PS-00326-2018

1/85 938-0419 Procedimiento Nº: PS/00326/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 11 de junio de 2018 la directora de la Agencia Española de Protección de Datos acuerda iniciar las presentes actuaciones de investigación tendentes a clarificar los hechos en relación con las noticias aparecidas en prensa sobre la posible vulneración de la normativa de protección de datos por parte de la Liga Nacional de Fútbol Profesional y la aplicación para dispositivos móviles de La Liga. ( appLALIGA o la aplicación en lo sucesivo). Asimismo, con fecha 19 de junio de 2018 se recibe en esta Agencia un escrito de FACUA denunciando a la Liga Nacional de Fútbol Profesional con motivo de la creación por parte de esa entidad de una aplicación móvil que puede captar de forma indiscriminada sonidos ambientes del lugar donde se encuentre el usuario. Indican que recoger sonido ambiente en establecimientos de restauración puede implicar la captación de conversaciones que se puedan desvelar datos personales de terceras personas que no han prestado su consentimiento para el tratamiento de dichos datos por ningún medio, lo que resultaría especialmente gravoso si dichas conversaciones pudieran albergar datos especialmente protegidos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, teniendo conocimiento de los siguientes extremos: 1. Por parte de la Inspección de Datos se han realizado las siguientes comprobaciones con relación a la appLALIGA : 1- Con fecha 12/06/2018 se procede a la instalación de la appLALIGA en un teléfono móvil de la Inspección de Datos. 2- Según la información que se muestra en la Play Store de Google se trata de una versión de fecha 8 de junio de 2018, habiendo sido la appLALIGA publicada por primera vez el 29 de febrero de 2012. 3- Una vez realizada la instalación, se comprueba que aparece el mensaje de instalación correcta. Se ejecuta la appLALIGA comprobando que se muestran las pantallas iniciales de la aplicación, que muestran las “CONDICIONES GENERALES DE USO Y POLITICA DE PRIVACIDAD”, constando como responsable “Liga Nacional de Fútbol Profesional”. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 2/85 Se indica que se trata de un resumen, que ocupa un total de cuatro páginas del móvil, y figurando un enlace a “la política de privacidad de LaLiga” (https://www.laliga.es/aviso-legal-privacidad-cookies/). Aparece un botón “Lo he leído” verificándose que hasta que no se pulsa este no se puede continuar con la ejecución de la aplicación. 4- Una vez pulsado el botón “Lo he leído”, aparece una pantalla con dos casillas para marcar dos aceptaciones: a. “He leído y acepto las Condiciones Legales y la Política de Privacidad de la AppLALIGA <<enlace a la información anteriormente mencionada>>, confirmando que soy mayor de 14 años, y en concreto que LaLiga trate mis datos personales para ofrecerme información relacionada con las competiciones que organiza a través de la AppLALIGA …” Es preciso aclarar que el contenido de la “información relacionada” se refiere a fechas, horas y resultado de los partidos que se celebren por los clubes miembros de la asociación LA LIGA, y que también es accesible a través de la página web www.laliga.es y por tanto, sin necesidad de realizar la descarga e instalación de la appLALIGA. b. “¡Protege a tu equipo! Haciendo clic aquí, aceptas que LaLiga trate tus datos personales, incluyendo los obtenidos por medio del micrófono de tu dispositivo móvil y el geoposicionamiento, para detectar fraudes en el consumo de fútbol en establecimientos públicos no autorizados”. 5- Se ha comprobado que no se puede avanzar si no se aceptan las “Condiciones Legales y la Política de Privacidad de la APPLALIGA”. Se ha comprobado también que, si en dicho punto se sale de la aplicación y se vuelve a entrar, la appLALIGA vuelve a mostrar la misma pantalla, que impide continuar con el acceso a la aplicación hasta que no se aceptan las referidas condiciones. 6- Se verifica que se puede acceder a la aplicación marcando la casilla de aceptación de las “Condiciones Legales y la Política de Privacidad de la APPLALIGA” y no la de aceptación de tratamiento de datos personales obtenidos por medio del micrófono del dispositivo móvil y el geoposicionamiento, para la finalidad de detección de fraudes en el consumo de fútbol en establecimientos públicos no autorizados. Se accede sin aceptar los tratamientos de los datos obtenidos del micrófono y la ubicación. 7- Se comprueba que la aplicación queda instalada y aparentemente en funcionamiento en el teléfono móvil. Se comprueba que las “Condiciones Legales y la Política de Privacidad”, son accesibles también en la pestaña CONDICIONES LEGALES de la aplicación. 8 - Se realiza la desinstalación de la appLALIGA (previamente instalada el día 12/06/2018), y se vuelve a instalar el 15/06/2018. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 3/85 9- Se ejecuta la appLALIGA verificándose que se muestran las Condiciones Legales. En esta ocasión se acepta el tratamiento de los datos obtenidos por el micrófono y el geoposicionamiento del dispositivo. 10- Se comprueba que se muestran adicionalmente pantallas emergentes independientes solicitando permiso para grabar audio y acceder a la ubicación el teléfono. 11- Una vez en la aplicación, no se observa (no se encuentra) ningún icono en la aplicación que muestre la activación del micrófono o la localización, ni iconos o marcas que reflejen la habilitación para su posible activación. Tampoco se encuentra información sobre el estado de estas activaciones dentro de las opciones y los menús de la aplicación. 12- Se sale de la aplicación y se accede a la opción de administración de aplicaciones del sistema operativo Android, verificando que se encuentran activos el micrófono y ubicación para la appLALIGA. Se verifica que se pueden desactivar. 2- El día 21/06/2018 se realiza una inspección a la LIGA NACIONAL DE FÚTBOL PROFESIONAL (en adelante LA LIGA). Los representantes de la entidad realizan las siguientes manifestaciones: 1- Tal y como han informado mediante el comunicado de prensa de fecha 11 de junio de 2018, con el objetivo de la protección contra el fraude que se produce con la emisión de partidos de fútbol por parte de establecimientos públicos que no ostentan los correspondientes permisos, y que suponen una pérdida estimada de 150 millones de euros para el fútbol español, LA LIGA ha implantado una nueva funcionalidad en su appLALIGA oficial con el único objetivo de detectar estas explotaciones fraudulentas. Esta funcionalidad se utilizará tanto en las jornadas de Liga Oficial de primera y segunda división y la Copa del Rey, para las que los establecimientos necesiten permiso de emisión, es decir, los incluidos en el lote de HORECA. 2- Esta nueva funcionalidad para la detección del fraude está habilitada en la appLALIGA desde el pasado viernes 8 de junio de 2018, solo para usuarios del sistema Android versión 6.0 por su gestión específica de los permisos) o superior y a nivel nacional. Esta funcionalidad utiliza captaciones del micrófono del dispositivo móvil y la ubicación de este. Existen unos 10 millones de usuarios de la appLALIGA. No obstante, se ha habilitado un límite de 50.000 usuarios a nivel nacional (solo para España), número máximo de instalaciones con esta nueva funcionalidad, que estiman suficiente como muestra para la finalidad perseguida. Fuera de España se impide esta funcionalidad. Esta funcionalidad ha sido utilizada únicamente durante las jornadas iniciales de los playoffs de la Liga Nacional, el día 9 de junio de 2018. El día 9 de junio se procedió a la suspensión de la funcionalidad debido a las múltiples noticias C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 4/85 publicadas sobre la appLALIGA que incluían aspectos estratégicos de su funcionamiento, con riesgo técnico, así como por la alarma social despertada. 3- Se informa de la nueva funcionalidad a los usuarios mediante las Condiciones Generales de Uso y Política de Privacidad que se muestran al instalar la appLALIGA, solicitándoles la aceptación de estas. En caso contrario la appLALIGA detiene su ejecución. Se incluye un enlace a la Política de Privacidad completa del entorno LALIGA. Para que los datos del micrófono y la ubicación sean tratados para el fin expuesto, el usuario debe dar su consentimiento aceptando expresamente dichos tratamientos, marcando la casilla habilitada al efecto después de la lectura de las Condiciones Generales de Uso y Política de Privacidad. 4-El funcionamiento de la appLALIGA es el siguiente: c. A. Cuando un usuario se descarga la appLALIGA, el sistema operativo de su dispositivo móvil le solicita, a través de ventanas emergentes, que facilite su consentimiento para que LA LIGA pueda activar el micrófono y el geoposicionamiento del dispositivo. d. B. La appLALIGA no dispone de un proceso de registro de usuarios como tal, durante el cual estos deban aportar algún tipo de nombre, usuario o identificarse aportando ningún tipo de dato. Sí se registra en el momento de la instalación la dirección IP del dispositivo y un Identificador específico que asigna la appLALIGA al usuario (Identificador de instalación de la appLALIGA). También se recoge el user agent cuyo contenido depende del fabricante, y que normalmente incluye la versión del sistema operativo. e. C. Sólo si decide aceptar, el micrófono captará códigos binarios de fragmentos de audio, con el único objeto de poder conocer si el usuario está viendo partidos de fútbol de competiciones disputadas por equipos de LA LIGA, pero nunca se accederá al contenido de la grabación. También se registra la ubicación del dispositivo para compararla con la ubicación de establecimientos de restauración. f. D. Para el tratamiento del sonido captado se utiliza la técnica de ACR (Automatic Content Recognition) denominada audio fingerprinting de LA EMPRESA 1 consistente en el análisis de las características intrínsecas del audio y su filtrado, y generando un hash binario que va a formar la huella del audio. Este proceso se realiza enteramente en el dispositivo móvil del usuario mediante la tecnología de LA EMPRESA 1 integrada en la AppLALIGA. La AppLALIGA almacena la huella generada en la memoria interna del dispositivo del usuario, desechando el audio, de tal manera que no se C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 5/85 genera ningún fichero que se almacene en ningún directorio de almacenamiento del dispositivo y que pueda ser accesible por otras aplicaciones o el sistema operativo, y que contenga, ni el audio captado por el micrófono, ni la huella generada. Por otra parte, a partir de la huella generada no se puede obtener el audio que fue captado, debido a la codificación con pérdidas efectuada por el algoritmo hash utilizado. Es decir, los fragmentos de audio captados se codifican en el propio teléfono de forma automática mediante un algoritmo que no permite revertir el proceso, de tal forma que, una vez codificada la captación sonora efectuada por el micrófono, es imposible su reversión y el audio no puede ser obtenido de nuevo. La huella obtenida es remitida mediante conexión https (cifrada) a la empresa LA EMPRESA 1, con quien LA LIGA tiene suscrito un contrato de prestación de servicios de fecha 23 de marzo de 2018, cuya copia obra en las actuaciones de inspección. LA EMPRESA 1 recibe las huellas provenientes de los dispositivos móviles de los usuarios y las compara con las huellas generadas en tiempo real a partir de los audios de las emisiones facilitadas por LA LIGA. LA EMPRESA 1, para realizar una comparación efectiva, realiza una serie de tratamientos de señal consistentes en la transformación en frecuencia de la señal de audio y la obtención, sobre la señal en frecuencia, de una serie de características de la señal sobre las cuales se realiza la comparación, utilizando su propia tecnología. Si no coincide, la huella se elimina, no conservándose. El número de comparaciones efectuadas es configurable para dar mayor fiabilidad. g. E. LA LIGA dispone de una base de datos de establecimientos públicos HORECA. LA EMPRESA 1, en virtud del contrato suscrito, ha colaborado con el Departamento de Business Intelligence de LA LIGA con la personalización y adaptación para la integración con la información sobre coordenadas (ubicación). La recepción de la ubicación se realiza en un servidor informático de LA EMPRESA 1, recibiéndose por https (cifrado) la latitud y la longitud (ubicación) así como una marca de tiempo, el identificador de usuario asignado por la appLALIGA y la dirección IP del dispositivo. A partir de la traza se genera un CSV que es enviado al departamento de Business Intelligence de LA LIGA para su análisis. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 6/85 Dado que la ubicación no recoge el parámetro de la altura, no se puede determinar si el usuario se encuentra en un bar a pie de calle o en un domicilio particular o vivienda ubicado a cualquier altura en la misma vertical del establecimiento. En el departamento de Business Intelligence se analiza la información de los CSV tanto de las huellas acústicas como de las ubicaciones y la base de datos de HORECA, determinando las posibles actuaciones contra los establecimientos susceptibles de estar cometiendo una actuación fraudulenta. Obra en las presentes actuaciones de inspección copia de trazas y CSV generados tanto para las huellas generadas a partir de los audios como para las ubicaciones. h. F. Con este procedimiento se puede asegurar que ninguna persona o usuario, ni de LA LIGA ni externo a la entidad, puede acceder a las captaciones sonoras efectuadas por los micrófonos, sino tan solo a unos códigos alfanuméricos –la huella digital-, pues los audios se transforman en el propio dispositivo móvil del usuario. El único tratamiento efectuado con estos códigos es su comparación con otros códigos de referencia con el objetivo determinar la presencia de un televisor con una emisión de un partido de fútbol en la proximidad del micrófono. i. j. H. Con el objeto de minimizar los tratamientos efectuados, LA LIGA sólo activará el micrófono y la ubicación (mediante posicionamiento GPS, en adelante geoposicionamiento) del dispositivo móvil durante las franjas horarias de partidos en los que compitan equipos de LA LIGA.- Es preciso aclarar que, esta información no consta en la leyenda informativa que aparece en el punto 1.4 del antecedente segundo del acuerdo de inicio, que es la que está a disposición de los usuarios cuando se descargan e instalan la aplicación, es decir, no hay referencia respecto del momento en que se activan las citadas funcionalidades. En concreto en el resumen de las condiciones generales de uso y política de privacidad, que se muestran al usuario cuando se descarga e instala la appLALIGA, en el apartado 3 USO DEL MICROFONO y en el apartado 4. USO DEL GEOPOSICIONAMIENTO no figura expresamente esa información. Con carácter previo al desarrollo de la nueva funcionalidad de la aplicación, LA LIGA solicitó dos informes jurídicos (ABOGADOS 2 y ABOGADOS 1) para el estudio de las posibles implicaciones de protección de datos. También se realizaron reuniones internas de Privacy by Design (Privacidad C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 7/85 desde el Diseño) sobre la AppLALIGA que se encuentran documentadas, y un análisis de necesidad de realizar una Evaluación de Impacto y Análisis de Riesgos. En la implementación de la appLALIGA se han tenido en cuenta las consideraciones derivadas de estos informes jurídicos.- Es preciso aclarar que en uno de los informes solicitados se propone como salvaguarda a tener en cuenta de cara al cumplimiento de la normativa de protección de datos, que el usuario este informado de la activación y uso de las citadas funcionalidades, y sin embargo de las actuaciones practicadas y con los elementos que constan en las mismas no se desprende que por parte de LA LIGA se hayan tenido en cuenta. LA LIGA considera que la opción de la captación de una señal mediante el micrófono no es intrusiva, ya que como se ha comentado, mediante la solución adoptada no se accede ni se puede acceder a grabaciones sonoras de conversaciones. k. I. El usuario puede revocar su consentimiento en cualquier momento en los ajustes del dispositivo móvil. Dentro de la appLALIGA no existe ninguna opción disponible al usuario para desactivar el micrófono o el geoposicionamiento. La appLALIGA tampoco muestra ningún icono o marca que indique que el micrófono o el geoposicionamiento se encuentra activo o en estado de posible activación o que indique a modo de recordatorio que el usuario dio su consentimiento en su momento. Tal como se indica en las Condiciones, LA LIGA recordará periódicamente al usuario con una periodicidad determinada que puede activar su micrófono y geoposicionamiento, y solicitando que confirme su consentimiento de nuevo. – Es preciso aclarar que en el dispositivo en el que se descarga la appLALIGA no figura esa información, pues muestra un resumen de las condiciones que no recoge ese extremo y que se remiten a un enlace en la página web de www.laliga.es al que hay que acceder expresamente para conocer esa información. Solo se han recibido cinco solicitudes de oposición a estos tratamientos. l. J. Con respecto a la Política de Privacidad publicada en la página web de LA LIGA (www.laliga.es), la remisión que se hace a los usuarios de la appLALIGA es a efectos de las finalidades numeradas como 1 y 5. m. K. Respecto a la segmentación de perfiles que consta en la finalidad 4 de la Política de Privacidad publicada en la página web, no se ha realizado en ningún momento. n. L. No se ha realizado ninguna comprobación de edad de los usuarios que se han descargado la appLALIGA. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 8/85 o. M. La appLALIGA no utiliza ningún tipo de cookies. 1. Examinado el contrato de fecha 23/03/2018 suscrito entre LA LIGA y LA EMPRESA 1, se comprueba que establece, en el “ANEXO II. ACUERDO DE TRATAMIENTO DE DATOS PERSONALES” lo siguiente: 1-El encargado del tratamiento, LA EMPRESA 1, únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, LA LIGA, única que decidirá sobre la finalidad, el uso y los sistemas de tratamiento de datos. 2-LA EMPRESA 1 no aplicará o utilizará los datos con fin distinto al que figura en dicho contrato, ni los comunicará a otras personas. 3- Se estipulan las medidas de seguridad correspondientes a nivel básico, estando el encargado del tratamiento obligado a implementarlas, comprometiéndose el encargado a incluir en su documento de seguridad una referencia a ellas. 4- Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos. 5- Consta el compromiso de firma, antes del 25 de mayo de 2018, de un acuerdo de encargo de tratamiento de datos que cumpla con el RGPD 2016/679. 2. Consta suscrito con fecha 24/05/2018 entre LA LIGA y LA EMPRESA 1, éste nuevo contrato de encargo de tratamiento referido al RGPD, cuya copia obra en las presentes actuaciones de inspección y prevé entre otros aspectos: 1- Objeto, duración, naturaleza y finalidad de los tratamientos, así como el tipo de datos personales a tratar de los usuarios de la appLALIGA. 2- Obligación del encargado de tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable y exclusivamente cuando sea necesario para la prestación de servicios. 3- Condiciones para que el responsable pueda dar su autorización previa, específica o general, a las subcontrataciones 4- Asistencia al responsable en la atención al ejercicio de derechos de los interesados, trasladando a LA LIGA las solicitudes que reciba LA EMPRESA 1 al respecto. 5- Notificación de violaciones de la seguridad de los datos personales. 6- Medidas de seguridad de obligado cumplimiento por LA EMPRESA 1, descritas en el ANEXO I. 1) Con relación al estudio previo realizado por LA LIGA: 1- Obra en las actuaciones de inspección un Informe elaborado por ABOGADOS 2, de fecha 14/07/2016, en el que se analiza la tecnología utilizada por LA EMPRESA 1 y su adecuación a la normativa de protección de datos. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 9/85 En este informe se indica incorrectamente que cuando la appLALIGA no se encuentra en ejecución no se producen captaciones. Sin embargo, durante la inspección realizada se puso de manifiesto que las captaciones se producen una vez instalada la appLALIGA en el dispositivo móvil (y recogidos los consentimientos), incluso aunque la appLALIGA no se encuentre en ejecución en primer plano. Como se ha indicado anteriormente, esto significa que en la pantalla del dispositivo no aparece como “abierta o en funcionamiento” la citada aplicación – es decir, en primer plano-, pudiendo figurar en la pantalla del dispositivo la “pantalla de inicio” o la “pantalla de bloqueo” que el usuario haya dispuesto en las opciones de personalización, incluso podría figurar en la pantalla otra aplicación que se esté utilizando en ese momento, y a pesar de ello, la appLALIGA podría estar recogiendo y en su caso, enviando información. - es decir, ejecutándose en segundo plano-. 2- Obra asimismo un informe jurídico de ABOGADOS 1, fechado en abril de 2018, sobre la utilización de funcionalidades de captación de audio y ubicación de la appLALIGA. En el informe, tanto para la finalidad de audio como la de geoposicionamiento, se proponen un conjunto de salvaguardas, entre ellas: 1. obtener el consentimiento del usuario y seguir el principio de privacy by default (privacidad por defecto), autorizando expresamente el usuario la funcionalidad. 2. Informar al usuario de forma sencilla pero exhaustiva sobre las características de las grabaciones. El usuario debe poder esperar razonablemente cuál es el alcance del tratamiento que se van a llevar a cabo. 3. Establecer restricciones en la utilización de la funcionalidad, acotando espacios temporales e informándolos previamente al usuario. Por ejemplo: cuando se estén disputando partidos organizados por LA LIGA. 4. La appLALIGA deberá mostrar avisos o advertencias para recordar de manera frecuente al usuario que los sensores están recogiendo sus datos personales. 5. Renovar periódicamente los consentimientos. 6. Incluir en la appLALIGA un icono específico por el que el usuario pueda conocer en qué momentos LA LIGA recoge audio y ubicación. 7. Facilitar un sistema sencillo para revocar el consentimiento, proponiendo incluir una casilla específica en el menú de ajustes o configuración de la appLALIGA. 3- Obra en las actuaciones de inspección copia de documentación que refleja las reuniones internas en LA LIGA de Privacy by Design sobre la AppLALIGA, mantenidas en marzo de 2018. En esta documentación se recomienda anonimizar los datos obtenidos de tal forma que no se pueda asociar a ningún C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 10/85 dato personal o identificador. En concreto se recomienda no tratar o recoger identificadores únicos tales como el IMEI, MAC address, device id, ID de publicidad, número de serie del dispositivo o dirección IP. 4- Documentación relacionada con la realización de un análisis de necesidad de efectuar una Evaluación de Impacto, con relación a la nueva funcionalidad de la appLALIGA. Se recogen como medidas para el tratamiento de los riesgos, entre otras, las siguientes: 8. Actualización de las “CONDICIONES GENERALES DE USO Y POLITICA DE PRIVACIDAD”. Actualizadas a 25 de mayo de 2018. 9. Inclusión de checkboxs independientes. 10. Ofrecer la posibilidad de consentimiento separado para tratar los datos con otras finalidades. 11. Permitir el uso de la appLALIGA sin registro del usuario, tal y como se hace 2) Examinadas cinco solicitudes de oposición recibidas por LA LIGA, se verifica lo siguiente: 1- Las solicitudes se centran, en particular, en el modo de revocar el consentimiento para las funcionalidades de micrófono y geoposicionamiento, es decir, en cómo desactivar las funciones de geolocalización y uso de micrófono. De estas solicitudes se podría deducir que los usuarios no han encontrado en la appLALIGA un procedimiento para la revocación del consentimiento que otorgaron cuando se descargaron e instalaron la citada aplicación. -Esta ausencia de procedimiento para la revocación en la propia aplicación es reconocida por los representantes de LA LIGA en las actuaciones practicadas y prueba de dicha inexistencia es la respuesta que reciben los usuarios que se cita a continuación: 2- Todos los usuarios son respondidos indicando que pueden revocar su consentimiento de permiso de acceso al micrófono accediendo en su teléfono a: “Ajustes” > “Aplicaciones” > “Permisos” > “Micrófono” y desactivando dicha opción. Esto pone de manifiesto que la única opción para revocar el consentimiento es acudir las opciones de configuración que proporciona el sistema operativo del dispositivo, cuando para el momento de prestar el consentimiento existe un procedimiento implementado ad hoc en la propia aplicación. TERCERO: Con fecha 12 de diciembre de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a LIGA NACIONAL DE FÚTBOL PROFESIONAL con NIF G78069762 con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1

1. a)del RGPD, prevista en el artículo 83.5
2. a)del citado RGPD y por la presunta infracción del artículo 7.3 del RGPD, prevista en el artículo 83.1 del citado RGPD. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 11/85 CUARTO: En el citado Acuerdo de inicio se acordaba (…) INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, así como el informe de actuaciones previas de Inspección. (…) (…) QUE a los efectos previstos en el art. 64.2
3. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder por vulneración del articulo 5.1
4. a)del RGPD sería la imposición de una multa pecuniaria a la entidad reclamada, en la cuantía de 200.000 euros (doscientos mil euros), sin perjuicio de lo que resulte de la instrucción. QUE a los efectos previstos en el art. 64.2
5. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la medida correctiva que pudiera corresponder por vulneración del articulo 7.3
6. a)del RGPD sería ordenar a la entidad reclamada, para que en el plazo de UN MES proceda a la instauración de un procedimiento de revocación del consentimiento en los términos indicados en el artículo 7.3 del RGPD (…) QUINTO: Notificado el citado acuerdo de inicio, en fecha de 24/01/2019, LA LIGA presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: Primera. - Falta de legitimación de FACUA. – Segunda. – las actuaciones se dan en el contexto de lucha contra la piratería y por tanto sobre la base de un interés legítimo. La entidad investigada alega que tuvo gran diligencia y demostró responsabilidad proactiva, en tanto que solicito dos informes de expertos externos y su intención de colaborar siempre con la AEPD estuvo siempre presente. Asimismo, nombró un Delegado de Protección de Datos a pesar de no estar obligado a ello. Y se tuvieron en cuenta las recomendaciones de los informes ponderando los intereses en juego y estableciendo un calendario de mejoras que se irían implementando paulatinamente. La implementación de algunas recomendaciones fue sustituida por una mejora técnica de la tecnología utilizada, convirtiendo en irreversibles los audios que se captaban. Siendo transparentes en todo momento y mostrando cautela y diligencia en el cumplimiento de los principios de licitud, lealtad y transparencia. Tercera. – Sobre el cumplimiento del deber de informar ar. 13 RGPD y principio de transparencia art. 5.1 RGPD. 3.1 sobre el funcionamiento y el proceso de anonimización de datos. Se hace una remisión a lo indicado en la inspección. Enfatizando que el consentimiento se presta en dos ocasiones: en la propia app y otra a través del sistema operativo del dispositivo. Si no se han aceptado no se activan las funcionalidades, se requiere por tanto un doble opt-in. En cuanto a la funcionalidad del micrófono, se alegan términos idénticos a lo manifestado en la inspección, indicando que la transformación del contenido en audio en una huella digital resulta ininteligible, irreproducible e irreversible y, C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 12/85 no permite reconocer el contenido original. Después se remite a LA EMPRESA 1 y se comparan en tiempo real con las emisiones de los partidos. Por ello no se puede acceder a las grabaciones realizadas, siendo el resultado final del tratamiento la anonimización de los datos de audio, por lo que no sería de aplicación la normativa de protección de datos de acuerdo con el Considerando 26. Dada la anonimización de los datos el impacto en los derechos y libertades del usuario por el tratamiento de los datos es nulo, y por tanto no reviste características propias que requieran una especial adaptación de los elementos del principio de transparencia, por cuanto no se encuentra sujeto a la normativa de protección de datos. En cuanto a la localización, LALIGA decidió que la base del tratamiento fuera el consentimiento expreso del usuario, y se hacía en dos momentos, tal como se ha dicho respecto del micrófono. El propio sistema operativa del dispositivo, muestra, por defecto, un icono en la barra de notificaciones en el momento de la ubicación, tal y como sucede en muchas otras aplicaciones del mercado que hagan uso de la geolocalización del dispositivo. En la diligencia de 15/062018 se aprecia este extremo, por tanto, no se vulnera el principio de transparencia. Se aporta el certificado que contiene acta de navegación realizada el 20/01/2019 que demuestra la activación de un icono y un anexo que se refiere a un video donde en el minuto uno y cincuenta y cinco segundos aparece en la barra de notificaciones la activación de la funcionalidad de geoposicionamiento, permaneciendo activo durante el tiempo que se está recabando. En definitiva, se ha cumplido con el principio de transparencia a pesar de que el tratamiento no requiere características propias que requieran una especial adaptación de los elementos del citado principio. 3.2 Sobre la identificación de datos personales recabados a través de las funcionalidades de micrófono y geoposicionamiento de la app. Conviene destacar que el user agent no estaba vinculado a ningún dato personal del usuario más allá de la dirección IP y la ubicación, lo cual era necesario para poder vincularlo con el dispositivo y garantizar que se aplicaban los permisos concedidos por el usuario a la app. Se cesó en el tratamiento de la dirección IP y el user agent del dispositivo. El identificador especifico que asigna la aplicación al dispositivo permite relacionar los datos obtenidos, sin que se pueda vincular a un usuario concreto. Los datos de geolocalización no son intrusivos puesto que no trata ubicación exacta del dispositivo móvil del usuario, sino que transforma dicha información en un mapa de calor, identificando las secciones del territorio en las que más fraudes se detectan, que luego se coteja con la base de datos de establecimientos públicos HORECA. En conclusión, los datos que se recaban están anonimizados que no se encuentran sujetos al a normativa de protección de datos o bien son adecuados, pertinentes y para el cumplimiento de la finalidad que fueron recabados. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 13/85 En aras a reforzar el principio de transparencia, cuando el desarrollo lo permitió se dejó de tratar tanto la IP del dispositivo como el user agent, sin perjuicio de que esto supusiera una pérdida de control extra de verificación del alcance del tratamiento. 3.3 Momento en que se recaba el consentimiento, el cumplimiento del deber de informar y el principio de transparencia en la información complementaria facilitada a los interesados. 3.3 a). Respecto del momento en el que se recaba el consentimiento, se indica que LALIGA recaba con carácter previo el consentimiento de los interesados, y dado el tratamiento, no se considera que éste revista especiales características que requieran una adaptación del citado principio. La interpretación de la AEPD llevaría a que, en cada operación o actividad de tratamiento, (ver definición normativa) se tendría que informar y solicitar de nuevo, lo que resultaría imposible en la práctica y obstaculiza la normal ejecución de cualquier tratamiento de datos personales necesario para alcanzar los fines legítimos del responsable. 3.3
7. b)El cumplimiento del deber de informar y el principio de transparencia. Respecto de los dos momentos diferenciados: 1 Cuando se presta el consentimiento para el tratamiento, la AEPD entiende que existen carencias tal como pone de manifiesto en el acuerdo de inicio, sin embargo, esa información es facilitada en la política de privacidad de la app puesta a disposición tanto en el momento de recogida del consentimiento como de manera permanente en el apartado “Condiciones Legales” del menú de la app, se aporta la concreta publicación de las condiciones de 9 de junio de 2018, en idénticos termino ocurre con el espacio temporal en que se activaban las funcionalidades. Si bien es cierto que tanto la información relativa al momento en el que se activarán las funcionalidades como la información relacionada con la imposibilidad de captar conversaciones del entorno no aparecen en la información básica que constituye la primera capa, ni en la guía para el cumplimiento del deber de informar de la AEPD ni en el art 11.2 LOPDGG señalan aspectos en eses sentido, es decir, incluir información relativa al momento en que se producirá el tratamiento efectivo de los datos ni las limitaciones que se hayan establecido a dichos tratamientos. A pesar de esa no exigibilidad, LALIGA incluye en la primera capa la información mínima requerida y además dos apartados diferentes e independientes en los que se informa de las citadas funcionalidades. ( 3. Uso del micrófono y 4. Uso del geoposicionamiento) En conclusión, consideran que cumplen íntegramente con del deber de transparencia regulado en los arts. 12, 13 y 5 del RGPD y 11.2 del LOPDGG, así como las directrices publicadas hasta la fecha por la autoridad de control en relación con la información relativa al momento de activación de las funcionalidades de micrófono y geoposicionamiento. 2 cuando se ejecuta el tratamiento del mismo y los recordatorios sobre los tratamientos realizados. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 14/85 En el momento en el que se activa la funcionalidad micrófono no se recogen datos personales, por lo que dicha exigencia de información no puede tener base en obligación alguna derivada del cumplimiento de la normativa. La única finalidad de la que se alertaría es de que se están utilizando los recursos de su dispositivo móvil, pero no se tratan sus datos personales. LALIGA entiende que incluir un icono adicional a toda la información ya aportada seria excesiva, no aportaría más garantías adicionales a la protección de los derechos y libertades y resultaría invasiva para los usuarios al incluir en los dispositivos imágenes que podrían resultar molestos, generando una falsa percepción de que se está grabando la voz y las conversaciones que se están produciendo entorno al dispositivo, dando lugar a una innecesaria alarma social. Respecto a la funcionalidad de geolocalización, el dispositivo muestra, por defecto, un icono en la barra de notificaciones en el momento de la captación de la ubicación, tal como se hace constar en el video aportado como documento nº 3. Recordatorio periódico de activación del micrófono y geoposicionamiento del dispositivo móvil. La AEPD indica que no se informa en el resumen de las condiciones que aparece en el momento de descarga e instalación sobre el recordatorio que realizara a los usuarios. Como se ha indicado antes, no existe obligación legal en ese sentido. No obstante, lo anterior, LALIGA proporciona esa información a través de la política de privacidad de la app que se facilita tanto en el momento de la instalación de la aplicación como de manera permanente en las “condiciones legales”. asimismo, dado que únicamente se utilizó la aplicación el 9 de junio, difícilmente se podría haber enviado ningún recordatorio. 3.4 Sobre la relación del principio de lealtad con el principio de transparencia del RGPD. 3.4.
8. a)La efectividad de la aplicación en su lucha contra el fraude esta fuera de toda duda, toda vez que ayuda a (
9. i)detectar y prevenir emisiones ilícitas, (
10. ii)facilita las labores de rastreo y detección de establecimientos públicos que emiten la señal fraudulentamente y (iii) optimiza recursos desplegados por LAIGA. 3.4.
11. b)Sobre el valor añadido a los usuarios de la aplicación respecto de la página web. La app y la web tienen objetivos diferentes. La app busca generar una mayor vinculación entre el usuario y la entidad y muestra un contenido adaptado a una necesidad concreta. Y muestra contenidos adicionales como la personalización por equipo favorito, la presentación de contenidos, el envío de notificaciones dentro de la propia app, los mapas para guiar al estadio, y conectividad con otras aplicaciones de LALIGA. En definitiva, son medios de comunicación distintos, en la web de pueden encontrar elementos a los que se accede con la app, pero en esta hay otros contenidos adicionales. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 15/85 3.4.
12. c)Sobre el tratamiento de los datos con finalidad diferente a la principal: la app informa de las posibilidades de acceder a las funcionalidades, y en caso de que así se acepte, con una finalidad legitima, no siendo obligatorio la aceptación de este tratamiento para continuar con el pleno uso de la app. El tratamiento de datos con finalidad diferente de la principal está permitido por la normativa siempre y cuando se cuente con una base de legitimación valida y en su caso se soliciten los consentimientos específicos e independientes para cada una de las finalidades si éstas son incompatibles entre sí. (considerando 50 y 61 RGPD). Por lo que no puede considerarse que el tratamiento para luchar contra el fraude se ilícito por el hecho de que sea una finalidad diferente de la principal. A la vista de lo expuesto se puede concluir que se ha cumplido con el principio de transparencia y por tanto se está vulnerando el principio de tipicidad que rige el derecho sancionador. Cuarta. - sobre la infracción del art. 7.3 RGPD relativo a la revocación de los consentimientos prestados. El procedimiento de revocación no se circunscribe únicamente al sistema operativo del dispositivo donde se instale la app, sino que también está a disposición la dirección de correo lopd@laliga.es. No obstante, se ha incluido un panel de referencias de privacidad dentro del menú de la app denominado “centro de suscripciones” que permite la revocación de los consentimientos prestados, así como su nuevo recabo. Facilitando la revocación a través de la marcación de una casilla, en los mismos términos que en el momento inicial. Se aporta documentación que acredita la existencia de dicho procedimiento. En el momento de la inspección en junio de 2018 estaba en desarrollo, siendo implementado efectivamente durante el mes de septiembre. No consta que ningún usuario no haya podido revocar su consentimiento a través de la configuración del sistema operativo. Quinta. - sobre las circunstancias atenuantes y agravantes del art 83.2 RGPD. 5.1 Atenuantes. Se ha actuado en todo momento de modo diligente, y si ha sido al contrario se deberá a una interpretación errónea de los principios introducidos por la nueva normativa, pero sin ánimo de conseguir un fin a costa de la vulneración de los derechos de los afectados. No concurre ningún presupuesto que pueda llevar a cabo una sanción y no se han apreciado correctamente en el acuerdo los elementos concurrentes en el presente caso. Se cita que únicamente se ha tenido en cuenta una atenuante referida a la duración de la infracción, sin embargo, se dan otras: -La adopción de las medidas oportunas para atenuar los posibles daños y perjuicios desarrollando la app desde el principio de privacidad desde el diseño y por C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 16/85 defecto, autoimponiéndose diligencia y responsabilidad proactiva. Esta atenuante se corresponde con el art. 83.2
13. c)RGPD. “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados” -El volumen de sujetos afectados. Los 50.000 usuarios no pueden suponer un numero a gran escala para su gestión de una supuesta base de 10.000.000 de posibles usuarios. La cifra obtenida de Google Play no permite inferir el número de usuarios que tengan activa las funcionalidades ni el sistema operativo que se requería que fuera Android 6.0 o superior. Esta atenuante se corresponde con el art. 83.2
14. a)RGPD. -LALIGA no ha cometido ninguna infracción anterior en materia de protección de datos, esta atenuante se corresponde con el art. 83.2
15. e)RGPD. -LALIGA ha cooperado proactivamente con la AEPD desde el primer momento. tanto a través de tweeter como mediante el envío de los correos electrónicos dirigidos a instruccion@agpd.es y a inspección@agpd.es . Asimismo en la visita de inspección se mostró una actitud colaboradora, con la presencia de LA EMPRESA 1 al objeto de dotar de la máxima transparencia al procedimiento. Esta circunstancia se corresponde con el art. 83.2
16. f)RGPD. 5.2 agravantes apreciadas por la AEPD a la supuesta infracción. Respecto del previsto en art. 83.2 RGPD, la AEPD considera la naturaleza de la vulneración de un principio informador esencial como es el de transparencia. Sin embargo, se cumplió en todo momento como se ha explicado durante el escrito de alegaciones. Del mismo modo, tampoco sería de aplicación esta disposición respecto del “número de afectados”, teniendo en cuenta que fueron un máximo de 50.000 usuarios. El concepto de “gran escala” ofrece orientaciones y el WP 243 rev.01 también, a los que se hace la oportuna remisión donde no puede ser de aplicación a los usuarios afectados por la aplicación -los relativos a las letras
17. b)y
18. d)del citado precepto. Al contrario de lo apreciado por la AEPD, LALIGA dio estricto cumplimiento a los informes que solicito a los despachos de abogados. La medida que no se implementaron a juicio de la AEPD fue la relativa a la incorporación de un icono que recuerde la activación de la funcionalidad del micrófono. Debiendo recordar en este sentido que, no se tratan datos personales, por lo que no se consideró necesaria dicha incorporación y el propio sistema operativo Android emite un icono que se muestra visible en la barra de notificaciones cada vez que se activa la funcionalidad de geo posición. Por lo tanto, LA LIGA considera que la AEPD no ha tenido en cuenta, ni a valorado el cumplimiento del resto de recomendaciones, ni se han ponderado las restantes circunstancias. Sobre la aplicación de la letra
19. k)del citado precepto: La AEPD considera que es de aplicación esta circunstancia como agravante, por cuanto persigue “ejercer su interés en proteger del fraude sus activos financieros”. No puede olvidarse que una de las finalidades del tratamiento de los datos que hace la app es la detección y prevención del fraude, que constituye un interés legítimo con arreglo al Considerando 47 del RGPD. Proteger los activos de la entidad, en cuanto a derechos C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 17/85 audiovisuales, redunda en la cultura y en la economía luchando activamente contra la lacra que es la piratería. Esta finalidad no puede ocultar que va a redundar económicamente en el activo de la entidad. Pero debe tenerse en cuenta la relevancia social del activo de la entidad( que excede del ámbito profesional del futbol, ya que con los ingresos de la entidad se contribuye a mecanismos de solidaridad legalmente establecidos como son (
20. i)el Fondo de Compensación de las entidades deportivas que, disputando la competición del futbol profesional, descienden de categoría; (
21. ii)para las políticas de promoción de la competición profesional y del futbol aficionado; (iii) para las políticas del Consejo Superior de Deportes en apoyo de la Primera División del Futbol Femenino, la Segunda División B del Campeonato Nacional masculino y las asociaciones de futbolistas, árbitros, entrenadores y preparadores físicos ) y del interés general de proteger y conservar tales derechos audiovisuales. LALIGA no centra sus trabajaos únicamente en proteger derechos audiovisuales, sino que mantiene una actitud muy proactiva, colaboradora y de asesoramiento a los más diversos organismos y autoridades a nivel nacional e internacional, luchando contra todos los frentes posibles, incluidos los judiciales contra este gran mal endémico que asola la cultura de los países. Sexta. - Sobre las circunstancias agravantes del art. 83.2 RGPD, que gradúan la sanción relativa a la vulneración del art. 7.3 del RGPD. La AEPD considera de aplicación el agravante del art. 83.2
22. a)RGPD por cuanto el número de usuarios de la aplicación y el tiempo durante le que continua vigente la forma de obtener y revocar el consentimiento. La cifra obtenida del Play Store de Google, no tiene en cuenta el volumen real de usuarios activos de la aplicación, por cuanto tiene en cuenta las descargas de la aplicación desde el año 2012 y de aquellos que hayan podido desactivarla antes del 8 de junio de 2018- fecha en que se publicaron las nuevas funcionalidades- . asimismo, también debe tenerse en cuenta que únicamente está habilitada la función a usuarios con sistema operativo de Android 6.0 o superior. En cuanto al tiempo de la infracción, debe indicarse que el “centro de suscripciones” se encuentra efectivamente implementado durante el mes de septiembre de 2018. Por tanto, el tiempo transcurrido sin que se haya podido contar con el referido “Centro de suscripciones” se circunscribe a los meses de junio, julio y agosto que coincide con el parón de la competición. La aplicación de la letra
23. b)referida a la intencionalidad o negligencia en la infracción. La implementación del Centro de suscripciones, desarrollado desde mayo e implementado finalmente en septiembre, no puede ser considerada como circunstancia agravante, dado que no se ha cometido infracción alguna. Séptima. - sobre la propuesta de sanción. En el acuerdo de inicio no se han tenido otras circunstancias atenuantes que concurren en el presente caso: La inexistencia de ánimo de lucro; la inexistencia de denuncia presentada por afectados; la ausencia de infracciones anteriores; la nula intencionalidad; la toma de medidas inmediata en el momento de conocer la noticia, suspendiendo temporalmente las funcionalidades; el grado de cooperación con la AEPD. La única circunstancia C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 18/85 atenuante que recoge el acuerdo de inicio es la relativa a la duración de la infracción por cuanto las funcionalidades se utilizaron el 9/06/2018, pero no se determina el grado en que la misma impacta en la propuesta de sanción. Según el art. 76 LOPDGG, debería tenerse en cuenta las anteriores circunstancias atenuantes que redujeran considerablemente el importe de la sanción todo ello de conformidad con el art. 29 LRJSP, en virtud del cual se deberá observar la debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la infracción. La autoridad administrativa debería considerar especialmente los siguientes criterios:
24. a)El grado de culpabilidad o la existencia de intencionalidad, el cual se ha demostrado que no ha lugar.
25. b)La continuidad o persistencia en la conducta infractora, que no procede por circunscribirse los hechos al día 9/06/2018.
26. c)La naturaleza de los perjuicios causados, que no han existido ni han sido acreditados.
27. d)La reincidencia, la cual no se aplica al presente caso. LALIGA no encuentran en el acuerdo de inicio justificación objetiva acerca de por qué se decide imponer tal cantidad y no otra menor o, por ejemplo, un apercibimiento. Por todo lo expuesto solicita el archivo de las actuaciones sin imposición de sanción alguna. SEXTO: De acuerdo con lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, se practicaron las siguientes pruebas:
28. a)En fecha de 7/02/2019 se solicitó al Inspector de Datos, la práctica de la siguiente prueba: 1Instalación de la aplicación LALIGA en un dispositivo móvil con sistema operativo Android versión 6, o superior a los efectos de verificar: La información que se ofrece durante el inicio de la instalación. (tanto en el dispositivo, cómo si se muestra un enlace a otra página web) La solicitud de permisos/consentimientos. La existencia de un procedimiento de suscripción de los usuarios. 2El Uso de la aplicación LALIGA en jornadas organizadas por LA LIGA, a los efectos de verificar: La información que se muestra en la pantalla del dispositivo relativo a la existencia de iconos o avisos del uso de geolocalización y uso de micrófono. En caso de que exista un procedimiento mediante registro y usuario, se proceda al mismo y se verifique los servicios que se ofrecen. 3La solicitud del ejercicio de oposición o de la revocación del consentimiento del uso de las funcionalidades micrófono y geolocalización, a los efectos de verificar: C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 19/85 El procedimiento habilitado al efecto por LA LIGA. a. El resultado se incorporó como diligencia de fecha 11/02/2019, que se transcribe a continuación, (sin las capturas de pantalla correspondientes que figuran en la citada diligencia): Para hacer constar que las comprobaciones realizadas los días 8, 9 y 10 de febrero de 2019 sobre un teléfono móvil con versión de Android 8.1.0: El día 8 de febrero de 2019 se accede a la Play Store de Google, se localiza la app LA LIGA – App Oficial de fútbol y se procede a su instalación: (…) Se ejecuta la app, verificando que al iniciarla por primera vez se muestran las condiciones legales de utilización. A continuación, se solicita al usuario la aceptación del tratamiento de sus datos de geoposicionamiento y utilización del micrófono para la detección de fraudes en el consumo de fútbol en establecimientos públicos, junto con otros permisos, que se encuentran sin premarcar. Se marcan los permisos, aceptando: (…) A continuación, se muestra una ventana pop-up (emergente) que pregunta si se permite a LaLiga grabar audio. Se permite. Se comprueba que la app dispone de un menú denominado “centro de suscripciones” que entre otras facilidades permite cancelar los permisos. Mediante él, se cancelan los permisos de utilización del micrófono y de la ubicación para la finalidad de fraude, y se comprueba, a través del sistema operativo, que los correspondientes permisos se encuentran desactivados: (…) Se comprueba que en el centro de suscripciones se puede acceder a la información de las condiciones legales: (…) Se desinstala la app y se vuelve a instalar. Se verifica que no aparecen las mismas pantallas que la primera vez que se instaló la app pero si la opción de permisos de micrófono y ubicación para la finalidad de fraude. En esta ocasión se deniega dicho permiso y se comprueba que en el centro de suscripciones se encuentra este permiso desactivado. Se comprueba también a través del sistema operativo del terminal que, en el menú de configuración del dispositivo, en la configuración de la aplicación consta que no se han concedido permisos (micro y ubicación) para la app: (…) El día 9 de febrero de 2019 se vuelve a instalar la app, se ejecuta y se otorgan permisos de micrófono y ubicación para la finalidad de fraude : (…) Verificando que existe un partido (Atlético de Madrid – Real Madrid ) emitido por BeIN LaLiga y LaLiga TV, a las 16:15, se accede a dicha hora a la aplicación: (…) No se encuentra, observando en diversos momentos la pantalla del móvil, ningún icono que indique activación de grabación o ubicación. (…) Sí se observan iconos con el logotipo de La Liga que consisten en anuncios de notificaciones de goles o eventos en los partidos: C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 20/85 También se observa un símbolo que parece de actualización de datos, que se muestra periódicamente aproximadamente cada 10 segundos en el centro de la pantalla, y que desaparece rápidamente. Realizada una captación de video para la extracción de un fotograma con la imagen de este icono, se muestra abajo: (…) Se accede en el tiempo en que se emite el partidazo de la semana (Athlétic Club – FC Barcelona ), no encontrándose, observando en diversos momentos la pantalla del móvil, ningún icono que indique activación de grabación o ubicación.
29. b)Se incorporó como prueba documental la aportada en las alegaciones de LALIGA
30. c)Se incorporó como prueba documental en fecha de 20/02/2019 la documentación obtenida de la pagina web www.laliga.es/lfp.cuentas-anuales relativas al Informe de Auditoria, Cuentas Anuales e Informe de Gestión a fecha 30 de junio de 2018, en formato PDF, con el nombre de fichero ccaa-lfp-2017-2018.pdf.
31. d)Se incorporó al expediente, en fecha de 26/03/2019 las diligencias de acceso a la web de www.laliga.es relativas a la política de privacidad y las capturas de pantalla de un dispositivo móvil con sistema operativo Android 6.0 en relación con la barra de notificaciones y la activación de la función de geolocalización. SÉPTIMO: Con fecha de 8/04/2019 por el instructor se emitió Propuesta de Resolución, en el sentido de:
32. a)Que por la directora de la Agencia Española de Protección de Datos se ARCHIVE a la LIGA NACIONAL DE FÚTBOL PROFESIONAL, con NIF G78069762 la imputación de la comisión de la infracción del articulo 7.3 RGPD, prevista en el artículo 83.5
33. a)del citado RGPD.
34. b)Que por la directora de la Agencia Española de Protección de Datos se imponga a la LIGA NACIONAL DE FÚTBOL PROFESIONAL, con NIF G78069762, de acuerdo con lo dispuesto en el artículo 58.2
35. j)del RGPD, una sanción por la comisión de una infracción del artículo 5.1
36. a)del RGPD, prevista en el artículo 83.5
37. a)del citado RGPD, consistente en multa administrativa, en la cuantía de 500.000 euros ( quinientos mil euros) de acuerdo con lo dispuesto en el artículo 83. 1, 2 y 5 del RGPD.
38. c)Que por la directora de la Agencia Española de Protección de Datos se ordene a la LIGA NACIONAL DE FÚTBOL PROFESIONAL, con NIF G78069762, de acuerdo con lo dispuesto en el artículo 58.2
39. d)del RGPD por la infracción del artículo 5.1
40. a)del RGPD, prevista en el artículo 83.5
41. a)del citado RGPD, que: adecue al principio de transparencia el uso de la aplicación en los términos indicados en la presente resolución, a través de mecanismos que refuercen el conocimiento por parte de los usuarios de la activación de las funcionalidades de micrófono y ubicación de los dispositivos que instalen la aplicación, en el momento en que esta se produzca. Todo ello deberá hacerlo efectivo en el plazo de UN MES. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 21/85 OCTAVO: Tras acceder al expediente y solicitar ampliación de plazo – que fue concedida por el Instructor – LALIGA presentó en fecha de 6/05/2019, las alegaciones contra la Propuesta de Resolución, en las que, en síntesis, manifestaba lo siguiente: Primera. De los principales elementos fácticos más relevantes del procedimiento sancionador. Se realiza una descripción cronológica de los acontecimientos poniéndose énfasis principalmente en que no se ha notificado la práctica de la prueba que se realizó en la instrucción del procedimiento. Segunda. De la finalidad de la función y del contexto en el que se desarrolla la acción. (…) Se desarrolla este apartado en términos similares a los descritos en las alegaciones formuladas al acuerdo de inicio y se hace la oportuna remisión (…) Siendo la finalidad de la actuación de LALIGA una actuación legitima y proporcionada, se optó por entender que no debería ampararse en el interés legítimo que se admite como titulo legitimador del tratamiento, sino que se requirió el consentimiento expreso del interesado en dos ocasiones con una información razonable, ponderada, visible y que obliga a una aceptación expresa para que la funcionalidad de la App pueda ser realizada. La actuación de LALIGA es diligente, proactiva y garante de la protección de los derechos de los ciudadanos y no debe tratarse como si de un incumplimiento material se tratase. Aquí se debate es el alcance de la obligación de transparencia y de la información que ha de facilitarse a los interesados para su adecuado cumplimiento. En el momento de los hechos no había indicio alguno que permitiera conocer el cambio de interpretación de la administración y por tanto se actuó con la diligencia que le era exigible. Con la propuesta de resolución se produce un cambio de nivel de exigencia en relación con el cumplimiento del principio de transparencia. Tercera. Sobre la determinación de la cuantía de la sanción en el acuerdo de inicio y la propuesta de resolución y su incidencia sobre los derechos de LALIGA en el presente procedimiento. La propuesta de resolución no solo no toma en consideración el importe de la sanción que supuestamente pudiera corresponder por vulneración del artículo 5.1
42. a)del RGPD, sino que propone la imposición de una sanción que multiplica por 2,5 el importe de aquella. El hecho de que en el acuerdo de inicio se establezca una sanción que “pudiera corresponder” y luego se aumente en la propuesta de resolución merece determinadas consideraciones. El contenido del acuerdo de inicio con una determinación de la cuantía, con valoración de la culpabilidad y antijuridicidad excede del contenido del citado acuerdo que prevé el Real Decreto Ley de 5/2018 y la LOPDGDD, en sus respectivos artículos 12.1 y 68.1. se excede de la mera indicación de la sanción que podría corresponder al realizarse una determinación C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 22/85 de la culpabilidad, con valoración de circunstancias atenuantes y agravantes, sin por LALIGA se haya manifestado nada. todo ello produce una absoluta indefensión, ya que en ningún momento pudo hacer uso de su derecho para poder de manifiesto lo inexacto de la valoración llevada a cabo por el órgano sancionador para determinar a limine la cuantía de la sanción que “pudiera corresponder por vulneración del artículo 5.1
43. a)del RGPD”. A lo que hay que añadir que el acuerdo de inicio es dictado por el órgano competente para resolver, efectuando sustancialmente al ámbito de actuación del órgano competente para la instrucción, lo que podría suponer una ruptura del principio de separación entre la fase de instrucción y de sanción, tal como indica el art. 63.1 LPACAP. No se ignora que el acuerdo de inicio puede guardar relación con lo previsto en el art. 85 de la LPACAP, no obstante, en el supuesto en que nos encontramos se va más allá de la mera indicación de una cuantía pecuniaria, lo que sería aplicable en supuestos de una multa de carácter fijo, de forma que solo corresponda al encartado debatir la efectiva concurrencia del supuesto típico. En este supuesto, ni la cuantía es fija, ni tiene por qué tener el carácter de pecuniario, sin embargo, en el acuerdo de inicio se ha concretado el tipo de sanción y la cuantía sin que LALIGA haya podido alegar nada al respecto. Esta cuantificación realizada en el Acuerdo de Inicio está condicionando la decisión final que puede adoptarse en lo que a la cuantía se refiere, ya que se está marcando el límite del reproche sancionador que podrá imponerse en el procedimiento. Un desarrollo contrario que ha sucedido en el presente caso, donde la propia tramitación del expediente se ha convertido en una situación de agravación de la situación del encartado como consecuencia del mero ejercicio del derecho de defensa. En este caso se estaría penalizando el hecho de que el encartado no renuncie a la tramitación del expediente sancionador. De este modo, cuando se modifica al alza, o más correctamente indicando in peius, el reproche sancionador, se estaría admitiendo que la tramitación del procedimiento puede ser castigada por el órgano administrativo. No se ha podido demostrar efectivamente durante la fase de instrucción que concurren elementos adicionales no tenidos en cuenta en el acuerdo inicial. La instrucción no ha generado documentos ni pruebas ni elementos de convicción diferente a los que fueron tenidos en cuenta en el acuerdo de inicio. Por tanto, la cuantía máxima de la sanción que pudiera imponerse no debería en ningún caso exceder de la cuantía que aquel decidió incluir como “sanción que pudiera corresponder por vulneración del artículo 5.1
44. a)del RGPD”, incurriendo dicho órgano, en caso contrario en una vulneración del principio de seguridad jurídica y del derecho a la defensa de esta Parte, al establecerse una modificación in peius del importe de la sanción. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 23/85 Cuarta. Sobre la indefensión en la tramitación del expediente como consecuencia de pruebas practicadas al margen del procedimiento y de las reglas que regulan la prueba. Se ha vulnerado lo dispuesto en el art. 78 LPACAP, en la medida en que se ha practicado una prueba sin comunicación a los interesados, y por tanto sin su presencia, privándole así de la posibilidad de explicar de algunas cuestiones que fueron decisivas. Produciendo indefensión, y a tal efecto, conviene traer a colación la Sentencia de 30/06/2011 del TS, Sala de lo ContenciosoAdministrativo, Sección 7ª. En este supuesto se han practicado pruebas que se han incorporado al expediente administrativo y que probablemente han sido particularmente tomadas en cuenta para que la propuesta de sanción se eleve de los 200.000 euros a los que se refería el Acuerdo de Inicio a los 500.000 euros que propone imponerse por el Instructor, sin que en ningún momento: (
45. i)se haya comunicado la práctica de la prueba, (
46. ii)se haya permitido la presencia de LALIGA en la práctica de la prueba, (iii) se haya permitido la presencia de sus técnicos para que le asistan y para que pudieran contribuir a la formulación de alegaciones complementarias. La presencia de LALIGA en la práctica de la prueba hubiera permitido poner de manifiesto los evidentes errores en su práctica, como más adelante se analiza. Situados en este plano podría, o bien anularse la practica de la prueba con todos sus efectos, o bien, retrotraer el expediente al momento de comisión de la falta procedimental y practicar la prueba en las condiciones que determina la ley. Y en el momento procedimental en que nos encontramos, es difícil articular la segunda opción. La pruebas practicadas e incorporadas sin notificación y en la que se funda la desproporcionada recalificación de la sanción propuesta entre el acuerdo de inicio y la propuesta de resolución, no pueden producir efecto alguno pues en el presente caso se ha producido una efectiva indefensión en tanto que dicha prueba ha sido decisiva, tal como reza la STC núm. 14/1999 de 22 de febrero. La prueba a la que se hace referencia no debería ser tomada en consideración en la resolución que se dicta. Esta prueba es en realidad la única actividad de instrucción del procedimiento por lo que es razonable considerar que la misma ha fundado la modificación llevada a cabo para graduar la culpabilidad de LALIGA, deviniendo así en una prueba totalmente decisiva en este expediente. Por tanto, cualquier elevación de la cuantía sustentada sobre dicha prueba – que es el único elemento probatorio adicional existente en fase de instrucción (sin perjuicio del error en el que ha incurrido, que más adelante se analizaran) se vería contagiada de dichos vicios de nulidad. Quinta. Sobre el valor probatorio de la diligencia de inspección incorporada al expediente sin el conocimiento de LALIGA. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 24/85 Sin perjuicio de la nulidad indicada, la diligencia obrante en los folios 263 a 271 parte de una premisa completamente errónea, e incompleta. En primer lugar, el hecho de haber otorgado el consentimiento para la activación de las funcionalidades de micrófono y geolocalización no implica automáticamente su uso. En la diligencia practicada no aparece ningún icono simplemente porque el dispositivo utilizado no es uno de los seleccionados por el sistema de LALIGA de los 50.000 usuarios de muestra, y, por tanto, no es uno de los dispositivos a los que se accedió mediante el micrófono y audio. En segundo lugar, el error consiste en que se da por sentado que la única política de privacidad accesible para los usuarios es la que aparece recogida en la página web de LALIGA como se desprende de la diligencia obrante en los folios 351 a 361. En el folio 266 referido a la diligencia llevada a cabo los días 8,9 y 10 de febrero 2016, se muestran las condiciones legales de uso de la app y que incorporan una primera capa completa de su política de privacidad, con enlaces a “Términos y Condiciones de Uso” y “Política de Privacidad de la app” (página 4 de la diligencia), sin que en dicha diligencia se contratase cual era el contenido de ambos documentos en el momento en que se practicó la diligencia de inspección. Dándose por sentado que dicha política de privacidad estaba en los mismos términos que en la diligencia ocurrida el 21 de junio de 2018. Si se hubiera accedido a dichos links, se habría tenido conocimiento de que la política de privacidad no se encuentra alojada en el sitio web www.laliga./avisolegal-privacidad-cookies al que se refiere la diligencia de 26 de marzo de 2019, sino al sitio web www.laliga.es/aviso-legal-privacidadcookies/oficial#androidprivacidad, siendo así que la información contenida en este último sitio web refuerza aún más las garantías del principio de transparencia. En fecha de 13/09/2018 se elaboró e implementó una nueva política de privacidad específicamente referida a los usuarios de dispositivos Android. (se adjunta como doc. Nº 2 la acreditación referida a la fecha de implementación de la citada política de privacidad). Y en la nueva política de privacidad (adjuntada como doc. Nº 3) se especifica en términos más detallados que los exigidos por el art. 13 del RGPD, los tratamientos llevados a cabo. Incluyendo no solo la información exigida por el art. 11 de la LOPDGDD para la segunda capa, sino información adicional acerca, por ejemplo, de la lógica del tratamiento en caso de consentirse el uso del micrófono. En el apartado de “finalidades y base de legitimación para el tratamiento de datos personales”, indicaba lo siguiente: C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 25/85 (…) A continuación, se indican las finalidades adicionales para las que LaLiga tratará sus Datos Personales, así como la base jurídica que legitima el tratamiento para cada una de ellas (…): ii.Para detectar fraudes en el consumo de fútbol en establecimientos públicos no autorizados. En caso de que haya aceptado la casilla específica y opcional habilitada al efecto, usted consiente el acceso y uso de las funcionalidades de micrófono y geoposicionamiento de su teléfono para que LaLiga conozca desde qué localizaciones se consume fútbol y, por tanto, para detectar conductas fraudulentas de establecimientos no autorizados relativos al consumo del producto futbolístico. La activación, tanto del micrófono como del geoposicionamiento de su dispositivo móvil, requerirá la previa aceptación de la ventana emergente que se muestra al descargarte la APP. Al activar la funcionalidad del micrófono, el Usuario queda informado de que LaLiga únicamente podrá captar fragmentos de audio codificados o “fingerprints” con el único fin de identificar la retransmisión de un partido oficial organizado por LaLiga, pudiendo la APP acceder a información a través del micrófono únicamente durante las franjas horarias de partidos en los que compitan equipos de LaLiga. Los fragmentos de audio captados se codifican en el propio teléfono de forma automática mediante un algoritmo que no permite revertir el proceso, de tal forma que, una vez codificada la captación sonora efectuada por el micrófono, dicha información se convierte en información anonimizada siendo imposible su reversión. Asimismo, en caso de no marcar la casilla habilitada para ello, el usuario queda informado de que LaLiga en ningún momento podrá tratar dicha información conforme a esta finalidad. La base legal para el tratamiento de sus datos para las finalidades anteriormente mencionadas es el artículo 6.1.
47. a)del Reglamento General de Protección de Datos: el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. Sus datos personales serán mantenidos para estas finalidades hasta que usted no revoque su consentimiento. Tiene derecho a retirar su consentimiento en cualquier momento conforme al procedimiento descrito en el apartado “Derechos de los usuarios”, sin que ello afecte a la licitud del tratamiento basado en el consentimiento de forma previa a su retirada. Además, se incorpora un segundo apartado referido a “medidas técnicas especificas implementadas para proteger la privacidad del usuario”, dónde se describe las características del tratamiento, los momentos en que el mismo podrá tener lugar e incluso la técnica empleada, que excluye la conservación, e incluso la recogida, en ningún momento de sonidos, sino únicamente de la huella codificada de los mismos. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 26/85 (…)LaLiga ha implantado medidas técnicas específicas oportunas para proteger la privacidad del usuario si habilita la finalidad de detectar fraudes en el consumo del fútbol. A continuación, se detallan estas medidas: Medidas relativas al uso del micrófono: - LaLiga sólo activará el micrófono de su dispositivo móvil durante las franjas horarias de partidos en los que compitan equipos de LaLiga. - LaLiga no accede a los fragmentos de audio captados por el micrófono del dispositivo, ya que estos se convierten de forma automática en fragmentos de audio codificados o “fingerprints” en el propio dispositivo. LaLiga sólo accede a información anonimizada, que es irreversible y no permite obtener de nuevo la grabación de audio. - Si este código coincide con un código previo de control, LaLiga podrá saber que está viendo un partido determinado. Si no coincide, el código se elimina. - Recordaremos periódicamente que LaLiga puede activar el micrófono y se solicitará que confirme su consentimiento. - Para revocar su consentimiento en cualquier momento el usuario deberá acceder al Centro de Suscripciones que se encuentra en el menú de la APP o bien acceder a la pestaña de “Ajustes” de su dispositivo móvil y desactivar la opción “Micrófono”. La prueba en que la propuesta ha fundado la mayor parte de sus argumentaciones adolece de defectos que impiden utilizarla como medio decisorio. Cualquier valoración sobre una política de privacidad distinta de la relativa a la propia aplicación debería descartarse de la resolución que ponga fin al procedimiento. Todo lo expuesto conduce a la ineludible conclusión errónea que ha tenido la propuesta de resolución. Sexta. Sobre el alcance del tratamiento llevado a cabo por la aplicación LALIGA. La propuesta de resolución no niega que el usuario haya sido informado acerca del tratamiento de sus datos, sino que considera que la información no es suficiente a los efectos del principio de transparencia, art. 5.1
48. a)RGPD en base a dos cuestiones fundamentales: -la información en primera capa no es suficiente a fin de garantizar el citado principio y -el derecho de los interesados a ser informados debe reforzarse, ya que no resulta suficiente la información proporcionada al momento de la recogida inicial de los datos, es decir, al momento en que se lleva a cabo la instalación y primer uso de la aplicación, sino que la información debe ser reiterada y llevarse a cabo en cada momento concreto en que se produce la recogida de alguno de los datos. Tales afirmaciones pueden ser rebatidas pues no responden a la realidad del tratamiento que realiza la aplicación, como puede contrastarse fácilmente a través del Informe C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 27/85 Pericial realizado por la Universidad Carlos III de Madrid y por los suscribientes. (acompañado como doc. Nº 4) que viene a señalar, en síntesis, lo siguiente: (
49. i)La aplicación de laliga no lleva a cabo tratamiento de datos personales que se describe en la propuesta de resolución, por cuanto no trata, recoge ni almacena el sonido circundante al terminal del usuario. (
50. ii)El único tratamiento de la dirección IP del usuario es el que lleva a cabo el balanceador del servicio de cloud computing contratado para alojar la información relacionada con la aplicación y los únicos fines de permitir la interconexión entre el dispositivo del usuario y los servidores, sin que almacene en los mismos la citada dirección IP. (iii) El único dato vinculado a una persona, en cuanto la hace singularizarle, que no identificable, es el identificador aleatorio asignado por el prestador de servicios (LA EMPRESA 1) de la LIGA (en adelante FZID), en el momento en que se produce la instalación de la aplicación en el terminal del usuario. Por ello, el tratamiento llevado a cabo por LALIGA no solo no resulta particularmente intrusivo, sino que implica la adopción de garantías reforzadas de responsabilidad activa en el sentido previsto en el Capítulo IV del RGPD. Séptima. Sobre el dictamen pericial emitido a solicitud de LALIGA en relación con el funcionamiento de la aplicación y el tratamiento de datos por parte de esta. Las afirmaciones sobre el tratamiento que realiza la propuesta de resolución se hacen sobre tres actuaciones: (I) (II) (III) La instalación inicial de la app en el dispositivo, La inspección llevada a cabo en fecha de 21 de junio de 2018; y La diligencia llevada a cabo, sin conocimiento de esta parte, los días 8, 9 y 10 de febrero de 2019, a la que se refiere el antecedente sexto de la propuesta, unida a la reproducción de la política de privacidad publicada en el sitio web de la liga. Las afirmaciones, carentes de sustento probatorio son (…) si existe tratamiento de información no anonimizada, pues lo que captura el micrófono es el sonido que se sucede en su campo de acción (que dependerá de la calidad del modelo y de otras circunstancias ambientales) pudiendo contener información personal propia y de terceros. Y deteniéndonos en este primer estadio, no hay duda de que se produce un tratamiento, que engloba entre otras acciones, la recogida, registro, organización, estructuración. Esa posibilidad de recoger datos de carácter personal es la que le hace a este tratamiento, tributario del cumplimiento del principio de transparencia. (…) También se afirma que se produce el tratamiento de la dirección IP y del identificador de usuario, asimilándose el mismo a otros posibles identificadores, cuando se reitero en las alegaciones que el identificador del usuario (FZID) en el tratamiento era distinto a cualquier otro identificador utilizado con fines de promoción comercial o del Google ID de usuario. ¿?. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 28/85 En particular, el informe señala claramente que el identificador atribuido al usuario por la app no permite su identificación. Igualmente constata la única información almacenada en el terminal del usuario, que no incluye en ningún caso, el sonido ambiente. También pone de manifiesto como la función de recogida de la huella de sonido esta programada de forma que ni recoja ni registre ni organice sonidos identificables circundantes al terminal. Así se señala: “Así, aunque el código de la APP tendría la capacidad de guardar en un fichero el sonido captado desde el micrófono, la propia programación de la APP impide que esto pueda llevarse a cabo. (…) así se puede observar, en la porción destacada, cómo se creaba y guardaba un archivo con esa información para posteriormente procesarlo. No obstante, en este caso ese código se encuentra deshabilitado: en este lenguaje de programación, toda línea de código que se encuentre entre los indicadores /* y */ se convierte en no ejecutable” En cuanto al único tratamiento, efectivamente llevado a cabo, es decir, la huella de sonido concluye que el proceso de generación del fingerprint, a partir del audio original, es un proceso de transformación que se puede considerar, con un muy alto nivel de confianza, como irreversible. También analiza el modo en que se procede a la activación o desactivación del acceso al micrófono del terminal del usuario, concluyendo que (…) se puede afirmar que la función de recogida de datos del micrófono se activa durante la emisión de cada partido (…) durante un máximo de 2 horas desde el comienzo de cada parido. (…) los datos del micrófono recogidos por la app tienen una duración de 5 segundos, que se recogen de los dispositivos activados cada minuto y si se detecta en el ambiente la emisión de partidos de LALIGA, o cada 15 minutos en caso contrario” Y en cuanto la posibilidad de revertir la huella digital en una conversación concreta, concluye que “las decisiones de diseño del mecanismo de control de fraude impiden que LALIGA pueda conocer el contenido de ninguna conversación ni identificar a los potenciales hablantes.” La presunción de veracidad y acierto que la normativa procedimental rodea a la actuación de la administración pública, debe quebrar ya que, se aporta el informe pericial que debe considerarse como un principio de prueba suficiente para enervar dicha presunción de veracidad de las actas de la Inspección de Datos. Es decir, la presunción de veracidad ha sido contradicha con el informe aportado. Octava. Consecuencias derivadas del informe pericial descrito en la anterior alegación. El tratamiento no responde a los descrito en la propuesta de resolución, ni LALIGA, ni LA EMPRESA 1, almacenan o utilizan en modo alguno la dirección IP asignada al dispositivo en su conexión a internet durante la celebración de los partidos de futbol. La IP es utilizada por el balanceador del proveedor de servicios de cloud computing para permitir la comunicación entre el dispositivo del usuario y el servidor al que se envía la C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 29/85 información, sin que se lleve a cabo ningún tratamiento distinto al de permitir la comunicación bidireccional de la información entre el equipo y el servidor. Ni se capta, ni se registra ni se almacena en la app. La única información almacenada en los servidores será la referida al FZID que se atribuye aleatoriamente a cada usuario de la app. De modo que se impide a la LIGA la reversión del procedimiento, de forma que no será posible a partir del mero dato del FZID del usuario conocer la IP asociada al mismo y, aun en menor medida, cualquier otro dato que le permita hacerlo identificable. La huella del sonido y la geolocalización únicamente se asocia al FZID, que en ningún caso permitirá una identificación posterior del usuario. Por tanto, no existe información objeto de tratamiento que pueda considerarse dato de carácter personal de acuerdo con lo previsto en el articulo 4.1 RGPD y Co. 26 RGPD. Ni LALIGA ni LA EMPRESA 1 tienen a su disposición medios que permitan la identificación del concreto usuario de la app al que se refiera una huella de sonido o geolocalización, por lo que ha de aplicarle el citado Co. 60, que excluye de la aplicación del RGPD aquellos datos anónimos. Aun cuando negando que no se considere tratamiento de datos sometido a anonimización, no cabria estar ante datos personales, sino que en el peor de los casos estaríamos ante datos seudonimizados, previstos en el artículo RGPD. A pesar de lo expuesto, y en aplicación de los principios de privacidad desde el diseño, y a fin de garantizar plenamente los derechos de los interesados, se adoptarían una serie de medias que resultan esenciales en este caso: -se recogería el consentimiento de los usuarios, para amparar el tratamiento en el art. 6.1 A) RGPD. -se informa de modo, claro y sencillo a los usuarios no de todos los extremos del art. 13 RGPD, sino incluso del modo en que se llevaría a cabo el tratamiento y de la lógica de este. -y tal como se indica en la política de privacidad, se recordaría periódicamente a los usuarios de la app que la misma podrá proceder a la activación del micrófono y a la geolocalización durante los partidos, otorgándoles la posibilidad de confirmar su consentimiento. Por tanto, queda acreditado con la pericial aportada que LALIGA no trata datos que identifiquen de forma directa o indirecta a los usuarios de la app. Novena. Sobre el momento en que LALIGA debe informar para garantizar el cumplimiento del principio de transparencia. En la propuesta del instructor no se niega que se proporcione información a los usuarios, sino que se hace de modo insuficiente, por lo que entiende que debe avisarse cada vez que se active el acceso al micrófono y a la geolocalización del terminal. Frente a lo que cabe indicar lo siguiente: C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 30/85 -ninguna norma de derecho interno y de la UE impone la obligación de informar al afectado en cada concreto momento en que se este llevando a cabo un tratamiento de sus datos. -el usuario no queda indefenso ante un supuesto desconocimiento o posible “olvido” acerca del tratamiento, dado que tiene a su disposición medios suficientes, proporcionados no sólo por LALIGA, sino también por el sistema operativo del dispositivo, para conocer los permisos concedidos. El Co. 39 determina (…) Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. (…) (el énfasis es de LALIGA). Como puede observarse, la dicción del considerando difiere del contenido en la propuesta, dado que el tiempo presente, efectivamente empleado en la misma no se refiere en ningún caso a cada momento en que se produzca el tratamiento, sino al hecho del tratamiento, al que efectivamente se refiere el art. 13.1 RGPD, si bien limitando dicha referencia al momento de obtención de los datos. el RGPD se refiere a que el interesado tenga conocimiento cuando el tratamiento se inicia, pero en ningún caso señala que ese conocimiento deba reiterarse en cada momento en que dicho tratamiento tenga lugar. No es posible interpretar que cuando el RGPD establece que el interesado deber ser informado en el momento de la recogida de sus datos, dicha obligación deba cumplirse en cada momento en que se lleve a cabo una recogida de sus datos. Lo que nos llevaría a interpretar que, por ejemplo, en el caso de una cookie, seria necesaria no solo la leyenda informativa en el momento de instalación, sino que cada vez que el usuario accedería a una concreta página web debería ser informado de todos los tratamientos que implicasen una modificación contenida en las cookies que tuviera en el dispositivo. Este razonamiento, por poco razonable que pudiera parecer el ejemplo, no es sino consecuencia de la extrapolación del razonamiento contenido en la propuesta de resolución, ignorando esta parte porque motivo lo que no sería aplicable a actividades de perfilado o seguimiento, como la cookie, si lo seria para el supuesto planteado en este procedimiento. Conviene traer a colación el Documento WP260 rev01, del Grupo de Trabajo del art. 29 sobre transparencia, que la propia propuesta cita, y teniendo en cuenta, que el ciclo de tratamiento se inicia en el momento en que el interesado consiente que por la app se pueda acceder a las funcionalidades del micrófono y de la geolocalización del dispositivo móvil. , cabe concluir que en citado documento no se impone al responsable ningún tipo de obligación adicional de información posterior a aquella que se produce en el comienzo del ciclo de tratamiento de los datos, únicamente se impone cuando proceda advertir una modificación de la información ya facilitada. Lo que no se produce en este supuesto controvertido. La propuesta cita el Co. 60 en apoyo de sus tesis, y parece concluir que la referencia efectuada a la información adicional no tiene un carácter cualitativo, sino temporal en cuanto que ha de informarse acerca de cada tratamiento. Sin embargo, esa C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 31/85 interpretación no resulta ajustada ni al tenor del RGPD ni a la interpretación que del mismo hace el Documento WP260 rev01, antes citado. Además, la información a través de iconos como indica la propuesta queda sujeta al establecimiento de un previo procedimiento de normalización, tal como indica el art. 12.8 del RGPD, que atribuye a la Comisión Europea la facultad para adoptar actos delegados a estos fines. En conclusión, no existe ninguna norma de derecho de la unión, ni derecho español que imponga a LALIGA la obligación de informar a los interesados acerca del tratamiento de sus datos en cada momento en que el mismo vaya a tener lugar. Sino que esa información hay que darla al inicio del ciclo del tratamiento. Asimismo, en cuanto a la “incertidumbre temporal” que indica la propuesta, entre la instalación de la app, la prestación del consentimiento y el uso del micrófono, y que basa la obligación de informar en los términos requeridos, llevaría a establecer una diferenciación entre los modos de informar, en función de la proximidad a un encuentro determinado, lo que resulta, obviamente, imposible desde un punto de vista técnico. Décima. Sobre el cumplimiento por LALIGA de las exigencias del RGPD y LOPDGDD en relación con el principio de transparencia. Información por niveles o capas. Se hace la oportuna remisión al art. 13 RGPD, al Documento WP260 rev 01, a la propia Guía de la AEPD para el cumplimiento del deber de informar, al art. 11 LOPDGDD, para concluir que fuera de las previsiones contenidas en los elementos citados, ni el RGPD, ni la LOPDGDD imponen obligación adicional de información alguna, vinculada o no a cada recogida concreta de datos que pudiera llevarse a cabo en el futuro. La política de privacidad accesible desde la propia aplicación, y que no fue tenida en cuenta por la AEPD en la diligencia de inspección de los días 8, 9, y 10 de febrero de 2019, al no producirse con ocasión de dicha diligencia el acceso a la misma. En la diligencia se reproduce la información accesible al usuario de la app en la primera capa, que son referidas a las condiciones generales, en cuanto a protección de datos y cuya lectura es necesaria para poder proseguir con el proceso de utilización de la ampliación y sólo una vez leídas esas condiciones y “a continuación” de las mismas, se solicita el consentimiento del usuario en las condiciones que prevé el art. 4.11 RGPD. Estas condiciones legales mencionadas, contienen un enlace a la política de privacidad de la aplicación, accesible en la dirección www.laliga.es/aviso-legal-privacidadcookies/oficial#androidprivacidad, accesible desde el aviso inicial de condiciones legales de la aplicación, e incorpora toda la información exigible en segunda capa. Además de dicha información, se detallan las medidas adoptadas en relación con el uso del micrófono y geolocalización, en concreto: -el acceso a estas funcionalidades solo tendrá lugar durante las franjas horarias en que compitan equipos de LALIGA. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 32/85 -no se accede a fragmentos de audio captados por el micrófono, sino la huella de sonido, -se puede revocar el consentimiento en el centro de suscripciones que se encuentra en el menú de la aplicación. -que por la aplicación se recordara periódicamente el hecho de que puede acceder a dichas funcionalidades, a fin de que el interesado pueda confirmar el consentimiento previamente prestado. En definitiva, se cumple el art. 13 RGPD y el 11 LOPDGDD a través de los medios reconocidos como idóneos en el Documento WP206 rev01. Undécima. Sobre la quiebra del principio de seguridad jurídica. La alarma social que se indica en la propuesta debe referirse únicamente a la presentación de cinco reclamaciones relativas a la revocación del consentimiento que fueron atendidas. La apreciación de la existencia de infracción se basa en consideraciones que no son tenidas en cuenta por el legislador europeo ni español, dado que el deber de informar ha de llevarse a cambo al comienzo del ciclo del tratamiento, tal y como impone el criterio del EDPB. También se indica que no es posible, de la información que ofrece la aplicación, conocer cuándo va a producirse el tratamiento. Sin embargo, se especifica que el tratamiento se producirá en momentos coincidentes con la celebración de encuentros que celebren los clubes de LALIGA. La propuesta se refiere al hecho de que el tratamiento no tenga lugar en el momento en que se prestó el consentimiento, concluyendo que “no puede ser igual, ni sujeto a las mismas formalidades, el consentimiento prestado en un momento dado para que un responsable recopile unos determinados datos y solo esos datos, que el consentimiento prestado para que el responsable pueda en cualquier momento, recopilar datos que por su propia naturaleza son cambiantes o dinámicos ,” lo que conduce a concluir que “el principio de transparencia reclama un recordatorio, marca o señal de que se prestó dicho consentimiento y de que se está produciendo el tratamiento” Pues bien, no existe previsión alguna en la normativa que exija que el modo de cumplir el deber de información difiera según se produzca una única recogida de datos o varias sucesivas. Por lo que, la autoridad de control podría, antes dos supuestos de tratamientos en que se facilite información similar, decidir que en unos se consideraría cumplido el principio de transparencia, mientras que en otro el principio reclamaría el cumplimiento “reforzado” del deber de información, en unos términos que no se prevén en ninguna disposición y que se establecieran en cada caso en función de lo que considerase oportuno la autoridad de control. Semejante conclusión se ha de considerar contraria al principio de seguridad jurídica, garantizado por el artículo 9.3 de la CE. No es posible que el Supervisor, en el C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 33/85 marco de unas actuaciones pueda modificar la interpretación del legislador, sobre la base de unas consideraciones no previstas por el legislador, Finalmente indicar, que las consideraciones que efectúa la propuesta son erróneas, por cuanto: (
51. i)LALIGA ha adoptado numerosas medidas de responsabilidad activa y aplicación de los principios de privacidad desde el diseño a fin de garantizar que los tratamientos supongan una intromisión mínima en los derechos y libertades de los usuarios: -no se recoge sonido, sino una huella acústica que es imposible su reversión a audio. -no se produce el tratamiento de la dirección IP, únicamente se trata la huella de audio y la geolocalización vinculados a un identificador, FIZD, que no se puede vincular a una persona identificable. (
52. ii)la información es la que se exige por la normativa y además se describe la lógica del tratamiento que se llevara a cabo. (iii) LALIGA recordara periódicamente a los interesados las características del tratamiento y solicitara la renovación de su consentimiento. Y para la geolocalización, al contrario de lo indicado en la propuesta, se muestra el icono de acceso a la ubicación, sin necesidad de realizar ningún tipo de desplazamiento por la pantalla. Así se demostró en el documento puf aportado en las alegaciones formuladas al acuerdo de inicio, donde se encontraba un video adjunto, que muestra tal condición en el minuto 1:55 al que se hace la oportuna remisión. Duodécima. Sobre las circunstancias atenuantes y agravantes a las que se refiere la propuesta de resolución. Se reiteran las alegaciones formuladas en al acuerdo de inicio en este ámbito, y se considera efectuar una serie de alegaciones adicionales:
53. a)De las medidas adoptadas para paliar los posibles daños o perjuicios derivados del tratamiento y la inexistencia de negligencia. Si se tomaron medidas en ese sentido, además se adoptaron con posterioridad al inicio del procedimiento otra serie de medidas tendentes a reforzar el principio de transparencia. Como fue, que no se lleve a cabo el tratamiento de datos que permitan una identificación de los usuarios, pudiendo los mismo considerarse anonimizados, y en el más riguroso de los supuestos, seudonimizados. Se resolvió no tratar el dato de la dirección IP para los fines de prevención el fraude y no recogerse sonido alguno captado por el micrófono del dispositivo, ni tampoco en los servidores. La privacidad desde el diseño se acredita, también, a través del Dictamen pericial aprobado y pone de manifiesto el principio de minimización. Todas las consideraciones que se hizo en el informe del despacho de abogados se tomaron en cuenta, salvo la de visualización de un icono referida al acceso al C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 34/85 micrófono, toda vez que, no se produce la captación de sonidos, sino una huella de sonido. Se visualiza el icono de la geolocalización. Además, todas estas medias se tomaron antes de que las funcionalidades volvieran a activarse tras el inicio de la temporada 2018/2019, a fin de garantizar plenamente los derechos de los usuarios: Se modifico el tenor de la información facilitara en primera capa, que resulta imprescindible su lectura para continuar. Se modificó el texto de la cláusula de consentimiento. Se desarrollo una nueva política de privacidad especifica relacionada con el tratamiento, incluyendo términos no obligatorios en el art. 13 RGPD para mayor transparencia, como la lógica del tratamiento. Se estableció un proceso de recordatorios acerca de la posibilidad de acceso a estas funcionalidades. Se estableció la posibilidad de que el usuario revoque el consentimiento, no solo desde el propio sistema operativo del teléfono, sino con un procedimiento adicional.
54. b)Del volumen de sujetos afectados. La propuesta de resolución confunde el universo de usuarios con lo que es simplemente una muestra de los mismos. El numero de 50.000 no se ha aumentado, sino que permanece constante y, además es estática. La activación se produce única y exclusivamente respecto de los mismo 50.000 terminales, no variando en la celebración de cada partido. El número de usuarios es 4.227,848 usuarios, afecta al 1,2% de los usuarios que se han descargado la aplicación, aunque todos ellos hayan dado su consentimiento.
55. c)La inexistencia de conductas infractores por parte de LALIGA. La acreditación del cumplimiento de dicha normativa hasta el presente momento puede ser tenida en cuenta al ahora de establecer la cuantía de la sanción, sin perjuicio de que “lo normal” sea no incumplir, como entiende la propuesta.
56. d)De la colaboración con la AEPD. Una vez publicadas las informaciones respecto de la aplicación, y ante una advertencia relacionada con la posible investigación de los hechos llevada a cabo en las redes sociales (no dirigida a LALIGA), se puso a disposición de la autoridad de control. La argumentación de la propuesta relativa a que existe el deber de colaboración llevaría a la interpretación de que nunca podría aplicarse la atenuante prevista en el art. 83.2
57. f)RGPD.
58. e)C/ Jorge Juan 6 28001 - Madrid De la supuesta gravedad de la infracción. http://www.aepd.es https://sedeaepd.gob.es 35/85 La vulneración, que se niega, únicamente afectaría al hecho de que no se ha reforzado en la medida que la AEPD considera necesaria la citada información para reforzar el principio de transparencia. Es decir, no se imputa que no exista información para cumplir el principio de transparencia, sino que merece un añadido. Concluye LALIGA solicitando: La anulación de las pruebas realizadas de oficio. El archivo del procedimiento. Subsidiariamente, la conversión de la sanción en advertencia. Subsidiariamente a lo anterior, la reducción de la sanción, sin exceder en ningún caso de la establecida en el acuerdo de inicio del procedimiento. Se tenga por aportado el dictamen pericial de acuerdo con el art. 53.1 LCAP, y se ofrece la ratificación del informe de acuerdo con el art. 335 y concordantes de la LECiv, Se cumplan las previsiones relativas al secreto empresarial. NOVENO. - De las actuaciones practicadas han resultado acreditados lo siguientes HECHOS PROBADOS UNO. - El 8/06/2018 se pusieron en marcha nuevas funcionalidades de la appLALIGA referidas a la captación de audio y geolocalización a través de los dispositivos móviles que tuvieran la citada aplicación instalada. DOS. – En fecha de 15/06/2018 y 8, 9 y 10 de febrero de 2019, se procede a instalar la appLALIGA en un dispositivo móvil y una vez instalada la aplicación en el apartado CONDICIONES GENERALES DE USO Y POLITICA DE PRIVACIDAD figuran el apartado 3. USO DEL MICROFONO que indica lo siguiente: (…) sólo en el caso de que aceptes la casilla habilitada al efecto, asi como mediante la ventana emergente que aparece en la APP, LaLiga podrá activar el micrófono de tu dispositivo para conocer si estás viendo partidos de futbol. (…) Y el apartado 4. USO DEL GEOPOSICIONAMIENTO que indica lo siguiente: (…) sólo en el caso de que aceptes la casilla habilitada al efecto, asi como mediante la ventana emergente que aparece en la APP, LaLiga podrá conocer tu ubicación a través del geoposicionamiento de tu dispositivo móvil (…). Ambas cláusulas indican que la finalidad es (…) detectar fraudes en establecimientos públicos no autorizados (…). TRES. - Asimismo, consta un enlace al que se remite la información que aloja la política de privacidad de la web, respecto del momento en que se activa el micrófono, es la siguiente (…) en los momentos en que se estén disputando partidos de competiciones de futbol organizados por LaLiga (…) En el enlace aloja en https://www.laliga.es/lfp se indica que (...)Es una asociación deportiva integrada por todas las sociedades anónimas deportivas y clubes de fútbol de C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 36/85 Primera y Segunda División que participan en competiciones oficiales profesionales de ámbito nacional (…) CUATRO. – La información referenciada en los hechos probados anteriores, se mantiene en idénticos términos a la fecha de 26/03/2019. CINCO. - En fecha de 15/06/2018 se realiza una prueba de instalación y se verifica que, en el momento de la instalación de la appLALIGA, se muestran pantallas emergentes del sistema operativo solicitando permiso para grabar audio y acceder a la ubicación del teléfono. Una vez en la aplicación, no se observa (no se encuentra) ningún icono en la aplicación que muestre la activación del micrófono o la localización, ni iconos o marcas que reflejen la habilitación para su posible activación. Tampoco se encuentra información sobre el estado de estas activaciones dentro de las opciones y los menús de la aplicación. SEIS. - Respecto del funcionamiento de la appLALIGA en relación con la finalidad de detectar fraudes en establecimientos públicos no autorizados la entidad manifestó durante las actuaciones de inspección, entre otras cuestiones, las siguientes: (…)Esta nueva funcionalidad para la detección del fraude está habilitada en la appLALIGA desde el pasado viernes 8 de junio de 2018, solo para usuarios del sistema Android versión 6.0 por su gestión específica de los permisos) o superior y a nivel nacional. Esta funcionalidad utiliza captaciones del micrófono del dispositivo móvil y la ubicación de este (…) (…) Existen unos 10 millones de usuarios de la appLALIGA. No obstante, se ha habilitado un límite de 50.000 usuarios a nivel nacional (solo para España), número máximo de instalaciones con esta nueva funcionalidad, que estiman suficiente como muestra para la finalidad perseguida. Fuera de España se impide esta funcionalidad. (…) Para que los datos del micrófono y la ubicación sean tratados para el fin expuesto, el usuario debe dar su consentimiento aceptando expresamente dichos tratamientos, marcando la casilla habilitada al efecto después de la lectura de las Condiciones Generales de Uso y Política de Privacidad. Sí se registra en el momento de la instalación la dirección IP del dispositivo y un Identificador específico que asigna la appLALIGA al usuario (Identificador de instalación de la appLALIGA). También se recoge el user agent cuyo contenido depende del fabricante, y que normalmente incluye la versión del sistema operativo. o Sólo si decide aceptar, el micrófono captará códigos binarios de fragmentos de audio, con el único objeto de poder conocer si el usuario está viendo partidos de fútbol de competiciones disputadas por equipos de LaLiga, pero nunca se accederá al contenido de la grabación. También se registra la ubicación del dispositivo para compararla con la ubicación de establecimientos de restauración. C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 37/85 (…) Con este procedimiento se puede asegurar que ninguna persona o usuario, ni de LA LIGA ni externo a la entidad, puede acceder a las captaciones sonoras efectuadas por los micrófonos, sino tan solo a unos códigos alfanuméricos –la huella digital-, pues los audios se transforman en el propio dispositivo móvil del usuario (…) (…) La recepción de la ubicación se realiza en un servidor informático de LA EMPRESA 1, recibiéndose por https (cifrado) la latitud y la longitud (ubicación) así como una marca de tiempo, el identificador de usuario asignado por la appLALIGA y la dirección IP del dispositivo. (…) (…) Dado que la ubicación no recoge el parámetro de la altura, no se puede determinar si el usuario se encuentra en un bar a pie de calle o en un domicilio particular o vivienda ubicado a cualquier altura en la misma vertical del establecimiento. (…) SIETE.-. - En el momento de ejecución de la funcionalidad del micrófono del dispositivo que supone la captación de audio, no se ha hallado ningún icono, marca o señal, que indique que se está utilizando el micrófono. La entidad investigada a fecha de 24/01/2019, ha manifestado que no incluirá ninguna marca, señal o icono a este respecto. OCHO. - En el momento de ejecución de la funcionalidad de la geolocalización del dispositivo que supone acceder a la ubicación, se muestra un icono de la geolocalización. NUEVE. - En la inspección realizada, la entidad manifestó, entre otras cuestiones, lo siguientes (…) Para la captación de los datos (micrófono y ubicación) no es necesario que la appLALIGA esté ejecutándose en primer plano, existiendo procesos informáticos ejecutándose en segundo plano (background) en el dispositivo móvil que permiten la recogida de los datos. (…) DIEZ. - Mediante el proceso de detección de fraude realizado a través de la appLALIGA, desde que se produce la captación de la información, pasando por la transformación, y envío a LA EMPRESA 1 y posterior recepción, se somete a tratamiento, al menos la siguiente información: el audio que se capta a través del micrófono, la dirección IP, un identificador de usuario, el sistema operativo y modelo de dispositivo, fecha y hora y ubicación. ONCE.- Consta en la documentación obtenida en las actuaciones previas de inspección, un informe externo a la entidad, realizado con carácter previo a la puesta en marcha de las nuevas funcionalidades, donde se recomienda lo siguiente: (…) el establecimiento de restricciones en la utilización de la funcionalidad, acotando espacios temporales e informándolos previamente al usuario; mostrar avisos o advertencias para recordar de manera frecuente al usuario que los sensores están recogiendo sus datos personales; Incluir en la aplicación un icono específico por el que el usuario pueda conocer en qué momentos LA LIGA recoge audio y ubicación.(…) DOCE: Consta en la documentación obtenida en las actuaciones previas de inspección, información que refleja las reuniones internas en LA LIGA de Privacy by Designa sobre la AppLALIGA, mantenidas en marzo de 2018. (En esta documentación se recomienda anonimizar los datos obtenidos de tal forma que no se pueda asociar a ningún dato personal o identificador. En concreto se recomienda no tratar o recoger identificadores C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 38/85 únicos tales como el IMEI, MAC address, device id, ID de publicidad, número de serie del dispositivo o dirección IP). TRECE: Durante la inspección realizada se puso de manifiesto que la aplicación no contaba con un proceso de revocación de los permisos de uso de las funcionalidades referidas al micrófono y ubicación. Frente a los derechos de oposición, o frente a una revocación del consentimiento, la entidad remitía a la configuración del sistema operativo del dispositivo para desactivar permisos. CATORCE: En fecha de 8,9 y 10 de febrero de 2019, se verificó que la appLALIGA dispone de un procedimiento habilitado para desactivar el uso del micrófono y la ubicación. FUNDAMENTOS DE DERECHO 1. Competencia. En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. 2. Consideraciones Previas. Con carácter previo al análisis del derecho sustantivo aplicable, debe indicarse respecto de las alegaciones formuladas por LALIGA (la entidad investigada en lo sucesivo) referidas tanto a la falta de legitimación de FACUA, como a la base jurídica que legitima el tratamiento que se realiza desde la aplicación (la app en lo sucesivo), que el presente procedimiento se inicia de oficio, por lo que resulta irrelevante a los efectos pretendidos por la entidad denunciada, cualquier pronunciamiento sobre la legitimación de aquella, y respecto de la base jurídica que legitima el tratamiento desde la app, debe indicarse que no se analizan esos aspectos en el presente procedimiento, sino el cumplimiento del principio de transparencia, por lo que se hace innecesario valorar las alegaciones de la entidad investigada a ese respecto. 3. Sobre la práctica de la prueba y su impugnación. La entidad investigada formula alegaciones a la propuesta de resolución, indicado respecto de la prueba practicada que se ha incurrido en la vulneración de lo dispuesto en el artículo 78 apartados 1 y 2 de la Ley 39/2015 de 1 de octubre, (LPACAP en lo sucesivo), a cuyo tenor literal se indica lo siguiente: 1. La Administración comunicará a los interesados, con antelación suficiente, el inicio de las actuaciones necesarias para la realización de las pruebas que hayan sido admitidas. 2. En la notificación se consignará el lugar, fecha y hora en que se practicará la prueba, con la advertencia, en su caso, de que el interesado puede nombrar técnicos C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 39/85 para que le asistan Sobre la base de esta supuesta vulneración, entiende que al no ser notificado se le ha producido indefensión, se incurrió en error de hecho a la hora de su práctica, y que de haber estado presente en la misma, el resultado hubiera sido otro, siendo fundamental anular el resultado de la misma, por cuanto además de ser la única prueba practicada en fase de instrucción, su resultado es el que soporta el aumento del importe de la sanción que inicialmente constaba en el acuerdo de inicio. Frente a tales afirmaciones debe indicarse lo siguiente: La no presencia en la práctica de dicha prueba consistente en la instalación de la aplicación en un dispositivo móvil y en la captura de pantalla de lo que se mostraba en la misma, en modo alguno puede considerarse que se produzca indefensión, ni vulneración de las garantías del presunto infractor tal como se expone a continuación: Como bien indica la entidad investigada, los principios del derecho penal, son aplicables con ciertas matizaciones al derecho administrativo sancionador, por ser ambos campos del derecho, una manifestación del ius puniendi del poder público, y sobre la base de esa aplicación, interesa analizar el principio de contradicción que se deduce que la entidad entiende vulnerado. El Tribunal Constitucional ha propugnado que la presunción de inocencia consagrada en el artículo 24.2 de la Constitución Española (CE en lo sucesivo) exige que en la práctica de las pruebas se asegure al imputado la posibilidad de contradicción. (SSTC 74/2004 de 22 de abril, 131/2003, de 30 de junio y 76/1990 de 26 de abril (…) el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado por el artículo 24.2 de la Constitución al juega de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones (…) Por su parte la STC 56/1998 de 16 de marzo, indica que (…) los valores que subyacen a los derechos fundamentales en juego – la presunción de inocencia – exigen a las diligencias de prueba en el orden administrativo – sancionador – son unas mínimas condiciones objetivas y subjetivas que hagan posible su fiabilidad. Y si las primeras parecen centrarse en (…) la posibilidad de contradicción (…) las segundas aluden a las características del sujeto que las practica (…). Implícitamente el art. 78 LPACP reconoce el derecho al inculpado a presenciar la práctica de las pruebas, pero no es un precepto ideado para inspirar todos los medios de prueba, -ya que no tiene ningún sentido para las pruebas documentales, los informes con valor probatorio, las periciales escritas- ni la jurisprudencia ha declarado que los que si están dentro de su ámbito de aplicación. Únicamente existen dos líneas jurisprudenciales enfrentadas respecto de los careos o testificales, una jurisprudencia minoritaria que se muestra a favor de la presencia del inculpado (STC 31/07/2003; STS 15/07/2000), y la jurisprudencia mayoritaria para la cual no es indispensable la presencia y participación del inculpado en la práctica de la prueba, sino que, para garantizar el principio contradictorio, basta con que se le otorgue ulteriormente la posibilidad de examinar el resultado que se haya obtenido y de alegar al respecto lo que a su C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 40/85 derecho convenga. Para esta línea jurisprudencial no es necesaria, por tanto, la contradicción inmediata: - STC 56/1998 de 16 de marzo, sobre prueba testifical; - STC 3/1999 de 25 de enero, sobre prueba testifical, donde el tribunal pone el acento en que el inculpado (…) ciertas pruebas testificales se hicieron a sus espaldas, con lo que se vio privado de una contradicción inmediata, también es cierto que esta irregularidad no ocasionó al imputado una privación de los medios necesarios para su defensa, porque los testimonios fueron documentados en el expediente (…) y el demandante (…) tuvo la oportunidad de instar lo conveniente sobre tal prueba (…),. - STS 21 de julio 2008 recurso de casación 5469/2004, - sobre la inspección ocular in audita parte- STS de 18 de marzo de 2004, sobre prueba testifical. - STS de 21 de mayo de 2008, sobre los informes emitidos de oficio y sin intervención del imputado: respetan el principio de contradicción si después le son trasladados para que realice las alegaciones oportunas. En el presente caso, la prueba controvertida practicada in audita parte, consiste en la descarga de la aplicación en un dispositivo móvil, y la incorporación al expediente de la información que se muestra en la pantalla de este, a través de un documento, una diligencia. No tiene sentido asegurar la presencia e intervención del inculpado en su realización para garantizar la contradicción a través de su intervención en la misma. En este caso, la contradicción se garantiza facilitando al inculpado una copia del documento que recoja el resultado de dicha práctica. En este sentido conviene traer a colación la STS de 9 de junio de 2003 (rec. 8463/1998) – donde el inculpado, también es LALIGA, y versa sobre la admisión de que el principio contradictorio en los informes con valor probatorio aportados por la Administración se satisfaga en la fase de alegaciones o audiencia. Alegaba – igual que en el presente caso- la vulneración del principio contradictorio, pues el Tribunal de Competencia admitió que en un informe del IMA se incorporara al expediente “con secretismo” ya que “no se dio traslado a los denunciados y ha tenido influencia relevante en la resolución sancionadora” según la sentencia (…) el motivo debe ser desestimado (…) pues tal informe (…) estuvo a disposición de los denunciados en la fase de vista ante el Tribunal de Competencia y pudieron alegar contradictoriamente. Por otro lado, ha declarado reiteradamente el Tribunal Constitucional (por todas, Sentencia 14/1999, de 22 de febrero) que la materialidad de la indefensión “exige una relevante y definitiva privación de las facultades de alegación, prueba y contradicción que desequilibre la posición del imputado”, señalando el Tribunal Supremo en su Sentencia de 16 de noviembre de 2006 (Rec. 1860/2004) que “para que exista indefensión determinante de la anulabilidad del acto es preciso que el afectado se haya visto imposibilitado de aducir en apoyo de sus intereses cuantas razones de hecho y de derecho pueda considerar pertinentes para ello”. Por lo expuesto, en modo alguno puede verse producía ningún tipo de indefensión a LALIGA por no haber estado presente en la práctica de la prueba, ya que su resultado se le ha puesto de manifiesto y ha formulado las alegaciones que ha C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 41/85 tenido a bien, fruto de las cuales se realiza la presente valoración. No obstante, lo anterior, -y partiendo de que la sanción propuesta, al contrario de lo que indica LALIGA, no se basa únicamente en el resultado de la práctica de dicha prueba, -debe estimarse que ha de reconsiderarse su resultado en lo que respecta a la muestra de un icono en la pantalla del dispositivo, únicamente respecto de la activación de la geolocalización, a saber: En la prueba documental aportada en las alegaciones formuladas al acuerdo de inicio, la entidad manifestaba que se incluía un video donde se muestra el icono de la geolocalización, al cual no se tuvo acceso por parte del instructor al indicar éste que en el soporte presentado por LALIGA, - una memoria pen drive- únicamente se halló documentos en formato PDF, y ninguno en formato de video. Sin embargo, tal como alegó LALIGA y como se ha comprobado después – el video figuraba adjunto al documento en formato PDF relativo a un acta de navegación, pudiendo comprobarse lo alegado por la entidad. En el mismo sentido, en la prueba practicada referida a la instalación de la aplicación en los días 8, 9 y 10 de febrero de 2019 (folios 263 a 271) se recoge el resultado que puede resumirse en que no se halla icono alguno respecto de la geolocalización – ni del micrófono-. Debe indicarse que esta prueba, se solicita de oficio por el instructor, sobre la base de que la memoria externa entregada -pen drive – no contenía el archivo en formato de video, (que como ya se ha indicado en el párrafo anterior si lo contenía). Frente al resultado de esta, LALIGA explica que la razón por la que no aparece el citado icono es porque el dispositivo donde se ha realizado la prueba no es uno de los que LALIGA selecciona dentro de la muestra de los 50.000 usuarios. Por lo expuesto, teniendo en cuenta el error de hecho en la práctica de la prueba por parte del instructor, y de las alegaciones formuladas por LALIGA respecto del resultado de la prueba practicada obrante en los folios 263 a 271, debe concluirse que, la aplicación muestra un icono relativo a la activación de la geolocalización cuando ésta se activa, tal y como se recoge en el hecho probado ocho. 4. Sobre la solicitud de prueba “pericial”, sus efectos y demás referencias a la política de privacidad de la ampliación. En las alegaciones formuladas a la propuesta de resolución, LALIGA aporta un informe-dictamen de “peritos” que recoge consideraciones respecto del funcionamiento de la aplicación, y solicita que se incorpore dicho dictamen al elenco probatorio del procedimiento y si el instructor así lo estima necesario, se solicite la presencia de los autores del informe para su ratificación. El derecho a la prueba es un derecho de configuración legal (entre muchas SSTC 131/2003, 96/200; 174/2008) que tiene diversas consecuencias, y en lo que aquí se pretende hacer valer, en cuanto al tiempo y forma sobre su proposición. La jurisprudencia afirma que cualquier proposición de prueba que no se efectúe de la manera y en el momento previstos por la normativa aplicable puede ser rechazada por informal o extemporánea. Así, por ejemplo, conviene citar la STC 131/2003 de 13 de C/ Jorge Juan 6 28001 - Madrid http://www.aepd.es https://sedeaepd.gob.es 42/85 junio, que declara que (…) puesto que se trata de un derecho de configuración legal, es preciso que la prueba se haya solicitado en la forma y momento legalmente establecidos (…) La proposición de pruebas tiene carácter preclusivo en el procedimiento administrativo sancionar, por lo que, pasado el momento de hacerla, la proposición será extemporánea y su desestimación lícita por lo que no vulneraria el derecho fundamental ex art. 24 CE. (lo afirma la STC 131/2003 de 30 de junio y concretamente la SSTSJ de Andalucía, considera extemporánea la petición de pruebas al formular alegaciones a la propuesta de resolución, como pretende LALIGA) En el presente caso, en el Acuerdo de inicio del procedimiento, es cuando se abre el plazo para “formular alegaciones y para proponer pruebas”. Por ello, no es posible admitir a los efectos pretendidos por LALIGA, el dictamen pericial aportado junto a las alegaciones formuladas a la propuesta de resolución ni requerir la presencia de los autores del dictamen para su ratificación. Ahora bien, en la medida en que el informe se incorpora a las alegaciones de la entidad, citándose expresamente párrafos del mismo, podrán ser, -en esa misma medida, objeto de análisis y contestación. En segundo término, sobre los elementos fácticos que se acompañan en el trámite de alegaciones formuladas a la propuesta de resolución, se indica respecto de la política de privacidad referida a la aplicación, que, en la diligencia de prueba practicada