← España

PS-00363-2023

1/45  Expediente N.º: EXP202310096 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8/09/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, reclamado). Los motivos en que basa la reclamación son que para participar en la carrera “Gomera Paradise Trail” se recogen datos personales asociados a vacunas y pruebas diagnósticas COVID. Aporta: 1) Impresión de un mensaje desde “Gomera Paradise”, 19/08/2021, al reclamante, con el logo de “X Gomera Paradise”, “certificado de vacunación o test antígenos o PCR”. Se informa: “tras analizar la situación actual derivada de la pandemia COVID-19, la organización ha decidido solicitar a los participantes, tal y como nos recomiendan los diferentes organismos públicos, lo siguiente: -Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19. -En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba que vaya a realizar, un test PCR o antígenos de resultado negativo. El formato a llevar a cabo será a través de la página web gomeraparadise.com en el que la organización habilitará una zona privada de participante, a través de la cual accederán mediante la ID de inscripción y el email que apuntaron a la hora de formalizar la inscripción(archivo adjunto de la confirmación de la inscripción). En su cuenta dispondrán de un apartado donde puedan adjuntar vía PDF o JPG dicho certificado”. SEGUNDO: La reclamación dio lugar a la iniciación del procedimiento sancionador EXP202103884, código actuación PS/00291/2022, que resultó archivada por caducidad del expediente el 11/07/2023. En dicha resolución se indicaba: “En cuanto a los efectos, el artículo 95 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) señala: “3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/45 En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” “En este caso concreto, fue a los pocos días de cerrado el período de inscripción en la carrera, el 19/08/2021, cuando el reclamado envió a los participantes un email, indicando: “tras analizar la situación actual derivada de la pandemia COVID-19, la organización ha decidido solicitar a los participantes, tal y como nos recomiendan los diferentes organismos públicos, lo siguiente: -Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19. -En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba que vaya a realizar, un test PCR o antígenos de resultado negativo.” La mencionada resolución fue notificada al reclamado el 11/07/2023, y es firme en vía administrativa, al haber transcurrido el plazo de un mes sin que el reclamante haya interpuesto recurso potestativo de reposición. TERCERO: En la fecha en que se dictó el acuerdo de archivo, se estimó que no ha transcurrido el plazo de prescripción de las presuntas infracciones que prevé el artículo 71 y siguientes de la LOPDGDD. En virtud del artículo 95.3, segundo párrafo de la LPACAP, por no estimarse prescritas las eventuales infracciones, en el acuerdo de inicio se incorporaron a este procedimiento, “los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad”, a saber: 1)- Las actuaciones de comprobación de la Subdirección General de Inspección de Datos del EXP202103884, código actuación PS/00291/2022, en concreto con el literal: “La Subdirección General de Inspección de Datos comprobó lo siguiente:

  1. a)Impresión de 21/10/2021, de la página gomeraparadise.com/reglamento/, que contiene el REGLAMENTO DE LA CARRERA: “reglamento X Gomera Paradise Trail21”, del que destaca: -Carrera de montaña organizada por “GOMESPORT EVENTOS” que se celebrará el 10 y 11/09/2021. -De acuerdo con sus modalidades, pueden participar personas a partir de 14 años. -Para participar entre otros requisitos a cumplir, deben formalizar la inscripción cumplimentando un formulario publicado en la página web oficial, www.gomeraparadise.com en el apartado de inscripciones. El plazo para ello va de 14/05 a 15/08/2021. -La aceptación del Reglamento de la carrera se deriva de la formalización de la inscripción de la participación (art. 1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/45 -En el artículo 14 de “recogida de dorsales”, que se realiza una vez inscrito, del 6 al 10/09/2021, figura que “el participante deberá entregar un documento de protocolo covid-19 en el que se compromete a haber cumplido las medidas que en él se estipulan”. -En el artículo 9, se indica que el pago del precio de la inscripción se dividirá en dos: siendo el primero del 14/05 al 14/07/2021.
  2. b)A 21/10/2021, en la página gomeraparadise.com, figura “Política de Privacidad y Protección de Datos”, con el logo de “Gomera Paradise Trial” indicando a: “B.B.B.”, el reclamado, como responsable del tratamiento, “trata los datos de “clientes y visitantes para prestar los servicios solicitados por los usuarios, o para resolver las dudas o cuestiones planteadas por nuestros visitantes”. Se informa que “todos los datos facilitados por nuestros clientes o visitantes de la web serán incluidos en el registro de actividades de tratamiento de datos de carácter Personal” del responsable del tratamiento “imprescindibles para prestar los servicios solicitados por los usuarios, o para resolver las dudas o cuestiones planteadas por nuestros visitantes. “Legitimidad del tratamiento: ¿Por qué necesitamos sus datos? 1.
  3. a)Relación contractual: Es la que aplica cuando compra uno de nuestros productos o contrata alguno de nuestros servicios.
  4. b)Interés legítimo: Para atender a las consultas y reclamaciones que nos plantee y para gestionar el cobro de las cantidades adeudadas.
  5. c)Su consentimiento: Si es usuario de nuestra web, mediante la marcación de la casilla que figura en el formulario de contacto, nos autoriza a que le remitamos las comunicaciones necesarias para dar respuesta a la consulta o solicitud de información planteada.” 1) Como parte de las actuaciones previas, AI/00029/2022, que también figuraban en el acuerdo de inicio precedente, bajo el literal: “- Con fecha 25/01/2022, la Inspección de datos envió un escrito de solicitud de información al reclamado mediante correo postal que fue entregado el día 4/02/2022, según consta en la prueba de entrega del servicio de Correos. Se requirió al reclamado la siguiente información y documentación: “1.- La base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD. 2.- La finalidad del tratamiento. Copia del Registro de Actividad del tratamiento. 3.- Las garantías adecuadas implementadas para la protección de los derechos y libertades de las personas. 4.- Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información facilitada a éstos sobre el tratamiento de los datos. Número de interesados a los que se han recabado los datos y descripción de los datos recabados. 5.- La Evaluación de Impacto realizada o motivos por los que no se ha realizado (para conocer la lista de tratamientos de datos personales que requieren una evaluación de impacto, así como cualquier otra información relacionada con las evaluaciones de impacto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/45 puede consultar la herramienta “Gestiona EIPD” en https://www.aepd.es/es/guias-yherramientas/herramientas/gestiona-eipd) 6.- La decisión adoptada a propósito de esta reclamación. 7.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 8.- Cualquier otra que considere relevante.” Transcurrido el plazo dado sin obtener respuesta al requerimiento, con fecha de 29/03/2022, se reiteró la solicitud de información, teniendo entrada en esta Agencia con fecha 8/04/2022 escrito del reclamado en el que pone de manifiesto lo siguiente: - El evento para el que se solicita la PCR o el certificado de vacunación se trata de un evento privado, “el cual está organizado por él como autónomo y persona responsable del mismo” y se rige por un reglamento que los que participen en la carrera han de aceptar. Su artículo 24, indica que puede ser rectificado, modificado, mejorado en cualquier momento por la organización. - “Todas las inscripciones y todos los datos relevantes captados de los participantes se encuentran alojados en una Plataforma Online De Inscripciones De Eventos Deportivos, la cual se rige por la siguiente política de privacidad, y a través de la cual se vuelca toda la información relevante de todos y cada uno de los participantes, incluyendo tanto el certificado de pauta de vacunación o test.” Aporta transcripción en copia-pega en página de “NORMAS DE USO Y CONDICIONES ACEPTADAS AL REALIZAR UNA INSCRIPCIÓN”, “texto vigente desde el 18/11/2021”, que contiene entre otras, las siguientes cláusulas: 1ACEPTACION 1.1. Está realizando una inscripción a través del sistema de AVAIBOOK SPORTS, que es una solución tecnológica contratada por el gestor de inscripciones del evento y prestada por AVAIBOOK ON-LINE S.L 1.2. Al realizar la inscripción usted acepta expresamente estas Condiciones Generales (CG) en su integridad. 2.CONTRATO 2.1 “Al inscribirse en el evento a través del sistema AVAIBOOK Sports, la relación jurídica que se genera es exclusivamente entre usted -en adelante el inscrito- y el gestor de inscripciones del evento- en adelante GESTOR-. AVAIBOOK simplemente proporciona la herramienta tecnológica que permite gestionar las inscripciones al evento, por lo que carece de responsabilidad alguna sobre la celebración o suspensión del evento, la información facilitada por el GESTOR sobre el mismo, posibles fallos de organización, cualquier daño o perjuicio que pueda sufrir el inscrito o sus pertenencias durante la celebración del evento o por cualquier otro motivo no relacionado con su solución tecnológica. (…) 6. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL 6.1. De acuerdo con lo previsto en el artículo 33 de la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales, AVAIBOOK tendrá la consideración de “Encargado del Tratamiento” y, por tanto, no se considerará comunicación ni cesión de datos al acceso por AVAIBOOK a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/45 datos de carácter personal de los INSCRITOS, a los únicos fines de la prestación del servicio de inscripción en el evento. - Manifiesta el reclamado que dada la situación epidemiológica derivada por la pandemia COVID-19, “tras haber obtenido la autorización de Sanidad para la celebración del evento, consideró oportuno solicitar una de las dos opciones explicadas anteriormente, simplemente con el único y exclusivo motivo de garantizar la seguridad lo máximo posible de todos los participantes del evento y, en su caso, aparecer un brote de dicha enfermedad en el evento, poder tener un mayor control y acotamiento de posibles contagios graves del mismo, todo ello exponiendo toda la información a los entes públicos competentes del mismo.” - Manifiesta el reclamado que “El día 19/08/2021, se envió un mail a los participantes, a través de la plataforma online de inscripciones y solicitando que esa información sea volcada a la plataforma online de inscripción, a través de la cual solamente se puede acceder habiendo formalizado la inscripción y habiendo, previamente, aceptado la política de privacidad de la misma”. El mensaje, del que aporta impresión de pantalla incluía el mismo texto de impresión de mensaje que aportó reclamante, al que le faltaba, continuando aquel literal: “Esta opción estará habilitada desde el lunes 23/08 hasta el domingo 5/09 para la opción del Certificado de Vacunación. En caso de test PCR o Antígenos, deberá aportarlo a la Organización a la hora de la recogida de dorsales. En esta época, si queremos que se sigan organizando competiciones, hemos de adaptarnos a las situaciones actuales. Por último, hay que recordar que, si tienen alguna duda sobre este mail, deben enviar mail a info@gomeraparadise.com, únicamente para dudas, aun creyendo que la información está bastante clara y transparente.” - Manifiesta el reclamado que el día 24/08/2021, “se envía otro email”, literal que aporta como copia-pega: “Ya tienes disponible en tu Zona Privada del Participante la casilla para poder volcar el certificado de vacunación o Certificado pertinente en base a COVID 19 (disponer de inmunidad, disponer de, al menos, una dosis, etc.). Con respecto a las dudas y/o sugerencias que nos han hecho llegar con respecto a dicho certificado, ACLARAMOS: • En ningún momento hemos remitido la obligatoriedad de o se presenta documentación o se elimina al participante del evento. • Dicho certificado se solicita con el fin de poder disponer de las máximas garantías de seguridad en materia COVID-19. Ya que en una época de alerta sanitaria como la que estamos viviendo, creemos que lo mejor para todos es garantizarnos el máximo de seguridad y ser solidarios. • Entendemos que entre tod@s debemos ser solidarios, con el fin de poder celebrar eventos de forma segura y responsable. Por ende, apelamos a la responsabilidad, solidaridad y sentido común para poder hacer de la X GOMERA PARADISE TRAIL un evento seguro y con garantías. …, el procedimiento a llevar a cabo es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/45 Accede a tu Zona Privada: https://inscripciones.gomesporteventos.com/inscripcion/ixgomera-paradise/ zona_privada/logeo/ • Introduce tu ID de inscripción (la puedes encontrar en tu justificante de inscripción). • introduce el mail. • Volcar (de forma solidaria) el certificado de vacunación o certificado que garantice el disponer de anticuerpos, etc.” -Finaliza indicando el reclamado, que: “Con respecto a la decisión tomada a propósito de esta reclamación, al no saber el remitente de esta reclamación, entre 1200 participantes, no podemos confirmar si se tomó una decisión con respecto a la persona denunciante”. 3.- Con fecha 22/04/2022, la Inspección de datos envió un nuevo escrito de solicitud de información al reclamado mediante el servicio de Dirección Electrónica Habilitada Única que fue aceptado por el destinatario el día 25/04/2022. Se requirió al reclamado para que aportara la siguiente información y documentación, sin obtener respuesta, de: 1.- Copia del contrato de encargado del tratamiento suscrito entre el titular de la página web “gomeraparadise.com” y AvaiBook On-Line S.L. 2.- Número total de informes sobre pruebas PCR o antígenos y certificados de la pauta de vacunación completa recogidos de los interesados. Período de conservación de los mismos. 3.- La base jurídica del tratamiento de dichos datos relativos a la salud y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD. 4.- La finalidad del tratamiento. Copia del Registro de Actividad del tratamiento. 5.- La Evaluación de Impacto realizada, o motivos por los que no se ha realizado (para conocer la lista de tratamientos de datos personales que requieren una evaluación de impacto, así como cualquier otra información relacionada con las evaluaciones de impacto, puede consultar la herramienta “Gestiona EIPD” en https://www.aepd.es/es/guiasyherramientas/herramientas/gestiona-eipd).” CUARTO: Con fecha 28/08/2023, se acordó por la directora de la AEPD: “INICIAR PROCEDIMIENTO SANCIONADOR a B.B.B., con NIF ***NIF.1, por la presunta infracción del RGPD, en los siguientes artículos: -9 del RGPD, de conformidad con el artículo 83.5.
  6. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  7. e)de la LOPDGDD. -13 del RGPD, de conformidad con el artículo 83.5.
  8. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  9. h)de la LOPDGDD. -30 del RGPD, de conformidad con el artículo 83.4.
  10. a)del RGPD y calificada como grave a efectos de prescripción en el artículo 73.
  11. n)de la LOPDGDD.” “QUE a los efectos previstos en el art. 64.2
  12. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de tres sanciones de multa administrativa, por la infracción del: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/45 -artículo 9 del RGPD, podría imponerse una sanción de multa, por importe de 8.000 euros. -artículo 13 del RGPD, podría imponerse una sanción de multa, por importe de 6.000 euros. -artículo 30 del RGPD, podría imponerse una sanción de multa, por importe de 1.000 euros.” QUINTO: Con fecha 27/09/2023, se reciben alegaciones del reclamado, manifestando: -La solicitud de datos relacionados con la vacunación COVID y pruebas diagnósticas referidas al evento, se fundamentaron en el consentimiento libre, inequívoco e informado de los interesados, que exime de la prohibición de tratamiento. Añade que el consentimiento puede ser inequívoco y otorgarse de forma implícita, cuando se deduzca de una acción del interesado, como subir sus datos a la plataforma. -El 19/08/2021, el reclamado comunicó a los interesados las normas y condiciones que regularían la celebración del evento, entre ellas, se solicitó la referida documentación, y les comunicó el procedimiento para aportarlos para el caso que decidieran hacerlo, “desde la conciencia y solidaridad para con el resto de las participantes”. Para esclarecer el contenido de dicha documentación, el día 24 del mismo mes y año, el reclamado envió a los participantes un segundo comunicado aclarando el carácter voluntario, opcional y no obligatorio de la aportación de estos datos, precisando el margen temporal (23/08 a domingo 5/09: certificado de vacunación), caso de test PCR o antígenos, deberá aportarlo a la organización a la hora de recogida de dorsales. Considera el reclamado que estos documentos constituyen prueba de la licitud del tratamiento y del consentimiento inequívoco de los usuarios. En el comunicado de 24/08/2021 constaba: “En ningún momento hemos remitido la obligatoriedad de o se presenta documentación o se elimina al participante del evento”, y añade el reclamado que “en ningún caso se impidió la participación en el evento a nadie con motivo de no aportar documentación relativa a datos de salud, como tampoco existió ninguna recogida o comprobación in situ el mismo día del evento”. “Prueba de ello es que el número de participantes del evento ascendió a un total de 1350, y solo 690 de dichos participantes volcaron voluntariamente en la plataforma el certificado en cuestión, existiendo 660 personas participantes sin haber aportado certificado COVID, prueba diagnóstica ni documento similar alguno.” Manifiesta el reclamado que “el día de la carrera no se solicitó certificado de vacunación COVID ni similares, no había nadie solicitando a los participantes ningún tipo de documento a la entrada del evento deportivo”. -Manifiesta el reclamado que la finalidad del tratamiento era garantizar la seguridad y salud de los participantes ante la situación de pandemia y crisis sanitaria derivada del COVID-19, informándose de ello como por ejemplo en el comunicado de 24/08/2021. Manifiesta el reclamado que la intención del reclamado fue actuar con diligencia en cuanto a criterios y directrices que la autoridad sanitaria había dado en aquel momento, teniendo en cuenta que, en la fecha de solicitud y tratamiento de los datos, las medidas y circunstancias eran distintas para quien estaban vacunado de los que no lo estaban. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/45 -Sobre la infracción el artículo 13 del RGPD, indica el reclamado que en las “normas de uso y condiciones”, así como en la “plataforma”, se informó de la identidad y datos de contacto del responsable y su representante, y en el punto 2 de las “condiciones”, que el destinatario de los datos es AVAIBOOK SPORTS, “que efectúa varias remisiones a la políticas del GESTOR, esto es, las políticas de las webs de “GOMERA PARADISE”- en la que se hace remisión a la de GOMESPORT, para información adicional,” y en esta misma, en la que se da información detallada-Aporta DOCUMENTO 1, copia en pantalla de “POLITICA DE PRIVACIDAD Y REGLAMENTO 2023”, extractos, enlace al texto completo en:“ https://gomesporteventos.com/politica-privacidad. En el documento 1, extracto, se aprecia que pese a tratarse de 2023, se ha dejado el literal de que se van a tratar “datos de salud, certificados médicos, de vacunación o pruebas de antígenos aportados por los interesados”, relacionado con “finalidades” “garantizar el desarrollo del evento seguro adoptando las medidas sanitarias…certificados médicos y pruebas de antígenos”. En legitimación reitera que “el tratamiento de los datos de salud se basa en el consentimiento del usuario exigido en el artículo 9.2.a del RGPD que quedará acreditado mediante la subida a nuestra plataforma de la documentación y su exhibición al personal el día del evento. El usuario puede revocar en cualquier momento el consentimiento prestado”. Manifiesta el reclamado que con carácter previo al presente procedimiento y con ánimo correctivo, ya se ha incorporado una cláusula informativa de accesible entendimiento actualizada para el interesado en la plataforma de AVAIBOOK Sport. En ella, se puede leer de forma clara y sencilla todos los detalles sobre la protección de los datos solicitados. Si bien esto se ha realizado con intención de mejorar la gestión del reclamado -quien ha colaborado en todo momento y no ha puesto impedimentos de colaboración con la AEPD- y los eventos que éste organice. En todo momento hubo ánimo de claridad y sencillez en las comunicaciones respecto a los datos de los participantes. Manifiesta el reclamado que si bien es cierto que la información se podría haber proporcionado de una forma más completa, clara y precisa en un único documento; con ocasión de algunas confusiones producidas por la información del tratamiento expuesta en la web del responsable, se consideró oportuno y necesario realizar aclaraciones al respecto. Por este motivo, se comunicó vía correo electrónico los fines y legitimación para el tratamiento de los datos de los participantes del evento. Específicamente, como ya hemos referido al inicio de este documento, se enviaron dos correos electrónicos cuyas fechas y aclaraciones fueron las siguientes: - 19 de agosto de 2021: “En su cuenta dispondrán de un apartado donde puedan adjuntar vía PDF o JPG dicho certificado. Esta opción estará habilitada desde el lunes 23 de agosto hasta el domingo 5 de septiembre para la opción del Certificado de Vacunación. En caso de test PCR o Antígenos, deberá aportarlo a la Organización a la hora de la recogida de dorsales”. - 24 de agosto de 2021: -También aporta el reclamado la respuesta a su solicitud cursada el 14/08/2021 al Servicio Canario de Salud sobre “celebración de evento multitudinario”, por la crisis de la COVID 19, y respuesta de este, fechada el 23/08/2021, manifestando el reclamado que fue recibida el 28/08/2021. Indica que es muestra del tratamiento diligente, dado el interés del reclamado en asegurar su actuación y el correcto desarrollo deportivo con la situación sanitaria nacional y las medidas sanitarias a cumplir. Del DOCUMENTO 2 que aporta, se desprende:  Resulta de aplicación el Acuerdo de Gobierno de Canarias adoptado en sesión celebrada el 5/08/2021, BOC 9/08/2021, por el que se aprueba la actualización de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/45 medidas de prevención establecidas mediante acuerdo del Gobierno de 19/06/2020 para hacer frente a la crisis sanitarias ocasionada por el COVID-19, una vez superada la fase 3 del plan para la transición hacia una nueva normalidad, apartado 3.15 “celebración de eventos deportivos no profesionales, profesionales y federados que se realicen en Canarias”, determinando el comunicado, deberán contar con autorización previa los organizadores de eventos de calendarios oficiales de las federaciones deportivas. En sentido contrario, los organizadores de eventos deportivos programados no necesitarán de autorización previa de la Dirección del servicio Canario de la Salud, si bien deberán dar cumplimiento a lo indicado en el mismo apartado en lo que resulte de aplicación y menciona una serie de medidas según los niveles de alerta, eventos deportivos con aforo de público o medidas de separación interpersonal, de limpieza y desinfección. Deduce el reclamado que, por todo ello, aun es más notorio como se solicitó, la aportación del certificado, “si bien voluntario”, para garantizar la seguridad de los interesados. -Señala que cuenta con un RAT que se adecua al contenido prescrito por el artículo 30 del RGPD y ha realizado los preceptivos análisis de riesgos exigidos por el artículo 32 del RGPD, “obteniendo riesgos que los clasifican como marginales y “aceptables”, adoptando las medidas preventivas y correctivas para que el riesgo residual alcance un nivel “aceptable”. Aporta DOCUMENTO 3, que ha actualizado con la designación del DPD. El citado DOCUMENTO 3 es el RAT de “gestión de evento deportivo”, en el que reproduce lo contenido en parte de la “POLITICA DE PRIVACIDAD Y REGLAMENTO 2023”. Reproduce “legitimación: art 9.2.a RGPD, 6.1.
  13. e)del RGPD y Ley 2/2021 de 29/03, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID 19, “finalidad: identificar a los participantes del evento deportivo, así como la gestión del mismo en garantía de la seguridad y salud de los participantes mediante una adecuada y ágil gestión de prevención ante la situación de pandemia y crisis sanitaria derivada del COVID 19”. En categorías de datos, figura, entre otros, de “salud relevantes para la participación en el evento”, y “en garantía de seguridad en situación de crisis sanitaria-certificado de vacunación COVID)”, y en destinatarios, que se comunicarán a “AVAIBOOK SPORTS “. Aporta en DOCUMENTO 4, la comunicación el 23/06/2023 a la AEPD del nombramiento de Delegado de protección de datos. fechado el 10/07/2023. -Sobre las medidas adoptadas a consecuencia de este procedimiento, indica el reclamado que “ha activado el procedimiento de brecha de seguridad notificando a intervinientes necesarios, analizando y documentando la brecha”, señalando: a. Adopción de medidas de confidencialidad, integridad y disponibilidad b. De conformidad con el artículo 17 de la RGPD, se procedió a la supresión de los datos tras el tiempo estrictamente necesario para el fin para el que fueron solicitados. c. Adopción de medidas para garantizar la resiliencia de los sistemas y servicios de tratamiento, así como de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico. d. Procesos de verificación, evaluación y valoración regulares de las medidas de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/45 e. Seudonimización y cifrado de datos personales. f. Procesos de desvinculación de datos. g. Ejecución de la eliminación de datos. h. Actualización y revisión de las políticas de protección de datos y seguridad. i. Actualización de los procedimientos de gestión de incidentes. j. Incorporación de procedimientos de respuesta a las obligaciones del RGPD. k. Los procedimientos, recursos y medios de detección y gestión (propios o a través de terceros) así como las garantías de que todo lo anterior funciona correctamente. l. Revisión y actualización del procedimiento de notificación de brechas. Documento Nº5 m. Revisión y actualización del procedimiento de ejercicio de derechos involucrando a la figura del Delegado de Protección de Datos. DOCUMENTO Nº6 n. Auditorías periódicas. o. Asimismo, como medida pendiente de ejecución, pero prevista, realizar una nueva formación, cuya fecha se encuentra pendiente de confirmar. p. Actualización de cláusula informativa en la plataforma.” Entiende el reclamado que ha adoptado medidas para evitar ulteriores incidentes de la tipología que trata el procedimiento. Señala el reclamado que concurre la buena fe y el deseo de actuar conforme las directrices y criterios de la autoridad sanitaria en aquel momento y la intención de organizar un evento deportivo sin poner en riesgo a ningún participante -Solicita que se apliquen como atenuantes, que la petición de documentación no supuso beneficio para el reclamado, sino al contrario, por el coste de la plataforma, pero lo hizo para asumir el bien común de los participantes, en beneficio del interés colectivo, y se nombró un DPD voluntariamente y las demás medidas ya indicadas. SEXTO: Con fecha 14/06/2024, se decidió abrir un período de practica de pruebas, acordándose: 1.Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación. 2.Dar por incorporados los documentos que se citan en el acuerdo de inicio y en el que ya expresamente se hacía una referencia a los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/45 3.Asimismo, se dan por reproducidos a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado, y la documentación que a ellas acompaña. Además, se solicita al reclamado, que, aporte o/e informe: 4.Según sus manifestaciones, en la página web de la “X Gomera Paradise Trail” existía un apartado de POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS, de cuyo contenido se dispone en el expediente de la versión impresa de 21/10/2021. Se le solicita que informe en ¿qué apartado de la página web se hallaba dicha información?, si era en la parte general de acceso, o en la parte de inscripción de la carrera, acreditándolo. Con fecha 5/07/0224 se recibe su respuesta, manifestando: “La Política de privacidad que recogía la información necesaria a facilitar a los usuarios, se encontraba incorporada en el momento de la organización del evento en la pantalla de inscripción.” Aporta lo que manifiesta era el ANEXO I, que no coincide con el que figura incorporado al expediente, extraído por la SGID el 21/10/2021, que figuraba en la web de la carrera www. gomeraparadise.com. El que ahora aporta, lleva el logo de GOMESPORT, y no figuraba en el procedimiento. No lleva fecha de la versión o inicio de vigencia. En el ANEXO I aportado, denominado “Política de privacidad www.GOMESPORTEVENTOS.COM, se informa en lo que tenga que ver con la participación en la carrera: “Política de privacidad de un vistazo” - “usamos los datos que nos has facilitado online, o a través de cualquier otro medio para el registro de su inscripción, - ¿Por qué los tenemos? “estamos legitimados a tratar los datos “Cuando se inscribe en cualquiera de nuestros eventos, así como en cualquiera de nuestros formularios”. En el apartado 1, titulado: ¿Quién es el responsable del tratamiento de tus datos?, figura el reclamado, asociado a la web www.gomesporteventos.com, consta una dirección diferente a la de la de otra Política de Privacidad incorporada al expediente el 21/10/2021, y consta la referencia al DPD. También que los datos facilitados por los distintos formularios de recogida de datos serán tratados por el reclamado, y que dicho tratamiento se encuentra recogido en el Registro de actividades de tratamiento. En el apartado 2 “Para que se utilizan tus datos personales”, se indica que “en www.gomesporteventos.com” tratamos datos tanto de usuarios de nuestra web como de terceros que mantienen una relación con nosotros. Diferencia la información por tipo de personas de las que “tratamos los datos”, destacando lo contenido sobre “datos de los participantes que se inscriben en nuestras plataformas a los eventos” en el que informa que trata datos de categoría especial, de salud, certificados médicos, certificados de vacunación o pruebas antígenos aportados por los interesados, y datos identificativos: nombre, apellidos, dirección postal y electrónica, teléfono. En ¿cómo obtenemos tus datos?”, indica que “por el formulario on line que cumplimentas para la inscripción del evento y actividades desarrolladas por GOMESPORT”. “El tratamiento de los datos está supeditado a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/45 aceptación de la política de privacidad mediante la marcación de una casilla incluida en el formulario de inscripción al evento deportivo” En finalidades para las que se van a tratar los datos, señala: “generar y gestionar la documentación asociada a la inscripción, facilitar la información sobre el evento a los que haya inscrito, tramitar sus solicitudes y consultas a través de la web, garantizar el desarrollo de un evento seguro adoptando las medidas sanitarias adecuadas y garantizando la seguridad de todos los participantes mediante la solidaridad mediante la aportación de documentación sobre los certificados médicos y pruebas de antígenos”. En el apartado de legitimación para el tratamiento de datos, se indica que “el tratamiento de los datos de salud se basa en el consentimiento del usuario exigido en el artículo 9.2. a RGPD, que quedará acreditado mediante la subida a nuestra plataforma de la documentación y su exhibición al personal el día del evento. El usuario puede revocar en cualquier momento el consentimiento prestado”. En el apartado ¿por cuánto tiempo conservamos sus datos?, para participantes del evento, se indica que “aquellos datos que son tratados en base al consentimiento del participante se mantendrán mientras resulten relevantes para el fin que fueron recogidos y el consentimiento no sea revocado Los datos de salud pueden ser suprimidos directamente por el participante en la plataforma y serán suprimidos una vez que haya finalizado el evento por parte de GomesSport”. El apartado 4 “información adicional sobre el tratamiento de datos” indica que los datos de carácter personal tratados por el reclamado “pueden ser obligatorios o voluntarios. Mediante los formularios web se le solicitarán datos de categorías especiales para garantizar su privacidad. La aportación de datos de salud no tiene carácter obligatorio, siendo los datos que se van a solicitar en los formularios: 1 datos identificativos, 2 datos relativos en la inscripción, y 3, datos relativos a las transacciones. En el apartado de ejercicio de derechos, se informa además que el reclamado ha nombrado DPD, figurando la dirección (...)@dpocanarias.com y una dirección de ejercicio de derechos diferente al que constaba en política de privacidad de 21/10/2021. Manifiesta el reclamado que “Esta capa informativa se incorporó en el formulario de inscripción, a fin de que los futuros participantes conocieran el tipo de datos que se iban a recoger, así como su responsable, la finalidad, los destinatarios y los derechos remitiendo al aviso legal de la propia web y a la política de privacidad de web www.gomesporteventos.com para acceder a la segunda capa informativa. No obstante, esta capa actualmente no se encuentra operativa puesto que se eliminó el contenido y el enlace a la inscripción del evento” Aporta el reclamado ANEXO II bajo el título “denegación en el acceso al formulario de inscripción”, en el que se la captura de una pantalla de una web SIN IDENTIFICAR A CUÁL CORRESPONDERIA, informando de la “X Trail GOMERA PARADISE”, “el plazo de inscripciones está cerrado” y se ven las pestañas de “inicio”, “zona privada del participante “este evento ya fue celebrado”. Manifiesta el reclamado que “sin perjuicio de lo anterior, en el Aviso Legal de la web https://gomeraparadise.com/aviso-legal/, en concreto, en su apartado 9, relativo a la POLÍTICA DE PRIVACIDAD, se menciona la posibilidad de ampliar la información relativa al tratamiento de los datos”, tal y como se indica en su literal que reproduce, con el tenor: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/45 “El usuario puede consultar cómo el reclamado utiliza sus datos y las medidas de seguridad implantadas en el enlace de Política de privacidad de esta web y en la «Política de privacidad” de la web www.gomesporteventos.com donde podrán ampliar la información sobre el tratamiento de los datos de los participantes en nuestros eventos en el siguiente enlace: https://gomesporteventos.com/politica-privacidad/ Por otro lado, si acudimos al enlace https://gomesporteventos.com/politica-privacidad/ podremos ver el contenido que se muestra en el ANEXO III del presente escrito enmarcado en rojo, donde se hace referencia específica al tratamiento de datos de salud y la base de legitimación, en la cual se incluye el consentimiento expreso del usuario, el cual puede revocar en cualquier momento, si bien este hecho no afecta a los tratamientos realizados con carácter previo.“ A Sobre el ANEXO III que se aporta, en cuanto pueda afectar a los participantes en la carrera, el documento titula “Información relativa al consentimiento”, con el logo de GOMESPORT. Destaca porque empieza en el punto 2 ¿Para qué se utilizan tus datos personales?, coincidiendo la información que proporciona con la misma que se ha visto en el ANEXO I anteriormente citado que aporta el reclamado. B 5. También se solicitó al reclamado que informara: “Sobre la misma información contenida en la POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS, se pide que se aporte la versión que estuviera vigente a la fecha del período de inscripción de la carrera14/05 a 15/08/2021- y de la recogida de datos de salud COVID de 23/08 a 5/09/2021, que fue cuando se recogieron estos datos de salud adicionales (acreditando la vigencia de la versión o versiones). C Responda, además, si dicho contenido informativo sufrió modificaciones después de los correos de 19 y 24/08/2021. Indique la fecha de la versión y aporten copia/s que soporten sus manifestaciones. D (Obsérvese que no se solicita información referida al apartado “NORMAS DE USO Y CONDICIONES AL REALIZAR LA INSCRIPCION”). Respondió que “en todo caso, no se realizó ningún cambio en el texto legal después del correo enviado el 19/08/2021. Aporta en ANEXO IV y V, las capturas de pantallas de los envíos a los participantes de la carrera. En ambos textos figuran enviados desde una dirección gomeraparadise.com en el que ya se ha visto que, en el primer mensaje, de 19/08/2021 se indicaba que los certificados se enviaran a través de la zona privada del participante, en la web www.gomeraparadise.com. Además, en este primer mensaje figura en la parte inferior que “has recibido este correo porque te inscribiste en un evento organizado por GOMESPORT EVENTOS”. En el segundo mensaje de 24/08/2021, se indicaba también que el procedimiento era “accede a tu zona privada: https://inscripciones.gomesporteventos.com/inscripcion/ixgomera-paradise/ zona privada/logeo/, introduce tu ID de inscripción (en el justificante de inscripción y el e mail con el que se inscribieron). En el pie del mensaje se indica: “GOMESPORT EVENTOS-para resolver dudas contáctanos info@gomeraparadise.com. Has recibido este correo porque te inscribiste en un evento organizado por GOMESPORT EVENTOS”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/45 6- Sobre el RAT aportado-Se solicita que aporten la copia del RAT “gestión de evento deportivo” en la versión vigente que se correspondiera con el estadio y situación temporal de la fecha en que se recogieron los datos citados de salud (acreditándolo). Se solicita que expliquen porque el RAT que aportan (refiere el nombramiento ya del DPD 6/2023) contiene la referencia a los datos de salud que se van a recabar o se están recabando, si en el futuro no es previsible la recogida de dichos datos relacionados con la COVID. Respondió que el RAT aportado en sus alegaciones era el vigente a dicha fecha y por ello se incluye la alusión al DPD designado el 29/06/2023, habiéndose modificado a la versión actual en el mes de octubre 2023. Manifiesta que aporta copia del mismo, vigente en el momento de organizar el evento, que según manifiesta ya mencionaba todos los tratamientos de datos que en su momento se estaba realizando, entre ellos los datos de salud, y que estuvo vigente desde 17/08/2021. Aporta ANEXO VII que manifiesta contempla la evolución de las versiones del tratamiento “gestión de evento deportivo”. Se accede a dicho ANEXO. Cada una de las supuestas versiones solo se diferencia por el añadido del literal que le precede, explicativo efectuado para esta respuesta con los títulos “RAT vigente en el momento del evento”, “RAT remitido a la AEPD antes de su revisión íntegra”, “RAT vigente a fecha actual”. Ninguno lleva fecha que pueda correlacionarse con la de su aprobación o renovación/modificación, por lo tanto, no es posible deducir el período inicial en que estuvo vigente. Todos los aportados contienen la información que prescribe el artículo 30, diferenciándose por leves matices en su contenido. En cuanto al supuestamente vigente en el momento de la inscripción en la carrera, que se le ha incluido para la respuesta “RAT vigente en el momento del evento”, figura como destacable: -legitimación, artículo 9.2.
  14. a)RGPD, -finalidad: identificar a los participantes del evento deportivo, así como la gestión del mismo en garantía de la seguridad y salud de los participantes mediante una adecuada y ágil gestión de la prevención ante la situación de pandemia y crisis sanitaria derivada del COVID-19. -categoría de datos: datos identificativos y datos característicos datos de salud relevantes para la participación en el evento. Datos de salud en garantía de seguridad en situaciones de crisis sanitaria (certificado de vacunación COVID).” 7-Sobre el comunicado de 24/08/2021 a los participantes de la carrera, se solicita que envíen copia literal del mismo, en el formato en que fue enviado, forma en la que se enviaba a los participantes y como acreditan que al reclamante o al resto de los participantes les fue enviado y lo leyeron. Se entiende respondido con los ANEXOS IV y V aportados. Añade el reclamado que se remitió a los participantes inscritos a la dirección de correo electrónico que estos incluyeron en el formulario de inscripción cumplimentando, única forma de contacto de la que se disponía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/45 Indica que es en ese “propio correo donde se remite el acceso a la zona privada en https://inscripciones.gomesporteventos.com/inscripcion/ix-gomera-paradise/ zona privada/logeo/,y por ende a su política de privacidad”. Es en ese apartado y en “AVISO LEGAL de la web en el que se informa al interesado que debe acceder periódicamente para verificar los cambios en la política de protección de datos”, “pero el reclamado consideró el correo como la forma de modificar y aclarar las condiciones de participación en el evento”. 8-Sobre el mismo aspecto del punto anterior, si el inicio de la opción para subirlos a la plataforma de los certificados de vacunación al área privada fue desde 23/08 a 5/09/2021, indicar, acreditándolo, los certificados recogidos (número al menos) en las fechas, desde el mismo día 23/08. Respondió el reclamado que los números dados en alegaciones son una cifra estimada de certificados que se recogieron, y no puede corroborar el número exacto, ya que acabado el plazo de la realización del evento se suprimieron, considerando no necesaria su conservación. 9- En sus alegaciones precisan el número de personas que volcaron en la plataforma el certificado. Se le solicita acreditación documental del citado número, o cómo realizaban el conteo. Informen si se producía algún control en la salida de la carrera o en la plataforma contratada respecto de las personas que proporcionaron los certificados, los test o los certificados de recuperación y el número de personas que utilizaron los test antígenos y el certificado de recuperación de la enfermedad, o si pueden desglosar el número que proporcionan en sus alegaciones de 690 personas. Respondió el reclamado que “Durante los plazos de inscripción en el evento se pudo acceder por parte del reclamado a la información respecto de los certificados que se habían aportado. Si bien, no hubo acceso por parte del responsable, ya que sólo era necesario verificar quienes lo habían remitido, y en ningún momento se tuvo acceso al contenido.” Esta afirmación podría ser errónea desde que el reclamado es el responsable y declara que pudo acceder y a continuación dice que no hubo acceso por parte del responsable, que es el mismo. Indica el reclamado que no se dispone de un número exacto de personas que aportan su certificado, además, por que se cesó en la relación con el encargado. Los datos proporcionados en alegaciones fueron obtenidos el 5/09/2021 por conteo de la propia plataforma. Añade que, dado que la aportación de los certificados era voluntaria, no se solicitó el certificado presencial ni tampoco se verificó quien había presentado ese certificado a través de la plataforma sin que se prohibiera la participación de los usuarios que no la facilitaran. La intención inicial era garantizar la seguridad de todos los participantes, aun celebrándose al aire libre. Indica el reclamado que dadas las suspicacias y “los cambios y la comunicación presentada del 28/08 con la autoridad sanitaria, se decidió no tomar medidas de cotejo permitiendo la participación de la totalidad de los inscritos, con independencia del número de participantes que han aportado los certificados”. 10-Informen del sistema que implantaron para la eliminación de los datos de salud recogidos, fecha y como aseguraron que los datos dejaron de tratarse en la plataforma contratada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/45 Respondió que el propio reclamado dispuso que todos los certificados facilitados por los participantes fueran eliminados, ya que no eran necesaria su conservación para ningún trámite posterior, “en especial dada su controversia”. SÉPTIMO: Con fecha 11/07/2024, se emitió propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a B.B.B., con NIF ***NIF.1, por las siguientes infracciones del RGPD: -9, de conformidad con el artículo 83.5.
  15. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  16. e)de la LOPDGDD, con una multa de 8.000 euros. -13 de conformidad con el artículo 83.5.
  17. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  18. h)de la LOPDGDD, con una multa de 6.000 euros -30, de conformidad con el artículo 83.4.
  19. a)del RGPD y calificada como grave a efectos de prescripción en el artículo 73.
  20. n)de la LOPDGDD., con una multa de 1.000 euros” OCTAVO: Con fecha 30/07/2024, se reciben alegaciones del reclamado, manifestando: -1 “En el Reglamento de la carrera, se indica que el organizador de la carrera es GOMESPORT EVENTOS. En el encabezado del documento se incluye su logo, referenciándose a la misma como “responsable del tratamiento”. “En este Reglamento se aporta la primera capa informativa, conteniendo quién es el responsable, la finalidad: inscripción y gestión del evento. Con ello se responde a algunos de los requerimientos exigidos por el artículo 13 del RGPD y a todos los recogidos en el artículo 11 de la LOPDGDD, “al contener la información básica”, en dicho artículo, en el apartado 2.” Indica el reclamado, que se produjo la modificación del Reglamento de la carrera, procediendo a comunicar sus aspectos aclaratorios mediante correo electrónico el 24/08/2021. “Lo dispuesto en el artículo 14 fue un error en la redacción pudiéndose desprender en un principio la obligatoriedad del certificado COVID, del mensaje enviado el día 24/08, se desprende la “rectificación de tal obligatoriedad ahondando más en el carácter solidario, y dando cabida a la base de legitimación del artículo 6.1.
  21. a)del RGPD”. “Por otro lado, examinada la Política de Privacidad de www.gomeraparadise.com, puede extraerse que, con carácter general, ya se informaba a los interesados sobre la identidad del Responsable del tratamiento, entre otros aspectos: “el responsable de la página y de la recogida de datos como “responsable del tratamiento” es B.B.B., que trata los datos de “clientes y visitantes para prestar los servicios solicitados por los usuarios ”. Si bien, en esta Política de Privacidad y protección de datos indica que la legitimación se basa en el artículo 6.1.
  22. b)del RGPD el tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”, en el formulario de inscripción se incluyó una cláusula específica en la cual se apelaba al artículo 6.1.
  23. a)del RGPD para fundamentar tal tratamiento de carácter puntual. “Esto se decidió así, puesto que la recogida iba a tener un carácter limitado en el tiempo y no se creyó conveniente la modificación de la Política de la web en su totalidad, dado que podría inducir a error al resto de los usuarios (la política de la web tiene una redacción genérica para todos los usuarios que acceden a la web, con independencia de que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/45 inscriban o no). Por ello, se optó por la inclusión de una cláusula específica directamente relacionada con las características del evento en el momento de la inscripción. Sin perjuicio de entender como cumplido el deber de información estipulado en el artículo 13 del RGPD mediante la inclusión de la correspondiente Política de Privacidad en la web y la correspondiente cláusula en el formulario de inscripción, viendo que el reclamante manifestó que no había quedado claro el carácter voluntario de la aportación del certificado COVID, un día después de la apertura del periodo de inscripción, es decir, el 24 de agosto de 2021, se envió un correo aclaratorio que ensalzaba el consentimiento como base de legitimación por parte de los usuarios. Con ello, se dejó un margen de 11 días para que aquellos usuarios que lo hubieran subido bajo la creencia de que era obligatorio, lo pudieran eliminar libremente.” “Cabe destacar que el plazo para la aportación del certificado COVID iba desde el lunes 23 de agosto de 2021 al domingo 5 de septiembre del mismo año, reduciéndose, en todo caso, el daño derivado de la confusión que se pudo originar en el participante a un día y dotando a los participantes de la posibilidad de revocar el consentimiento mediante la supresión de la documentación COVID aportada. Así, y para más abundamiento, se remite correo el día 24/08/21, tan solo cinco días después del comunicado del 19/08/24 y un día después de la apertura del plazo para la presentación de la documentación, informando sobre la finalidad para el tratamiento de estos datos, específicamente “dicho certificado se solicita con el fin de poder disponer de las máximas garantías de seguridad en materia COVID-19”. -2 Indica el reclamado, que se muestra en contra del contenido del hecho probado octavo, estimando que no se tuvo en cuenta la información facilitada, y que si bien se suprimió -por motivos de limitación del plazo de conservación-el ENLACE al formulario de inscripción (aporta un link, en el que si se clica da 404 error, y si se pega a la barra de búsqueda del navegador, lleva la reglamento de la carrera de la edición de 2021 (ya visto), y con ello la correspondiente cláusula informativa, se comunicó la finalidad del tratamiento a los participantes en el correo remitido el día 24/08/21. “De igual forma, se informó sobre cómo se recabarían los datos en el primer correo “el formato a llevar a cabo será a través de la página web www.gomeraparadise.com, en el que la Organización habilitará una Zona Privada del Participante”. Estima el reclamado, que la información básica estipulada en el artículo 11.2 de la LOPDGDD se debe dar por facilitada “a través de los correos electrónicos, así como mediante la política de privacidad y protección de datos incluida en la web, obviando lo incluido en la cláusula del formulario de inscripción cuya finalidad principal era la de replicar lo contenido en la política de privacidad y añadir los tratamientos específicos del evento Por su parte, se remitió como prueba para verificar la información que el responsable facilitó a los participantes los textos legales incluidos en la página web www.gomesporteventos.com, que, si bien se ha considerado que no correspondía el envío de estos textos legales al no ser parte del evento, consideramos que se debe aclarar este hecho. Como ya ha quedado demostrado, la página web oficial del evento era www.gomeraparadise.com, tal y como se indicó en el Reglamento. No obstante, y debido a que el Responsable del tratamiento contaba en este momento, y sigue contando actualmente, con dos páginas web, la inscripción se realizaba desde www.gomesporteventos.com, aunque su acceso se realizaba desde C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/45 www.gomeraparadise.com. Por ello, es necesario tener en cuenta la información que se facilitaba a través de estos textos legales, ya que esto supone gran parte de la información facilitada a los participantes. Se vuelve a indicar en los hechos probados, en especial el décimo, la falta de información facilitada a los participantes en relación con la recogida de datos de salud. En este contexto, se considera que ya se ha facilitado dicha información, así como pruebas suficientes para comprobarlo, siendo éstas las siguientes: 1. Reglamento de la carrera (artículo 14 en relación con artículo 24). 2. Política de Privacidad de www.gomesporteventos.com www.gomeraparadise.com. 3. Cláusula insertada en el formulario de inscripción. 4. Correo electrónico remitido el 24/08/21. y Añade el reclamado, que, en otras resoluciones, con la misma infracción, como el expediente, 202312720 no se sancionó, sino que se apercibió, solicitándolo con base a que, de 1350 participantes, voluntariamente presentaron el certificado 690, solo 660 optaron por no dar su consentimiento, entendiendo que este ostentaba carácter solidario y no obligatorio. La cuestión ya se encontraba aclarada mediante correo de 24/08/2021, y dado su carácter puntual, así como la intencionalidad de facilitar a los participantes cuanta información solicitaran. Subsidiariamente, solicita que se reduzca la sanción sobre este artículo. 3-Reitera el reclamado la validez del consentimiento prestado en el art 9 del RGPD, y que este puede ser “inequívoco y otorgarse de forma implícita cuando se deduzca de una acción del interesado (como subiendo sus datos a la plataforma)”. En este caso nos encontramos con una acción activa por parte de los participantes/interesados, que subieron sus datos, constituyendo así un consentimiento explícito. Añade que el carácter voluntario y opcional de aportar los referidos documentos son prueba de la licitud del tratamiento y del consentimiento inequívoco de los usuarios. 4-Sobre el RAT, “se procede a adjuntar en el Documento nº2 la tabla de control de versiones del RAT, donde se incluye el relativo al de “GESTIÓN DE PARTICIPANTES”, a raíz de la nueva petición de la Agencia; no considerando oportuno aportar de nuevo el histórico de versiones que ya dispone la Agencia en los documentos del presente procedimiento.” El documento 2 reza: “Registro de actividades de tratamiento-B.B.B.-Gomesport Eventos” “gestión de eventos deportivos”, “Registro de cambios”, Surge en v.1: “creación inicial “, fecha del cambio “1/05/2021”, v.2: fecha del cambio 17/08/2021 “cambio: Incorporación en los datos recogidos de los participantes de certificado y vacunación COVID”, en la v.3: “cambio: Incorporación de los datos del DPD designado” “fecha 10/07/2023, v.4: “eliminación del RAT de los datos relativos a certificados vacunación COVID y mayor definición en los datos en el tratamiento”, “fecha del cambio 14/10/2023”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/45 5- El reclamado indica sobre las circunstancias que concurrieron: la buena fe, actuó conforme a las directrices y criterios de la autoridad sanitaria en momentos de pandemia y crisis sanitaria con intención de organizar un evento deportivo, sin poner en riesgo a ningún participante, suponiéndole un coste adicional la implantación de la plataforma para velar por el bien común de los participantes. Solicita que se tengan como criterios atenuantes, de conformidad con lo establecido en el RGPD, la falta de obtención de beneficios, la designación voluntaria del Delegado de Protección de Datos y demás medidas ya indicadas a lo largo del presente escrito. NOVENO: A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS 1) La carrera de carácter privado “X Gomera Paradise Trail” se celebró el 10 y 11/09/2021, con diferentes modalidades y con participación abierta para personas mayores de 14 años, según figura en el Reglamento de dicha carrera (RC), en https://gomeraparadise.com/reglamento (versión impresa incorporada al expediente de 21/10/2021). 2) La página web oficial de la carrera, según el reclamado: B.B.B. con NIF ***NIF.1, y el propio RC, era www.gomeraparadise.com. Para participar en la carrera, se debía, rellenar a través de la página un formulario en su apartado “inscripciones”. El plazo para ello fue, desde el 14/05, a 15/08/2021 (artículos 7 y 8 del RC). Dicha cumplimentación implicaba la aceptación de las condiciones y requisitos del RC, (artículo 1), informándose que este podía sufrir modificaciones, rectificaciones o ser mejorado en cualquier momento por la organización (art 24). 3) En el RC, en la versión obtenida para este expediente, que lleva el logo de X TRAIL Gomera Paradise, solo se especificaba inicialmente respecto a los datos relacionados con la COVID 19, en el apartado 14, dentro de “recogida de dorsales”, que se realizaba, una vez inscrito, del 6 al 10/09/2021, que “el participante deberá entregar un documento de protocolo Covid-19 en el que se compromete a haber cumplido las medidas que en él se estipulan”, sin que se acredite que dicho protocolo formara parte del formulario de inscripción. También ser indicaba que estaba organizada por GOMESPORT EVENTOS. En el RC no figuraba aspecto alguno sobre protección de datos personales recogidos. 4) La Subdirección General de Inspección de Datos obtuvo con fecha 21/10/2021 una copia impresa en pantalla, de “política de privacidad y protección de datos”, con la información que constaba en la web de la carrera www.gomeraparadise.com, localizada en https://gomeraparadise.com/politica-privacidad/, conteniendo el logo de X TRAIL Gomera Paradise, informando sobre datos personales, que: - el responsable de la página y de la recogida de datos como “responsable del tratamiento” es B.B.B., que trata los datos de “clientes y visitantes para prestar los servicios solicitados por los usuarios”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/45 -La sede ante la que ejercer los derechos y la opción de plantear una reclamación ante la AEPD. -En legitimación del tratamiento, se informaba solo respecto de los productos o servicios que oferta el reclamante, con la base de legitimación del tratamiento, como “Relación contractual”, derivada de la compra o contratación de sus servicios. Sobre la recogida y tratamiento de datos de salud, no señalaba nada. 5) Consta acreditado, que a los pocos días de cerrado el período de inscripción, el 19/08/2021, el reclamado envió a los participantes un mensaje a través de la plataforma online de inscripciones del evento (afirmación del reclamado en actuaciones previas de investigación el 8/04/2022, con copia impresa del mensaje y aportado en pruebas), solicitando a los participantes de la carrera que “aportaran”: -Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19. (lo subrayado, literal, podría referirse a haber pasado la enfermedad, “debiéndose aportar” certificado a tal efecto). -En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba que vaya a realizar, un test PCR o antígenos de resultado negativo. Para aportar los mencionados documentos, se habilitaba la web de la carrera: gomeraparadise.com, en la “zona privada de participante”, entrando con los datos que se dieron al efectuar la inscripción previa: ID de inscripción asignada y el email que anotaron cuando se inscribieron. El plazo que para ello estableció el reclamado, iba desde 23/08 hasta el domingo 5/09/2021. En caso de test PCR o antígenos, se debía aportar a la organización a la hora de la recogida de dorsales. 6) Con fecha 24/08/2021 (se acredita con captura de pantalla aportada por el reclamado el 8/04/2022 en lo solicitado en pruebas), el reclamado envía otro mensaje a los participantes de la carrera por la misma vía que el de 19/08. El comunicado avisa de que ya está disponible la zona privada del participante para volcar el certificado de vacunación en base a COVID 19, “ante las dudas y/o sugerencias que nos han hecho llegar: En ningún momento hemos remitido la obligatoriedad de o se presenta documentación o se elimina al participante del evento. Dicho certificado se solicita con el fin de poder disponer de las máximas garantías de seguridad en materia COVID-19, por la alerta sanitaria como la que estamos viviendo, creemos que lo mejor para todos es garantizarnos el máximo de seguridad”, apelando a la solidaridad de todos para poder celebrar eventos de forma segura y responsable. En este segundo comunicado, se informa a los participantes que el procedimiento para volcar el certificado de vacunación o certificado que garantice el disponer de anticuerpos, es: accede a tu Zona Privada: https://inscripciones.gomesporteventos.com/inscripcion/ixgomera-paradise/ zona_privada/logeo/ 7) El espacio en el que se almacenaron los datos recabados se había contratado por el reclamado con AVAIBOOK ON-LINE S.L, siendo el sistema de plataforma de inscripción on line para el evento, en el que se alojaban los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/45 8) En alegaciones al acuerdo, el reclamado fundamenta la solicitud de datos de salud a los participantes en la carrera relacionados con la COVID 19, recogidos a partir de 23/08/2021 hasta 5/09/2021, en la obtención del consentimiento, que considera posibilitaría el tratamiento conforme el artículo 9.2.
  24. a)del RGPD. Sin embargo, no se acredita que, existiera alguna cláusula de política de protección de datos, cláusula informativa o medio que explique e informe a los participantes en la carrera en que consistiría el tratamiento, la petición de su consentimiento, en que consistiría tal consentimiento, su finalidad, o cómo se recabaría, para habilitar este tratamiento. 9) El reclamado indicó en alegaciones al acuerdo de inicio, que en la carrera participaron 1.350 personas, volcando en la plataforma el certificado de datos COVID 19, un total de 690 personas, existiendo 660 personas participantes sin haber aportado certificado COVID, prueba diagnóstica ni documento similar alguno. 10) No se acredita que el reclamado informe en modo alguno sobre este tratamiento de datos de salud en el momento de recogerse los datos de los afectados (23/08/2021 a 5/09/2021) en la página de política de privacidad de la carrera www.gomeraparadise.com, titularidad del reclamado, considerando la previsión e inicio de recogida de datos de salud en correos de 19 y 24/08/2021. 11) El reclamante reclama el 8/09/2021, que para poder participar en la carrera “X Gomera Paradise Trail”, se recogen datos personales asociados a la vacuna contra la COVID 19 y certificado de recuperación de la enfermedad, así como pruebas diagnósticas COVID (test antígenos y/o PCR) a elección del participante. 12) Solicitada en actuaciones previas en dos ocasiones al reclamado la copia del registro de actividad del tratamiento (RAT) vigente al momento de la recogida de datos de salud relacionados con la reclamación, no fue aportada sino hasta las alegaciones al acuerdo de inicio del presente procedimiento. El RAT solicitado en pruebas “vigente al momento de la fecha de recogida de los datos de salud”, y aportado comprende el RAT de “actividad de tratamiento: Gestión de evento deportivo”. Contempla variaciones históricas sin ninguna marca de vigencia o período de vigencia o entrada en vigor. Solo incluye en las tres versiones aportadas, el título puesto por el reclamado para diferenciarlo, de: - “RAT vigente en el momento del evento”, -“RAT remitido a la AEPD, antes de su revisión integra” (en alegaciones, donde se aprecia que se contiene la existencia de DPD, hecho que acontece a partir de 6/2023, continuando a dicha fecha referenciando en el apartado de “finalidad” la crisis sanitaria derivada del COVID 19, así como en legitimación una ley de la materia, la Ley 2/21 de 29/03, y - “RAT vigente actual”, según manifiesta el reclamado vigente, desde octubre 2023. De este modo, tampoco acredita la fecha de implantación, ni de vigencia ni actualización en los posteriores. Sustenta el reclamado la vigencia del RAT a la fecha en que se recogieron los datos de salud, a partir del 24/08/2021 a 5/09/2021, con el título: “RAT vigente en el momento del evento” con la mera declaración de que el documento estaba vigente desde 17/08/2021, siendo las otras, dos versiones de este. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/45 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Los datos recabados por el reclamado, primero los relativos a la inscripción en la carrera, y después, a través de certificados de vacunación y pruebas de antígenos o PCRs subidos a la plataforma de la web del reclamado gomeraparadise.com, se incluirían en el concepto de tratamiento de datos personales, incluyendo en un momento posterior al período de inscripciones, los datos personales de salud, cuyo responsable del tratamiento es el reclamado. El artículo 4 del RGPD define: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; (…) 2)”tratamiento” cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” (…) 7)“responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/45 8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” (…) “15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” (…) Al principio, se deduce del Reglamento de la carrera, que no estaba previsto que durante el periodo de inscripción se tuvieran que aportar certificados COVID, pues nada se indicaba en el mismo. No fue sino hasta el 19 y el 24/08/2021, cuando se producen dos envíos a los participantes, inquiriendo el reclamado la responsabilidad de los participantes, aclarando el segundo que no se excluiría la participación a los que no lo aportaran los datos de salud, si bien apelando a la seguridad de la prueba y a la solidaridad. No obstante, el carácter del primero, enviado seis días antes era imperativo en el sentido que indicaba la necesidad por el literal “La organización ha decidido solicitar a los participantes”, y el lugar en el que acceder para ello, y la forma, añadiendo que para la “opción test PCR o antígenos deberá aportarlo a la organización a la hora de recogida de dorsales”. Estos datos de salud, catalogados como datos de categoría especial (“datos sensibles”) en el artículo 9 del RGPD, son considerados así, pues son particularmente sensibles en relación con los derechos y las libertades fundamentales ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y libertades fundamentales. Así se especifica en el considerando 51 del RGPD, que enuncia que merecen especial protección los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para esos derechos y libertades. El Tribunal de Justicia de la UE ha precisado que la finalidad del artículo 9, apartado 1, de dicho Reglamento consiste en garantizar una mayor protección contra los tratamientos de datos que, coma debido a la particular sensibilidad de los datos que son objeto de los mismos, pueden constituir una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal, garantizados por los artículos 7 y 8 de la Carta de los derechos fundamentales, véase en este sentido, la sentencia de 5/06/2023, Comisión/ Polonia- independencia y vida privada de los jueces- asunto c/204/21 apartado 345, y jurisprudencia citada Se puede así, deducir claramente que el reclamado actuó como responsable del tratamiento, según define el artículo 4.7 del RGPD, al decidir y definir llevar a cabo el tratamiento de los datos solicitados, siendo el responsable del cumplimiento de los principios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/45 establecidos en forma de obligaciones en el apartado 1 de dicho artículo 5, en virtud del artículo 5, apartado 2, del RGPD, y debe poder demostrar que se cumplen estos principios. III El tratamiento lícito de datos personales exige que se cumplan los principios de protección de datos previstos en el artículo 5 del RGPD y alguna de las bases de legitimación que determina el artículo 6 del RGPD. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  25. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  26. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  27. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  28. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  29. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  30. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  31. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. Aparte del consentimiento como base jurídica del tratamiento, del resto de las contempladas en el 6.1 del RGPD, todas suponen la “necesidad” del tratamiento, término que se contiene expresamente. En este sentido, el Comité Europeo de Protección de Datos (antiguo Grupo de Trabajo del artículo 29) en su dictamen sobre “Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679” indica que, para tratar categorías especiales de datos, debe encontrarse cobertura en el artículo 9.2 RGPD y una vez excepcionada la prohibición general, hay que acudir a los supuestos del artículo 6 RGPD para dar licitud al tratamiento en cuestión. (…) ”Los responsables del tratamiento solo pueden tratar datos personales de categoría especial si se cumplen una de las condiciones previstas en el artículo 9, apartado 2, así como una condición del artículo 6. (…).” Pudiera existir una base legitimadora para tratar los datos en general del colectivo de participantes en la carrera por el hecho de inscribirse y secundar las normas que se reglamentan, normas en las que, en el apartado 14 del reglamento de la carrera, se indicaba inicial y exclusivamente, tras el apartado de la inscripción: “recogida de dorsales”, que se realiza una vez inscrito, del 6 al 10/09/2021: “el participante deberá entregar un documento de protocolo covid-19 en el que se compromete a haber cumplido las medidas que en él se estipulan”.-documento del que se desconoce también su contenido. En este caso, se tratan datos de personas que se refieren a una prueba deportiva y cuyo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/45 reglamento puede ser modificado, de hecho, lo es por requerimientos que se efectúan el 19 y 24/08/2021, una vez finalizado el período de inscripción de la carrera (el 15/08/2021), basándose, manifiesta el reclamado, en una consulta a organismos públicos que se desconoce y no aporta. Como resultado añadido, se solicita a los deportistas que se han inscrito, la aportación de pruebas COVID o certificado de vacunación, que se recogen, almacenan y conservan (concepto amplio de tratamiento de datos) . En todo caso, se podría estimar que sí existe base legitimadora del tratamiento en general del colectivo que se inscribe en la prueba por guardar relación con su celebración y conectado con su desarrollo. Como elemento a considerar en el tratamiento llevado a cabo, se ha de valorar si el reclamado supera además el umbral que conlleva la prohibición del tratamiento de datos de salud de estos participantes inscritos. Procede reiterar que, en virtud del artículo 5, apartado 2, del RGPD, el responsable del tratamiento es responsable del cumplimiento de los principios establecidos en forma de obligaciones en el apartado 1 de dicho artículo y debe poder demostrar que se cumplen estos principios. Es decir, la carga de la prueba de que los datos personales se tratan con arreglo a la norma del RGPD, recae sobre el responsable del tratamiento, en este caso, el reclamado. Los «principios», objeto del capítulo II del RGPD, incluyen, entre otros, los artículos 5 y 6 de dicho Reglamento. Por otro lado, entre las obligaciones del responsable del tratamiento figura la del artículo 24, que determina: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos.” IV El referido tratamiento de datos de salud, tal como lo define el RGPD, como cualquier tratamiento, impone que los datos personales serán (imperativo) -“recogidos con fines determinados, explícitos y legítimos”, art 5.1.
  32. a)del RGPD. -“adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”, art 5.1.
  33. c)del RGPD Sobre la limitación del tratamiento de datos a lo necesario en relación con los fines para los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/45 que son tratados, se puede sugerir que, si la petición de datos de aportar o no certificados COVID se dejaba a voluntad de los participantes, pondría en duda tal necesidad del tratamiento, por cuanto que los objetivos que el reclamado pretende conseguir dejan de ser necesarios en cuanto se dejan a la voluntad de las personas que van a participar, mostrando los hechos que menos de la mitad de los participantes no lo aportaron, con lo que la eficacia de la medida para el objetivo perseguido, no se cumpliría. A sensu contrario, no se acreditaría la supuesta necesidad o pertinencia de los certificados, junto con la limitación al derecho de protección de datos de los participantes. Los datos de salud que el reclamado solicita tienen que contemplar unos fines, siendo una de sus características, que sean “legítimos”, lo que guarda relación con que la exigencia de una vacuna a un individuo, por regla general no es obligatoria de acuerdo con la normativa vigente en España, y tampoco con la normativa que sobre la enfermedad COVID 19 manifiesta el reclamado. Por tanto, su exigencia ha de basarse en alguna razón que permita y legitime dicho tratamiento, dando el reclamado en alegaciones al acuerdo de inicio, como razón, se reproduce su literal: “la existencia del consentimiento, informado, libre e inequívoco de los interesados, recogido en el artículo 9.2.
  34. a)del Reglamento, como circunstancia que levantaría la prohibición del tratamiento de datos de salud”, cuyos rasgos se analizarán si se cumplen o no. Es preciso recordar que el artículo 9 del RGPD, entre los que figuran los datos de salud, se refiere, como indica su título, al «tratamiento de categorías especiales de datos personales», también calificados de datos «sensibles» en los considerandos 10 y 51 de este Reglamento. El artículo 9 del RGPD, “Tratamiento de categorías especiales de datos personales”, dispone: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  35. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; (…)
  36. b)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; (…)
  37. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/45 adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; (…)
  38. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional, (…) 4.Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” En relación con las circunstancias recogidas en las letras g),
  39. h)e
  40. i)del artículo 9.2 del RGPD, se ha de señalar que la exigencia de ley para restringir derechos fundamentales viene impuesta en la Constitución Española. En palabras del Tribunal Constitucional, en la STC de 76/2019, de 22/05/2019, fundamento jurídico 5 “(…) por mandato expreso de la Constitución, toda injerencia estatal en el ámbito de los derechos fundamentales y las libertades públicas ora incida directamente sobre su desarrollo (artículo 81.1 CE), ora limite o condicione su ejercicio (artículo 53.1 CE), precisa una habilitación legal (por todas, STC 49/1999, de 5 de abril, FJ 4). “Así pues, la reserva de Ley es un requisito constitucional” (…) La cobertura normativa de las medidas que las autoridades sanitarias consideren urgentes y necesarias para la salud pública, e impliquen limitación o restricción de derechos fundamentales, se encuentran en la legislación sanitaria. En concreto, en la Ley Orgánica 3/1986, de 14/04, de Medidas Especiales en Materia de Salud Pública, Ley 14/1986, de 25/04, General de Sanidad, Ley 33/2011, de 4/10, General de Salud Pública. La Ley 2/2021 Ley 2/2021, de 29/03, de medidas urgentes de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada por la COVID19, establece protocolos en los que se contemplen medidas de ventilación, limpieza y desinfección adecuadas a las características de los centros de trabajo, centros, entidades o titulares de actividades económicas. Esta Ley señala que la adopción de medidas necesarias para el cumplimiento de la ley corresponderá a la Administración General del Estado con la colaboración de las comunidades Autónomas. Por lo demás, la “realización de pruebas diagnósticas de infección para la detección del COVID-19 se limita a aquellos casos en los que exista una prescripción previa por un facultativo y se ajusten a criterios establecidos por la autoridad sanitaria competente.” (apartado segundo de la Orden SND/344/2020 de 13/04, por la que se establecen medidas excepcionales para el refuerzo del Sistema Nacional de salud y la contención de la crisis sanitaria ocasionada por el COVID-19, BOE (14/04/2020). La aprobación de unas normas de protección sanitaria relacionadas con las competiciones han de efectuarse, de acuerdo con lo dispuesto en las medidas generales de prevención e higiene frente al COVID-19, por las autoridades sanitarias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/45 Con tal consideración, merece la pena citar, aunque sea a título de ejemplo, el Auto del Tribunal Superior de Justicia de Canarias, de Santa Cruz de Tenerife, sala de lo contencioso-administrativo, sección 2ª, dictó el auto 249/2021 de 29/07/2021. Esta sentencia analizó la norma que en el ámbito de Canarias aprueba la actualización de las medidas de prevención establecidas mediante Acuerdo del Gobierno de 19/06/2020, para hacer frente a la crisis sanitaria ocasionada por el COVID-19, una vez superada la Fase III del Plan para la transición hacia una nueva normalidad, finalizada la vigencia de las medidas propias del estado de alarma. Se trataba en concreto de la resolución de 23/07/2021, BOC 26. El auto declara suspendida la medida de exigir certificado de vacunación completa o prueba test como medida adicional en los accesos a la hostelería y restauración. El reclamado ha manifestado además sobre el consentimiento que “puede ser inequívoco y otorgarse de forma implícita, cuando se deduzca de una acción del interesado, como ejemplo, al subir esos datos a la plataforma que tenía instaurada.” El artículo 4.11) del RGPD define el consentimiento del interesado: ”toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; El considerando 32 señala: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” Como parte de las condiciones para el consentimiento, el artículo 7.1 y 7.3 del RGPD indica que “ 1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.” (…) “3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. Se debe observar que, en la versión del Reglamento de la carrera, de 20/10/2021, solo se mencionaba el apartado 14 de “recogida de dorsales”, que se realiza una vez inscrito, del 6 al 10/09/2021, constando que “el participante deberá entregar un documento de protocolo covid-19 en el que se compromete a haber cumplido las medidas que en él se estipulan”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/45 Por lo que se puede estimar, que fue a raíz de los mensajes enviados a los participantes de 19 y 24/08/2021, como y cuando se instaura la petición de los certificados y datos de salud COVID, fuera del Reglamento de la carrera. Analizando el primer envío de 19/08/2021 que el reclamado dirige a los participantes, no se menciona la voluntariedad ni la necesidad del consentimiento o medidas tendentes a su obtención para ello, sino “ha decidido solicitar” “tal y como nos recomiendan los diferentes Organismos Públicos”. El reclamado no aporta tales recomendaciones, aportando en cambio la respuesta a su petición de autorización para la celebración de la prueba en la que explica las medidas preventivas a adoptar, aportando escrito de dicho Servicio de Salud Canario 23/08/2021 (antes, el reclamado había tomado su decisión). El mensaje enviado por el reclamado a los participantes de la carrera el 24/08/2021, añade información de la que se puede asumir que los certificados se envíen de forma voluntaria, al añadir el literal: “En ningún momento hemos remitido la obligatoriedad de o se presenta documentación o se elimina al participante del evento”, si bien no se contenía información alguna sobre la información que sobre el tratamiento se iba a llevar a cabo y se animaba a remitirlo. No había propuesta alguna sobre tratamiento de datos que se iba a llevar a cabo, con esos participantes que voluntariamente remitirían sus datos de salud. Tampoco mención alguna a la retirada del consentimiento, que en alegaciones a la propuesta el reclamada indica. Así pues, aquellos participantes que decidieron enviarlos, o los que ya lo habían enviado, pues el plazo para ello comenzó el 23/08/2021, no conocían información alguna sobre el tratamiento de tales datos y sus garantías y derechos, aunque fuera voluntario en su caso, aportar los datos, que en nada reduce las obligaciones que el RGPD establece ni los derechos de los afectados, si se prevé como en este caso su recogida. En el considerando 42 del RGPD se añade “…Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales”. Falla así la nota de “informado” que implica que toda la información necesaria debe suministrarse en el momento en que se solicita el consentimiento, y que éste debe abordar los aspectos sustantivos del tratamiento que el consentimiento se propone legitimar. En cuanto a que la manifestación de voluntad sea “inequívoca”…”aceptando” “ya sea mediante una declaración o una clara acción afirmativa”, debe resultar evidente que el interesado ha dado su consentimiento a una operación concreta de tratamiento de datos. No puede deducirse del envío de los citados certificados a la plataforma que se les señala por el reclamado, cuando lo que está claro es lo que se envía, pero no se tiene conciencia de que se está aceptando alguna propuesta, por no existir ninguna a nivel de protección de datos, sobre el tratamiento de sus datos. El consentimiento válido requiere el uso de mecanismos que no dejen ninguna duda de la intención de consentimiento del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/45 Tampoco se puede convenir que el consentimiento sea válido por cuando ha de ser específico. En otras palabras, el consentimiento indiscriminado sin especificar la finalidad exacta del tratamiento no es admisible. Para ser específico, el consentimiento debe ser comprensible: referirse de manera clara y precisa al alcance y las consecuencias del tratamiento de datos. Por tanto, no se acredita que los participantes dieran su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, como señala el artículo 9.2
  41. a)del RGPD, ni que el reclamado lo obtuviera en virtud de dicha base legitimadora. El hecho es que el consentimiento en este supuesto, no se puede derivar de comportamiento como pueda ser la remisión de los certificados COVID, ya que, si no, no sería consentimiento, ni explícito. Por otro lado, en ningún escrito (mensaje), política de privacidad o condiciones de uso de las inscripciones con tercero, se alude a dicho consentimiento. Por tanto, no puede calificarse de informado, libre e inequívoca la prestación del consentimiento por los participantes, con independencia de que la aportación hubiera sido voluntaria, pues cuando se aportaran, y para ello, se debió de haber obtenido dicho consentimiento que además ha de ser explícito, como rasgo distintivo. El término explícito se refiere a la forma en que el interesado expresa su consentimiento. Significa que el interesado debe dar una declaración expresa de consentimiento. Una forma obvia de asegurarse de que el consentimiento es explícito sería confirmar expresamente el consentimiento en una declaración escrita. Cuando proceda, el responsable del tratamiento podría asegurarse de que la declaración escrita sea firmada por el interesado, con el fin de eliminar todas las dudas posibles y la posible falta de pruebas en el futuro. Sin embargo, tal declaración firmada no es la única manera de obtener consentimiento explícito y, no puede decirse que el RGPD prescribe declaraciones escritas y firmadas en todas las circunstancias que requieran un consentimiento explícito. De acuerdo con lo alegado por el reclamado, hubo una información inequívoca, libre e informada. Para ello, se ha de partir de que además este consentimiento que levantaría la prohibición del tratamiento de datos de salud habría de ser “explícito”, que es lo contrario de lo implícito, o deducido por un determinado comportamiento. Por ello, subir los certificados no puede nunca ser calificado como obtención de un consentimiento explícito. Además, faltarían los términos en que se consiente, esto es, “consentimiento informado, libre y especifico”. Se impone a los deportistas en este caso una limitación de su derecho individual y fundamental de sus datos personales, con una triple opción, todas referidas a la información de su salud, que puede consistir en proporcionar al reclamado un certificado de vacunación, “certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19”, que se trata de haber desarrollado anticuerpos por haber padecido la infección, y acreditación de haber pruebas diagnósticas de detección PCR o antígeno. El carácter de voluntariedad en la aportación de los certificados no ha de suponer ignorar los requisitos que el RGPD y la LOPDGDD exige para sus tratamientos, ni la merma en derechos del que considera ha de aportarlos, que como se sostiene en este fundamento, no se atiene a la obtención del consentimiento explícito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/45 Por tanto, las condiciones que pueden levantar la prohibición de tratar datos de categorías especiales se recogen en el apartado 2 del referido artículo 9. Sin embargo, no consta en este caso que concurriera alguna de estas circunstancias en el tratamiento realizado por el reclamado, que fue lo que motivó el inicio del procedimiento, ni la particularmente analizada del consentimiento explícito. Así las cosas, de conformidad con las evidencias de las que se dispone se considera que la conducta del reclamado constituye una infracción del artículo 9 del RGPD. V Otra infracción que se imputa al reclamado es la del artículo 30 del RGPD, por no disponer a fecha del tratamiento de los datos de salud del registro de actividad de tratamiento y que precisa: “1. Cada responsable y, en su caso, su representante llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:
  42. a)el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
  43. b)los fines del tratamiento;
  44. c)una descripción de las categorías de interesados y de las categorías de datos personales;
  45. d)las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
  46. e)en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
  47. f)cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
  48. g)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1. (…) 3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico. 4. El responsable o el encargado del tratamiento y, en su caso, el representante del responsable o del encargado pondrán el registro a disposición de la autoridad de control que lo solicite. 5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/45 pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.” El artículo 30 del RGPD se encuentra dentro del capítulo IV “responsable del tratamiento y encargado del tratamiento”, en la sección 1ª “Obligaciones generales”, relativo a los responsables del tratamiento. El considerando 82 del RGPD, indica: ”Para demostrar la conformidad con el presente Reglamento, el responsable o el encargado del tratamiento debe mantener registros de las actividades de tratamiento bajo su responsabilidad. Todos los responsables y encargados están obligados a cooperar con la autoridad de control y a poner a su disposición, previa solicitud, dichos registros, de modo que puedan servir para supervisar las operaciones de tratamiento.” Este RAT constituye un medio para asegurar el respeto, por parte de esos responsables, de las garantías previstas por el citado Reglamento para la protección de los derechos y libertades de los interesados. Esta obligación general de mantener registros documentados debidamente, incluyendo su cronología y contenido, se enmarca en el principio del artículo 5.2 del RGPD, que indica que: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” rendición de cuentas que precisa que los responsables del tratamiento puedan demostrar el cumplimiento de sus obligaciones en virtud del RGPD. En este supuesto, es claro el riesgo que supone el tratamiento de datos de salud, calificados de sensibles, y la afectación a la propia intimidad referida al tratamiento. Dada la plausible modificación de los registros de actividades de tratamiento, o incluso la extinción a lo largo del tiempo, al variar estas actividades o desaparecer, deben estar actualizados y al día. Los RAT aportados por el reclamado en cuanto a las fechas de vigencia no acreditan fehacientemente que tales versiones en los contenidos que figuran fueran los existentes al momento de recogerse los datos de salud (24/08/2021), aunque el reclamado manifestó que está vigente desde 17/08/2021, sin aportar algún elemento ni indicio del que se induzca a ello. Igualmente, el RAT que se aportó en pruebas, pese a ser de después de junio 2023, alude todavía a recogida de datos de salud por motivos de COVID, y a la finalidad de control de la crisis, lo que acredita la falta de actualización en la llevanza de dichos registros. De acuerdo con todo ello, queda acreditada la infracción del artículo 30 del RGPD. VI El artículo 5 del RGPD, señala entre uno de sus principios” “1. Los datos personales serán:
  49. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/45 El artículo 5.1
  50. a)del RGPD, consagra el principio de transparencia en el tratamiento de los datos personales, puesto en conexión con las obligaciones derivadas de dicho principio, establecidas en los artículos 13 y 14 del RGPD, así como las condiciones generales de la información que debe facilitarse al interesado, contenidas en el artículo 12 del mismo texto legal. Igualmente, el artículo 5.1
  51. a)del RGPD deberá ponerse en conexión con lo establecido en el artículo 11 de la Ley Orgánica 3/2018, de 5/12 (“LOPDGDD”). Este principio de transparencia se materializa según el considerando 39, en la obligación del responsable del tratamiento de informar a los interesados acerca del tratamiento de sus datos personales expuesta de forma concisa, fácilmente accesible y fácil de entender (considerando 58) e informarle sobre la existencia de la operación de tratamiento y sus fines. El artículo 13 del RGPD, señala: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  52. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  53. b)los datos de contacto del delegado de protección de datos, en su caso;
  54. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  55. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  56. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  57. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  58. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  59. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  60. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  61. d)el derecho a presentar una reclamación ante una autoridad de control;
  62. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  63. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/45 tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información” El propio RGPD pone de manifiesto la vinculación absoluta existente entre el principio de transparencia y el deber de información al interesado, cuando rubrica su artículo 12 «Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado», estableciendo en su apartado 1 lo siguiente: «El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13…” La LOPDGDD indica en su artículo 11, “Transparencia e información al afectado: 1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  64. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  65. b)La finalidad del tratamiento.
  66. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679.” En cuanto a la forma y contenido de cumplir con el derecho de información a los afectados en la recogida de datos de salud que se produce tras el envío del mensaje 19 y 24/08/2021, por el que se pasa a exigir la aportación de pruebas o certificados de vacuna, se debe concretar que la página web de la carrera, en política de privacidad, solo menciona a los clientes o usuarios que contratan algún servicio, y en función de ello ofrecen varias legitimaciones. Sin embargo, no se concreta aspecto alguno de la información de la recogida de datos de salud que se contienen en el certificado de vacunación o en los informes de las pruebas diagnósticas necesarios para participar en la carrera. Hay que diferenciar dos momentos en cuanto a la recogida de datos referidos a la COVID 19. En primer lugar, respecto a los formularios de inscripción en la carrera, se produjeron C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/45 tales inscripciones en el periodo abierto para ello, desde el 14/05/2021 hasta el 15/08/2021, de acuerdo con lo que señalaba el Reglamento de la carrera. Ni en el Reglamento de la carrera, ni por lo tanto en ese formulario se acredita que se informara del tratamiento de los datos de la COVID 19, teniendo en cuenta, además, que dicho tratamiento se decide y proyecta en los correos de 19 y 24/08/2021. Así pues, no es posible como manifiesta el reclamado, que, en el formulario de inscripción, estuviera en la web de gomeraparadise o en la web de gomesport, se contuviera algún elemento que informara de que los datos de salud de los participantes iban a ser objeto del tratamiento, ni las cuestiones relacionadas con el mismo (ejercicio de derechos, período de conservación, finalidad del tratamiento, destinatarios etc). No se ha de confundir el momento del formulario de inscripción, con la posterior etapa de opción de subir los documentos de salud iniciada el 23/08/2021. Así pues, cuando se aprueba el reglamento de la carrera no estaba prevista la recogida de los datos controvertidos, por lo que era imposible informar en su formulario de inscripción, como alega el reclamado y sostiene en pruebas. Por otro lado, junto a la fragmentación de algunos aspectos que se ofrecen sobre el tratamiento, genera confusión adicional que se indique en el Reglamento de la carrera que la página oficial de la misma sea gomeraparadise, en la que se han de inscribir, y según alega el reclamado, la información se proporcionara desde otra web, de gomesport, también titularidad del reclamado. Tampoco se acredita que en el espacio para la subida de los certificados de la web del reclamado por la que articulaba la participación, gomeraparadise.com, o gomesport, figurase completa la información que exige el artículo 13, ni siquiera la información básica que señala el artículo 11.1 y 2 de la LOPDGDD, que se apoyan en la base de complementar la citada información, hechos que tampoco acredita el reclamado. Podrían desprenderse trazos de información, pero fragmentarias en distintos elementos: e mails, página de la carrera, política de privacidad, pero ninguno unitario, desestructurados. En la política de privacidad de la web incorporada al expediente, 21/10/21, se indicaba al reclamado para prestación de servicios, sin alusión alguna a los datos de salud, en el e mail de 24/08/21 se adivinaba el fin de la seguridad de la salud de los participantes, pero ninguna información completa referida al cumplimiento de las exigencias del artículo 13 del RGPD en el momento de recogerse los datos, aunque fueran recogidos de manera voluntaria, elemento que nada tiene que ver para que dicha información se proporcionara. Así, sobre el tratamiento de datos de salud referidos a la COVID 19, no resulta verosímil la afirmación hecha por el reclamado en pruebas, punto I, afirmando que la política de privacidad para que los participantes conocieran el tipo de datos que se iban a recoger, se contenía en el formulario de inscripción de la carrera, “en la pantalla de inscripción” como primera capa informativa, remitiendo al “Aviso legal de la propia web” y a la “política de privacidad de la web gomesporteventos.com, para acceder a la segunda capa informativa”. Manifiesta, además el reclamado que el “aviso legal”, se refiere al punto “9 POLITICA DE PRIVACIDAD” que remite con el literal: “El Usuario puede consultar como el reclamado “utiliza sus datos y las medidas de seguridad implantadas en el enlace de política de privacidad de esta web, y en la política de privacidad de la web www.gomesporteventos.com, donde podrán ampliar la información sobre el tratamiento de los datos de los participantes en nuestros eventos en el siguiente enlace https://gomesporteventos.com/politica-privacidad”. Ya se ha visto que, en la política de privacidad de la web de la carrera, versión impresa 21/10/2021 no se contenía información alguna sobre tratamiento de datos de salud objeto de este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/45 Además, acude el reclamado a la política de privacidad de Gomesport, ANEXO III que aportó, web que no es la de la competición, para intentar acreditar que era la cláusula informativa que constaba en la fecha en que se demandó voluntariamente, 24/08/2021, la subida de los certificados COVID 19. Este ANEXO III es una parte del ANEXO I, también aportado en pruebas, también de Gomesport (lleva el logo), y que considera el reclamante con la que los participantes quedaban informados del tratamiento de los datos de la COVID 19. Sin embargo, no se puede dar validez a esta afirmación, no solo por no ser la página web oficial de la competición, o no acreditarse que pudiera figurar en el momento de la inscripción para el evento, ya cerrado desde el 15/08/2021 a 24/08/2021. Tampoco merece verosimilitud por varios factores, destacando: -La acreditación de los hechos o circunstancias del tratamiento, incluyéndose cuándo y cómo se da la información corresponde al reclamado. El documento no porta fecha alguna de la versión, o indicación que haga deducir la fecha de aplicación o vigencia. -Figurando el mismo responsable del tratamiento que en la política de privacidad de la web oficial imprimida el 21/10/2021, las direcciones para ejercer los derechos son distintas. -Figura incorporado el DPD en el aportado en pruebas, hecho que no sucede sino hasta junio 23. -También se confirma que dicha versión facilitada no era la vigente al momento de la efectiva recogida de datos de salud, porque en la respuesta del reclamado en pruebas sobre la información solicitada si tras el correo que indicaba la recogida de datos de salud de 23/08 a 5/09/2021, se había variado la información de la política de privacidad y protección de datos que figuraba en la versión impresa de 21/10/2021, afirmó el reclamado que “no se realizó ningún cambio”. Todo ello teniendo en cuenta que la información a los titulares de los datos se tiene de proporcionar antes de la recogida de los datos. El sentido y efectos de proporcionar una información completa y exhaustiva que prevé el artículo 13, no se cumple con la alusión a que se recogerán datos de modo voluntario o no, o solicitando la solidaridad de los participantes, pues en cualquier caso y en este en concreto, el reclamado realizó la recogida de datos y los trató con una finalidad. El reclamado solo alude a que los participantes suban a la plataforma on line los datos y que en la misma pueden consultar las instrucciones y unas reseñas sobre el encargado de tratamiento. Sin embargo, no fue aportada la cláusula informativa especifica de la recogida de datos de las pruebas COVID o de antígenos/ certificado de vacunación. El considerando 60 indica: “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/45 circunstancias y del contexto específicos en que se traten los datos personales”. El RGPD enumera las categorías de la información que debe facilitarse a un interesado en relación con el tratamiento de sus datos personales cuando estos se obtengan del interesado (artículo 13) . Toda la información referida en estos apartados es igualmente importante y debe facilitarse al interesado. En principio, los datos de los participantes se recogen con su inscripción, periodo que va de 14/05 a 15/08/2021. El pago del precio de la inscripción se produce en un primer plazo, desde 14/05 al 14/07/2021. De acuerdo con lo manifestado por el reclamado, todas las inscripciones y todos los datos relevantes captados de los participantes, se encuentran alojados en una plataforma online de inscripciones de eventos deportivos, la cual se rige por “la siguiente Política de Privacidad, y a través de la cual se vuelca toda la información relevante de todos y cada uno de los participantes, entrando en ella también tanto el certificado de pauta de vacunación o test”, dando a conocer las “normas de uso y condiciones aceptadas al realizar una inscripción”, que informa de que la herramienta tecnológica que permite gestionar la inscripción es prestada por un encargado del tratamiento, sin aportar información alguna sobre el tratamiento que se llevaría a cabo. Junto a ello, el Reglamento de la carrera, señala que, en la página oficial de la carrera, www.gomeraparadise.com (art 4 del Reglamento de la carrera) se cumplimentará el formulario publicado en dicha página web, apartado de inscripciones. En cuanto a las alegaciones del reclamado que manifiestan que en los correos electrónicos de 19 y 24/08/2021 se informaba de los fines y de la legitimación para el tratamiento de los datos, se ha de indicar no ser cierto, por cuanto en los mismos se disponía como llevar a cabo la subida de los certificados a la plataforma y aludía a la difícil situación de la pandemia, y que en época de alerta sanitaria lo mejor para todos es “garantizarnos el máximo de seguridad”, manifestaciones que se hallan lejos del contenido mínimo que señala el artículo 13 del RGPD. Sobre la manifestación realizada en alegaciones de que la información se contenía en las “normas de uso y condiciones”, ya se ha relatado su contenido que informaba sobre el acceso de los datos a la plataforma de un tercero contratada al efecto, como encargado del tratamiento, considerándose que esta figura trata los datos por cuenta del responsable, sin que suponga en modo alguno un tratamiento diferenciado o una cesión de datos a un tercero. El contenido del encargo a un tercero no es preceptivo en la información a proporcionar a los usuarios. Las remisiones que en esas normas de uso y condiciones se contenían al “gestor” (según las alegaciones al acuerdo de inicio) que, por cierto, como GESTOR, no se identifica como el reclamado, no contienen sino manifestaciones generales, y no tienen ningún link como manifiesta en alegaciones a ninguna página del reclamado. Las manifestaciones hechas en alegaciones sobre “AIVABOOK Sports hace varias remisiones a las políticas del GESTOR. Esto es, las políticas de las webs de Gomera Paradise (en la que se hace remisión a la de GomeSport, para información adicional), y en la de GomeSport (en la que se proporciona información detallada)” aportando el documento 1 de alegaciones, resultan pues deducciones de la reclamada sin base alguna, al no verificarse en la página de la carrera conexión alguna con GOMESPORT, o al menos no ha sido explicada por el reclamado, pese a que figure en el Reglamento de la carrera como organizador de la misma, y en la página oficial de esta consta el reclamado como responsable del tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/45 datos que se recaban para la misma mediante el formulario de inscripción. En cuanto al contenido de su alegación de que “con carácter previo al presente procedimiento se ha corregido e incorporado una cláusula informativa de accesible entendimiento actualizada para el interesado en la plataforma de AVAIBOOK”, cabe decir que la aportada en documento 1, referida a su “política de privacidad carrera 2023”, extracto situado en la web gomesport, desconociéndose la relación o función que cumple con la de la carrera, resulta que siendo cláusulas referidas al 2023, continúan contemplando la recogida y tratamiento de datos de salud relacionados con la COVID, pese al transcurso del tiempo, y aludiendo de nuevo al consentimiento. Las manifestaciones sin soporte documental probatorio del concreto período en que se recogen los datos carecen del alcance liberatorio de la obligación exigible a las personas o entidades que tratan datos personales, acreditándose por parte del reclamado el incumplimiento del citado artículo 13 del RGPD. VII Las conductas infractoras se contemplan tipificadas en el RGPD, artículo 83.5: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuan

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.