PS-00285-2020

1/6  Procedimiento Nº: PS/00285/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00285/2020, instruido por la Agencia Española de Protección de Datos a la FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE ASTURIAS, con CIF: G33642083, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por en virtud de denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 28/01/20, tiene entrada en esta Agencia, denuncia presentada por el reclamante en la que indicaba, entre otras, lo siguiente: a).- No he podido evidenciar mediante las consultas realizadas en la AEPD que la Federación Asturiana de Balonmano haya Designado un Delegado de Protección de Datos ni en la página web de dicha organización ni en los impresos disponibles. Los enlaces a la web de la federación que evidencian que tratan datos de menores de edad para justificar porque están aplicados por el articulo 34 apartado o). b).- En ninguno de los impresos utilizados por la FEDERACIÓN, que figuran en la página web de dicha organización se solicita la autorización bien de los niños si son mayores de 14 años o del titular de su patria potestad o tutela para el tratamiento de los datos ni se acredita la realización de esfuerzos razonables para verificar la validez del consentimiento se indica nada al respecto. Es especialmente interesante al respecto es el primero de los impresos ya que en su pie de página se indica: “En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, los arriba relacionados quedan informados y expresamente consienten la incorporación de sus datos personales, incluidas las imágenes, a los ficheros automatizados titularidad de la Federación de Balonmano del Principado de Asturias (…)”. En relación a la difusión de las imágenes también les adjunto como evidencias de este punto las imágenes de menores que divulgan en su página web. Añado los enlaces a la web de la federación que evidencian que tratan datos de menores de edad y la difusión de su imagen de forma pública. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la SG de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 02/06/20 se dirigen requerimiento informativo a la entidad reclamada. Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, el requerimiento enviado a la entidad reclamada el 02/06/20, a través del servicio de NOTIFIC@, fue rechazado en destino el 13/06/20. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 TERCERO: Con fecha 14/10/20, la Directora de la Agencia Española de Protección de Datos acordó abrir procedimiento sancionador y notificar dicho acuerdo a la Federación reclamada para que en el plazo de diez días hábiles presentase las alegaciones que considerase convenientes. CUARTO: Notificado el acuerdo de inicio, la federación reclamada, mediante escrito de fecha 27/10/20, remite a esta Agencia alegaciones, en las cuales, entre otras, indicaba: “Como la propia reclamación describe, es el propio club deportivo, que se inscribe en la federación, el que certifica y se responsabiliza de que los progenitores o tutores de los jugadores menores de edad han dado su consentimiento para que los datos personales del jugador sean tratados con el fin de desarrollar la práctica deportiva del balonmano, la Federación por tanto, tiene autorización para el tratamiento de los datos personales y las imágenes de los jugadores siempre y cuando su fin último esté relacionado con la práctica del deporte del balonmano, no existiendo, por tanto, en este caso vulneración a lo estipulado en el RGPD. Desde el mes de noviembre del año 2019 está operativa la nueva página web de la Federación con idéntica dirección con la anterior pero dentro del dominio .es y no del .com. Dicha página web tiene la preceptiva política de privacidad, se informa al interesado en los términos previstos en el artículo 13 del RGPD y cumple con todos los requisitos legales, habiéndose adaptado a la normativa en vigor. Por motivos técnicos y de operativa ambas páginas han convivido, no siendo eliminada la antigua, por error administrativo, generado en parte por la situación de fuerza mayor generada por el estado de alarma, que afectó a muchas actuaciones en curso en esta Federación. Por el mismo motivo no fue atendido el requerimiento informativo previo formulado por la AEPD, al estar las oficinas sin personal. La página web de dominio.com que es a la que se refiere la denuncia está inactiva y eliminada actualmente de la red. Se adjuntan como Documento Nº1, enlaces a la nueva web y a la documentación acreditativa de lo expuesto. A fecha 16 de Julio de 2020, procedió esta entidad a dar cumplimiento a su obligación de designar un Delegado de Protección de Datos”. QUINTO: Con fecha 15/01/21, por parte de esta Agencia, se accede a la página web oficial de la Federación: (***URL.1), comprobándose, en su política de privacidad (***URL.2) que se proporciona información, entre otras, sobre el responsable del tratamiento de los datos; sobre la finalidad del tratamiento; sobre la legitimación y los destinarios; sobre los plazos de conservación de los datos; sobre el tratamiento de imágenes y sobre los derechos que asisten a los usuarios. Por su parte, en los impresos que se podían descargar de la página web oficial de la Federación, existía en los mismos el siguiente mensaje: “FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE ASTURIAS es el Responsable del tratamiento de los datos personales proporcionados bajo su consentimiento y le informa de que estos datos serán tratados de conformidad con lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril (GDPR), y la Ley Orgánica 3/2018, de 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 diciembre (LOPDGDD), con la finalidad de mantener una relación comercial (por interés legítimo del responsable, art. 6.1.f GDPR) y conservarlos durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dictaminen su custodia. No se comunicarán los datos a terceros, salvo obligación legal. Asimismo, se le informa de que puede ejercer los derechos de acceso, rectificación, portabilidad y supresión de sus datos y los de limitación y oposición a su tratamiento dirigiéndose a FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE ASTURIAS en C/ ***DIRECCIÓN.1 (Asturias). E-mail: ***EMAIL.1 y el de reclamación a www.aepd.es. Datos de contacto del delegado de protección de datos: ***DIRECCIÓN.1 - ***EMAIL.1”. SEXTO: Con fecha 09/02/21, se notifica la Propuesta de Resolución a la entidad reclamada en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se apercibiera a la Federación reclamada, por infracción de los artículos 13 y 37 del RGPD, sin necesidad de medidas correctoras, al haber sido éstas ya atendidas por la Federación cuando tuvo conocimiento de la incoación del presente expediente sancionador. Notificada la propuesta de resolución, a fecha de hoy, no consta que respuesta alguna se haya dado a la propuesta de resolución dentro del periodo concedido para ello. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS 1.- En el presente caso, el reclamante indica en su escrito que la Federación de Balonmano del Principado de Asturias incumple varios preceptos de del RGPD: - La Federación no ha designado todavía un Delegado de Protección de Datos, constatando que dicha organización trata datos personales. - En ninguno de los impresos utilizados por la Federación, que figuran en su página web se solicita la autorización para el tratamiento de los datos personales. Además, en los impresos se hace referencia a la derogada LO 15/1999 (LOPD). - Existe constancia de la difusión de imágenes de menores sin el consentimiento expreso de sus padres o tutores. 2º.- Trasladada la incoación del expediente sancionador a la Federación para que contestara lo que estimase conveniente sobre los aspectos indicados en la misma, ésta hizo llegar a la Agencia, las siguientes alegaciones: - Es el propio club deportivo, que se inscribe en la Federación, el que certifica y se responsabiliza de que los progenitores o tutores de los jugadores menores de edad han dado su consentimiento para que los datos personales del jugador sean tratados con el fin de desarrollar la práctica deportiva del balonmano, la Federación por tanto, tiene autorización para el tratamiento de los datos personales y las imágenes de los jugadores siempre y cuando su fin último C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 esté relacionado con la práctica del deporte del balonmano, no existiendo, por tanto, en este caso vulneración a lo estipulado en el RGPD. - Desde el mes de noviembre del año 2019 está operativa la nueva página web de la Federación con idéntica dirección con la anterior pero dentro del dominio (.es) y no del (.com). Dicha página web tiene la preceptiva política de privacidad, se informa al interesado en los términos previstos en el artículo 13 del RGPD y cumple con todos los requisitos legales, habiéndose adaptado a la normativa en vigor. Por motivos técnicos y de operativa ambas páginas han convivido, no siendo eliminada la antigua, por error administrativo, generado en parte por la situación de fuerza mayor generada por el estado de alarma, que afectó a muchas actuaciones en curso en esta Federación. La página web de dominio.com que es a la que se refiere la denuncia está inactiva y eliminada actualmente de la red. - A fecha 16 de Julio de 2020, la Federación procedió a dar cumplimiento a su obligación de designar un Delegado de Protección de Datos. Se adjunta como documento Nº2, justificante de comunicación de la designación. 3º.- Por parte de esta Agencia se comprobó, después de haber recibido las alegaciones, lo siguiente: - En la política de privacidad (***URL.2) de la página web oficial de la Federación se informa, entre otras, de los siguientes aspectos: sobre los datos del responsable del tratamiento de los datos; sobre la finalidad del tratamiento de datos recabados a través de la página web; sobre la legitimación y los destinarios; sobre los plazos de conservación de sus datos una vez finalizada la relación; sobre el tratamiento de imágenes o sobre los derechos que asisten a los usuarios sobre el tratamiento de sus datos personales. - En los impresos que se pueden descargar de la página web oficial de la Federación, se puede comprobar que, en los mismos existe información que hace referencia a la normativa vigente sobre protección de datos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamienC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 to las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso”. II En el presente caso, se reclamaba que la Federación de Balonmano del Principado de Asturias incumplía lo estipulado en la normativa vigente sobre protección de datos de carácter personal, al carecer de Delegado de Protección de Datos (DPD) y al tratar datos personales de jugadores menores de edad, incluidas sus imágenes, sin el preceptivo consentimiento de los padres o tutores. Tal y como se expuso en el escrito de incoación del expediente, sobre la utilización de los datos personales de jugadores menores de edad, incluidas las imágenes de los mismos, sin el consentimiento preceptivo de sus progenitores o tutores, indicar que una federación deportiva es una organización que tiene como función principal la regulación y organización del deporte correspondiente y la recepción de los datos personales de los jugadores para tramitar su ficha federativa, se realiza a través del club deportivo correspondiente, quien debe haber recopilado el consentimiento previo del jugador o en su caso, del progenitor o tutor para que dicho tratamiento sea lícito. Por lo que se refiere a la segunda parte de la reclamación, se comprobó, por parte de esta Agencia que, los impresos que existían en la página web de la Federación hacían referencia a la derogada LOPD, no obstante, una vez incoado el expediente sancionador y tras recibir las alegaciones oportunas de la Federación se pudo comprobar que, se habían modificado convenientemente, adaptándolos a la legislación vigente. Por lo que se refiere a la existencia o no de la política de privacidad de la página web de la Federación, se comprobó que, en la página oficial de la misma, ***URL.1; existe un enlace, en la parte inferior, <<política de privacidad>> que redirige a una nueva página ***URL.2, en la cual se proporciona información acorde a los estipulado en el artículo 13 del RGPD. Respecto de la denuncia de que la Federación no había designado un Delegado de Protección de Datos, indicar al respecto que, en el escrito de alegaciones a la incoación del expediente, la Federación informa a esta Agencia que con fecha 16/07/20 procedió a designar un Delegado de Protección de Datos, adjuntando justificante de dicha designación. A la vista de lo expuesto, por parte de la Directoria de la Agencia de Protección de Datos, RESUELVE APERCIBIR: a la la FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE ASTURIAS, con CIF: G33642083, por la infracción del artículo 13) del RGPD, respecto a la no adaptación de su política de protección de datos personales a la nueva normativa vigente y por la infracción del artículo 37) del RGPD, al no haber designación un Delegado de Protección de Datos, hasta no tuvo conocimiento del presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 NOTIFICAR: la presente resolución a la FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE ASTURIAS, De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es