá su responsabilidad llevando aparejada la reducción del 20% de la sanción, así como, manifiesta su intención de proceder al pago voluntario de la sanción, acogiéndose a ambas reducciones, previa valoración por parte de la AEPD. No puede hacerse en este momento, debido a que la actual propuesta de sanción no ha tenido en cuenta las circunstancias atenuantes en este escrito acreditadas, debiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 aplicarse las mismas y por ello, objetivamente procede la minoración de la sanción. Por lo expuesto, SOLICITO que se admita el presente escrito, se tengan por formuladas las presentes alegaciones y, en su virtud, se califique la supuesta infracción sobre la falta de información sobre el tratamiento de datos personales (art. 13 RGPD) como leve, de acuerdo al art. 74.
13. b)RGPD teniendo en cuenta los criterios de graduación que aplican al presente procedimiento y se tengan en cuenta todas las circunstancias atenuantes alegadas a efectos de minorar el importe de la sanción, dejando de manifiesto esta Fundación su intención de reconocer la responsabilidad y su compromiso de proceder al pago voluntario de la sanción. DÉCIMO PRIMERO: Con fecha 01/07/22, como consecuencia de la solicitud realizada por la entidad reclamada respecto de su intención de proceder al pago voluntario de la sanción, acogiéndose a las reducciones contempladas en el artículo 85 de la LPACAP, previa valoración por parte de la AEPD de las circunstancias atenuantes indicadas en el escrito de alegaciones, se le informó que, de conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, no cabe condicionar el reconocimiento de la infracción y acogerse a ambas reducciones después de la valoración por parte de esta Agencia de las alegaciones presentadas y se le concedía un plazo de diez días hábiles a contar desde el día siguiente a la notificación de presente escrito para que, si así lo considera oportuno, proceda al ingreso de la sanción minorada en base al citado artículo, procediendo de la forma indicada en el escrito de incoación del expediente recibido el 18/05/22, lo que significaría el desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el envío realizado a la entidad reclamada, el día 15/07/22 a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue puesto a disposición de la parte reclamada 15/07/22, constando en el certificado como fecha de rechazo automático, el 26/07/22. DÉCIMO SEGUNDO: Con fecha 29/12/22, se notifica a la entidad reclamada la propuesta de resolución en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se proceda a sancionar a la entidad, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la infracción del artículo 13 del RGPD, con una sanción de 2.000 euros (dos mil euros) y por la infracción del artículo 6.1 del RGPD, con una sanción de 2.000 euros (dos mil euros). Junto a ello y de conformidad con el artículo 58.2 del RGPD, se proponía como medidas correctivas a imponer al reclamado que, se tomase las medidas necesarias para adecuar la información que se proporciona respecto del tratamiento de los datos personales, a los deportistas que se inscriben en la Fundación Cipri Gomes o a los padres o tutores de estos si estos son menores de edad, de acuerdo con lo estipulado en el artículo 13 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 Según certifica El servicio de Dirección Electrónica Habilitada Única (DEHÚ), el escrito de propuesta de expediente enviado a la parte reclamada, el día 29/12/22 a través del servicio de notificaciones electrónicas “NOTIFIC@”, fue puesto a disposición de la parte reclamada 29/12/22, constando en el certificado como fecha de rechazo automático, el 09/01/23. No consta, en esta agencia, ningún escrito de contestación a la propuesta de resolución por parte de la entidad reclamada. HECHOS PROBADOS. De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada por las partes, ha quedado acreditadas los siguientes hechos: Primero: El reclamante inscribió a su hijo, menor de edad, en el año 2017 en el Club, Sport Center Gym en la actividad de Kickboxing cuyo entrenador era D. B.B.B. hasta julio de 2019. Años después supieron que su hijo había estado inscrito en otros clubs durante ese tiempo. En concreto, en el Centro Deportivo Arco de Verín y en Escuelas Deportivas de Cualedro, sin que nadie les comunicara estos hechos. El alta había sido tramitada por la Fundación Cipri Gomes y según indica esta Fundación, el menor, hijo del reclamante, estuvo inscrito en las Escolas Deportivas de Cualedro desde 01/02/19 hasta el 31/12/19, con las que se tenía firmado un convenio de colaboración deportiva desde el año 2011, para la práctica del Kárate y del Kickboxing. Segundo: La Fundación Cipri Gomes aporta como documentación la “NORMATIVA DE SOCIOS” donde se puede leer, con respecto al tratamiento de los datos personales de los deportistas inscritos el siguiente texto: “[…]Los datos personales que está cumplimentando serán tratados por la FUNDACIÓN CIPRI GOMES, de acuerdo a la Ley Orgánica 15/1999, 13 de Diciembre, de Protección de Datos, […]”. Tercero: La entidad reclamada reconoce que es cierto que la información relativa al tratamiento de datos se encontraba desactualizada haciendo mención a la normativa 15/99, sin embargo, el propio formulario de recogida de datos se firmó en las propias instalaciones del centro deportivo Escuelas Deportivas de Cualedro por el padre del menor y, en la licencia federativa del menor del ejercicio 2019, la cual consta en poder del afiliado, recoge que el Club es el Escuelas Deportivas de Cualedro, por lo que existe conocimiento pleno de dónde se encuentra inscrito el menor. Estas circunstancias, sobre las cuales obra documentación en el expediente, deben ser tenidas en cuenta. FUNDAMENTOS DE DERECHO ICompetencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 Es competente para iniciar y resolver este Procedimiento Sancionador la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en la Ley LOPDGDD. IISobre la infracción por la falta de información sobre el tratamiento de los datos personales Según reconoce la propia entidad reclamada, “(…) la información relativa al tratamiento de datos se encontraba desactualizada haciendo mención a la normativa 15/99 (…)”, aunque alega después que “(…) no se ha vulnerado el principio de transparencia e información a los afectados, toda vez que es el padre del menor quien en las propias instalaciones del club Escolas Deportivas de Cualedro, procede a cubrir la ficha de afiliación y a firmar la misma, no siendo discutida en ningún momento la autenticidad de la misma. Además, en la propia licencia federativa, consta que el club en el que se encuentra inscrito el menor es el de Escolas Deportivas de Cualedro, documento que se encuentra en posesión del interesado/a. Por lo que no existe un desconocimiento absoluto acerca de en qué club se encontraba inscrito el menor. La Fundación no disponía de documentos actualizados de acuerdo a la normativa, pero no ha existido opacidad respecto de la información facilitada a los interesados (…)”. II.-2 Tipificación y calificación de la infracción Establece el considerando 61) del RGPD lo siguiente: “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria (…)”. En este sentido, el artículo 12.1 del RGPD establece, sobre los requisitos que debe cumplir la información que el responsable del tratamiento debe poner a disposición de los interesados, lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 Y por su parte, el artículo 13 del RGPD, detalla la información que se debe facilitar al interesado cuando los datos son recogidos directamente de él, estableciéndose que: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
14. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
15. b)los datos de contacto del delegado de protección de datos, en su caso;
16. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
17. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
18. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
19. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado (…)”. Y respecto de la derogada Ley Orgánica de Protección de Datos, se debe indicar que, en el artículo 99 del RGPD, se establece que, la entrada en vigor y aplicación del nuevo RGPD fue, “a los veinte días de su publicación en el Diario Oficial de la Unión Europea (25/05/16)” y sería aplicable a partir del 25 de mayo de 2018”. Por su parte, la Disposición derogatoria única de la LOPDGDD, indica que: 1. Sin perjuicio de lo previsto en la disposición adicional decimocuarta y en la disposición transitoria cuarta, queda derogada la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2. Queda derogado el Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos. 3. Asimismo, quedan derogadas cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica. Y Disposición final decimosexta de la citada norma LOPDGDD: La presente ley orgánica entrará en vigor el día siguiente al de su publicación en el Boletín Oficial del Estado. Como la fecha de publicación de la LOPDGDD fue el 06/12/18, a partir del 07/12/18 queda derogada la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). La falta de información con arreglo a la normativa vigente, sobre el tratamiento de los datos personales cuando se obtienen de los deportistas o de sus padres o tutores si estos son menores de edad, en el momento de inscribirse en la Fundación haciendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 referencia a una LOPD no se encuentra adaptada al art. 13 RGPD, al no proporcionar toda la información exigida en dicho artículo. No informa, por ejemplo, de la base de legitimación para el tratamiento, o de los plazos de conservación de los datos personales. II.-3 Sanción Esta infracción puede ser sancionada según lo establecido en el artículo 83.5.
20. b)del RGPD, donde se establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
21. a)los derechos de los interesados a tenor de los artículos 12 a 22”. En este sentido, el artículo 72.1.
22. h)de la LOPDGDD, considera muy grave, a efectos de prescripción: “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD” El balance de las circunstancias contempladas, con respecto a la infracción cometida, al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una sanción de 2.000 euros (dos mil euros). II.- 4 Medidas El artículo 58.2. del RGPD, establece, sobre los poderes correctivos que cada autoridad de control pueda requerir al infractor, entre los que se encuentra, en su apartado d): “ordenar al responsable o encargado de tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. Por tanto, de conformidad con el artículo 58.2 del RGPD, la medida correctiva a imponer al titular de la página web consiste en que tome las medidas necesarias para que tome las medidas necesarias para adecuar la información que se proporciona respecto del tratamiento de los datos personales, a los deportistas que se inscriben en la Fundación Capri Gomes o a los padres o tutores de estos si estos son menores de edad, de acuerdo con lo estipulado en el artículo 13 del RGPD. Se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. III.Sobre la falta de legitimación para el tratamiento de los datos personales del menor después de que los padres le dieran de baja del Gimnasio Según el reclamante, en el año 2017 inscribieron a su hijo en el Club Sport Center Gym cuyo entrenador era B.B.B. y allí estuvo entrenando hasta julio de 2019 cuando le dieron de baja y le cambiaron de Club. No obstante, años después supieron que su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 hijo, había sido inscrito sin su consentimiento en el CENTRO DEPORTIVO ARCO de Verín con fecha 21/09/17 hasta 31/12/18 y en las EE. DD. CUALEDRO de Cualedro desde el 05/06/19 hasta 31/12/19. Por su parte, la Fundación Cipri confirma a esta Agencia que, el menor, hijo del reclamante, estuvo inscrito en las Escolas Deportivas de Cualedro desde 01/02/19 hasta el 31/12/19 y que la inscripción había sido tramitada por la propia Fundación. III.-2 Tipificación y calificación de la infracción El artículo 6.1 RGPD, establece lo siguiente: “El tratamiento de los datos personales será licito si, cumple una de las siguientes condiciones:
23. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
24. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
25. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
26. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
27. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; (…) Con las evidencias con las que se cuenta, la entidad reclamada no tenía legitimación para el tratamiento de datos del menor consistente en la cesión de sus datos a la Escuela deportiva Cualedro; tampoco tenía legitimación para el mantenimiento de los dichos datos desde el mes de junio de 2019 hasta el 31 de diciembre de 2019, fecha en que la entidad reclamada admite haberlos tenido. En julio de 2019, los padres del menor cambiaron de Centro Deportivo a su hijo siendo necesario, por tanto, el consentimiento de los padres del menor para un tratamiento de datos posterior. Por tanto, el hecho de que se hayan seguido tratando los datos personales del menor, desde el mes de julio de 2019, cuando los padres dieron de baja a su hijo del Gimnasio, hasta el 31/12/19, son constitutivos de una infracción del artículo 6.1 del RGPD. III.-3 Sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
28. b)del RGPD. En este sentido, el artículo 72.1.
29. b)de la LOPDGDD, considera muy grave, a efectos de prescripción: “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento”. El balance de las circunstancias contempladas, con respecto a las infracciones cometidas, al vulnerar lo establecido en su artículo 6.1 del RGPD, permite fijar una sanción de 2.000 euros (dos mil euros). Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: IMPONER a la FUNDACIÓN CIPRI GÓMES con CIF: G32407280, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 13 del RGPD, respecto de la falta de información sobre el tratamiento de los datos personales, ofrecida a los deportistas o a sus padres o tutores cuando se inscriben en la Fundación acorde a la normativa vigente, con una sanción de 2.000 euros (dos mil euros) SEGUNDO: IMPONER a la FUNDACIÓN CIPRI GÓMES con CIF: G32407280, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 6.1 RGPD respecto del tratamiento ilícito que se realizó de los datos personales del hijo al seguir tratando los datos personales del menor, desde el mes de julio de 2019, cuando los padres dieron de baja a su hijo del Gimnasio, hasta el 31/12/19, con una sanción de 2.000 euros (dos mil euros). TERCERO: ORDENAR a la FUNDACIÓN CIPRI GÓMES, que implante, en el plazo de un mes, las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, así como que informe a esta Agencia en el mismo plazo sobre las medidas adoptadas, tomando las medidas necesarias para adecuar la información que se proporciona respecto del tratamiento de los datos personales, a los deportistas que se inscriben en la Fundación o, en su caso, a los padres o tutores de estos, de acuerdo con lo estipulado en el artículo 13 del RGPD. CUARTO: NOTIFICAR la presente resolución a la FUNDACIÓN CIPRI GÓMES. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
30. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 entidad bancaria CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
31. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es