PS-00263-2022

1/39  Expediente N.º: EXP202103924 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29/09/2021, tuvo entrada escrito de reclamación en la Agencia Española de Protección de Datos, de reclamante 1, y el 18/10/2021 de reclamante 2, figurando su identidad en el ANEXO GENERAL. Las reclamaciones se dirigen contra REAL FEDERACIÓN ESPAÑOLA DE BALONMANO con NIF Q2878006B (en adelante, la parte reclamada. Los motivos en que basa la reclamación son los siguientes: Reclamante 1 afirma que la reclamada “está exigiendo a los jugadores la presentación del certificado de vacunación Covid19 o en su caso test de antígenos negativo, en contra de lo establecido por los TSJ de Canarias, Andalucía y Galicia ya que supone la vulneración del derecho a la intimidad (art.18 de la CE) y vulneración de la LOPD. “ Reclamante 1 aporta copia del “PROTOCOLO SANITARIO COMPETICIÓN REGULAR-REAL FEDERACIÓN ESPAÑOLA DE BALONMANO”, que según su introducción es continuación actualizada del elaborado para la temporada 20/21, titulado: “Retorno a la Actividad”, que comienza por “Finalizada la temporada 20-21… En el mismo, se establecen medidas como el uso de mascarillas, distancia social, lavado de manos etcétera. En el apartado 5: “cuidado de los deportistas control de salud”, se indica que “todos los deportistas, técnicos y demás participantes en la competición, están obligados a realizarse, con la periodicidad y frecuencia que se indique por las autoridades sanitarias y/o deportivas, las analíticas o test de detección de COVID-19, poniendo los resultados en conocimiento de la Delegación COVID de la Real Federación Española de Balonmano en las condiciones que se establezcan. El seguimiento del deportista implicará, en función de los datos sanitarios, la prescripción de la repetición de alguna de estas pruebas u otras que se pudieran determinar. De igual manera, el alcance del control médico y seguimiento de la salud afectará a todos y cada uno de los estamentos del club en relación directa y continuada con los deportistas, y en particular a todo el staff técnico como delegados de personal sanitario, personal colaborador, así como a personas que puedan mantener un contacto estrecho con los deportistas, como conductores, personal de seguridad y limpieza de las instalaciones etc.” En el apartado 7, de obligaciones y seguimiento de la evolución, se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/39 “Cada equipo deberá presentar: 1 Todos los componentes del equipo- deportistas y staff técnico- deberán subir a su área privada del certificado oficial de vacunación emitido por el servicio público de salud antes del inicio de la competición. 2 Los/las jugadores/as que no dispongan del certificado de vacunación completa de naturaleza oficial o no estén en condiciones de poderlo presentar no están autorizados a participar en ningún partido, para estarlo deberán aportar un test de antígenos con resultado negativo, de menos de 48 horas antes del inicio de cada jornada. 3 Todos los integrantes de la plantilla deberán presentar un test de antígenos con resultado negativo de menos de 48 horas con carácter previo al inicio de la competición. staff técnico.” Reclamante 2, manifiesta que, a principios de temporada, la reclamada comunicó vía e mail el protocolo sanitario establecido, y que “los afectados realizaron test de antígenos para la primera competición y las posteriores las han estado realizando solo las personas no vacunadas, entregando los certificados de los test”. Aporta escrito en el que el 11/09/2021, solicitó a la reclamada la retirada de dichas medidas por vulneración de derechos de los afectados con respuesta de la reclamada de 6/10/2021 manteniéndolas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado el 3/11/2021 de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4/11/2021, como consta en el acuse de recibo que obra en el expediente. Con fecha 3/12/2021, manifiesta la reclamada; 1) Cuenta con registro de la actividad del tratamiento RAT, entre los que se encuentra el de “Gestión de Afiliaciones”, donde figuran como categorías especiales de datos personales los certificados de vacunación contra la Covid-19 o en su caso un test de antígenos negativo, tratamiento para dar cumplimiento al “PROTOCOLO SANITARIO COMPETICIÓN REGULAR-REAL FEDERACIÓN ESPAÑOLA DE BALONMANO” aplicable a las competiciones oficiales a disputar en la temporada 2021/2022. 2) Considera que esos datos que recaba son datos de salud, y que para vencer la prohibición de tratamiento que presenta el artículo 9.1 del RGD, encuentra que serían de aplicación para habilitar su tratamiento los artículos del RGPD: “9.2.

1. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento. “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/39 “9.2.
2. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional. “ Las normas de la disposición adicional decimoséptima de la LOPDGDD determinan entre otras, que las circunstancias del artículo 9.2
3. i)alegada por la reclamada para tratar datos de salud encuentran amparo en las normas que señala. Al amparo de algunas de ellas relacionadas con la salud pública durante la pandemia con el fin de no extender el contagio se pueden establecer medidas en caso de riesgo para la salud pública, con una duración que no excederá del tiempo exigido por la situación de riesgo que las motivó. Asimismo, menciona para cubrir el campo de tratamientos de salud los de las normas que se refieren en la disposición adicional decimoséptima de la LOPDGDD, en su apartado 1 interpretadas conforme señala el Informe del Gabinete Jurídico de la AEPD 101/2019, que determina que […] el contenido de la disposición adicional decimoséptima de la LOPDGDD ha de considerarse que si bien se establece una lista taxativa, dicha circunstancia no impide que el tratamiento de datos de salud pueda ampararse en otras normas que no se citen en la misma, siempre y cuando se de alguna de las circunstancias previstas en el artículo 9.2 del RGPD y la regulación establecida al efecto tenga rango de ley y cumpla las garantías que el Tribunal Constitucional considera esenciales cuando estamos ante el tratamiento de categorías especiales de datos. Además, “la RFEBM, como responsable del tratamiento, ha determinado la base jurídica en base al artículo 6.1 RGPD para amparar y legitimar el tratamiento de los certificados de vacunación contra la Covid-19”, señala DIVERSAS normas y protocolos: -Ley Orgánica 3/2013, de 20/06, de protección de la salud del deportista y lucha contra el dopaje en la actividad deportiva, artículos 3.1 y 9. El primero, como conjunto de acciones que los poderes públicos exigen, impulsan o realizan, según su respectivo ámbito de competencias para conseguir que la práctica deportiva se realice en las mejores condiciones para la salud de los deportistas. -Real Decreto 1835/1991, de 20/12, de Federaciones Deportivas Españolas y Registro de Asociaciones Deportivas, artículo 3.1, en el que se indica que “ejercen bajo la coordinación y tutela del Consejo Superior de Deportes, las siguientes funciones públicas de carácter administrativo:
4. a)Calificar y organizar, en su caso, las actividades y competiciones oficiales de ámbito estatal. A estos efectos, la organización de tales competiciones se entiende referida a la regulación del marco general de las mismas, según se establezca en la normativa federativa correspondiente.” -ESTATUTOS DE LA FEDERACIÓN. “competencias propias y delegadas,” artículos 36 y 37.‐ “En el ámbito de sus competencias, la RFEB, ejercerá las siguientes funciones y actividades:
5. d)La reglamentación del balonmano en su ámbito organizatiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/39 vo, técnico y deportivo y disciplinario.” -PROTOCOLO DE ACTUACIÓN PARA LA VUELTA DE COMPETICIONES OFICIALES DE ÁMBITO ESTATAL Y CARÁCTER NO PROFESIONAL (TEMPORADA 2020-2021)” del CSD. (Se adjunta como Documento nº 4), suscrito según la portada, por: “todas las Comunidades Autónomas, Federación Española de Municipios y Provincias, Federaciones Deportivas Españolas, Asociación del Deporte Español, Comité Paralímpico Español, Comité Olímpico Español y otros interlocutores del deporte y organizadores de competiciones integrados en el Grupo de Tareas para el Impulso del Deporte del CSD”. Dicho protocolo establece: - “Apartado 4. Procedimiento […] Cada FDE, podrá disponer de un “protocolo-propio” de refuerzo, espejo del actual, en el cual se verán reflejados la totalidad de los puntos de este Protocolo, así como en su caso las especificaciones o aspectos particulares de cada disciplina, modalidad o especialidad deportiva. El CSD seguirá validando estos “protocolos-propios “de refuerzo de todas las FFDDEE. El CSD deberá validar los protocolos presentados por las FFDDEE en el plazo máximo de 10 días naturales, cuando sea posible (en su caso se acreditarán los motivos de lo contrario), desde que la FDE correspondiente lo presente, entendiéndose aprobado si el CSD no lo valida dentro de ese plazo.” - “Apartado 8”, relativo a “Reconocimientos médicos previos a toda competición” (página 10 del citado Protocolo), lo siguiente: - “8. Reconocimientos médicos previos a la competición. Dada la evolución de la pandemia de COVID 19, el CSD recomienda que en todas las competiciones, organizadas por las FFDDEE (sin perjuicio de trasladar esta recomendación al resto de organizadores) al iniciar los entrenamientos pretemporada o en su defecto 72 horas antes del inicio de las competiciones, se realice una prueba específica COVID 19, cuya finalidad será conocer la situación de los deportistas y miembros de los equipos técnicos inscritos, y la eventual detección temprana de posibles positivos o brotes Aspectos como el tipo de prueba a realizar, su financiación, la evaluación de su utilidad y si se debe realizar más veces con posterioridad (incluido a través de un mecanismo de pruebas aleatorias no anunciadas) serán determinados con criterios sanitarios, en el marco de los mecanismos existentes de coordinación con las CCAA. Estos analizarán la evolución de los contagios en estas competiciones deportivas de forma regular”. - Como documento 5, aporta el mismo “Protocolo Sanitario publicado por los Servicios Médicos de la RFEBM, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19” que aportó reclamante 1. Manifiesta la reclamada, que “se infiere de la lectura del propio protocolo, la medida preventiva consistente en la exigencia del “pasaporte COVID”, o un test de antígenos negativos tiene como principal finalidad procurar una competición deportiva con las máximas medidas de seguridad y prevención, y con carácter temporal atendiendo a la evolución de la situación epidemiológica derivada de la COVID-19 vigente en cada momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/39 3) Manifiesta la reclamada que la finalidad del tratamiento figura en el registro de actividades de tratamiento, (RAT) que aporta como documento 6. Figura en el: “gestión de afiliaciones”, que se llevan a cabo con las siguientes finalidades: “Llevar a cabo todas las gestiones necesarias para gestionar la afiliación de jugadores, entrenadores, delegados y clubes en la R.F. ESPAÑOLA DE BALONMANO.” “Dar cumplimiento del “protocolo de competición regular con las medidas de seguridad y prevención” que se consideran necesarias en las actuales circunstancias, para posibilitar la práctica competitiva de nuestro deporte, que exigirán, además, una actualización constante en función de la evolución de la situación epidemiológica y sanitaria existente en el trascurso de la temporada 21-22, para lo cual se tratarán determinados datos de salud. “ En “categorías de datos: - Nombre y apellidos, DNI/CIF/Documento identificativo, número de registro de personal, número de Seguridad Social/Mutualidad, dirección, firma y teléfono. -Categorías especiales de datos: datos de salud. Certificados de vacunación COVID19 y exhibición de test de antígenos. - Datos de características personales: Sexo, estado civil, nacionalidad, edad, fecha y lugar de nacimiento y datos familiares. Datos de circunstancias familiares. - Datos económico-financieros: Datos económicos de nómina, créditos, préstamos, avales, deducciones impositivas, baja de haberes correspondiente al puesto de trabajo anterior (en su caso), retenciones judiciales (en su caso), otras retenciones (en su caso). Datos bancarios. -Sistemas utilizados para el tratamiento: sistemas automatizados: gestión de la afiliación a través de ISQUAD. -Plazos de supresión, se especifica que para “Los certificados de vacunación COVID19 como consecuencia de la situación actual de riesgo de contagio en la que nos encontramos se conservaran mientras siga siendo absolutamente necesario el mantenimiento de medidas de prevención y seguridad sanitaria, y bajo supervisión de los servicios médicos oficiales de la RFEBM, y aplicable a las competiciones oficiales a disputar en la temporada 2021/2022”. 4) Manifiesta, en cuanto a las “GARANTÍAS ADECUADAS IMPLEMENTADAS PARA LA PROTECCIÓN DE LOS DERECHOS Y LIBERTADES DE LAS PERSONAS”, que contaba con medidas “de seguridad asociadas al cumplimiento normativo”, como: -Asesoramiento en la materia por una empresa externa. -Información sobre deberes de confidencialidad que se entregan a los empleados y medidas de seguridad en el desempeño de sus funciones. Aportan documento 7 al respecto que contiene una declaración de los términos de “información y confidencialidad” para los empleados. (205 y ss.) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/39 -Cita la “Delegada COVID”, empleada de la reclamada, “tiene acceso a los certificados, a efectos de su validación”, habiendo firmado el acuerdo de confidencialidad, “comprometiéndose a no revelar a persona alguna ajena a la Federación, sin su consentimiento, los datos a los que haya tenido acceso en el desempeño de sus funciones como miembro del equipo COVID 19, excepto en el caso de que sea necesario para dar debido cumplimiento a obligaciones impuestas por las leyes o normativa que resulten de aplicación o sea requerido por mandato de la autoridad competente” -Charlas formativas en materia de protección de datos a empleados. -ANÁLISIS DE RIESGOS. Aporta documento 8, versión 1, de 29/11/2021, en el que se indica: En el apartado de tratamiento “Gestión afiliaciones” (T05) se transcribe la finalidad que figura en el RAT, “en número de sujetos afectados, de 10.000 a 100.000”, en: “¿Se van a usar específicamente datos de personas con discapacidad o cualquier otro colectivo en situación de especial vulnerabilidad (p.e.: menores de 14 años, ancianos, personas con riesgo de exclusión social)?”, “Si”, y en cesiones de datos figura que “si”, constando en el grupo global, a “Administraciones públicas con competencia en la materia”, en plazos de conservación, hace constar que si hay plazos definidos de conservación si bien no figura el tiempo, concluyendo: “Tratamiento T05 se encuadran dentro del supuesto de excepción número 3 en base a la existencia y para dar cumplimento al Protocolo Sanitario publicado por los Servicios Médicos de la Federación, a la ORDEN 1244/2021, de 1/10, de la Consejería de Sanidad de la CCAA de Madrid, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19, así como la Ley Orgánica 3/2013, de 20/06, de protección de la salud del deportista y lucha contra el dopaje en la actividad deportiva. En el mismo documento figura: “gestión de riesgos” (49 y ss.) para todos los tratamientos. “En el apartado legitimación de tratamientos se resuelve que todos los tratamientos se llevan a cabo con alguna de las bases legitimadoras del artículo 6. En conclusiones, figura a nivel global de operaciones de tratamiento, no por actividad de tratamiento. - “Información en materia de protección de datos”, que se encuentra redactada de manera clara, sencilla y transparente. Se adjunta la “política de privacidad” de la “plataforma ISQUAD”, en DOCUMENTO 9 “que se encuentra en un entorno visible y accesible, que todo afiliado debe aceptar de forma previa a rellenar el formulario de afiliación”. “La gestión del tratamiento de Certificados COVID a través de la “plataforma Isquad”, se lleva a cabo por una empresa externa 3OES LEADING SOFTWARE, S.L., titular del software, con la que se ha suscrito el correspondiente contrato de acceso a datos por cuenta de terceros con clausulado acorde al artículo 28 del RGPD.” Se adjunta como documento nº 11 copia del contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/39 Aporta documento 20, que certifica que en la plataforma se accede por cada participante con usuario y contraseña y se guarda el certificado de vacunación y los test de antígenos con resultado del COVID. “A la documentación sanitaria, además del interesado, únicamente tiene autorización de acceso la Delegado-Responsable Federativo de control de COVID19, que, una vez visualizado el documento y comprobada su idoneidad, emite una validación que acredita que, cada persona, ha cumplido el requisito exigido en las condiciones requeridas, pero sin que dicha validación especifique el tipo de documento aportado por cada persona.”) Como “medidas asociadas a la seguridad de la información”, indica “el modo de identificación y autenticación en la plataforma ISQUAD: “Cada deportista accede a su área privada a través de la introducción de un usuario y una contraseña de tal forma que pueda subir a su área privada el certificado oficial de vacunación emitido por el Servicio Público de Salud antes del inicio de cada competición a la que sólo tendrá acceso el deportista que presenta dicha certificación y la delegada “COVID” de cara a validar y comunicar al representante de comunicación que se ha cumplido con dicho requisito previo al desarrollo de la competición. En el caso de menores de edad, el acceso a dicha área privada será a través de sus representantes legales. De esta forma se impide el acceso a dicha información a terceros no autorizados. Del DOCUMENTO 9, “POLÍTICA DE PRIVACIDAD”, versión 29/11/2021, ofrece información de “tratamientos de datos recabados a través de la plataforma ISQUAD”, que contiene formularios con datos obligatorios por cumplimentar, y que la RFEBM puede recopilar por el uso, la navegación en la plataforma, vía e mail o con motivo de la relación contractual. El documento refiere la finalidad, legitimación y destinatarios de (se destacan los relacionados: “3. Alta y afiliación de los usuarios pertenecientes a cualquiera de los estamentos federativos de la RFEBM, en el que se incluye: - Gestionar su alta como usuario perteneciente a cualquiera de los estamentos federativos de la RFEBM en la condición que ostente dentro de la misma. - Una vez tramitada el alta, sus datos serán tratados para la realización de los trámites que se deriven de la correcta gestión entre usted y la RFEBM. - Dar cumplimiento del protocolo de competición regular con las medidas de seguridad y prevención que se consideran necesarias en las actuales circunstancias, para posibilitar la práctica competitiva de nuestro deporte, durante el trascurso de la temporada 21-22 para lo cual se tratarán determinados datos de salud.” “Legitimación. La legitimación del tratamiento de sus datos deriva de la ejecución de un contrato/acto jurídico, consentimiento del interesado, interés legítimo para ambas partes o en base al cumplimiento de una obligación legal: - Ley 10/1990, de 15/10, del Deporte. - Protocolo Sanitario publicado por los Servicios Médicos de la RFEBM para dar cumplimiento a las Ordenes 572/2021 de 7/05, y de la Consejería de Sanidad de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/39 CCAA de Madrid, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria pasada por el COVID-19, una vez finalizada la prórroga del Estado de alarma declarado por RD decreto 926/2020 de 25/10, BOCM 8/05/2021, dejada sin efecto por el apartado septuagésimo quinto de la Orden 1244/2021, 1/10, de la Consejería de Sanidad, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19 («B.O.C.M.» 2/10), entrada en vigor 4/10/2021. En el punto 5 se contempla el ejercicio de derechos. En DOCUMENTO 10, aporta la “cláusula Informativa EN MATERIA DE PROTECCIÓN DE DATOS” que firman los afiliados “última versión 29/11/2021” (jugadores, entrenadores, delegados, clubes, etcétera.) Informa que la reclamada es la responsable del tratamiento de sus datos de carácter personal con la finalidad de llevar a cabo todas las gestiones necesarias para gestionar su afiliación en la RFEB. “Asimismo le informamos que el tratamiento de sus datos de carácter especial, por ejemplo, salud se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión de los servicios médicos oficiales. “La legitimación del tratamiento de sus datos deriva de la ejecución de un contrato, consentimiento del interesado, cumplimiento de una obligación legal o en base al interés legítimo para ambas partes. Los destinatarios de sus datos serán los distintos departamentos de la Federación, así como los terceros a los que cedamos sus datos, cuando sea lícito conforme a lo dispuesto en la normativa vigente en materia de protección de datos o aquellas comunicaciones necesarias para el correcto desempeño de las funciones de RFEB”. En el documento 12, se contiene “protocolo de custodia y conservación de datos”. En documento 13, aportan copia de “Protocolo de actuación ante violaciones de seguridad”. Copia de documento 14, con procedimientos de “política de contraseñas y control de accesos”. Copia de documento 15, “procedimiento de selección de encargados de tratamiento”. Procedimiento de actuación ante ejercicio de derechos”, en documento 16. -Aporta copia de la comunicación de la AEPD a la reclamada de 14/05/2021 con registro de designación de DPD. En documento 19, nombramiento del DPD. 5) En cuanto a las categorías de interesados y la información facilitada sobre el tratamiento de datos, indica que se trata de “Todos los componentes de los equipos (deportistas y staff técnico), “y la información sobre el tratamiento de sus datos figura en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/39 los documentos 9 y 10.” En cuanto a la Evaluación de Impacto relativa a la Protección de datos, EIPD, indica: “El tratamiento “gestión de afiliaciones” en la medida en que en el mismo están implicados datos especialmente protegidos como son los datos de salud y datos de sujetos especialmente vulnerables como son los menores y atendiendo a los criterios de la AEPD en la medida en que si dan dos o más de los criterios mencionados en las listas expuestas, en un tratamiento, es más probable que suponga un alto riesgo para los derechos y las libertades de los interesados, nos lleva a considerar que hay factores suficientes para determinar la necesidad de llevar a cabo una evaluación de impacto, en los términos previstos en el RGPD, para la operación de tratamiento descrita “gestión de afiliaciones.” No obstante, la AEPD ha establecido determinados supuestos en los que no resulta necesario realizar una EIPD, aunque se den al menos dos de los supuestos de estos listados entre el que se encuentra el cumplimiento de una obligación legal, de tal forma que el Tratamiento T05 “Gestión de Afiliaciones” se encuadraría dentro del supuesto de excepción número 3 contemplado en el siguiente listado elaborado por la AEPD https://www.aepd.es/sites/default/files/2019-12/ListasDPIA35.5l.pdf (LISTA ORIENTATIVA DE TIPOS DE TRATAMIENTOS QUE NO REQUIEREN UNA EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS SEGÚN EL ARTÍCULO 35.5 RGPD) “Tratamientos que sean necesarios para el cumplimiento de una obligación legal, cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, siempre que en el mismo mandato legal no se obligue a realizar una EIPD, y siempre y cuando ya se haya realizado una EIPD completa.” Continúa indicando la reclamada que es “en base a la existencia y para dar cumplimento al protocolo sanitario publicado por los Servicios Médicos de la Federación, por la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada por el COVID-19. Por todo lo expuesto, se considera que la RFEBM no tiene la necesidad de realizar una EIPD en profundidad. Nos remitimos en este punto al informe de análisis de riesgos (adjuntado como documento nº8.” 6) La RFEBM “ha decidido, salvo pronunciamiento en contra de la Autoridad de Control continuar con la solicitud de los certificados de vacunación COVID-19, dando así cumplimiento al Protocolo de Competición regular con las medidas de seguridad y prevención que se consideran necesarias en las actuales circunstancias, para posibilitar la práctica competitiva de nuestro deporte, que exigirán, además, una actualización constante en función de la evolución de la situación epidemiológica y sanitaria existente, sin que exista una vulneración de la normativa de protección de datos ni los derechos fundamentales de los participantes en las competiciones oficiales de balonmano organizadas y tuteladas por la RFEBM.” - Se adjunta certificado de 23/11/2021, del responsable de los servicios médicos como documento nº21. En él se exponen los motivos que justifican la necesidad de presentar dichos certificados Covid-19 “como medida preventiva y de protección de la salud de todos los implicados en las competiciones deportivas”. TERCERO: Con fecha 29/12/2021, por el trascurso de tres meses, continua la tramitación de acuerdo con lo señalado en el artículo 65. 5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/39 CUARTO: Con fecha 6/09/2022 se acordó por la Directora de la AEPD: “INICIAR PROCEDIMIENTO SANCIONADOR a REAL FEDERACIÓN ESPAÑOLA DE BALONMANO, con NIF Q2878006B, por la presunta infracción del RGPD, artículos: -6.1, de conformidad con el artículo 83.5.
6. a)del RGPD, tipificada a efectos de prescripción en el artículo 72 .1.
7. b)de la LOPDGDD. - 9, de conformidad con el artículo 83.5.
8. a)del RGPD, tipificada a efectos de prescripción en el artículo 72.1
9. e)de la LOPDGDD. - 13, conformidad con el artículo 83.5.
10. b)del RGPD, tipificada a efectos de prescripción en el artículo 74
11. a)de la LOPDGDD.” “a los efectos previstos en el art. 64.2
12. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), se impone a REAL FEDERACIÓN ESPAÑOLA DE BALONMANO, en aplicación del artículo 58.2.
13. i)tres sanciones de multa administrativa, por la infracción del: -artículo 6.1 del RGPD, podría imponerse una sanción de multa, por importe de 10.000 euros. -artículo 9 del RGPD, podría imponerse una sanción de multa, por importe de 20.000 euros. -artículo 13 del RGPD, podría imponerse una sanción de multa, por importe de 7.000 euros. Todo ello, sin perjuicio de lo que resulte de la instrucción.” QUINTO: Con fecha 21/09/2023, la reclamada efectúa las siguientes alegaciones: 1) Solicita valorar tal y como expuso en el escrito de contestación a los requerimientos, como base de legitimación subsidiara la existencia de un interés vital, como establece el considerando 46 del RGPD (…) “cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente” (…), como es el caso aquí expuesto. Reproduce el artículo 6.1
14. d)del RGPD como medida preventiva para evitar posibles situaciones de contagio entre el resto de los participantes en las competiciones deportivas como es el caso en que nos encontramos y que imposibiliten o dificulten su desarrollo. 2) Respecto de lo expuesto por la Agencia de que “estos datos médicos no se encuentran relacionados con la afiliación o con el reconocimiento médico que pueda tener lugar para obtener la misma”, es necesario aclarar las siguientes cuestiones: La denominada “afiliación” no es otra cosa que la adscripción al sistema mediante la incorporación a la plataforma informática de la R.F.E.BM., trámite que se debe realizar personalmente por cada usuario, una única vez, y para el que sólo se requiere la aportación, en el área privada individualizada, del DNI, y, optativamente, de una fotografía. La adscripción de las personas menores de edad debe ser realizada por los padres, tutores o representantes legales, que, de forma expresa, deben manifestar su consenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/39 timiento y autorización. En ningún caso, contrariamente a lo que se indica por parte de esta Agencia (Fundamento Jurídico II, página 16) la “afiliación” requiere de la aportación de ningún tipo de dato médico, sanitario ni personal de cada persona. La solicitud de “Licencia Federativa” se produce en cada una de las temporadas deportivas por parte de aquellos “afiliados” que desean participar en competiciones oficiales de ámbito estatal de balonmano, inscritos en alguno de los equipos que son titulares del derecho deportivo en cada una de las diferentes competiciones organizadas por la reclamada. En el proceso de obtención de la licencia, cada deportista debe aportar, siempre a través de su área privada, la documentación que se le requiere en función de la adscripción de su equipo a una categoría de competición determinada. Entre esa documentación que se requiere a cada deportista se encuentra la certificación de haber superado el reconocimiento médico y haber sido declarado “apto” para la práctica del balonmano (documento que no incorpora ningún tipo de dato médico o sanitario de carácter personal, sino que se limita a calificar como “apto” o “no apto” al interesado). Además, durante la temporada 2021/22, y como consecuencia de la pandemia de COVID19, se requiere a los deportistas la aportación del certificado de vacunación o, en su defecto, la acreditación de una prueba diagnóstica de COVID19 con resultado negativo. Ambos documentos médicos son necesarios para la obtención de la Licencia Federativa por parte de cada deportista, en sentido contrario a lo expuesto por esta Agencia en los párrafos finales del folio 15 de la Resolución, en el ámbito de lo expuesto en el Fundamento de Derecho Segundo. La RFEBM, en sentido contrario a lo manifestado por esta Agencia, no entiende que haya tratado “cualquier tipo de datos derivados de la salud cara el futuro”. Estos datos de gestión de afiliación son los concretos y específicos que se recaban y se informa de la finalidad y que ha permitido que, en el momento en el que las circunstancias sanitarias han evolucionado, dichos datos no sean requeridos a ningún participante en competiciones estatales. En otro orden de cosas, es necesario, también, puntualizar que, al contrario de lo que parece indicar el párrafo segundo del folio 15 de la Resolución, la exigencia de la exhibición del certificado de vacunación con pauta completa contra la COVID19 se produce, en las competiciones deportivas oficiales de ámbito estatal organizadas por la reclamada, al inicio de la temporada deportiva 2021/22, “es decir, a partir del 1 de Septiembre de 2022, nueve meses después de que se haya inoculado la primera vacuna contra la COVID19 en España.”(puede que la reclamada se refiera a 1/09/2021, dado que la fecha de la primera vacuna contra la COVID fue el 27/12/2020, igualmente la temporada 21/22 suele referir su inicio a la primera fecha. Finalmente, cabe señalar que, además de las normas legales ya citadas en anteriores disposiciones, “la actuación de la R.F.E.BM. se encuentra amparada en lo dispuesto expresamente en el artículo 3 de la Ley Orgánica 3/1986 de 14/04, de medidas especiales en materia de salud pública que ha sido desarrollado y ejecutado por las disposiciones normativas de las Comunidades Autónomas aprobadas expresamente, en el ámbito de las respectivas competencias constitucionales, en relación con la exigencia de la documentación sanitaria y la práctica de los deportes de competición.” En cuanto a la forma y contenido de cumplir con el derecho de información a los afectados en la recogida de datos en la “cláusula de información de afiliación”, (artículo 13) no se ha tenido en cuenta el último párrafo de la cláusula de afiliación que se adjuntó, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/39 en el escrito de contestación a la solicitud de información de esta Agencia con fecha 03/12/2022, como documento número 10 y que reproducen, constando al final:“ Tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos reconocidos tal y como se explica en la información adicional que puede encontrar en nuestra Política de Privacidad en www.rfebm.com. “ De su lectura de dicha cláusula se puede comprobar que en la misma se informa tal y como establece el artículo 11 de la LOPDGDD y diversas guías de la propia AEPD (guía-modelo-clausula informativa; Guía para el Ciudadano), a través de una primera capa de la información básica, entre otros, de los siguientes extremos:
15. a)La identidad del responsable del tratamiento y de su representante, en su caso.
16. b)La finalidad del tratamiento
17. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Y en una segunda capa, el resto de los elementos acudiendo a su política de privacidad, enlace (rfebm.com) como documento número 9 que aportó), que son:
18. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
19. b)los datos de contacto del delegado de protección de datos, en su caso;
20. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
21. d)derecho a presentar una reclamación ante la autoridad de control;
22. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso; Respecto de la cláusula de afiliación, atendiendo a lo indicado por esta AEPD en su escrito de inicio de procedimiento sancionador sobre la “cláusula de información afiliación” (documento 10) por no definir la finalidad del tratamiento por hacerlo de modo genérico a “datos de carácter especial, por ejemplo, se ha procedido a su rectificación. Atendiendo a lo indicado por esta Agencia, para dar cumplimiento al requisito de descripción de la finalidad de modo específico y explícito e indicando cual es la base jurídica que permite el tratamiento de las dos gestiones afiliación y datos de salud de forma diferenciada. Adjuntan documento número 2, “cláusula de información de afiliación” con el detalle “Finalidad 1: Llevar a cabo todas las gestiones necesarias para gestionar su afiliación en R.F. ESPAÑOLA DE BALONMANO. Base jurídica que legitima este tratamiento: ejecución de un contrato. Finalidad 2: Llevar a cabo los reconocimientos médicos y las pruebas de aptitud que puedan tener lugar para obtener la licencia federativa, trataremos datos de salud, los cuales se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión de los servicios médicos oficiales. Base jurídica que legitima este tratamiento: cumplimento de una obligación legal. … Los destinatarios de sus datos serán los distintos departamentos de la Federación, así como los terceros a los que cedamos sus datos, cuando sea lícito conforme a lo disC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/39 puesto en la normativa vigente en materia de protección de datos o aquellas comunicaciones necesarias para el correcto desempeño de las funciones de R.F. ESPAÑOLA DE BALONMANO. Tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos reconocidos tal y como se explica en la información adicional que puede encontrar en nuestra Política de Privacidad en www.rfebm.com.” 1) A partir de la finalización de la temporada 2021/22, y para la obtención de las Licencias Federativas correspondientes a la temporada 2022/23, han cesado en la exigencia de aportación de ningún tipo de datos relativos ni a la vacunación COVID-19 ni respecto de los resultados analíticos en ninguna de las competiciones deportivas que organiza, como consecuencia de la evolución positiva y recomendaciones formuladas por las autoridades sanitarias 4) Solicita en su caso que se sancione con apercibimiento, atendiendo a la rectificación de la cláusula, y afirma que está comprometida con los derechos y libertades y el cumplimiento de la normativa de protección de datos. 5) La R.F.E.BM. discrepa de la consideración, de que la exigencia de la documentación sanitaria referida produzca “afectación” de ningún derecho fundamental, expone como ejemplos diversas sentencias del Tribunal Supremo sobre medidas administrativas limitativas de derechos derivados del estado de alarma para evitar difusión de contagios. Se refiera a las de la Sala de lo Contencioso Administrativo del Tribunal Supremo, en las Sentencias 1112/2021 de 14/09 y 1412/2021 de 14/12 en las que se indica expresamente que: “la medida de exhibición de determinada documentación (certificado de la pauta completa de vacunación, prueba diagnóstica negativa de infección activa (PDIA) o test de antígenos, y certificado de haberse recuperado de la enfermedad desde el día 11 al 180), para la entrada en el interior de determinados establecimientos , examinando la proporcionalidad 6) Solicita la nulidad de pleno derecho, al considerar que no se diferencian las funciones de “instrucción” y “resolución”, al adoptar decisiones respecto de la práctica de pruebas. (Acuerdo Tercero) cuando se significa la incorporación al expediente sancionador, a efectos probatorios, de la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos. Además, se sanciona de plano, sin procedimiento, el indicarse en el dispositivo cuarto, a los efectos del artículo 64.2.
23. b)que se imponen las sanciones. SÉPTIMO: Con fecha 7/05/2023, se emitió propuesta de resolución del literal: “1-Que por la Directora de la Agencia Española de Protección de Datos se sancione con multa administrativa a REAL FEDERACIÓN ESPAÑOLA DE BALONMANO, con NIF Q2878006B, por las siguientes infracciones del RGPD: -una infracción del artículo 9 del RGPD, de conformidad con el artículo 83.5.a), tipificada como muy grave a efectos de prescripción en el artículo 72.1.
24. e)de la LOPDGDD, con una multa de 20.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/39 -Una infracción del artículo 13 del RGPD, de conformidad con el artículo 83.5.a), tipificada como leve a efectos de prescripción en el artículo 74.
25. a)de la LOPDGDD, con una multa de 7.000 euros. 2-Que por la Directora de la Agencia Española de Protección de Datos se archive la infracción del artículo 6.1 del RGPD por existir base de legitimación para el tratamiento de datos.” OCTAVO: Con fecha 22/05/2023, la reclamada efectúa las siguientes alegaciones: 1-Citan la sentencia del TSJ de Madrid, recurso contencioso administrativo 359/2022 en documento 1, en un procedimiento de protección de derechos fundamentales, también contra la misma reclamada, relacionado con el campeonato oficial de selecciones territoriales de la RFEBM, celebrado en Murcia, como apoyo en la habilitación de la excepción del tratamiento de los datos de salud. Considera que se desprende de la misma: -Las Federaciones ejercen funciones públicas por delegación de carácter administrativo, actuando como agentes colaboradores de la Administración Pública, encontrándose entre ellas, las relativas a calificación, organización de las actividades y competiciones deportivas oficiales de ámbito estatal, bajo la coordinación y tutela del Consejo superior de Deportes. La organización de las mismas se entiende referida a la regulación del marco general de las mismas. “Siendo muy compleja la organización de una competición, ha de reservarse a la delegación aquellos extremos de la misma realmente importantes y transcendentales”. -Dicho protocolo constituye un marco de referencia para dichas competiciones, habilitando a las diferentes Federaciones a que puedan elaborar unos protocolos de refuerzos para competiciones específicas, teniendo que remitirlos al CSD para su aprobación, que se entenderá efectuada si no se obtiene respuesta expresa del CSD en el plazo de diez días. -Las potestades administrativas que justifican la adopción de esas medidas descritas en el protocolo que conllevan la restricción de derechos fundamentales de los ciudadanos, se encuentran legitimadas por el artículo 43 de la Constitución Española en el que, tras reconocer en su apartado primero el derecho a la salud pública, en su segundo apartado establece que: “Compete a los poderes públicos organizar y tutelar la salud pública a través de medidas preventivas y de las prestaciones y servicios necesarios. La Ley establecerá los derechos y deberes de todos al respecto”. El desarrollo básico de este principio constitucional rector de la política social del Estado, se encuentra en la Ley 14/1986, de 25/04, General de Sanidad, en la Ley Orgánica 3/1986, de 14/04, de Medias Especiales en Materia de Salud Pública, dictadas en virtud de la atribución competencial que en materia de sanidad e higiene efectúa el artículo 148.1.21 CE a las Comunidades Autónomas, y en La ley 41/2002, de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. -La sentencia estima que no existe vulneración por parte de este protocolo a la intimidad personal, en la modalidad de protección de datos, la exigencia de certificado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/39 de vacunación con pauta completa, supera el filtro de idoneidad, de necesidad y de proporcionalidad, “en cuanto a que es una de las medidas menos restrictivas para los derechos fundamentales de los participantes, y aun cuando hubieran podido adoptarse otras medidas-test negativos o certificados de superación de la enfermedad recientemente- la opción no es ilógica ni irracional, y es mínimamente invasiva en la esfera individual y permite el desarrollo de las competiciones deportivas, que de otra forma no se hubiesen podido celebrar.” Consideran que, en base a lo relatado, tiene encaje el protocolo como habilitador en base a los artículo 9.2
26. g)y 9.2.
27. i)del RGPD, al venir derivadas las atribuciones de las Federaciones deportivas por la administración, a través del CSD, en base a lo establecido en los artículos 30.1 y 33.1.
28. a)de la Ley del deporte, y por tanto amparados en una norma con rango de ley, entendiéndose que no se impone una obligación , sino más bien el cumplimiento de unos requisitos para poder acceder-participar en una actividad privada 2-A efectos de la infracción del artículo 13, no se “ha tenido en cuenta por esta agencia ni se ha entrado a valorar la existencia de un error en lo relativo a la información adicional a la que se remite el último párrafo de la cláusula de afiliación que se adjuntó en el escrito de contestación a la solicitud de información de esta Agencia con fecha 03/12/2022” que contiene la segunda capa, en www.rfebm.com. Solicita se tenga en cuenta la rectificación tras el acuerdo de inicio de la concreta descripción de la finalidad y las bases jurídicas diferenciadas de los datos de salud y de los de gestión de afiliación. La interpretación de que en el primer nivel se ha de contener o se recomienda que se incluyan los detalles de los fines del tratamiento, identidad del responsable y descripción de los derechos del interesado, haciendo hincapié en la información con mayor repercusión para el interesado y el tratamiento que pudiera resultar más sorprendente para el afectado, no son obligaciones demandadas por la norma y consideraciones subjetivas muy complicadas de analizar en cada caso. Solicitan el archivo o la minoración de la sanción propuesta. NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) La reclamada dispone de un “PROTOCOLO SANITARIO COMPETICIÓN REGULAR-REAL FEDERACIÓN ESPAÑOLA DE BALONMANO” (RFEB) para la temporada 2021-22, sin fecha, que figura también en su web, que contiene medidas para la lucha contra el COVID 19 para procurar una competición deportiva con medidas de seguridad y prevención, atendiendo a la situación epidemiológica de cada momento. En el punto 5, establece, entre otras medidas, la obligación de deportistas, técnicos y demás participantes en la competición de ámbito estatal, incluyendo personas que puedan mantener contacto estrecho con los deportistas (staff técnico, conductores, personal de seguridad y limpieza de instalaciones) de realizarse, con la periodicidad y la frecuencia que se indique por las autoridades sanitarias y/o deportivas, las analíticas o test de detección de COVID-19, poniendo los resultados en conocimiento de la Delegación COVID de la RFEB en las condiciones que se establezcan. En su punto 7, se prevé la obligación de que todos los componentes de los equipos, tanto deportistas como staff técnico suban en una plataforma de gestión, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/39 “a su área privada, el certificado oficial de vacunación emitido por el Servicio Público de salud” antes del inicio de la competición, y los que no dispongan del mismo, o no están en condiciones de poderlo presentar, deben subir a la plataforma un “test de antígenos con resultado negativo de menos de 48 horas antes del inicio de “cada jornada”, de lo contrario, no se les autoriza a participar en ningún partido. En el punto 8, se indica que el protocolo es de obligatorio cumplimiento, pudiendo acarrear su incumplimiento una infracción disciplinaria sancionable, figurando tipificadas en el mismo escrito. El protocolo propio de la reclamada, según manifiesta la reclamada, parte del PROTOCOLO DE ACTUACIÓN PARA LA VUELTA DE COMPETICIONES OFICIALES DE ÁMBITO ESTATAL Y CARÁCTER NO PROFESIONAL (TEMPORADA 2020-2021) del Consejo Superior de Deportes, (protocolo del CSD) aprobado, según nota de prensa en la web de diario EL ESPAÑOL, el 10/09/2020, sin que conste actualización para la temporada 21/22. Indica que se trata de un marco mínimo, básico para la sanidad y seguridad en el deporte federado, de obligado cumplimiento con el fin de reactivar el deporte federado y que se supedita a las eventuales órdenes ministeriales que emita el Ministerio de Sanidad, estando permanentemente sujeto a evolución también por los factores medico sanitarios determinado por las autoridades competentes. “Cada FDE, podrá disponer de un “protocolo-propio” de refuerzo, espejo del actual, en el cual se verán reflejados la totalidad de los puntos de este Protocolo, así como en su caso las especificaciones o aspectos particulares de cada disciplina, modalidad o especialidad deportiva”. En su apartado 8, se indica la “recomendación” de reconocimientos médicos previos a la competiciones ( no partidos) organizadas por las Federaciones (sin perjuicio de trasladar esta recomendación al resto de organizadores) al iniciar los entrenamientos, pretemporada o, en su defecto 72 horas antes del inicio de las competiciones, se realice una prueba específica COVID 19, cuya finalidad será conocer la situación de los deportistas y miembros de los equipos técnicos inscritos, y la eventual detección temprana de posibles positivos o brotes. Ni en el protocolo del CSD ni en el de la reclamada figura referida alguna autoridad sanitaria. “4-procedimiento: Una vez vigente este Protocolo cada FDE podrá disponer de un “protocolo-propio” de refuerzo, espejo del actual, en el cual se verán reflejados la totalidad de los puntos de este Protocolo, así como en su caso las especificaciones o aspectos particulares de cada disciplina, modalidad o especialidad deportiva. El CSD seguirá validando estos “protocolos-propios “de refuerzo de todas las FFDDEE. “El CSD deberá validar los protocolos presentados por las FFDDEE en el plazo máximo de 10 días naturales, cuando sea posible (en su caso se acreditarán los motivos de lo contrario), desde que la FDE correspondiente lo presente, entendiéndose aprobado si el CSD no lo valida dentro de ese plazo.” 2) En el REGISTRO ACTIVIDADES DEL TRATAMIENTO (RAT) de la reclamada, figura “Gestión de Afiliaciones”, con doble sentido:
29. a)Gestión de la afiliación de jugadores, entrenadores, delegados y clubes.
30. a)Cumplimiento de protocolo de competición con medidas de seguridad y prevención que se consideran necesarias en las actuales circunstancias para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/39 posibilitar la práctica competitiva en la temporada 21/ 22, para lo que se trataran datos de salud. Añade la reclamada que los datos se recaban a través de la plataforma ISQUAD, software titularidad de una tercera empresa con la que tiene un contrato de acceso de datos. A través de esta ofrece la información al personal de su Federación para la afiliación, debiendo aceptar de forma previa a rellenar el formulario de afiliación que se gestiona en la misma plataforma. 1) La reclamada concreta que la prohibición del tratamiento de los datos de salud que reconoce que trata, lo son para dar cumplimiento a su “protocolo sanitario”, elaborado por los Servicios Médicos de la RFEBM, aplicable a las competiciones oficiales durante la temporada 2021/2022, que tiene por objeto reducir la extensión de la COVID 19. Manifestó la reclamada que el levantamiento de la prohibición del tratamiento de datos de salud queda habilitado por aplicación del RGPD en los artículos 9.2.
31. c)y 9.2.i). y en alegaciones a la propuesta también el artículo 9.2.
32. g)del RGPD. Añadió que, como base de legitimación del mismo tratamiento, concurrirían el artículo 6.1.
33. c)y el 6.1.
34. d)del RGPD, indicando sobre el primero que se dan diversas normas que la facultan para organizar y reglamentar la competición (Ley del Deporte, Estatutos y Real decreto 1835/1991 de 20/12 de federaciones deportivas y Registro de asociaciones deportivas, así como la Ley Orgánica 3/2013 de 20/06 de protección de la salud del deportista y lucha contra el dopaje en la actividad deportiva. 2) A la “plataforma Isquad”, con la que la reclamada gestiona la reclamada la “afiliación” de los deportistas acceden los usuarios (jugadores, entrenadores, delegados, personas de contacto) con usuario y contraseña en el “área privada”, donde se sube, y se guarda el certificado de vacunación y los test de antígenos. A esa documentación, únicamente tiene autorización de acceso la delegado-responsable Federativo de control de COVID19, de la RFEBAM que, comprobada su idoneidad, emite una validación que acredita que, cada persona, ha cumplido el requisito exigido en las condiciones requeridas, pero sin que dicha validación especifique el tipo de documento aportado por cada persona. -si bien se desprende de su naturaleza, que los test y las vacunas son de distinta duración en el tiempo en cuanto a efectos previstos, sin explicar cómo funciona el sistema para no exigir para la próxima competición a los que aportan la vacunación que la vuelvan a aportar. 3) En cuanto al modo de informar a los afectados de la recogida de sus datos, la reclamada aporta antes del acuerdo de inicio, documento 10, cláusula de información, última versión 29/11/2021 en la que figura que la reclamada es responsable “del tratamiento de sus datos de carácter personal con la finalidad de llevar a cabo todas las gestiones necesarias para gestionar su afiliación en R.F. ESPAÑOLA DE BALONMANO. Asimismo, le informamos que el tratamiento de sus datos de carácter especial, por ejemplo, salud, se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión de los servicios médicos oficiales.” …” “La legitimación del tratamiento de sus datos deriva de la ejecución de un contrato, consentimiento del interesado, cumplimiento de una obligación legal o en base al interés legítimo para ambas partes. Los destinatarios de sus datos serán los distintos departamentos de la Federación, así como los terceros a los que cedamos sus datos, cuando sea lícito conforme a lo disC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/39 puesto en la normativa vigente en materia de protección de datos o aquellas comunicaciones necesarias para el correcto desempeño de las funciones de R.F. ESPAÑOLA DE BALONMANO. Tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos reconocidos tal y como se explica en la información adicional que puede encontrar en nuestra Política de Privacidad en www.rfebm.com.” Pese a indicarse el responsable, no se indica su contacto La reclamada manifestó en alegaciones que informó por capas, y la segunda capa se hallaba en el link que se contenía www.rfebm.com que coincide con el documento 9 “política de privacidad” en el que se contiene entre otros los datos de contacto del DPD, y el derecho a presentar una reclamación ante una autoridad de control. Considerando que a partir de la finalización de la temporada 21/22 (en la que sí estuvo implantado el sistema de aportar datos de salud para la competición) esto es, en septiembre de 2022 la reclamada ha manifestado que ya no exige ningún tipo de datos sobre vacunación COVID 19 ni test, que el acuerdo de inicio es de 6/09/2022, en alegaciones al acuerdo de inicio, el 26/09/2022, ha manifestado la reclamada, que el documento 10 sobre información de la recogida y tratamiento de datos fue modificado tras recibir el acuerdo de inicio para diferenciar la información de la “afiliación” Adjuntan documento número 2, “cláusula de información de afiliación”, distinguiendo la entidad diferenciada de los datos de salud COVID y su finalidad: “Finalidad 1: Llevar a cabo todas las gestiones necesarias para gestionar su afiliación en R.F. ESPAÑOLA DE BALONMANO. Base jurídica que legitima este tratamiento: ejecución de un contrato. Finalidad 2: Llevar a cabo los reconocimientos médicos y las pruebas de aptitud que puedan tener lugar para obtener la licencia federativa, trataremos datos de salud, los cuales se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión de los servicios médicos oficiales. Base jurídica que legitima este tratamiento: cumplimento de una obligación legal. 4) Reclamante 2, manifiesta que, a principios de temporada 21/22, la reclamada comunicó vía e mail a los federados el protocolo sanitario establecido, y que “los afectados realizaron test de antígenos para la primera competición y las posteriores las han estado realizando solo las personas no vacunadas, entregando los certificados de los test”. Aporta escrito en el que el 11/09/2021, solicitó a la reclamada la retirada de dichas medidas por vulneración de derechos de los afectados con respuesta de la reclamada de 6/10/2021 manteniéndolas. También la reclamada manifestó en la respuesta al traslado, 3/12/2021, que continuaría tratando los datos de salud para cada competición. Tras el acuerdo de inicio firmado el 6/09/2022, indicó que por la evolución positiva de la pandemia y en función de las recomendaciones formuladas por las autoridades sanitarias, a partir de la finalización de la temporada 2021/22, septiembre 2022, había cesado en la exigencia de aportación de ningún tipo de datos relativos ni a la vacunación COVID-19 ni respecto de los resultados analíticos en ninguna de las competiciones deportivas que organiza. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/39 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Sobre las alegaciones de la nulidad del procedimiento, por contener el acuerdo de inicio la referencia de incorporación documental, a efectos probatorios, no para la práctica de prueba que no ha tenido lugar, se ha de comprender que dicha documentación forma parte del expediente y su cita si bien no parece necesaria por cuanto forma parte del mismo, resulta meramente aclaratoria, sin que por ello se produzca algún tipo de confusión entre las fases, que en todo caso la reclamada no explica más en detalle, Sobre la sanción de plano que considera se desprende del literal de la parte dispositiva, sin perjuicio de que la expresión “se impone” es un error de hecho, y ello se puede apreciar claramente porque se incardina en la referencia al artículo 64.2.
35. b)de la LPCCAP-referente al acuerdo de inicio añadiéndose “todo ello, sin perjuicio de lo que resulte de la instrucción”, deduciéndose que no se ha impuesto sanción, y menos sin procedimiento. Por tanto, estas alegaciones no pueden ser estimadas. III Sobre los datos recabados por la reclamada a través de certificados de vacunación y pruebas de antígenos subidos a la plataforma que las gestiona, se incluirían en el concepto de tratamiento de datos, definido en el artículo 4.2 del RGPD como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/39 o destrucción;” El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
36. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
37. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
38. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
39. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
40. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
41. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
42. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones En este caso, se tratan datos de deportistas afiliados que van a participar en la competición, que, además, por las circunstancias sobrevenidas de la COVID 19, declarada pandemia global por la OMS el 11/03/2020, con la finalidad de reducir su extensión en la vuelta de las competiciones. Esta “vuelta a las competiciones oficiales de ámbito de carácter estatal y no profesional, temporada 20/21”, aparece aprobada en forma de protocolo por el CSD el 14/09/2020, haciendo notar que fue antes de la fecha en que la primera vacuna fuera inoculada en España, que data de 27/12/2020, luego no se podía referir en tal protocolo a esta medida. En este caso, según indica reclamante 2, al inicio de la temporada 21/22 se informó del protocolo establecido por su Federación, y se inició la recogida de datos, ejercitando el derecho de retirada de las medidas el 22/09/2021. El RGPD define datos de salud, como: “… datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” (art 4.15 RGPD). En este caso, deben distinguirse la finalidad de la afiliación en cuanto a la licencia anual para la competición, y sus datos necesarios que cuentan con unas especificidades en su régimen jurídico, de la finalidad del tratamiento que tienen los datos de salud que además en la temporada 21 22 se recaban con un fin concreto para, en este caso evitar el contagio en el seno del desarrollo de las competiciones. El régimen jurídico de la necesaria base de legitimación de los datos que se recaban para prevenir la COVID 19 en las competiciones según manifestó la reclamada, es el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/39 de artículo 6.1.
43. c)del RGPD: “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento”, añadiendo que son requisitos de la organización de la competición para los que ostenta competencia según la normativa que cita. Al respecto se ha de indicar que dicha competencia puede llegar hasta la exigencia de la vacunación, siempre que se respete la normativa vigente, sin que dicha potestad en este caso incluya o apoye la base de tratamiento de cumplimiento de obligación legal que entiende la reclamada, no solo por no existir en ese momento norma de alguna autoridad como la sanitaria, que impeliera a la vacunación de este colectivo del deporte para estos fines, sino porque ni siquiera en el protocolo del CSD se recomendaba aspecto alguno sobre la vacunación. De hecho, no se mencionaba, quizás porque el protocolo se aprobó en 9/2020, cuanto menos su obligatoriedad, ni tampoco de las pruebas PCR, y en definitiva tampoco que se hiciera recogiendo y almacenando datos, que supone en si ya un tratamiento de datos según las propias definiciones del RGPD. Lo cierto es que además de no constar la necesidad del tratamiento para el cumplimiento de una obligación legal no existía, porque no existía una disposición de tal calado y porque según se desarrollará a lo largo del procedimiento, el protocolo de la reclamada no puede calificarse de norma legal que impusiera tal obligación. En cuanto al termino de necesidad, también es cierto que se podría haber optado por un sistema no intrusivo, como por ejemplo de mera exhibición de los documentos de salud habilitantes para competir pudiendo suponer otro escenario distinto de la cuestión. Recordar, para ello, que el artículo 8 de la LOPDGDD: “Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos”, dispone: “1.El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.
44. c)del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679. 2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
45. e)del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.” Dicha ley debe cumplir todas las condiciones pertinentes para que la obligación sea válida y vinculante, y debe también acatar la legislación de protección de datos, incluido el requisito de necesidad, proporcionalidad y limitación de la finalidad. Además, la propia obligación legal debe estar suficientemente clara en lo que respecta al tratamiento de los datos personales que se requiere. Por tanto, el artículo 6.1, letra c), sería aplicable sobre la base de las disposiciones juC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/39 rídicas que hacen referencia explícitamente a la naturaleza y al objeto del tratamiento. El responsable del tratamiento no deberá tener un grado indebido de discreción sobre cómo cumplir con dicha obligación jurídica. La legislación puede, en algunos casos, establecer solo un objetivo general, al tiempo que se imponen obligaciones más específicas en un nivel diferente, por ejemplo, bien en el Derecho derivado, legislación secundaria bien en una decisión vinculante de una autoridad pública en un caso concreto. Esto puede también implicar obligaciones jurídicas en virtud del artículo 6.1 letra c), siempre que la naturaleza y el objeto del tratamiento estén bien definidos y sujetos a una base jurídica adecuada. En definitiva, en este caso, no se da dicha obligación legal y la base de legitimación no se adecua en su licitud a tal artículo En cuanto a las alegaciones de que existen normas que pueden imponer restricciones al derecho de la salud, son ciertas, pero el hecho es que para este supuesto no se ha hallado ninguna en la que se haya concretado tal obligación. En cuanto a la base jurídica para el tratamiento por interés vital, artículo 6.1.
46. d)del RGPD: “necesario para proteger intereses vitales del interesado o de otra persona física”, el Considerando