1/4 Procedimiento Nº: PS/00296/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00296/2019, instruido por la Agencia Española de Protección de Datos, a la entidad UNION DEPORTIVA TRES CANTOS, con CIF G82340480, (en adelante, “la entidad reclamada”), por presunta infracción al Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 21/05/19, D. A.A.A., (en adelante, “el reclamante”), presentó escrito ante la Agencia Española de Protección de Datos, en la que, entre otras, denunciaba: “Les informo que hace unos meses hubo elecciones a este club para la presidencia. Me extrañó que la lista de socios estuviera en una mesa de una sala de entrenadores y donde cualquier persona lo podía ver. Además, nunca nos han dado a firmar la nueva ley de protección de datos y tan solo esta la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Además de que no nos la han dado, ellos siguen publicando la antigua ley y no la nueva. tengo la documentación de años anteriores y las nuevas inscripciones que además se pueden ver en su página web”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 03/07/19, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Según certificado del Servicio de Correos, el requerimiento enviado a la entidad reclamada, a la dirección Avda. De la Vega s/n, 28760 Tres Cantos (Madrid), ha resultado devuelto a origen por “sobrante”, (no retirado en el servicio de “lista”, de la oficina de correos). CUARTO: De las fichas de inscripción al club, de las temporadas 18/19 y 19/20, aportadas por el reclamante junto con la denuncia, se puede apreciar que en las mismas existe la siguiente leyenda de aceptación: “AUTORIZA expresamente a la Unión Deportiva Tres Cantos a lo siguiente: DATOS PERSONALES: Autorizo y consiento expresamente a que la Unión Deportiva Tres Cantos pueda tratar mis datos personales y los de mi hijo/a, para el adecuado funcionamiento de la organización en pro del buen servicio, para el tratamiento estadístico con fines de investigación y divulgación. Por su parte la Unión Deportiva Tres Cantos, se compromete a cuidar de la confidencialidad y secreto de los datos, a no cederlos ni venderlos ni permitir el acceso por parte de terceros, salvo en los casos que contempla la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Asimismo, se le inC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 forma de su derecho de acceso, rectificación, cancelación y oposición a/de sus datos. (…) De acuerdo con lo establecido en la Ley Orgánica 15/1999 de protección de datos de carácter personal, le informamos que los datos personales recogidos en el contrato se incorporan a un fichero automatizado, cuyo responsable es la UNION DEPORTIVA TRES CANTOS, para la gestión interna y cedidos a la Federación de Futbol de Madrid, a las Administraciones Públicas y demás Organismos obligados por ley (Compañías de Seguros, Entidades Bancarias…). El titular de los datos se compromete a comunicar por escrito cualquier modificación que se produzca en los datos aportados. Asimismo, autoriza expresamente al tratamiento de los datos de imagen obtenidos del interesado en el desarrollo de las actividades, entendiéndose prestado su consentimiento en tanto no comunique por escrito la revocación del mismo. Vd. tiene derecho, en cualquier momento, a acceder, rectificar o cancelar los datos e imágenes referentes a su persona, remitiendo su solicitud al Responsable de Seguridad, en la dirección: Avenida de la Vega, s/nº, Campo Foresta “B”, 28760 Tres Cantos. QUINTO: Con fecha 20/11/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador contra la entidad reclamada, en virtud de los poderes establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por presunta infracción del artículo 13 del RGPD y considerada muy grave en el 72.1.
- h)de la LOPDGDD a efectos de prescripción, fijando una sanción inicial de “Apercibimiento”, sin perjuicio de lo que resultara en transcurso de la instrucción del procedimiento, y requiriendo a la entidad que: “Tome las medidas adecuadas, contempladas en el artículo 13 del RGPD, facilitando a los usuarios de la entidad, en el momento en que se recaben datos personales de los mismos a través de los formularios de inscripción en el club, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. Todo ello, independientemente de su adaptación a la nueva normativa sobre protección de datos de carácter personal.” SEXTO: Con fecha 11/12/19, se notificó la incoación de expediente a la entidad reclamada, que no ha presentado ante esta Agencia, ningún escrito o alegación, dentro del el periodo concedido al efecto. HECHOS PROBADOS 1.- En las fichas de inscripción al Club, de las temporadas 18/19 y 19/20, se puede leer la leyenda, indicada en el punto cuarto anterior. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo suC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 cesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los poderes de investigación y correctivos que la autoridad de control puede disponer al efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso.”. En el supuesto presente, se ha constatado que, la entidad reclamada aún no ha adaptado su funcionamiento en la gestión de los datos personales, tanto de jugadores como de socios y/o abonados, a la nueva normativa sobre protección de datos de carácter personal (RGPD). III Todo lo expuesto podría suponer una infracción por vulneración del artículo 13) del RGPD, considerada en el artículo 72.1.h), de la LOPDGDD como “muy grave” a efectos de prescripción. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
- a)del RGPD. La sanción por imponer deberá graduarse de acuerdo con los criterios que establece el artículo 83.2 del RGPD, y con el considerando 148 del propio RGPD, que dispone la posibilidad de sancionar con apercibimiento en determinadas circunstancias. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos. RESUELVE APERCIBIR: a la entidad UNION DEPORTIVA TRES CANTOS, con CIF G82340480, por infracción del artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD. REQUERIR: a la entidad UNION DEPORTIVA TRES CANTOS, para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas adecuadas para adecuar su política de privacidad a la normativa vigente, (exigencias contempladas en el artículo 13 del RGPD), debiendo facilitar a los jugadores, padres, socios y/o abonados, en el momento en que recabe los datos personales de los mismos, a través de los formularios, la información exigida en el citado precepto, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. NOTIFICAR la presente resolución a la entidad UNION DEPORTIVA TRES CANTOS. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es