PS-00265-2022

1/21  Expediente N.º: EXP202105680 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 24/11/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA con NIF G45046455 (en adelante, la parte reclamada). Se reclama que la reclamada solicita y trata datos de salud de los participantes en sus competiciones, discriminando en razón de dichos datos, dado que vinculan el uso de mascarillas en el desarrollo de sus competiciones con la presentación del correspondiente certificado de vacunación contra la COVID-19, o bien la presentación de pruebas de antígenos. Señala asimismo que no informan sobre el plazo de conservación de datos y demás aspectos previstos en el artículo 13 del RGPD y carecen de Delegado de Protección de Datos. Aporta: -impresión de pantalla con el logo de la reclamada, no se aprecia fecha, que informa que se “ha votado en Asamblea la nueva normativa en el uso de la mascarilla en las competiciones”, “Se podrá decir adiós a ella siempre que los jugadores o jugadoras presenten su certificado de vacunación con la pauta completa en todas las categorías -en categoría escolar no será necesario presentar la pauta de vacunación por el momento-. Aquellos que aún no hayan recibido la doble pauta de vacunación podrán competir sin mascarilla siempre que se realice un test de antígenos 48 horas antes del partido y presentar el resultado de la prueba. Para cualquier duda sobre la normativa podéis contactar vía email con la Federación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada el 23/12/2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Se solicitaba en concreto: “1.- La base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD. 2.- La finalidad del tratamiento. 3.- Las garantías adecuadas implementadas para la protección de los derechos y libertades de las personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 4.- Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información facilitada a éstos sobre el tratamiento de los datos. 5.- La Evaluación de Impacto realizada o motivos por los que no se ha realizado (para conocer la lista de tratamientos de datos personales que requieren una evaluación de impacto, así como cualquier otra información relacionada con las evaluaciones de impacto, puede consultar la herramienta “Gestiona EIPD” en https://www.aepd.es/es/guias-yherramientas/herramientas/gestiona-eipd) 6.- La decisión adoptada a propósito de esta reclamación. 7.- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 8.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 9.- Cualquier otra que considere relevante.” El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23/12/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 27/01/2022, se recibe en esta Agencia escrito de respuesta, indicando:

1. a)Como base jurídica del tratamiento: “El tratamiento de datos personales a que se refiere la reclamación es regulado por el Reglamento 2021/953 del Parlamento Europeo y del Consejo relativo a un marco para la expedición, verificación y aceptación de certificados COVID-19 interoperables de vacunación, de prueba diagnóstica y de recuperación-certificado COVID digital de la UE-, a fin de facilitar la libre circulación durante la pandemia de COVID-19”, con “la información que debe contener el certificado sobre la vacunación, resultado de una prueba diagnóstica o la recuperación de la enfermedad del interesado”. Conviene en que son datos de salud incluidos en el artículo 9.1 del RGPD. Reproduce el considerando 46 del RGPD que alude a diversas circunstancias que pueden habilitar la licitud del tratamiento, destacando: “cuando el mismo sea necesario para proteger un interés público esencial sobre la base del Derecho de la Unión Europea o de los Estados miembros, el cual deberá ser proporcional al objetivo perseguido”, y la “Protección de intereses vitales del interesado o de otra persona física”, “está justificada, en tanto en cuanto la situación vivida durante estos dos últimos años ha sido excepcional, implicando un alto número de fallecidos, así como múltiples efectos secundarios menos visibles en las cifras, provocados por el SARS-COV-2.” “Dicha base legitimadora, está regulada por el Derecho de la Unión Europea, debido a que el responsable simplemente ha tratado datos que ya se encuentran regulados por el Reglamento (UE) 2021/953, instrumento normativo que tiene efecto directo de aplicación en España.”
2. b)En cuanto a finalidad del tratamiento: es “implementar las medidas que este responsable tiene a su disposición, de acuerdo con la normativa actual” “limitada a que se cumplan las medidas sanitarias y de prevención exigidas, tanto por la normativa europea, como nacional o autonómica. Dicho certificado de vacunación regulado por la normativa, y los datos obrantes en el mismo, solo serán utilizados para garantizar la práctica del deporte con seguridad, de acuerdo con las herramientas sanitarias y científicas que se ostentan hasta el momento” Entiende que dicho tratamiento de datos personales cumple con los principios de eficacia, necesidad y proporcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21
3. c)Como garantías implementadas para la protección de los derechos y libertades de las personas, manifiesta que el 26/10/2021, creó el registro de actividades de tratamiento-RAT- que aporta en documento 2. En el mismo no figura la referencia del DPD, constando el tratamiento “FEDERADOS” y el de “CERTIFICADO SANITARIO COVID 19” en el que destaca: “Descripción de la finalidad y tipificación de la finalidad: Protección de intereses vitales del interesado o de otra persona física. De acuerdo con la base legitimación que ampara dicho tratamiento de datos personales, la finalidad estará limitada a que se cumplan las medidas sanitarias y de prevención exigidas, tanto por la normativa europea, como nacional o autonómica. Dicho certificado de vacunación regulado por la normativa, y los datos obrantes en el mismo, solo serán utilizados para garantizar la práctica del deporte con seguridad de acuerdo con las herramientas sanitarias y científicas que se ostentan hasta el momento. “Plazo de conservación: Los datos se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. No obstante, en dicho sentido, de acuerdo con lo establecido en el propio Reglamento (UE) 2021/953, en su art. 17, no se conservarán dichos datos más allá de la fecha de 30 de junio de 2022, por falta de aplicación desde esa fecha.” “Base jurídica de licitud o legitimación: Art. 6.1
4. d)Protección de intereses vitales del interesado o de otra persona física. En este tratamiento los intereses vitales a proteger son los de las personas que practican el deporte de Balonmano, bajo el ámbito de actuación de la Federación, cuyo ámbito queda circunscrito a la Comunidad Autónoma de Castilla La Mancha y solo en referencia a la práctica de dicho deporte por todas las personas federadas.” “Tipología o categoría de datos de carácter personal: Datos especialmente protegidos: Datos de salud,
5. d)Sobre la información facilitada a los interesados sobre el tratamiento, no señala nada.
6. e)Sobre la EIPD, estima que “no resulta preceptivo hasta el momento realizar una evaluación de impacto, sin perjuicio de la necesidad de adoptar otras medidas de seguridad.”
7. f)En cuanto a la decisión adoptada a propósito de la reclamación, manifiesta que “han finalizado dicha actividad de tratamiento”, debido al cambio de situación epidemiológica, así como la aparición de variantes, que “está llevando a las autoridades a reconsiderar que dicho pasaporte COVID tiene menor eficacia, lo que implica que el principio de eficacia, necesidad y proporcionalidad que requiere dicho tratamiento no sea superado.” Manifiesta que se ha nombrado DPD externo a la entidad con fecha 26/01/2022. Manifiesta que “debe apreciarse, que la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, proporcionó varias opciones para poder practicar dicho deporte de forma segura cumpliendo los protocolos exigibles en dicho momento, no siendo la única opción la de compartir el CERTIFICADO COVID, sino que como se acredita en los distintos documentos adjuntados, había distintas vías como la de realización de una prueba PCR o antígenos 48 antes.”
8. g)Sobre las causas que han motivado la incidencia que origina la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 Manifiesta que “la reclamación notificada a esta parte tiene su origen en la decisión alcanzada con fecha de 25/10/2021, por la Asamblea de la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, recogida en Acta”, que adjuntan en DOCUMENTO nº4. “Se acordó en el punto nº 1, la decisión de exigir los siguientes requisitos para la práctica de dicho deporte por los federados de 14 años en adelante: “…se determina que a partir de la fecha el asunto de la mascarilla quedará de la siguiente manera:” “Podrán jugar sin mascarilla las niños y niñas que o bien presenten el certificado COVID (dos pautas completas o una pauta si se ha pasado la enfermedad) o bien presenten una prueba de antígenos negativa 48 horas antes del encuentro. En caso de que exista algún miembro del equipo (incluido el cuerpo técnico) que no presente lo solicitado anteriormente, dicho equipo tendrá que llevar mascarilla”. “(Los menores de 12 años que dependen directamente de la JCCM no tienen que cumplir dicha regla)” “Respecto a esta última afirmación, la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, aclara que la edad mencionada fue una errata recogida en acta, ya que el Responsable no tiene competencias sobre los menores de 14 años” “las categorías escolares (hasta los 14 años), se rigen por las instrucciones directas de la Junta de Comunidades de Castilla La Mancha.” “A los Clubes pertenecientes a la Federación, se comunicó el 29 del mismo mes, con nota aclaratoria de 4/11/2021, “las formas de poder jugar“ “sin mascarilla, subiendo el certificado COVID a la página de la Federación”, o “sin mascarilla, realizando una PCR con resultado negativo 48 horas antes del encuentro-se certificará de la manera explicada anteriormente)”, y “con mascarilla si no se cumple alguno de los dos requisitos anteriores” aportan doc 6, nota informativa de 4/11/2021 a los equipos indicando que el proceso se realizaba a través del correo electrónico de la Federación, mandando “fotografía del test y certificado de que el test ha dado negativo”, a continuación señala que también puede jugar sin mascarilla, “subiendo el certificado COVID a la página de la Federación” -Aporta también “protocolo juego seguro sin mascarilla-temporada 21/22”” insertar certificado vacunación categoría senior y juvenil-pauta completada” en documento 7, indicándose: “Cada jugador/entrenador/delegado juvenil o senior, debe entrar en el siguiente enlace ***URL.1”” Código de club se lo tendréis que dar vosotros. Se encuentra en la intranet de cada equipo y todos los jugadores que tengan ficha en vigor con ese club podrán meter el certificado sin problema.”, continua con los campos de DNI-NIE pasaporte, fecha de nacimiento, clic de acceder. A continuación, “seleccionar y guardar el certificado de vacunación”. “la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, implementó dichas opciones a efectos de cumplir con lo establecido en el Real Decreto-ley 30/2021, de 23/12, por el que se adoptan medidas urgentes de prevención y contención para hacer frente a la crisis sanitaria ocasionada por la COVID-19, en concreto lo establecido en su art. 6.2, en el que se establece la obligación de utilizar mascarilla en recintos y espacios públicos cerrados. Espacios y recintos cerrados en los que se celebra siempre dicho deporte.”
9. h)Sobre las medidas adoptadas, y controles efectuados para comprobar su eficacia, señala las fechas del registro de actividad de tratamiento, la de designación del DPD, y realización de análisis de EIPD. TERCERO: Con fecha 24/02/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO Con fecha 26/10/2022, la directora de la AEPD acordó: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 “Iniciar procedimiento sancionador a la reclamada, por la presunta infracción del RGPD en los siguientes artículos: -9, de conformidad con el artículo 83.5.
10. a)del RGPD y a efectos de prescripción en el artículo 72.1.
11. e)de la LOPDGDD. -13, de conformidad con el artículo 83.5.
12. a)del RGPD y a efectos de prescripción en el artículo 72.1.
13. h)de la LOPDGDD “A los efectos previstos en el art. 64.2
14. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACP), la sanción que pudiera corresponder sería de: -10.000 euros por una infracción del artículo 9 del RGPD. -7.000 euros por una infracción del artículo 13 del RGPD.” QUINTO: El Acuerdo de inicio fue notificado al representante de la reclamada, sin que se recibieran alegaciones. SEXTO: Con fecha 12/06/2023, se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, con NIF G45046455, por la infracción del RGPD, artículos: - 9 del RGPD, de conformidad con el artículo 83.5.
15. a)del RGPD, y a efectos de prescripción calificada como muy grave en el artículo 72.1.
16. e)de la LOPDGDD, con una multa administrativa de 10.000 euros. - 13 del RGPD, de conformidad con el artículo 83.5
17. b)del RGPD, y a efectos de prescripción calificada como muy grave en el artículo 72.1.
18. h)de la LOPDGDD, con una multa administrativa de 7.000 euros. “ Notificado el 12/06/2023, figura aceptada el mismo día. Con fecha 26/06/2023, la reclamada efectúa alegaciones, indicando que el expediente estaría caducado conforme lo señalado en el artículo 21 de la LPACAP, al mencionar la obligación de la Administración en dictar la resolución e informar sea cual sea su forma de iniciación, admitiendo que la incoación del procedimiento sancionador se produjo el 27/10/2022 “si bien la propuesta de resolución ha tenido lugar el 12/06/2023” Subsidiariamente solicita que no se sancione en base a que las infracciones estarían prescritas. SEXTO: Se declaran acreditados lo siguientes HECHOS PROBADOS 1) La reclamante reclama contra la reclamada el 24/11/2021 porque para la práctica del deporte en la competición del ámbito de Castilla La Mancha, se le exige que suba a la web de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 reclamada el certificado de vacunación contra la COVID con la pauta completa, o bien un certificado de haberse recuperado de la enfermedad o una prueba de antígeno con resultado negativo 48 horas antes de la celebración del encuentro deportivo. 2) Con fecha 23/12/2021, se traslada la reclamación a la reclamada, que recoge la notificación el mismo día, respondiendo a la AEPD el 27/01/2022. En su respuesta, entre otras manifestaciones, indica que debido a la evolución de la situación epidemiológica y a la aparición de variantes o la eficacia, ha dejado de tratar los datos relacionados con la COVID para poder participar en las competiciones. 3) La Asamblea de la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, con fecha de 25/10/2021, decidió exigir a los federados de 14 años en adelante y a los entrenadores y delegados (todos los miembros del equipo) para la práctica de dicho deporte en la competición, la posibilidad de jugar sin mascarilla (siempre es en espacios cerrados, no en el exterior) si bien solo a los que presenten el certificado COVID (dos pautas completas o una pauta si se ha pasado la enfermedad) o bien presenten una prueba de antígenos negativa 48 horas antes del encuentro. Esa información se trasladó a los Clubes pertenecientes a la Federación, el 29/10/2021, con nota aclaratoria de 4/11/2021, indicando que el proceso se realizaba a través del correo electrónico de la Federación, mandando “fotografía del test y certificado de que el test ha dado negativo”, a continuación, señala que también puede jugar sin mascarilla, “subiendo el certificado COVID a la página de la Federación” 4) La reclamada aportó “protocolo juego seguro sin mascarilla-temporada 21/22””insertar certificado vacunación categoría senior y juvenil-pauta completada” en documento 7, indicándose que entrando en su página ***URL.2 en la que cada deportista se identifica y autentica sus datos, accede al área personal y selecciona y sube el certificado de vacunación o el test de antígenos en este caso antes de cada partido como tope, el viernes antes de las 19 horas. 5) Como base jurídica del tratamiento, la reclamada señaló el Reglamento 2021/953 del Parlamento Europeo y del Consejo relativo a un marco para la expedición, verificación y aceptación de certificados COVID-19 interoperables de vacunación, de prueba diagnóstica y de recuperación-certificado COVID digital de la UE-, a fin de facilitar la libre circulación durante la pandemia de COVID-19, comúnmente conocido como “pasaporte COVID”, o “certificado COVID digital de la UE. Agrega el artículo 9.2.
19. g)del RGPD: “el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado”; y el artículo 9.2.c):”el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento” 6) La reclamada, el 26/10/2021, creó el registro de actividades de tratamiento-RAT. “CERTIFICADO SANITARIO COVID 19” en el que destaca: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 “Descripción de la finalidad y tipificación de la finalidad: Protección de intereses vitales del interesado o de otra persona física. De acuerdo con la base legitimación que ampara dicho tratamiento de datos personales, la finalidad estará limitada a que se cumplan las medidas sanitarias y de prevención exigidas, tanto por la normativa europea, como nacional o autonómica. Dicho certificado de vacunación regulado por la normativa, y los datos obrantes en el mismo, solo serán utilizados para garantizar la práctica del deporte con seguridad de acuerdo con las herramientas sanitarias y científicas que se ostentan hasta el momento. “Plazo de conservación: Los datos se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. No obstante, en dicho sentido, de acuerdo con lo establecido en el propio Reglamento (UE) 2021/953, en su art. 17, no se conservarán dichos datos más allá de la fecha de 30 de junio de 2022, por falta de aplicación desde esa fecha.” “Base jurídica de licitud o legitimación: Art. 6.1
20. d)Protección de intereses vitales del interesado o de otra persona física. En este tratamiento los intereses vitales a proteger son los de las personas que practican el deporte de Balonmano, bajo el ámbito de actuación de la Federación, cuyo ámbito queda circunscrito a la Comunidad Autónoma de Castilla La Mancha y solo en referencia a la práctica de dicho deporte por todas las personas federadas.” “Tipología o categoría de datos de carácter personal: Datos especialmente protegidos: Datos de salud, 7) Se solicitó a la reclamada la información proporcionada a los federados deportistas de su Federación en la recogida de datos relacionados con la COVID 19, sin que aportara respuesta relacionada con ese aspecto. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12 de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 4 del RGPD define: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 “A efectos del presente Reglamento se entenderá por: 1) datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 15) datos relativos a la salud: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” A los tratamientos de datos personales en situaciones de emergencia sanitaria, le siguen siendo aplicables la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad, principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. Además, se ha de tener en cuenta que la finalidad especifica relacionada con la competición y la salud para preservar la salud de los deportistas distinta de lo que puede ser la actividad de tratamiento con finalidad de la obtención de licencia federativa, de lo que derivan categorías de datos, diferentes riesgos para los derechos y libertades de los afectados, y se desprenden unas facultades derivadas del ejercicio de derechos específicos que versan sobre la transparencia e información que se contienen en los artículos 12 y 13 del RGPD. En la situación de crisis sanitaria ocasionada por la COVID19, la reclamada adopta las medidas encaminadas a prevenir nuevos contagios de COVID-19, bajo sus instrucciones. Los deportistas que pertenecen a la Federación reclamada tienen opciones variadas de subir los datos a la web de la reclamada para los fines que decidió la misma. La recogida, almacenamiento y uso de esos datos supone que la reclamada realiza tratamiento de datos personales de los deportistas, datos de salud sobre los que en principio se debería tener causa licita de tratamiento y una de las causas que habilite el especifico tratamiento de estos datos de salud. III El RGPD establece un concepto muy amplio de los datos de salud, y le otorga un régimen específico, el correspondiente a las denominadas “categorías especiales de datos” a que se refiere el artículo 9 del texto normativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 Este artículo 9 RGPD, señala: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” En el artículo 9.2 del RGPD se significa no obstante que: “El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:” que abarcan del artículo 9.2.
21. a)al 9.2
22. j)y que se examinará en el siguiente fundamento De este modo, dicho tratamiento requiere tanto una base jurídica con arreglo al artículo 6 del RGPD, como del cumplimiento de una de las condiciones del artículo 9.2 del RGPD. Los responsables del tratamiento deben ser conscientes de la necesidad de cumplir ambos requisitos para tratar estas categorías especiales de datos personales. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
23. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
24. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
25. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
26. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
27. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
28. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
29. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones La pertenencia de personas a la Federación reclamada presupone en su régimen normal, que sus datos pueden ser tratados con la finalidad de su relación asociativa, con el fin de la promoción y extensión de la actividad deportiva ordinaria, finalidad que marca en origen el tratamiento de esos datos. Adicionalmente para el caso que se presenta de compatibilizar la práctica deportiva competitiva con la salud en tiempo de pandemia, e intentar contener la extensión de la infección entre los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 participantes, añade la reclamada la base jurídica para el tratamiento por interés vital del artículo 6.1.
30. d)del RGPD, “el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física”. El Considerando