← España

PS-00484-2023

1/139  Expediente N.º: EXP202315637 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES..........................................................................................................3 PRIMERO: Denuncias presentadas...........................................................................3 SEGUNDO: Acuerdo de actuaciones previas de investigación..................................3 TERCERO: Inicio de actuaciones previas..................................................................4 3.1 Petición de información a la LNFP....................................................................4 3.2 Petición de información al C.S.D.....................................................................11 CUARTO: Petición de información adicional............................................................14 4.1 Petición de información adicional a la LNFP...................................................14 4.2 Petición de información adicional al C.S.D......................................................19 4.3 Petición de información a la SOCIEDAD ESPAÑOLA DE FÚTBOL PROFESIONAL SAU (SEFPSA)............................................................................................................. 20 QUINTO: Volumen de negocio de la LNFP..............................................................23 SEXTO: Acuerdo de inicio........................................................................................23 SÉPTIMO: Petición de ampliación de plazo y copia del expediente.........................24 OCTAVO: Alegaciones de 25/01/2024......................................................................24 NOVENO: Auto de la AN de 2/04/2024, pieza separada medidas cautelares..........33 DÉCIMO: Segundo y tercer escrito de la reclamada de alegaciones.......................34 DÉCIMO PRIMERO: Propuesta de resolución.........................................................35 DÉCIMO SEGUNDO: Alegaciones a la propuesta de resolución.............................35 1- “Vulneración de los derechos de la liga y fundamento de derecho de la propuesta” 36 2-“El presupuesto esencial de la propuesta de resolución”...................................41 3- “La LNFP no puede ser considerada en ningún caso responsable del tratamiento de los datos personales con la finalidad de acceso a los estadios”.................................47 4- “Imposibilidad material de que la liga pueda llevar a cabo una EIPD”..............54 5- “Vulneración de los principios del derecho sancionador en la determinación de la sanción propuesta”............................................................................................................. 54 HECHOS PROBADOS................................................................................................68 PRIMERO:............................................................................................................... 68 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/139 SEGUNDO:.............................................................................................................. 68 TERCERO:............................................................................................................... 69 CUARTO:................................................................................................................. 70 QUINTO:.................................................................................................................. 71 SEXTO:.................................................................................................................... 71 SÉPTIMO:................................................................................................................ 72 OCTAVO:.................................................................................................................. 72 NOVENO:................................................................................................................. 72 DÉCIMO:.................................................................................................................. 73 DÉCIMO PRIMERO:................................................................................................73 DÉCIMO SEGUNDO:...............................................................................................74 DÉCIMO TERCERO:................................................................................................74 FUNDAMENTOS DE DERECHO.................................................................................75 I Competencia.......................................................................................................... 75 II Régimen jurídico de la venta de abonos y entradas a los estadios- Relación con sus accesos a los recintos deportivos. Estatuto de la LNFP............................................75 2.1. Régimen jurídico de la venta de abonos y entradas a los estadios- Relación con sus accesos a los recintos deportivos............................................................75 2.2. Estatuto de la LNFP.......................................................................................79 2.3. Normativa legal y reglamentaria en materia de antiviolencia.........................84 III Definición de datos de carácter personal y de datos biométricos.........................85 3.1. Datos personales...........................................................................................85 3.2. Datos biométricos..........................................................................................87 3.3. Sistema biométrico de la LNFP......................................................................91 3.4. Conclusión.....................................................................................................93 IV Responsable del tratamiento................................................................................93 V Obligaciones presuntamente incumplidas por la LNFP- Evaluación de Impacto de Protección de Datos...............................................................................................106 VI Respuesta a alegaciones...................................................................................115 VII Tipificación y calificación de la infracción..........................................................124 VIII Propuesta de sanción......................................................................................124 IX Adopción de medidas.........................................................................................138 RESUELVE:............................................................................................................... 139 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/139 ANTECEDENTES PRIMERO: Denuncias presentadas. Con fecha 4/11/2022, la Agencia Española de Protección de Datos ha tenido conocimiento a través de una denuncia, de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. El denunciante manifiesta que la Comisión Permanente de la Comisión Estatal contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte (CEVRXID), dependiente del Consejo Superior de Deportes (C.S.D.) ha adoptado un acuerdo, según el cual, el acceso a las gradas de animación en los estadios de fútbol se llevará a cabo a través de control biométrico. Añade, que en algunos equipos de fútbol ya están adoptando estas formas de acceso, incluso para acceso al resto de zonas del estadio. Considera que el tratamiento llevado a cabo supone un “exceso en el sentido del artículo 5.1

  1. c)del RGPD”, y que “los mismos controles de acceso se pueden llevar a cabo a través de abonos nominales y, si por cuestiones de seguridad fuese necesario, mediante la solicitud de exhibición del DNI.” Con posterioridad, el día 22/03/2023, se acusó recibo de una nueva denuncia (número de registro ***REFERENCIA.1) que apunta la implementación por parte de la LIGA NACIONAL DE FÚTBOL PROFESIONAL (LNFP), a través del REGLAMENTO GENERAL DE LA LIGA NACIONAL DE FÚTBOL PROFESIONAL, (RGLNFP), de mecanismos de control de acceso a los estadios de fútbol basados en datos biométricos. Según una noticia que acompaña el ***URL.1., en el estadio “***ESTADIO.1”, se ha implantado el acceso mediante reconocimiento facial. Expresa este denunciante que estas actuaciones implican el tratamiento de categorías especiales de datos personales, debiendo en tal caso cumplirse el artículo 9 del RGPD. Aporta copia del RGLNFP (versión aprobada por el C.S.D. en sesión de 7/11/2022), en cuyo LIBRO XII se regula el “Reglamento de venta de abonos y entradas”, (RVAE) y el artículo XII.2 “condiciones para la venta de abonos en gradas de animación.” SEGUNDO: Acuerdo de actuaciones previas de investigación Como consecuencia de la denuncia, la Directora de la Agencia Española de Protección de Datos, acuerda el 2/1/2023 la realización de actuaciones previas de investigación de conformidad con lo establecido en el artículo 67 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con el fin de lograr una mejor determinación de los hechos y las circunstancias que justifiquen la tramitación del procedimiento. TERCERO: Inicio de actuaciones previas La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para la determinación de los hechos en cuestión, EXP202213792, AI/00444/2022, por la asignación de las funciones atribuidas a las autoridades de control en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/139 el artículo 57.1 y los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. 3.1 Petición de información a la LNFP Con fecha 17/02/2023, se solicita a la LNFP en relación con los controles de acceso a los estadios de los Clubes y SAD (sociedades anónimas deportivas), miembros) que forman parte de la LNFP, lo siguiente: 3.1.1. Aportar el conjunto de normas, instrucciones, recomendaciones, etc. aprobadas por la LNFP y actualmente en vigor en relación con los distintos aspectos del tratamiento de datos personales (principios, bases de legitimación, categorías especiales de datos, deber de información, derechos de los interesados, plazos de conservación etc.) derivado del control de acceso a los estadios de sus miembros. Indicar para cada una de las normas referidas, la fecha desde la que se encuentra en vigor, si tiene carácter de recomendación u obligación, y si la aprobación de sus términos deriva de la promulgación de normas de carácter estatal. La LNFP respondió con fecha 10/03/2023. Cita el artículo 56.3 de la ley 39/2022 del Deporte, de 30/12, BOE 31/12/2022, entrada en vigor desde el día siguiente a su publicación, (LD 2022) la ratificación por el C.S.D. de los estatutos sociales y reglamentos de la LNFP. Manifiesta que los reglamentos aprobados por la LNFP para el adecuado desarrollo de la competición no proceden de la mera voluntad unilateral de aquella, sino de su aprobación por el C.S.D., constituyéndose en actos administrativos emanados de dicho órgano, siendo por tanto susceptibles de recurso contencioso administrativo. Indica que la LNFP carece de capacidad para adoptar normas reguladoras de las competiciones sujetas a la misma, siendo preciso el refrendo de la Administración Pública. Considera que todas las normas que se han solicitado fueron aprobadas por el C.S.D. Cita la doctrina de la sentencia del Tribunal Supremo de 19/02/2020, recurso de casación 670/2018 como ejemplo de naturaleza jurídica de la LNFP en un asunto de resolución en ejercicio de sus competencias por la Asociación de Clubs de Baloncesto (Liga Profesional de baloncesto) por la negativa a inscribir a un Club, tomada en desarrollo de su Reglamento. La cuestión era si el C.S.D. era competente en los recursos contra resoluciones adoptadas por la citada Asociación. La sentencia indica (fundamento de derecho tercero): “Las Ligas Profesionales son una de las formas de asociación deportiva contempladas en la Ley 10/1990, de 15 de octubre, del Deporte (LD) y son definidas como “asociaciones de Clubes que se constituirán, exclusiva y obligatoriamente, cuando existan competiciones oficiales de carácter profesional y ámbito estatal, según lo establecido en el artículo 41 de la presente Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/139 El artículo 41 dispone que ”1. En las Federaciones deportivas españolas donde exista competición oficial de carácter profesional y ámbito estatal se constituirán Ligas, integradas exclusiva y obligatoriamente por todos los Clubes que participen en dicha competición. 2. Las Ligas profesionales tendrán personalidad jurídica, y gozarán de autonomía para su organización interna y funcionamiento respecto de la Federación deportiva española correspondiente de la que formen parte. 3. Los Estatutos y reglamentos de las Ligas profesionales serán aprobados por el Consejo Superior de Deportes, previo informe de la Federación deportiva española correspondiente, debiendo incluir, además de los requisitos generales señalados reglamentariamente, un régimen disciplinario específico. 4. Son competencias de las Ligas profesionales, además de las que pueda delegarles la Federación deportiva española correspondiente, las siguientes:
  2. a)Organizar sus propias competiciones, en coordinación con la respectiva Federación deportiva española y de acuerdo con los criterios que, en garantía exclusiva de los compromisos nacionales o internacionales, pueda establecer el Consejo Superior de Deportes.” La sentencia interpreta que si la materia recurrida se relacionaba con la competencia de organización general de las competiciones que es competencia de las Federaciones (en las que se integran las Ligas ) desarrolladas como contenidas en el apartado
  3. a)del artículo 33.1 de La ley 10/1990, de 15/10, del Deporte: “calificar y organizar en su caso las actividades y competiciones deportivas oficiales de ámbito estatal, bajo la coordinación y tutela del C.S.D..”, son actos realizados en el ejercicio de las funciones públicas de carácter administrativo que define el artículo 3.1 del Real Decreto 1835/1991 de 20/12, sobre Federaciones Deportivas Españolas y Registro de Asociaciones Deportivas, recurribles ante el C.S.D.. -Manifiesta la LNFP que “La cuestión solicitada se encuentra reflejada en el artículo XII.2 “Reglamento de venta de entradas”, dentro del RGLNFP, aprobado por la Comisión Directiva del Consejo Superior de Deportes el 23/12/2015, que aporta como DOCUMENTO 1, en su versión aprobada por C.S.D. el 7/11/2022, informando que el mencionado artículo XII.2 no ha sido objeto de modificación alguna desde su aprobación. Como DOCUMENTO 2, aporta certificación del acuerdo de aprobación de la modificación del RGLNFP por parte del C.S.D., que tuvo lugar en su sesión de 23/12/2015, referido específicamente a que la modificación incorpora como nuevo, el LIBRO XII del RGLNFP, sobre “venta de abonos y entradas” (Reglamento de venta de abonos y entradas, RVAE) En el certificado, figura en “antecedentes de hecho”: “PRIMERO-Tuvo entrada en este Organismo escrito de la Liga Nacional de Fútbol Profesional comunicando la aprobación, por la Asamblea General de la LNFP, de la modificación del Reglamento General, y solicitando su aprobación definitiva por la Comisión Directiva del Consejo Superior de Deportes (C.S.D.). La modificación incorpora dos nuevos Libros, el Libro XI sobre comercialización de derechos audiovisuales, y el Libro XII que versa sobre la venta de abonos y entradas. Segundo.- Obra en el expediente Certificado expedido por el Secretario General de la LNFP, en el que se hace constar que las modificaciones fueron aprobadas por la Asamblea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/139 General Extraordinaria de la Liga Nacional de Fútbol Profesional, de conformidad con lo dispuesto en el artículo 11.
  4. b)de sus Estatutos Sociales. Constan informes de las Subdirecciones Generales de Alta Competición, de Deporte Profesional y Control Financiero y de Régimen Jurídico del Deporte del C.S.D. La RFEF no remitió el informe solicitado a este respecto por lo que no consta en el expediente.” En los fundamentos de derecho del citado acuerdo, figura “PRIMERO”-La Comisión Directiva del C.S.D. es competente para conocer de la solicitud presentada, en virtud de lo previsto en los artículos 10. 2. b), de la Ley 10/1990, de 15 de octubre, del Deporte, y el 3.b), del Real Decreto 1242/1992, de 16 de octubre, por el que se regula la composición y funcionamiento de la Comisión Directiva. Segundo.- En este sentido, se debe señalar que el acuerdo que la Comisión Directiva ha de adoptar pasa por el examen de si la aprobación de las modificaciones reglamentarias propuestas, se ajustan o no a la normativa vigente.” Finaliza en el ACUERDA: “Aprobar definitivamente y autorizar la inscripción en el Registro de Asociaciones Deportivas del Consejo Superior de Deportes, de la modificación del Reglamento General, que incorpora dos nuevos Libros, el Libro XI sobre comercialización de derechos audiovisuales, y el Libro XII que versa sobre la venta de abonos y entrada…” Reseña la LNFP el apartado 2, del citado artículo XII.2 del RGNLFP, sobre las “condiciones para la venta de abonos en gradas de animación”, al que le precede para su comprensión el artículo XII.1, titulado “Condiciones para la venta de abonos de temporada” que determina este que para todos los Clubs y SAD afiliados, se realizará mediante la “previa y debida identificación de los adquirentes”, que “deberán suministrar al Club/SAD en el momento de su adquisición, al menos los siguientes datos personales, que serán objeto de tratamiento, de conformidad con lo dispuesto en la normativa vigente en materia de protección de datos de carácter personal” A- datos de filiación: nombre y apellidos y documento acreditativo de la identidad B- datos de contacto: domicilio de efectos de notificaciones, teléfono de contacto y dirección de correo electrónico.” Recomendando si no se permite la cesión de abonos incluir en el abono fotografía de su titular.” A continuación, el siguiente artículo XII.2 titulado “condiciones para la venta de abonos gradas de animación”, que describe y que, para denominarse tal, debe “tener instalado el sistema de acceso mediante reconocimiento biométrico”, además de “estar destinada a aficionados locales”, y ser o constituir un sector diferenciado del resto del aforo, con accesos preferentemente exclusivos al sector o zona. (art XII.2.1) Los puntos 2 a 6 del mismo artículo reseñan: “2. La venta de títulos o documentos de acceso de temporada o media temporada, con independencia de su denominación, en las gradas de animación con las características C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/139 descritas en el apartado 1, requerirá que el aficionado facilite, junto con los datos significados en el artículo 1 del presente Reglamento, aquel dato biométrico que se determine, debiendo recabarse el consentimiento del interesado informando claramente de las concretas finalidades para el tratamiento de los referidos datos de carácter personal, de conformidad con la normativa vigente en materia de protección de datos de carácter personal. En el momento de la adquisición del título de acceso, por parte del Club/SAD afiliado, se asociará al aficionado con la filiación facilitada y el dato biométrico. 3. Los títulos de acceso de temporada o media temporada de gradas de animación serán personales e intransferibles, independientemente de la política que sobre éstos tenga el Club/SAD para el resto del recinto. A tal efecto, el Club/SAD establecerá, tanto en el documento de adquisición del título de acceso, como en el reglamento interno correspondiente que, en dichas zonas, los espectadores se someterán a todos aquellos controles de verificación de identidad vigentes en cada momento, incluyendo aquellos relativos a sistemas automáticos de carácter biométrico, así como de exhibición del título de acceso junto al documento acreditativo de su identidad. 4. Únicamente se permitirá el acceso a las gradas de animación a los aficionados que hayan obtenido el título de acceso a dicha zona y que, en el momento de la entrada, se sometan a la lectura de su dato biométrico. Se denegará el acceso en el caso de que la persona no aporte, si es requerido para ello, junto con el dato biométrico, un documento acreditativo de su identidad que coincida con la filiación asociada al dato biométrico y al título de acceso. 5. Los integrantes de esta grada deberán aceptar, al menos, las siguientes obligaciones:
  5. a)Que el documento de acceso es personal e intransferible, siendo responsable el titular de su correcto uso.
  6. b)Que en el acceso al recinto deportivo y, durante el desarrollo del partido, se someterá a cuantos controles de identidad sean precisos cuando así lo requieran el personal del Club/SAD o las Fuerzas y Cuerpos de Seguridad.
  7. c)Que la utilización del documento de acceso por un tercero supone la prohibición de acceso o expulsión del recinto de éste, así como respecto del titular del mismo, aquellas otras consecuencias disciplinarias en que pueda incurrir en aplicación del régimen disciplinario del Club/SAD.
  8. d)En el momento de formalización del título de acceso, se incluirá la cláusula de reconocimiento y cumplimiento definida en el artículo 1.3 del presente Reglamento.” “6. Cualquier otro sistema de acceso a esta zona que no conlleve un reconocimiento biométrico, tendrá carácter excepcional y puntual y obligará, en su caso, al Club/SAD a disponer de un procedimiento que permita la identificación de todos aquellos que accedan fuera del control biométrico. El Club/SAD deberá remitir dicho procedimiento, al comienzo de la entrada en funcionamiento del sistema, a la Dirección de Integridad y Seguridad de la LIGA para su conocimiento y validación.” Manifiesta la LNFP que “El reglamento, no obstante, no configura el control de acceso biométrico como el único modo posible de acceder a las gradas de animación en recintos deportivos”. Añaden la cita del apartado 6 del citado artículo XII.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/139 Considera la LNFP que “el reglamento cuyos efectos jurídicos emanan de su aprobación por el Consejo Superior de Deportes establece la previsión de llevar a cabo controles en los accesos a determinadas zonas de los recintos deportivos incluyendo el tratamiento de datos biométricos sobre la base del consentimiento de los interesados, mencionando expresamente la posibilidad de implementar sistemas alternativos de control de acceso”. Indica que la CEVRXID en el ejercicio de la potestad que le atribuye el artículo 13.1.
  9. b)de la Ley 19/2007, de 11/07 contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte, acordó el 15/03/2022, trasladar el acuerdo adoptado el 3/03/2022, que insta la puesta en ejecución para la primera y segunda división de fútbol de lo dispuesto en el RGNLFP sobre las condiciones de venta de entradas y accesos a las gradas de animación, reproduciendo los apartados 2 a 6 del artículo XII.2 del RGNLFP. Aporta DOCUMENTO 3, que contiene el citado traslado y solicita se inste a los Clubes a adoptar las medidas para su cumplimiento, bajo advertencia caso contrario, de ser objeto de apertura de expedientes disciplinarios en las funciones atribuidas en los artículos 20.3.
  10. c)primero, de la Ley 19/2007. Visto el DOCUMENTO 3, se trata de un comunicado de la CEVRXID DE 15/03/2022 que refiere su adopción del acuerdo de 3/03/2022, con el literal: “El artículo 13 de la Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte establece que “La Comisión Estatal Contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte podrá decidir la implantación de medidas adicionales de seguridad para el conjunto de competiciones o espectáculos deportivos calificados de alto riesgo, o para recintos que hayan sido objeto de sanciones de clausura con arreglo a los títulos segundo y tercero de esta Ley, y en particular las siguientes: (…)
  11. b)Promover sistemas de verificación de la identidad de las personas que traten de acceder a los recintos deportivos”. Asimismo, el artículo 15.3 del Real Decreto 203/2010, de 26 de febrero, por el que se aprueba el Reglamento de prevención de la violencia, el racismo, la xenofobia y la intolerancia en el deporte, establece que: “En los supuestos contemplados en el artículo 13.1 de la Ley 19/2007, de 11 de julio, la comprobación y seguimiento de la identidad de quienes adquieran entradas o el control de la distribución de localidades se realizará implantando sistemas de venta de entradas nominativas y desarrollando procedimientos que permitan supervisar la distribución de localidades asignadas y conocer la identidad de los poseedores de títulos de acceso a las instalaciones deportivas.”. Por su parte, el Libro XII del Reglamento General de LaLiga regula el Reglamento de Venta de Abonos y Entradas en el que se recogen las denominadas Gradas de Animación como sector, zona o graderío del recinto deportivo que en atención a sus características conlleva el disfrute de condiciones especiales que, a su vez, lleva aparejado el cumplimiento de una serie de obligaciones adicionales. A la vista de lo indicado, la Comisión acuerda que, para las competiciones de Primera y Segunda División de Fútbol, resulten de aplicación en dichos espacios las medidas adicionales de seguridad que se detallan a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/139 1. La venta de títulos o documentos de acceso de temporada o media temporada, con independencia de su denominación, requerirá que el aficionado facilite, junto con otros datos que establezca la regulación del organizador de la competición, aquel dato biométrico que se determine, debiendo recabarse el consentimiento del interesado informando claramente de las concretas finalidades para el tratamiento de los referidos datos de carácter personal, de conformidad con la normativa vigente en materia de protección de datos de carácter personal. En el momento de la adquisición del título de acceso, por parte del Club/SAD afiliado, se asociará al aficionado con la filiación facilitada y el dato biométrico. 2. Los títulos de acceso de temporada o media temporada serán personales e intransferibles, independientemente de la política que sobre éstos tenga el Club/SAD para el resto del recinto. A tal efecto, el Club/SAD establecerá, tanto en el documento de adquisición del título de acceso, como en el reglamento interno correspondiente que, en dichas zonas, los espectadores se someterán a todos aquellos controles de verificación de identidad vigentes en cada momento, incluyendo aquellos relativos a sistemas automáticos de carácter biométrico, así como de exhibición del título de acceso junto al documento acreditativo de su identidad. 3. Únicamente se permitirá el acceso a los aficionados que hayan obtenido el título de acceso a dicha zona y que, en el momento de la entrada, se sometan a la lectura de su dato biométrico. Se denegará el acceso en el caso de que la persona no aporte, si es requerido para ello, junto con el dato biométrico, un documento acreditativo de su identidad que coincida con la filiación asociada al dato biométrico y al título de acceso. 4. Los integrantes de esta grada deberán aceptar, al menos, las siguientes obligaciones:
  12. a)Que el documento de acceso es personal e intransferible, siendo responsable el titular de su correcto uso.
  13. b)Que en el acceso al recinto deportivo y, durante el desarrollo del partido, se someterá a cuantos controles de identidad sean precisos cuando así lo requieran el personal del Club/SAD o las Fuerzas y Cuerpos de Seguridad.
  14. c)Que la utilización del documento de acceso por un tercero supone la prohibición de acceso o expulsión del recinto de éste, así como respecto del titular del mismo, aquellas otras consecuencias disciplinarias en que pueda incurrir en aplicación del régimen disciplinario del Club/SAD.
  15. d)En el momento de formalización del título de acceso, se incluirá la cláusula de reconocimiento y cumplimiento de: (
  16. i)las condiciones de acceso y de permanencia para los espectadores establecidas en los artículos 6 y 7 de la Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte; (
  17. ii)compromiso de no realizar actos o conductas previstas en los artículos 2.1 y 2.2 de la referida Ley; y (iii) de respeto las normas de régimen interno del recinto deportivo.
  18. e)Que los materiales de animación que se exhiban en dicha grada, además de cumplir con los requisitos legales correspondientes, deberán ser previamente aprobados por el Club/SAD. Cuando éstos se refieran, hagan mención o identifiquen a una peña, agrupación o grupo de aficionados será requisito previo que dicho colectivo se encuentre debidamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/139 inscrito en el Libro de registro de actividades de seguidores del Club/SAD y exista una persona responsable de su uso. 6. Cualquier otro sistema de acceso a esta zona que no conlleve un reconocimiento biométrico, tendrá carácter excepcional y puntual y obligará, en su caso, al Club/SAD a disponer de un procedimiento que permita la identificación de todos aquellos que accedan fuera del control biométrico. El Club/SAD deberá remitir dicho procedimiento, al comienzo de la entrada en funcionamiento del sistema, a la Dirección de Integridad y Seguridad de la LIGA para su conocimiento y validación”. A este respecto, la Comisión ha acordado dirigir comunicación a esa entidad con el fin de que se inste a los Clubes a adoptar las medidas oportunas para el cumplimiento de lo indicado, recordándose, a los anteriores efectos, que su incumplimiento dará lugar a la actuación de la Comisión a través de las correspondientes propuestas de apertura de expedientes sancionadores en ejercicio de su función de vigilancia y control prevista en el artículo 20.3
  19. c)1º de la Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte. Todo ello sin perjuicio de que, en su caso, se puedan adoptar otras medidas adicionales para estas u otras competiciones.” 3.1.2. En el caso de que las normativas anteriores involucren el tratamiento de categorías especiales de datos personales (datos biométricos dirigidos a identificar de manera unívoca a una persona física, por ejemplo), se solicita motivar el levantamiento de la prohibición general de tratamiento de los mismos (art. 9 RGPD) y facilitar la valoración del principio de proporcionalidad del tratamiento de dichos datos para esta finalidad. Respondió reiterando que el RGNLFP, aprobado por el C.S.D., establece en su artículo XII.2.2 ( dentro de las “condiciones para la venta de abonos en gradas de animación”) que el establecimiento de sistemas de reconocimiento a través de datos biométricos precisará el consentimiento de los interesados, y que también el Reglamento establece la “posible adopción de otros procedimientos alternativos para el reconocimiento biométrico”, que también se contienen en el acuerdo de la CEVRXID de 3/03/2022.”El tratamiento se ampararía en el artículo 9.2.
  20. a)del RGPD”. Sobre la evaluación de la proporcionalidad del tratamiento, manifiesta que deberá formar parte del análisis de riesgo y de medidas de responsabilidad proactiva que el Reglamento impone a los responsables y o encargados de tratamiento, y como la LNFP no ostenta ninguna de las dos condiciones, considera que no corresponde a la misma la realización de este análisis. 3.1.3. En su caso, especificar si la LNFP participa como encargado o responsable del tratamiento de categorías especiales de datos personales (datos biométricos dirigidos a identificar de manera unívoca a una persona física, por ejemplo) que puedan realizar sus miembros. En tal caso, facilitar el acuerdo jurídico que regule su participación en virtud del artículo 28 del RGPD y el Registro de Actividades de Tratamiento (RAT) en lo que concierne a dicho tratamiento. La LNFP respondió, que ni por cuenta propia ni en nombre y por cuenta de los Clubes que forman parte de la misma, realiza tratamiento de categorías especiales de datos, considerando que no es ni responsable ni encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/139 3.2 Petición de información al C.S.D. Con fecha 17/02/2023, se solicitó al C.S.D.: 3.2.1 Informar si han sido adoptadas disposiciones que impongan o recomienden a los Clubes o sociedades anónimas deportivas la instalación de sistemas biométricos para el control de acceso a los recintos en los que se disputen competiciones deportivas. En su caso, se solicita la copia de las disposiciones referidas y, si las hubiera, de las evaluaciones de afectación al derecho a la protección de datos personales que se hayan realizado en el proceso de adopción de dichas disposiciones. Con fecha 28/03/2023, se recibe respuesta de la CERVIXD. Informa que en su reunión de 3/03/2022, “adoptó un acuerdo mediante el que se establecían una serie de medidas adicionales de seguridad para las gradas de animación en las competiciones de Primera y Segunda División de Fútbol. Y ello conforme a lo dispuesto en el artículo 13 de la Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte y en el artículo 15.3 del Real Decreto 203/2010, de 26 de febrero, por el que se aprueba el Reglamento de prevención de la violencia, el racismo, la xenofobia y la intolerancia en el deporte. Entre las citadas medidas adicionales se preveía la instalación de sistemas biométricos para el control de todos los accesos a las gradas de animación que permita la identificación unívoca de los aficionados que accedan a dichas gradas (documento 1, copia del acuerdo de 3/03/2022).” Se accede al literal del escrito, que es un comunicado al Presidente de la LIGA, en el que además de contenerse lo referido en el párrafo anterior, acuerda como medidas adicionales el régimen contenido para el acceso a las gradas de animación, reproduciendo la parte especifica del RGLNFP, y se insta la comunicación para que se indique a los Clubs que adopten las medidas para su cumplimiento, pudiendo dar lugar a apertura de expedientes sancionadores en ejercicio de sus funciones de vigilancia y control que le encomienda el artículo 20.3.c)1 de la Ley 19/2007 (funciones de la CEVRXID: “vigilancia y control a efectos de proponer a las autoridades públicas competentes la adopción de medidas sancionadoras a quienes incumplan la normativa prevista en esta Ley y en las normas que la desarrollan”) . Todo ello sin perjuicio de que, en su caso, se puedan adoptar otras medidas adicionales para estas u otras competiciones Indica el C.S.D., que el 20/10/2022 solicitó una consulta (aporta documento 2) al Gabinete Jurídico de la AEPD (GJ de la AEPD) sobre si la adopción del acuerdo de 3/03/2022 era viable jurídicamente conforme a la normativa reguladora de Proteccion de datos. El citado GJ de la AEPD emitió informe el 22/12/2022 (aporta documento 3, informe 98/2022). En el documento de petición de consulta, documento 2, se mencionan las medidas adicionales de seguridad que refiere el artículo 13.1 de la Ley 19/2007, y “la situación de inseguridad que vive las gradas de animación en los partidos de fútbol profesional se ha planteado a la CEVRIXD que, con base en las competencias que tiene legalmente atribuidas, valore la posibilidad de aprobar un acuerdo, a través del cual requiera a los Clubes/SAD profesionales para que adopten medidas adicionales consistentes en la instalación de sistemas biométricos para el control de todos los accesos a las gradas de animación, que permitiría la identificación unívoca de los aficionados que accedan a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/139 citadas gradas.”. Expone la base de legitimación del RGPD sobre la que se tratarían los datos (6.1.
  21. e)junto al 9.2.
  22. g)Indica que el articulo 13.1 citado, implicaría “el tratamiento de categorías especiales de datos a través de las cuales y por razones de un interés público esencial, garanticen la seguridad de las personas, así como de prevenir y evitar vulneraciones en los derechos fundamentales de las personas, como son los delitos de odio y discriminación en los estadios, habida cuenta de la problemática existente con los aficionados que acceden a las gradas de animación. Dicho lo anterior, el acuerdo que en su caso adopte la CEVRXID, establecería además las medidas adecuadas y específicas que deberán adoptar los Clubes/SAD para proteger los intereses y derechos fundamentales de los interesados respecto a la implantación de la medida adicional requerida, tal y como exige el artículo 9.2.
  23. g)del RGPD, anteriormente referido. Por este motivo, atendiendo a que la medida adicional requeriría el tratamiento de categorías especiales de datos, el acuerdo que adopte la CEVRXID en relación con la obligación de adoptar la medida solicitada exigirá también que, antes de implantarla, se lleve a cabo: - Un juicio de proporcionalidad, donde se analice desde el punto de vista de protección de datos, tanto la idoneidad de la medida como la necesidad del tratamiento y la proporcionalidad de este en sentido estricto. - Una Evaluación de Impacto relativa a la Protección de Datos que cumpla los requisitos del artículo 35 del RGPD. En definitiva, la medida garantizaría que el tratamiento de los datos personales identificativos (incluidos los biométricos) que realicen los Clubes/SAD se lleve a cabo respetando debidamente los principios de licitud, lealtad y transparencia, limitación de la finalidad, minimización de datos, exactitud, conservación, seguridad, así como de responsabilidad proactiva, tal y como establece el artículo 5 del RGPD.” De la copia del citado informe emitido por la AEPD, se analiza de manera más relevante si existe base de legitimación incluida la que levante la prohibición del tratamiento del dato de categoría especial del dato biométrico para los accesos a la grada de animación de los estadios de fútbol. Como amparo legislativo, en base al artículo 13.1 de la Ley 19/2007. El informe analiza, en concreto al amparo de los artículos 6.1.
  24. e)del RGPD, “el tratamiento de los datos sería necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”, referido a garantizar la seguridad e integridad de las personas que acudan a los estados de fútbol así como prevenir y evitar vulneraciones de los derechos fundamentales de las personas, como los delitos de odio y discriminación, y puesto en relación con el artículo 9.2.
  25. g)del RGPD. La consultante indica también que atendiendo a que la medida adicional requeriría el tratamiento de categorías especiales de datos, el acuerdo que se adopte por la CEVRIXD en relación con la obligación de adoptar la medida solicitada exigirá también que antes de implantarse, se lleve a cabo: una EIPD que valore especialmente el juicio de proporcionalidad y de necesidad en el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/139 El informe determina que el apoyo normativo del artículo 13.1 de la Ley 19/2007, que se desarrolla en el artículo 15.3 del RD 2023/2010 hace referencia a sistema de verificación de la identidad, pero no contempla la posibilidad de que dichos sistemas puedan implicar tratamiento de datos biométricos, “ni establece garantías pertinentes y adecuadas para la protección del derecho fundamental a la protección de datos personales”, y que el citado RD carecería de rango legal adecuado para proceder a la regulación de tratamiento de categorías especiales de datos personales: ” el artículo 13.1. no cumple con los requisitos previstos legal y jurisprudencialmente, tal y como se ha venido analizando en el presente informe. Y sin que dicha laguna pueda suplirse mediante un acuerdo de la CEVRXID, al no tener el rango normativo adecuado. En este sentido, como ya se ha indicado, la jurisprudencia del Tribunal Constitucional es clara respecto de la norma que ha de contener las garantías adecuadas que no puede deferirse a un momento posterior a la regulación legal del tratamiento de datos personales de que se trate. Las garantías adecuadas deben estar incorporadas a la propia regulación legal del tratamiento, ya sea directamente o por remisión expresa y perfectamente delimitada a fuentes externas que posean el rango normativo adecuado (sentencia del TCO 76/2019 de 22/05-FJ 8).” Continua indicando C.S.D. que a la vista de ello, “la Comisión acordó, en su reunión de 13/03/2023, señalar que, conforme a lo informado por la AEPD, el acceso a las gradas de animación mediante datos biométricos se llevará a cabo con el consentimiento del interesado, informando claramente de las concretas finalidades para el tratamiento de los referidos datos de carácter personal; y que, no obstante lo anterior, los espectadores se someterán a todos aquellos controles de verificación de identidad vigentes en cada momento, así como de exhibición del título de acceso junto al documento acreditativo de su identidad. Por tanto, en el caso de no contar con el consentimiento del interesado para acceder a las gradas de animación mediante datos biométricos, será obligatorio que los Clubes/SAD dispongan de un procedimiento que permita la identificación de todos aquellos que accedan fuera del control biométrico. El Club/SAD deberá remitir dicho procedimiento a la Dirección de Integridad y Seguridad de La Liga para su conocimiento y validación”. El acuerdo se comunicó a la LNFP para que instara su ejecución de los Clubes. Aporta DOCUMENTO 4 escrito DE 21/03/2023 dirigido al Presidente de la Liga en que persiste en el tratamiento de datos para acceso a las gradas de animación mediante datos biométricos con el consentimiento de interesado que no contiene variación sustancial con el previsto en el RGLNFP. Manifiesta que aporta copia de DOCUMENTO 5, escrito de, Federación Accionistas y Socios del Fútbol Español, (FASFE), de 1/03/2023, e indican: “la entidad ante la que se comparece estableció “Acuerdo en el ámbito de sus competencias, estableciendo medidas para el cumplimiento de los Clubes consistentes en la instalación de sistemas biométricos para el control de todos los accesos a las gradas de animación que permita la identificación unívoca de los aficionados que accedan a dichas grada”. En el escrito, además tras exponer la normativa aplicable, y motivando los hechos, incluyendo entre otras, las Directrices 5/2022, sobre el uso de tecnología de reconocimiento facial en el área de aplicación de la Ley, solicita el cese de la medida de control de acceso mediante sistema biométrico y cancelación y borrado de datos tomados con motivo de la puesta en marcha de la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/139 Junto a ello, aporta copia de documento 6, de 21/03/2023, de la CEVRXID a la FASFE conteniendo respuesta a dicha petición, en el que reitera “que el acceso a las gradas de animación en Primera y Segunda División con datos biométricos será aplicable con el previo consentimiento del interesado, siendo obligatorio que los Clubes dispongan de un procedimiento que permita la identificación de todos aquellos que accedan fuera del control biométrico.” CUARTO: Petición de información adicional 4.1 Petición de información adicional a la LNFP. Con fecha 8/07/2023, se solicita a la LNFP la siguiente información y documentación en relación con los controles de acceso a los estadios de fútbol de los miembros que forman parte de la LNFP. 4.1.1. Identificación del conjunto de miembros de la LNFP que han informado la implantación de sistemas de verificación de identidad a través de la lectura de datos biométricos para el control de acceso a sus estadios, con inclusión de los siguientes datos para cada uno de ellos:
  26. a)Dato biométrico objeto de validación (huella dactilar, reconocimiento facial, etc.)
  27. a)Zonas del estadio para las que estuviera habilitado (grada de animación, otros, todo el estadio).
  28. b)Determinación de si la utilización del control de acceso biométrico ha sido el único medio de acceso disponible a la zona concreta regida por este control de acceso durante el período en que haya estado en funcionamiento.
  29. c)En el caso de que existieran medios de acceso alternativos, indicar de qué dependía su utilización como mecanismo de control de acceso (voluntad del asistente, imposibilidad de comprobar el dato biométrico, etc.…).
  30. d)Fecha de puesta en marcha y, en su caso, de retirada del sistema de identificación biométrica como mecanismo de control de acceso. Respondió con fecha 27/07/2023. Proporciona copia de un comunicado de la CEVRIXD a la LIGA de 21/03/2023, que informa que “en su reunión de 3/03/2022, adoptó un acuerdo mediante el que se establecían una serie de medidas adicionales de seguridad para las gradas de animación en las competiciones de Primera y Segunda División de Fútbol. Y ello conforme a lo dispuesto en el artículo 13 de la Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte y en el artículo 15.3 del Real Decreto 203/2010, de 26 de febrero, por el que se aprueba el Reglamento de prevención de la violencia, el racismo, la xenofobia y la intolerancia en el deporte. Entre las citadas medidas adicionales se preveía la instalación de sistemas biométricos para el control de todos los accesos a las gradas de animación que permita la identificación unívoca de los aficionados que accedan a dichas gradas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/139 A este respecto es preciso señalar que la Agencia Española de Protección de Datos ha emitido un informe, con fecha 22 de diciembre de 2022, en el que se concluye …”.”A la vista de lo indicado, la Comisión ha acordado, en su reunión de 13 de marzo de 2023, señalar que, conforme a lo informado por la AEPD, el acceso a las gradas de animación mediante datos biométricos se llevará a cabo con el consentimiento del interesado, informando claramente de las concretas finalidades para el tratamiento de los referidos datos de carácter personal. No obstante, lo anterior, es preciso señalar que los espectadores se someterán a todos aquellos controles de verificación de identidad vigentes en cada momento, así como de exhibición del título de acceso junto al documento acreditativo de su identidad. Por tanto, en el caso de no contar con el consentimiento del interesado para acceder a las gradas de animación mediante datos biométricos, será obligatorio que los Clubes/SAD dispongan de un procedimiento que permita la identificación de todos aquellos que accedan fuera del control biométrico. El Club/SAD deberá remitir dicho procedimiento a la Dirección de Integridad y Seguridad de la LIGA para su conocimiento y validación. A este respecto, la Comisión ha acordado dirigirse a esa entidad con el fin de que se comunique a los Clubes el acuerdo adoptado y se adopten las medidas oportunas para el cumplimiento de lo indicado, recordándose, a los anteriores efectos, que su incumplimiento dará lugar a la actuación de la Comisión a través de las correspondientes propuestas de apertura de expedientes sancionadores en ejercicio de su función de vigilancia y control prevista en el artículo 20.3
  31. c)1º de la Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte. Todo ello sin perjuicio de que, en su caso, se puedan adoptar otras medidas adicionales para estas u otras competiciones.” Aporta relacionado con lo anterior, la LIGA, copia de la CIRCULAR 19, temporada 22/23, de 23/03/2023, titulada: “Comunicación de la Comisión Estatal contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte sobre las gradas de animación”, que representa una comunicación a los Clubes y SAD afiliados, indicando que se ha recibido comunicado de la citada Comisión de 13/03, que trae casusa del informe del GJ de la AEPD de 22/12/2022, y: “Según señala el meritado acuerdo, el acceso a las gradas de animación mediante datos biométricos puede mantenerse, pero siempre que exista consentimiento libre del interesado, previa información de las concretas finalidades para el tratamiento de los datos de carácter personal. En caso de no contar con el consentimiento de los interesados, la CEVRXID recuerda que los espectadores de estas gradas no estarán exentos de someterse a todos los controles de verificación de identidad que se hallen vigentes en cada momento y, a tal fin, resulta obligatorio que el Club o SAD cuente con un procedimiento que permita identificarlos. Este procedimiento, además, deberá ser comunicado a la Dirección de Integridad y Seguridad de La Liga para su conocimiento y validación en la dirección de correo seguridad@laliga.es” -Aporta la LIGA situación a temporada 22/23, en primera y segunda división, un cuadro de los Clubes, del que se puede destacar: -Clubes/equipos que antes de la Circular 19, temporada 22/23, de 23/03/2023, de la LNFP a los Clubes y SAD, disponían de sistemas biométricos, (9 tanto en primera como en segunda división, uno de los sistemas en cada división refiere “imagen facial”, el resto “huella dactilar”) y en el mismo período, el sistema alternativo implementado, figurando entre otros RFID, escáner en los tornos, o escáner de mano. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/139 -Clubes/equipos indicando si los han dejado de usar tras la Circular 19-los datos biométricos-, (tres si en primera división, dos si en segunda). -La zona del estadio que dispone de dicho sistema (todos en grada de animación, excepto uno en todo el estadio, en primera división que se instaló en 2022/2023 y que se trata de “imagen facial”. -Los tipos de sistemas de acceso utilizados después de la Circular 19, figurando en todos los Clubes/SAD una alternativa al dato biométrico, excepto los cinco que figuraban que después de la Circular no utilizan los sistemas biométricos. -En motivo de utilización de sistemas alternativos, figura en todos “voluntariedad”. -Temporada de instalación del sistema, constando en algunos 2015/2016 y los últimos 22/23, sin que figure ninguno en 20/21 ni en la siguiente temporada. 4.1.2. Copia de los Protocolos de Seguridad, Prevención y Control (artículo 5 del Real Decreto 203/2010) en lo que respecta a los apartados 2.c (medidas de control de acceso) y 4.e (sistemas de verificación de identidad para el acceso a los recintos) de los miembros de la LNFP. Respondió indicando que aporta documentos 2 a 73 de los protocolos de los miembros de la LNFP en la temporada 22/23, algunos Clubes comprenden varios, por haber sido notificados a la LIGA. 4.1.3. El Libro XII del RGLNFP, especifica en el preámbulo que las sociedades/Clubes miembros de la LNFP han de adaptar el mismo en sus reglamentos internos. Se solicita copia de los reglamentos internos de cada miembro (en lo que respecta al contenido de este Libro XII -control de accesos / sistema de verificación de identidad para el acceso-) con indicación de las fechas de aprobación/puesta en funcionamiento de los mismos. Respondió indicando que aporta documentos 74 a 114 de la temporada 22/23, comprendiendo 41 documentos dada la estructura de uno de los equipos. Añade que, en la actualidad, ninguno de los Clubes establece el sistema biométrico como obligatorio. 4.1.4. El artículo XII.2.6 del RGLNFP, dispone que los miembros de la LNFP que arbitren sistemas de acceso a las gradas de animación que no conlleven reconocimiento biométrico han de remitir dichos procedimientos a la LNFP para su conocimiento y validación. A tal efecto, se solicita la copia de los procedimientos informados por los miembros, así como las resoluciones de validación/denegación que la LNFP haya podido efectuar al respecto. Se solicita, asimismo, sobre los períodos de vigencia de dichos procedimientos y su estado actual. Respondió que, con carácter general, los medios utilizados por los Clubes para garantizar el acceso a los estadios son facilitados por la LNFP a través de la SOCIEDAD ESPAÑOLA DE FÚTBOL PROFESIONAL SAU, en adelante SEFPSA, entregando a los Clubes que así lo solicitan los distintos dispositivos para el accionamiento de los tornos de entrada a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/139 recintos deportivos, disponiendo aquellos los procedimientos de activación que consideren necesarios a través de reconocimiento por huella digital, escaneado del documento de abono, o de la entrada, RFID etcétera. En la actualidad, todos los Clubes asociados a la LNFP, con las únicas excepciones del ***CLUB.1, el ***CLUB.2., y el ***CLUB.3. utilizan en el acceso a los recintos exclusivamente los dispositivos de reconocimiento biométrico facilitados por la LNFP a través de SEFPSA. No obstante, estos Clubes del mismo modo que los restantes, utilizan los medios alternativos a los biométricos para el acceso, puestos a disposición por la LNFP. “Dado que los medios de acceso a determinadas zonas de los recintos deportivos alternativos al uso de dispositivos de reconocimiento biométrico habían sido objeto de verificación y análisis por parte de LA LIGA, no resultaba necesario someter a su autorización los procedimientos basados en el uso de tales medios” “Asimismo, con las medidas mencionadas los Clubes deberán haber implementado conforme a lo dispuesto en el artículo 13.2 de la ley 19/2007 medidas adicionales tendentes a la verificación de la identidad de los interesados que no hubieran hecho uso de los dispositivos de reconocimiento biométrico en el acceso a determinadas zonas del estadio, por ejemplo el reconocimiento in situ a través de la exhibición del DNI o documento identificativo similar, no siendo precisa su autorización por LA LIGA al proceder del cumplimiento de una obligación legal”. 4.1.5. Descripción, en su caso, de las actuaciones realizadas por La Liga y las sociedades/Clubes miembros de la misma tras la recepción del comunicado de la CERVIXD del 21/03/2023 (adjunto). Se solicita evidenciar las manifestaciones que se realicen. Respondió que ante dicha decisión, la LNFP, adoptó la Circular n 19 de la temporada 2022/2023, de 23/03/2023, por la que se trasladaba, a los Clubes lo indicado por la citada CERVIXD, y el informe de la AEPD. Como consecuencia, algunos Clubes que tenían implementados sistemas de reconocimiento biométrico para el acceso al recinto deportivo, adoptaron medidas encaminadas, bien a la supresión de ese modo de acceso, bien al mantenimiento del mismo como voluntario y complementario de otros procedimientos de acceso a los estadios. Las citadas modificaciones fueron comunicadas formalmente a la LNFP. Aportan copia documento 115 de la Circular. Afirma que según la información de que dispone la LNFP, ninguno de los Clubes asociados a la misma exige de forma obligatoria el reconocimiento biométrico para el acceso a los recintos deportivos. 4.1.6. En el caso de que la LNFP haya actuado como proveedor de la plataforma tecnológica-***DISPOSITIVO.1 (o diseño de la misma) utilizada por sus miembros para implementar el control de acceso a través de datos biométricos, se solicita la aportar la memoria técnica de la misma. Aporta el documento 122 con la memoria técnica solicitada relativa a la solución de acceso a los estadios a través de la huella dactilar. En la misma, se indica que los dispositivos a instalar serán:  en los torniquetes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/139 -el sensor/lector de huella ***DISPOSITIVO.2, dispositivo visible en el exterior del torno a través del cual se obtendrá la huella dactilar del usuario. -CPU o electrónica de control, dispositivo electrónico encargado de procesar toda la lógica de la solución. Comunicará a través de (…). Esta electrónica de control será la encargada (…). También comunicará a través de TCP/IP con el software de gestión en el caso de existir red IP. -cableado, se trata de las interfaces de conexión entre los dispositivos y servidores  en ***LOCALIZACIÓN.1 (Lector de huellas -para el proceso de registro de la huella o enrolamiento-; software con la lógica de negocio). Se extrae la siguiente información al respecto: Los sensores implementan los estándares “***ESTÁNDAR.1 - Part 2: ***ESTÁNDAR.2”. En los tornos (control de acceso) se utiliza el modelo ***DISPOSITIVO.2, mientras que en ***LOCALIZACIÓN.1 el ***DISPOSITIVO.3. La electrónica de control del torno tiene capacidad de almacenamiento de las plantillas de las huellas dactilares y de identificación (1:N) de las mismas. El software que implementa la lógica de negocio es una versión de ***DISPOSITIVO.4, de ***EMPRESA.1. Cuando se produce el enrolamiento de los usuarios se registran los siguientes datos en la plataforma: DNI, “IdPersona” (“Campo unívoco de la persona a enrolar”), número de socio, nombre y dos apellidos. De acuerdo a la información recabada (Diligencia Referencias) el dispositivo ***DISPOSITIVO.3 es un producto de ***EMPRESA.2. 4.2 Petición de información adicional al C.S.D. Con fecha, 6/07/2023, se solicita al C.S.D., la siguiente información y documentación en relación con los controles de acceso a los estadios de los miembros que forman parte de LNFP. 4.2.1. Copia de la inscripción (artículo 56 de la LD 2022) de la LNFP en el Registro Estatal de Entidades Deportivas y del acto administrativo (artículo 83 de la LD 2022) que resuelve la calificación de las competiciones organizadas por la LNFP como profesionales. Con fecha 21/07/2023, respondió aportando Anexo 1 con la inscripción. “En lo que respecta a la solicitud del acto administrativo que resuelve la calificación de las competiciones organizadas por LA LIGA como profesionales es preciso señalar que la organización de dichas competiciones (Primera y Segunda División) como profesionales es anterior a la regulación contenida en la derogada Ley 10/1990, de 15 de octubre, del Deporte, por lo que no se produjo un acto administrativo que calificara como tales dichas competiciones. La Liga Nacional de Fútbol Profesional se constituyó en 1984, y según consta en el artículo 1 de los Estatutos de aquel momento, como asociación deportiva que integraba los Clubes de fútbol que, de conformidad con las normas deportivas de la Real C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/139 Federación Española de Fútbol, participan en competiciones oficiales de carácter profesional.” 4.2.2. El artículo 13 de la Ley 19/2007, dispone que la CEVRXID podrá decidir la implantación de medidas adicionales de seguridad (entre las que explicita “Promover sistemas de verificación de la identidad de las personas que traten de acceder a los recintos deportivos”) para el conjunto de competiciones o espectáculos deportivos calificados de alto riesgo, o para recintos que hayan sido objeto de sanciones de clausura con arreglo a los títulos segundo y tercero de esta Ley. Se solicita indicar si las competiciones y espectáculos organizados por La Liga para los que se promovieron los sistemas de verificación de identidad mediante datos personales de carácter biométrico han sido calificados de forma global (alto riesgo, sanciones de clausura) según lo dispuesto en este artículo. En tal caso, se requiere adjuntar los actos/disposiciones/documentos a través de los cuales se han efectuado tales calificaciones o sanciones. Respondió indicando que el citado artículo 13 recoge tres escenarios independientes: -Al conjunto de competiciones, -A los espectáculos deportivos calificados de alto riesgo, -A aquellos recintos que hayan sido objeto de sanciones de clausura. “Se entendió que la CEVRXID puede decidir la implantación de dichas medidas adicionales de seguridad en una competición sin necesidad de que esta haya sido declarada de alto riesgo y ello, porque no se contempla en la ley 19/2007 de 11/07, y de manera específica, en su artículo 10, la relación de alto riesgo de una competición de forma global, sino de encuentros que forman parte de la misma. De conformidad con la anterior, la CEVRXID entendió habilitada para adoptar medidas adicionales para la competición de LA LIGA Primera y Segunda División- activando el artículo 15.3 del Real Decreto 203/2010 de 26/02. El principal motivo de esta actuación reside en que, en cualquier caso, el disfrute de condiciones especiales en una determinada sección o área de un recinto deportivo (grada de animación) respecto a las condiciones generales del resto de sectores (gradas) debiera llevar aparejado el cumplimiento de una serie de obligaciones específicas tales como la identificación biométrica con las garantías legalmente previstas respecto al tratamiento de datos personales” 4.2.3. Copia de los Protocolos de Seguridad, Prevención y Control (artículo 5 del Real Decreto 203/2010) actualizados en lo que respecta a los apartados 2.c (medidas de control de acceso) y 4.e (sistemas de verificación de identidad para el acceso a los recintos) desarrollados por La Liga y/o los miembros de ésta. Indicación de la fecha de actualización, de las modificaciones efectuadas con respecto a la versión precedente, y del período en que estuvo en vigor esta última. Se adjuntan en anexo 4.2.4. Indicación de si se han articulado en las competiciones de La Liga procedimientos de verificación de identidad alternativos, de acuerdo al artículo 80 del Real Decreto 203/2010 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/139 (Garantías de cumplimiento de las sanciones de prohibición de acceso a recintos deportivos). En tal caso, se solicita describir los procedimientos articulados. Manifestó que: “en lo que respecta a este organismo, no se tiene conocimiento de la articulación en las competiciones de LA LIGA de procedimientos de verificación de identidad alternativos de acuerdo con el citado artículo”. 4.2.5. Copia, en su caso, de las propuestas de apertura de expedientes sancionadores (y de las resoluciones emitidas) a los miembros de La Liga efectuadas por la CEVRXID con motivo en la no implantación de sistemas de control de acceso basados en biometría. Respondió que la CEVRXID no ha acordado ninguna propuesta de apertura de expedientes sancionadores a los miembros de la LNFP con motivo de la implantación de sistemas de control de acceso basados en biometría. Adjunta certificado del secretario en anexo dos. 4.3 Petición de información a la SOCIEDAD ESPAÑOLA DE FÚTBOL PROFESIONAL SAU (SEFPSA) Con fecha 22/08 y 4/09/2023, se solicitó a SEFPSA, la siguiente información relativa a los sistemas de reconocimiento biométrico implantados en los Clubes pertenecientes a la LNFP: 4.3.1. Listado de Clubes para los cuales la SOCIEDAD ESPAÑOLA DE FÚTBOL PROFESIONAL, S.A.U (en adelante, SEFPSA) ha actuado como proveedor del sistema de tecnología para la identificación biométrica para el control de acceso a los estadios de fútbol. Con fecha 15/09/2023, se recibió respuesta, identificando solo para las zonas de las gradas de animación son SIETE, los equipos de primera división y OCHO de segunda, los que lo tienen implantado, “siendo los tornos correspondientes a dichas zonas, los únicos que incorporan la tecnología necesaria para el reconocimiento biométrico”. 4.3.2. Indicar si en el marco de esta provisión para los Clubes habría adquirido el rol de encargado (o, en su caso, responsable) de los tratamientos de datos personales. En su caso, facilitar los acuerdos de encargo de tratamiento suscritos en virtud del artículo 28 del RGPD. Respondió que solo es suministrador del software y el hardware (tornos de accesos, servidores) necesarios, sin acceder en ningún caso a los datos personales almacenados en dichos sistemas, no ostentando el rol de responsable ni de encargado de tratamiento. Como consecuencia, no ha llevado a cabo análisis de riesgos o evaluación de impacto al no serle de aplicación las previsiones del RGPD. . 4.3.3. Identificar todos los lugares en los que se almacenan los patrones biométricos registrados en el proceso de enrolamiento de los distintos Clubes- (torno, clientes/servidores del Club, servidores de SEFPSA)-, y las medidas de seguridad (encriptación, hashing, etc.) que se les aplican en cada sitio y en el tránsito entre los mismos. Señalar, si existen variantes entre los sistemas implantados en los distintos Clubes y, en su caso, cuál habría sido su motivo. Respondió que SEFPSA facilita a los Clubes tanto el hardware como el software necesario para que pueda llevarse a cabo el control biométrico de acceso a los estadios.” Por ello, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/139 la versión original de los sistemas aportada por SEFPSA, los datos biométricos estarían almacenados en el Servidor de Gestión de Identificación ((...)) ubicado en las instalaciones del Club. En (...), se encuentran almacenados, únicamente con respecto a aquellos interesados que utilicen la identificación biométrica, los datos correspondientes a su nombre, apellidos, DNI, ID Persona (identificación aleatoria para evitar accesos duplicados a los estadios), y el vector biométrico resultante del proceso de registro del abonado. De este modo, si bien la comparación de patrones se produce en (...), dicho proceso no genera ningún nuevo dato personal, limitándose el sistema a arrojar un resultado positivo o negativo como consecuencia de la comparación realizada. Dentro de los requerimientos contenidos en el hardware y software suministrados por SEFPSA, se incorporan las siguientes medidas de seguridad, -Respecto del vector biométrico:  Se almacenan (...) para garantizar que la plantilla obtenida por cada interesado no coincidirá con la empleada en otros sistemas de control, de manera que imposibilite la interconexión con otros sistemas y evite solapamientos o sustituciones de identidad.  El producto está diseñado de manera que permita que de la misma fuente puedan extraerse múltiples, e independientes (...), a fin de poder (…) en caso de violación de los datos o de evolución tecnológica. En tal sentido, de cada usuario se recogen dos o más huellas dactilares, con dos plantillas por huella. Esto es, al menos cuatro plantillas por usuario. Esto facilita que el usuario pueda utilizar más de un dedo, si la información de una de las ellas fuera comprometida, es posible su eliminación y el uso de las restantes o nuevo registro del usuario.  El vector biométrico está cifrado con (…) de ***EMPRESA.2, de carácter irreversible para sus propios empleados, clientes incluyendo el Club, y proveedores de estos.  Medidas que garantizan la imposibilidad de reconstrucción de datos originales a partir de las plantillas.  Se dispone de mecanismos de supresión de datos. -Respecto de los sistemas de información  A través de prohibición de uso de software no autorizado y con software de (...).  Actualización continua de sistemas operativos, aplicaciones y dispositivos  Procedimientos de securización de sistema de información  Uso y definición de (…) para pruebas, desarrollo y operación.  Se llevan a cabo copias de respaldo de la información, así como los sistemas que la procesan, con carácter diario (…).  Gestión periódica de vulnerabilidades técnicas de software C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/139 4.3.4. Identificar el lugar en el que se produce la identificación biométrica (comparación patrón leído con patrón almacenado). Respondió que durante la lectura biométrica existe un lector instalado en el torno de acceso que genera un vector biométrico cifrado de la huella dactilar del interesado que en ese momento está tratando de acceder al estadio. Una vez generado el vector, la electrónica de control del lector, instalada en el torno, lo comunica a través de (…), ubicado en las instalaciones del Club y al que solo éste tiene acceso, donde se encontrarían almacenados los vectores biométricos dispuestos por el Club para, inmediatamente proceder a la comparación mediante una carga de la totalidad de los vectores biométricos previamente suministrados por los abonados. Se produce así, un proceso de comparación de identificación biométrica 1 a N, o 1 a varios. De manera simultánea a la correspondencia de vectores biométricos, e igualmente en el (...), se verifica la correspondencia de los datos del servidor de gestión de aforos del ClubID persona, nombre y apellidos- con el vector biométrico generado en el torno, con el objetivo de obtener una respuesta que puede ser: “no reconocido” o “token acceso”, siendo esta última la que facilitaría el acceso del interesado al estadio mediante la activación del torno. “De todo lo anterior cabe concluir que se producen dos comparaciones simultáneas en el (...), uno: la comparación entre vectores biométricos -el generado por el torno y los almacenados en los servidores del Club-, y dos: la comparación entre los datos asociados al vector biométrico y los datos identificativos almacenados.” 4.3.5. Describir cómo es el proceso de supresión de los patrones biométricos en los diferentes sistemas en los que se encuentran almacenados, identificando las entidades (Club, La Liga, etc.…) que actúan en el proceso. Respondió que los Clubes que disponen de tecnología aportada por SEFPSA almacenan los patrones biométricos en los servidores y sistemas de cada uno de los Clubes que disponen de la tecnología aportada por SEFPSA. Por este motivo, será responsabilidad de cada Club establecer los plazos y procesos de supresión de los datos. SEFPSA no tiene conocimiento de los procesos de supresión ni de los plazos establecidos a tal efecto por cada uno de los Clubes. 4.3.6. En caso de que dispusiera de ella, facilitar el análisis de riesgos y evaluación de impacto efectuadas por SEFPSA en relación con los sistemas biométricos implantados. Respondió que, al no ostentar ningún rol en el tratamiento de datos, no ha realizado análisis de riesgos o evaluación de impacto, considerando que no se le aplica el RGPD. QUINTO: Volumen de negocio de la LNFP De acuerdo con el informe recogido de la herramienta AXESOR, con fecha 22/09/2023, la LIGA Nacional DE FÚTBOL PROFESIONAL, G78069762 le consta la siguiente información: -Empresa matriz global -de (…) empleados -ventas: más de (…) euros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/139 -total activo, de (…) euros -Tamaño empresa UE: Corporate En cuenta de resultados, consta “cifra de negocios” en el último año que figura, 2018, de (…) euros. -Como empresas filiales y asociadas, figuran once, con participación en las mismas que va del 100% AL 25%. SEXTO: Acuerdo de inicio Con fecha 27/12/2023, se acordó por la directora de la AEPD: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a la LIGA NACIONAL DE FÚTBOL PROFESIONAL con NIF G78069762, por la presunta infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4.
  32. a)del RGPD, y calificada a efectos de prescripción de la infracción como grave en el artículo 73.
  33. t)de la LOPDGDD. SEGUNDO: ORDENAR como medida provisional a la LIGA NACIONAL DE FÚTBOL PROFESIONAL con NIF G78069762, de acuerdo con lo dispuesto en el artículo 69 de la LOPDGDD y 56 de la LPACAP, la comunicación a los miembros de la LNFP de una suspensión temporal de todo tratamiento de datos personales relativos a los datos biométricos para el acceso a las gradas de animación de los estadios de fútbol de primera y segunda división. La medida perdurará, en tanto no disponga de una evaluación de impacto de protección de datos del tratamiento válida, que tenga en cuenta los riesgos para los derechos y libertades de los aficionados y las medidas y garantías adecuadas para su tratamiento, con superación de los variados requisitos que la componen, o incluso si se realizara, precisara efectuar la previsión de consulta que se establece en el artículo 36 del RGPD. La medida provisional deberá llevarse a cabo en el plazo de treinta días hábiles, contados desde la notificación de este acuerdo de apertura del procedimiento, y permanecerá hasta su resolución final, en que deberá ser confirmada, modificada o levantada, sin perjuicio de lo dispuesto en el art. 56.5 de la LPACAP. A tal fin, deberá justificar ante esta Agencia Española de Protección de Datos la atención del presente requerimiento. QUINTO: QUE a los efectos previstos en el art. 64.2
  34. b)de la LPACAP, la sanción que pudiera corresponder sería por la infracción del artículo 35 del RGPD es de una multa administrativa de 10.000.000 euros (diez millones), sin perjuicio de lo que resulte de la instrucción.” SÉPTIMO: Petición de ampliación de plazo y copia del expediente Con fecha 5/01/2024 se recibe escrito de la reclamada, otorgando su representación a una persona física, también aludiendo a su condición de DPD solicitando la copia del expediente y ampliación de plazo para formular alegaciones que le fue otorgado. Aporta para acreditar su representación una escritura notarial de otorgamiento de poderes de 13/03/2023. OCTAVO: Alegaciones de 25/01/2024 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/139 Con fecha 25/01/2024, se recibe escrito del representante de la LIGA, también manifestando su condición de DPD efectuando alegaciones, acompañado por dos anexos de documentos denominados uno y dos 1) Sobre el contenido de la parte dispositiva referido a la adopción de la medida provisional impuesta, manifiesta que no es un acto de trámite, sino que puede ocasionar perjuicios. Manifiesta que lo va a impugnar en vía contencioso-administrativa al objeto de obtener la suspensión de la decisión por afectar a sus derechos e intereses susceptibles de protección Al anunciar dicha interposición, solicita en aplicación del artículo 90.3 de la LPACAP que se suspenda cautelarmente la medida provisional adoptada. 2) Indefensión por el envío parcial de la copia del expediente, considerando que son documentos relevantes para el desarrollo de las actuaciones. Alude a los que, formando parte de las actuaciones previas de investigación, procedentes del ***CLUB.4 de 16/03, 27/07 y 4/09/2023 se contemplaban a modo de índice, pero que no fueron remitidos. Manifiesta que: “no han podido tener conocimiento del alcance, contenido de las informaciones” y que “puede afectar a la motivación que ha justificado la apertura del procedimiento, al tratarse de uno de los Clubes que instauraron un sistema de control biométrico de acceso a su estadio”. Manifiesta que: “lo que se haya indicado por la citada entidad en respuesta a los requerimientos de la AEPD en su condición de responsable del tratamiento de los datos obtenidos por los sistemas de acceso biométrico puede resultar sustancial para demostrar hasta qué punto resulta infundada la imputación”, y como ”no ostenta en relación con dicho tipo de acceso a las gradas de animación la condición de responsable de tratamiento que la AEPD pretende atribuirle”. Añade que tampoco se incluyen “gran parte de documentación que presentaron en respuesta al segundo de los requerimientos remitidos”. Estima que la AEPD no puede excluir ninguna información contenida en dos expedientes (EXP202213792 y EXP 202315637), al margen de que decida con posterioridad fragmentar el contenido de un expediente previo, como lo ha hecho en este caso. Dicha disgregación sin motivo genera completa indefensión que no le permite tomar en consideración las evidencias que ha dispuesto la AEPD y que pudieran fundamentar una decisión contraria a la adoptada en el acuerdo de inicio. Considera que se ha vulnerado su derecho previsto en el artículo 53.1.
  35. a)de la LPACAP de “acceder y obtener copia de los documentos contenidos en los citados procedimientos” y a la tutela judicial efectiva contenida en el artículo 24 de la Constitución Española. 3) Aporta para completar la información, en documento 1, copia de un INFORME de 1/12/2015 de la Subdirección General de Régimen Jurídico del deporte, del C.S.D., en relación con la modificación del RGLNFP, que indica la normativa por la que le corresponde emitir el informe a las modificaciones del texto del citado RGLNFP, adicionando entre otros, el Libro XII, aprobado por la Asamblea General Extraordinaria en su reunión del 24/09/2015. Tales normas son el artículo 10.2.
  36. b)de la Ley 10/1990, de 15/10, del Deporte, en relación con el artículo 27 del Real Decreto 1835/1991, sobre federaciones deportivas españolas y Registro de Asociaciones Deportivas. El informe,”favorable a la citada adición al RGLNFP” “propone a la Comisión Directiva del C.S.D. su aprobación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/139 También para que se incorpore completando el expediente, aporta en documento DOS, la copia de la Circular 34 de la temporada 21-22, enviada a los Clubes el 25/04/2022, dando traslado del acuerdo de la CEVRIXD de su reunión de 3/03/2022. Visto el documento 2, se trata de que la Liga comunica a los Clubes y SADs afiliados que “se ha recibido, un acuerdo de la Comisión Estatal contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte, dirigido a que LaLiga inste a los Clubes y SADs El documento, que se acompaña como anexo a la presente circular, incide sobre determinados aspectos vigentes en el Reglamento General de LaLiga (en particular, en el Libro XII, Reglamento de venta de abonos y entradas), texto normativo de obligado cumplimiento aprobado por la Comisión Directiva del Consejo Superior de Deportes. Desde LaLiga se insiste en la necesidad de adoptar las medidas oportunas para el cumplimiento de la normativa aplicable a las gradas de animación, y en las responsabilidades en que se puede incurrir en el supuesto de incumplimiento, en especial con ocasión de incidentes o incidencias que puedan estar relacionados.” Se acompaña como Anexo también el literal del escrito consistente en el comunicado literal de la CEVRIXD a la LIGA en su reunión de 3/03/2022, del que ya se ha hecho mención de su literal en el hecho TERCERO, 3.1.1. -Manifiesta la LIGA que el criterio sostenido en el Informe 98/2022 del Gabinete Jurídico de la AEPD “habilitaba el tratamiento de datos biométricos para el acceso a las gradas de animación sobre la base del consentimiento del interesado. No obstante, la Guía sobre tratamiento de control de presencia mediante sistemas biométricos publicada en la web de la AEPD el 23/11/2023, casi un año después, establece terminantemente que dicho tratamiento no podrá basarse en el consentimiento de los interesados, dado que su carácter libre excluye el cumplimiento del principio de necesidad en el tratamiento, contradiciendo así lo indicado en el meritado informe”. 4) Manifiesta la LIGA: -El RVAE, que se integra en el RGNLFP, es un acto administrativo aprobado, no simplemente autorizado o refrendado por el C.S.D., siendo dicha aprobación lo que le dota de eficacia. La LNFP fue requerida hasta en dos ocasiones expresamente por la CEVRXID para comunicar a los Clubs el cumplimiento de lo dispuesto, con amparo en sus facultades de iniciar procedimientos sancionadores (art 20.3.
  37. c)primero de la Ley 19/2007 de 11/07. - La interpretación de que la LIGA es responsable del tratamiento la considera una interpretación forzada.” Ni LA LIGA tiene capacidad alguna para determinar los fines, ni los medios del tratamiento, ni conoce siquiera el modo en que el mismo será, en su caso, y cuando lo sea, llevado a cabo por los Clubes en el ámbito de lo establecido en el artículo 2 del RVAE. -Reitera que no procede de la exclusiva voluntad de la LIGA, sino que es objeto de aprobación por el C.S.D., y responde al requerimiento en al menos dos ocasiones por la CEVRXID. Señala que al artículo 41 de la LD 2022 establece expresamente que los Reglamentos de las Ligas Profesionales, serán aprobados por el C.S.D. ”Las funciones ejercidas por las ligas profesionales no proceden de la libre formación de su voluntad, sino de un acto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/139 administrativo que es el que determina la aprobación del RVAE, siendo las Circulares el medio por el que se produce el traslado de los acuerdos de la CEVRIXD, ante las previsiones sancionadoras que dichos acuerdos contienen.” Respecto del traslado a los Clubes mediante Circular, es el medio previsto en desarrollo del artículo 31 del Libro IV del RGLNFP, que reza: “La Liga Nacional de Fútbol Profesional informará mediante Circulares, de las medidas que en cada momento tenga establecidas la Comisión Nacional contra la Violencia y que afecten a las competiciones organizadas por aquélla.” El artículo 27 del Real Decreto 1835/1991 de 20/12 sobre Federaciones Deportivas, actualmente vigente, establece un procedimiento reglado para la aprobación de los citados Estatutos, que pone de manifiesto hasta qué punto la LNFP queda sometida a la decisión del acto administrativo recurrible, del C.S.D., que no se limita a validar u otorgar un mero visto bueno a los mismos. “El razonamiento contenido en el acuerdo de inicio parte de considerar que las funciones de la LIGA contenidas en el título III de sus Estatutos, se establecen y configuran en el ejercicio de su propia potestad de autorregulación, cuando las mismas proceden en toda su extensión inicialmente de lo establecido en la propia normativa deportiva y en segundo lugar de que el ejercicio de dichas funciones se aprueba expresamente por el C.S.D.” “Esa misma naturaleza la ostentan las obligaciones de los Clubs y SAD integradas en la LIGA en lo relacionado con el control de accesos a los recintos deportivos contenidos en el artículo 60 de los Estatutos de LA LIGA. En este sentido, si bien la citada norma se refiere a la instalación de un control de acceso en los términos que indique la LIGA, debe indicarse que al ser dicho contenido propio del reglamento regulador de la actividad de los Clubs y sociedades anónimas deportivas en el marco de la competición, el mismo no procede directamente de la voluntad de la reclamante sino que es objeto igualmente de aprobación por parte del C.S.D., materializándose en el libro XII de su reglamento general que contiene el RVAE. En definitiva, los actos de ejecución que pudiera desarrollar LA LIGA en el marco del citado RVAE, no se realizan como función propia sino como función delegada de las competencias atribuidas a la administración competente en materia del deporte por la legislación deportiva, a la que corresponde en todo caso la potestad normativa mediante la aprobación del propio RVAE En ese sentido lo pone de manifiesto la sentencia del TS, de 19/02/2020: “Así, con independencia de las funciones privadas que puedan desarrollar las ligas profesionales, su participación en el visado de las licencias y la competencia de organización general de las competiciones deportivas, deben considerarse encuadradas en el ámbito de las funciones públicas que pueden desarrollar y ejercer por delegación legal, convirtiéndose en agentes de la administración pública, como las federaciones deportivas. Función a la que cabe añadir las delegadas por las Federaciones al amparo del artículo 28 del Real Decreto 1835 /1991. Continua la LIGA indicando que : “Y si la supuesta decisión sobre los medios y los fines del tratamiento que el acuerdo de inicio imputa directamente a mi representada no le es propia, sino que se ejerce por delegación de los poderes públicos y está sometida a su previa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/139 aprobación, no autorización ni refrendo, difícilmente es posible concluir que esa supuesta decisión sobre los medios y los fines del tratamiento corresponde a la LIGA, sino que en el caso de que la hubiera, procedería directamente de la administración titular de la competencia que aprueba su adopción. No debe olvidarse que conforme al artículo 8.1 párrafo segundo de la ley 40/2015 la delegación de competencias no supone la alteración de la titularidad de la competencia, aunque sí de los elementos determinantes de su ejercicio en cada caso se prevén” -Las medidas relacionadas con el tratamiento de datos biométricos para el acceso a los recintos deportivos, y en particular a las llamadas gradas de animación, aparecen recogidas en el RVAE y fueron acordadas por el órgano, que conforme a lo establecido en la normativa vigente en materia de prevención de la violencia, el racismo, la xenofobia y la intolerancia en el deporte, tiene atribuida a competencia para adoptar medidas especiales de prevención de conductas contrarias a lo establecido en la ley 19/2007. -En su respuesta al requerimiento de información sobre el requerimiento dirigido por la CEVRXID a la LIGA, el C.S.D. señaló que se consideraba competente para decidir sobre “la implantación de dichas medidas adicionales de seguridad en una competición sin necesidad de que esta haya sido declarada de alto riesgo”, de forma que aquella se consideraba habilitada para “adoptar medidas adicionales para la competición de LA LIGA, activando el artículo 15.3 del RD 203/2010 de 26/01, en desarrollo de lo establecido en el citado artículo 13.1.
  38. b)de la Ley 19/2007”. -“La doctrina sustentada por la AEPD en el acuerdo de inicio determinaría que en caso de que una Administración Pública imponga al administrado la obligación de llevar a cabo un determinado tratamiento de datos personales, fijando los aspectos esenciales del mismo, seria esa administración, la que determinaría los fines y los medios del tratamiento, deviniendo responsable, lo que supondría una interpretación novedosa del RGPD, que precisamente en su artículo 4.7 señala que “si el derecho de la Unión o de los Estados miembros determina los fines y los medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el derecho de la Unión o de los Estados miembros”. Fue la CEVRXID la que requirió a los Clubes y SAD la adopción de las medidas contenidas en el requerimiento de 22/03/2022, indicando que de no adoptarla, podría implicar la adopción de procedimientos sancionadores dirigidos contra los Clubes y SAD que integran la Liga, con lo que con la “doctrina sostenida por la AEPD, los medios y los fines del tratamiento que los Clubes habrían de llevar a cabo, conteniéndose tal decisión en un acuerdo de la citada Comisión adoptado conforme a los requisitos establecidos en su normativa reguladora.” se cumpliría. Esta capacidad de la CEVRXID para determinar los fines y medios del tratamiento, siguiendo lo razonado por la AEPD, incluso persistió reforzada aún más al establecerse la base jurídica que debía regir el tratamiento de los datos en el segundo requerimiento dirigido a aquella el 21/03/2023, insistiendo en el tratamiento de datos biométricos, si bien indicaba que el mismo únicamente tendría lugar con el consentimiento de los interesados. -La CEVRXID no requiere a la LIGA para que lleve a cabo el tratamiento de los datos biométricos y de cumplimiento a lo acordado, sino que se limita a solicitar de la misma que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/139 adopte las medidas necesarias para dar traslado de su requerimiento a Clubes y SAD, verdaderos responsables del tratamiento, también a juicio de la Comisión, sobre los que podría recaer el régimen sancionador previsto en la Ley 19/2007 de 11/07 en caso de que no llevasen a cabo todas las actividades del tratamiento. -Subraya la LIGA, que el requerimiento dirigido por la CEVRXID a la Liga indicaba que el principal “motivo de esta actuación reside en que, en cualquier caso, el disfrute de condiciones especiales en una determinada sección o área de un recinto deportivo (grada de animación) respecto a las condiciones generales del resto de sectores (gradas) debiera llevar aparejado el cumplimiento de una serie de obligaciones especificas tales como la identificación biométrica con las garantáis legalmente previstas respecto al tratamiento de datos personales”, lo que estima es una vinculación directa e inmediata entre lo exigido a los Clubes y SAD con los objetivos perseguidos por la Ley 19/2007. Concluye la LIGA, que los fines y medios del tratamiento los había establecido el C.S.D., con la aprobación del RVAE, así como que también posteriormente, indicó que la no realización del tratamiento podría implicar la adopción de procedimientos sancionadores dirigidos contra los Clubes y SAD que integran la LNFP. -Al razonamiento de la AEPD, de que la supuesta atribución de la LNFP del carácter de responsable del tratamiento deriva de lo establecido en los apartados 2 a 4 del RVAE, considerando que con tales previsiones determina los fines y los medios del tratamiento, y que dicha determinación se lleva a cabo para los propios objetivos ejerciendo en atención a esos fines propios una influencia decisiva en el tratamiento que la convierte en responsable del mismo, manifiesta la LIGA, que: -Los fines perseguidos con el tratamiento no pueden considerarse propios de la LIGA, sino derivados directamente de lo establecido en la normativa cuyo objeto es la prevención de la violencia, el racismo, la xenofobia y la intolerancia a en el deporte, que impone estas obligaciones a los propios Clubes, y ello, al margen de lo que se hubiera indicado en el propio RVAE -La determinación del carácter nominativo de las entradas no procede de una decisión propia de la LNFP, sino de lo acordado por la CEVRXID, señalando los artículos de la Ley 19/2007 de 11/07 que establecen la inclusión de un sistema informatizado de venta de entradas y de acceso al recinto en todos los recintos deportivos, con sanción de clausura de los mismos caso de incumplimiento (art 11.1), y el articulo 13.c de dicha norma habilita a la CEVRXID “para decidir la implantación de sistemas de emisión y venta de entradas que permitan controlar la identidad de los adquirentes de entradas”. -Estima la LIGA que incluso aunque el RVAE hubiere guardado silencio en ese punto, la CEVRXID requirió a la LIGA para que comunicase a los Clubes y SAD la obligación de tratamiento del dato biométrico para el acceso a las gradas de animación. Es decir, en este caso, la delimitación de la finalidad del tratamiento derivaría de lo establecido en la Ley 19/2007 de 11/07 y su Real Decreto 203/2010, de 26/02, acordado, además por quien, al menos aparentemente, conforme a lo indicado por el C.S.D., ostentaba la competencia para imponer esta obligación. “no es posible considerar que LA LIGA decide en modo alguno sobre la finalidad del tratamiento, que procede directamente de lo establecido en la citada normativa que el RVAE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/139 se limita a plasmar, siendo dicha finalidad, la erradicación de la violencia en el deporte, un objetivo de política general que no pude considerarse como hace el acuerdo de inicio, meramente propio de la LIGA.” -Lo dispuesto en los artículos 11.1 y 13 de la Ley 19/2007 de 11/07, no se dirige a las Ligas Profesionales, ni a las Federaciones, sino a los propios participantes en las competiciones, y si la obligación se dirige a los Clubs o SAD, de conformidad con el APARTADO 24 de las DIRECTRICES 7/2020 sobre los conceptos de “responsable del tratamiento, y encargado del tratamiento en el RGPD, versión 2.0, adoptada el 7/07/2021”, se deriva que son aquellos los que ostentarían la condición de responsable en la realización de los tratamientos vinculados con la identificación y acceso a esos recintos, dado que la Ley les impone a dichos Clubes y nunca a la LIGA, la realización de actuaciones necesarias para el cumplimiento de esa obligación. También el APARTADO 27 de las citadas DIRECTRICES aluden a la relación o interacción del interesado con el responsable del tratamiento como criterio esencial para la delimitación de esta condición.” A tal efecto la única relación existente en lo que respecta al régimen de acceso a un recinto deportivo es la que se deriva de la condición de abonado a un determinado Club o SAD, o la de hallarse en posesión de un título nominativo o no, que habilita el acceso al recinto deportivo. Es decir, la relación jurídica subyacente al tratamiento se produce únicamente entre el Club y el abonado o poseedor de la entrada, encontrándose LA LIGA al margen en dicha relación”. Considerándose pues, que la finalidad no viene determinada por la LIGA, debe igualmente indicarse que la LIGA tampoco establece los medios esenciales del tratamiento, concretándose en el tipo de datos personales tratados, ¿Qué datos se trataran?, la duración del tratamiento ¿Cuánto tiempo se trataran?, las categorías de destinatarios ¿Quién tendrá acceso a los datos, y las categorías de interesados? “La LIGA no adopta decisión alguna en relación con los citados medios esenciales del tratamiento, recayendo en los propios Clubes y SAD que implanten el sistema.” Respecto del colectivo al que afectaría, las gradas de animación o su no existencia, depende exclusivamente de la decisión del Club o SAD. También cada Club determinara conforme a su criterio, cual sea el dato biométrico, y la tecnología facilitadora de dichos tratamientos, no solo fue la facilitada por la LIGA. “La LIGA tampoco ha establecido distintos extremos del tratamiento, como el cumplimiento de los principios en la normativa, el plazo de conservación, el modo de conservación en los sistemas, las medidas técnicas y organizativas que garanticen su confidencialidad.” Sobre la categoría de destinatarios, también es la propia Ley 19/2007 de 11/07 la que lo establece. Incluso la base jurídica del tratamiento resulta coincidente con la contemplada en el informe 98/2022, de conformidad con los distintos precedentes que en aquella se establecían. También se contenía tal consentimiento en las directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos de video aprobadas el 29/01/2020, en las que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/139 Comité reconocía la posible existencia de tratamientos consistentes en el reconocimiento facial y fundados en el consentimiento del interesado en el apartado 77. “La LIGA no determina los fines ni los medios del tratamiento, ni el tratamiento atiende a los objetivos propios de LA LIGA. No concurre en la LIGA ninguno de los requisitos necesarios para que pueda considerarse responsable del tratamiento “. -Estima la LIGA que no concurriría la doctrina que se señala citando la sentencia de TJUE de 5/12/2023, asunto 683/21, porque se trata de supuestos distintos, ya que en la comentada sentencia fue una entidad la que para el objetivo de gestión de la pandemia COVID 19, decidió utilizar una herramienta informatica para realizar el seguimiento de los datos de las personas expuestas al virus, pues en este caso, los Clubes pueden decidir si disponen o no de gradas de animación, establecer el tipo de tratamiento que llevaran a cabo y los distintos elementos aplicables al tratamiento, siendo la finalidad del mismo, propia de los Clubes y SAD, no de la LNFP, y tampoco es similar al caso de la sentencia de 10/07/2018, en que existía corresponsabilidad del tratamiento de la Comunidad junto con sus miembros. 5) La obligación de efectuar una EIPD, en este caso, sobre el tratamiento de datos biométricos para el acceso a los recintos deportivos le corresponde a los Clubs y SAD, careciendo de la condición de responsable del tratamiento la LIGA. Tras repasar el contenido mínimo de la EIPD que prevé el artículo 35.7 del RGPD y aludiendo a diversos aspectos de la “Guía sobre gestión del riesgo y evaluación de impacto en tratamiento de datos personales, adoptada por la AEPD” y publicada en junio 2021, concluye que la imputación resulta inadecuada y su consecuencia, el archivo. Destaca de la citada Guía los siguientes aspectos: -La probabilidad de alto riesgo muy significativo para los derechos y libertades de las personas que puede producir impactos en los derechos y libertades de las personas, exige un análisis del ciclo de vida de los datos. La Guía repasa entre las formas de descripción y contextualización del tratamiento, la del análisis del ciclo de vida que entre otros aspectos incluiría la recogida, registro, uso, comunicación a un tercero y finalización, siendo la finalidad poder minimizar en cada fase el impacto del tratamiento en los derechos y libertades de los interesados y el riesgo derivado del tratamiento. Además, el acuerdo de inicio califica el riesgo de muy significativo, pese a que el Dictamen 3/2012 sobre evolución de tecnologías biométricas indica el perfeccionamiento de los sistemas biométricos y su adecuación a un uso extenso en distintos entornos El RVAE ni siquiera especifica el dato biométrico que podrá ser objeto de tratamiento ni el modo en que el tratamiento se llevará a cabo, sin conocer la tipología de los datos objeto del tratamiento, menos será posible conocer los detalles del propio tratamiento, tales como el modo en que se recogen aquellos, almacenamiento que según el acuerdo de inicio se realiza en los propios servidores de los Clubes y SAD. La LNFP no puede conocer el ciclo de vida de los datos. Tampoco las medidas técnicas y organizativas encaminadas a preservar los derechos y libertades de los interesados, como contrapesos al riesgo que el tratamiento puede generar en tales derechos y libertades ni como recaba el consentimiento cada Club o SAD que tiene en marcha la medida, por lo que tampoco puede valorar las garantías necesarias para garantizar la licitud y transparencia del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/139 Manifiesta la LNFP que ello refleja la inadecuada imputación que debe ser archivada. 6-Efectúa la LNFP alegaciones relacionadas con la vulneración del principio de proporcionalidad estimando que los factores considerados como agravantes son elementos de la propia conducta que se pretende sancionar, rebatidos en este escrito de alegaciones. Considera, que solo se valora la cifra de negocios y la cuantía impuesta en el acuerdo de inicio como disuasoria, acordándose imponer la sanción individual más elevada impuesta hasta esta fecha por la AEPD, “constituiría el 28,5% del límite superior derivado de la aplicación de la cifra de negocio mencionada, referido única y exclusivamente a la comisión de una única infracción.” Considera que:
  39. a)El artículo 4 de los Estatutos de la LIGA refiere que esta se crea por tiempo indefinido y carece de ánimo de lucro y el artículo 49: “La Liga concebida como expresión solidaria de los intereses comunes de las competiciones que organiza y de sus afiliados, se constituye sin ánimo de lucro y, en consecuencia, sus ingresos, deducidos sus gastos de mantenimiento social, los compromisos adquiridos y el Fondo Social que se constituya, serán distribuidos entre los asociados, en la cuantía o proporción que se determine por los presentes estatutos”. Añade la LIGA que, dado que ejerce funciones asociativas en interés de sus miembros, le corresponde el ejercicio de potestades publicas delegadas por parte de la Administración deportiva, y su régimen económico no puede asimilarse sin más al propio de una mercantil. La LIGA gestiona los derechos de los Clubes por cuenta de los mismos, destinando el importe de los rendimientos que pudiera obtener por su gestión o explotación a sus propios asociados, sin que la cifra de facturación pueda considerarse como elemento relevante al menos de forma aislada para determinar los supuestos en que una sanción pudiera ser calificada de disuasoria. La imposición de una sanción a la LIGA repercutiría en las cantidades que esta gestiona para los Clubs y SAD, que verían mermados sus recursos. Las cuentas de la LIGA son sometidas a auditoría de cuentas, según refleja el artículo 58.2 de la LD 2022. La Ley 22/2015 de 20/07, de auditoría de cuentas, indica que las Ligas Profesionales, a los efectos de dicha ley, tienen la consideración de entidad de interés público. Señala la LIGA, que en la memoria de las cuentas anuales al ejercicio terminado el 30/06/2023, se indica que el excedente o beneficio de la Liga, se reparte entre sus asociados en su totalidad o incrementa el Fondo Social.” Considerando lo mencionado en la nota 2.
  40. c)por el que se generó en el ejercicio económico terminado el 30/06/2022 unas reservas por importe de 6.335 miles de euros, La LIGA, con el propósito de favorecer a los Clubes/SAD a través del reparto de mayores recursos, ha finalizado el ejercicio económico terminado el 30/06/2023 con unas pérdidas de 6.335 miles de euros, de modo que la propuesta de la Comisión Delegada a la Asamblea General sobre la distribución del resultado del ejercicio, será la compensación de estas pérdidas contra las reservas generadas el ejercicio terminado el 30/06/2022”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/139 Sobre la cifra de negocios, indica: -Una parte importante de esa cifra de negocio es consecuencia de la competencia ex lege de gestionar los derechos audiovisuales de terceros (Clubes y entidades participantes en la competición) a los que el Real Decreto Ley 5/2015 de 30/04 reconoce expresamente como titulares, siendo un gestor de derechos ajenos. -Una parte importante de dichos ingresos tienen adicionalmente, la condición de prestación publica obligatoria en los términos del artículo 30 de la Constitución para financiar el deporte, que supone el 50% de la financiación presupuestaria de las subvenciones a federaciones. Solicita que, de la cifra de negocio tomada como criterio de fijación de la propuesta de infracción, sean deducidas las cantidades que se corresponden a derechos titularidad de terceros y las que forman parte de la prestación pública obligatoria con el fin de que se establezca una proporcionalidad directa entre la cifra de negocio y la cuantía que determinaría que la multa a imponer resulte disuasoria. Considera que, en el ámbito de la Unión Europea, no se ha impuesto una sanción por el artículo 35 del RGPD tan alta como la que se le ha propuesto. Señala el procedimiento PS/121/2021 por una infracción del mismo artículo, con un informe de auditoría publicado de cifra de negocios, ultima conocida, de más de 25.000 millones y 90 mil empleados, 1.636 tiendas abiertas, con imposición de una cuantía de 50.000 euros, y en cuyo caso no se planteaba cuestionamiento de su condición de responsable de tratamiento. -La cuantificación se basa en consideraciones generales carentes de sustrato probatorio, tales como la “muy alta afectación en intensidad de uso y número de personas sobre las que puede recaer el tratamiento”, mera potencialidad, vulnerando un principio del derecho penal aplicable al derecho administrativo sancionador, como es que aplica un principio de responsabilidad objetiva basado en un riesgo que califica de potencial, siendo valorada dicha potencialidad como agravante “de la conducta que solo potencialmente se ha llevado a cabo”. -Tampoco se muestra de acuerdo con la plasmación como agravante de que se indica que existían distintas directrices de aplicación referidas a los datos biométricos, lo que estima es redundante, dado que el supuesto alto riesgo derivado del tratamiento, ya ha sido valorado como elemento integrante del tipo sancionador. Además de ignorarse que tipo de agravante podría ser la existencia de dichos documentos, también prevén la posibilidad el tratamiento de datos biométricos con base al consentimiento. El probable alto riesgo es decisivo para la exigencia legal de realización y superación de una EIPD, y el alto riesgo del tratamiento de datos de categoría especial, biométricos que identifican de forma unívoca a las personas titulares de los mismo, es inherente y se parte de la base de que conlleva como obligación la elaboración de esa EIPD. Lo que resulte de su realización en cuanto a riesgos es algo desconocido en este caso, pues la LNFP no ha llevado a la práctica su efectiva realización, luego no se ha valorado específicamente como agravante los riesgos en que ha incurrido estableciendo dicho tratamiento -No está de acuerdo en considerar agravante asimilada a la falta de diligencia cuando se indica que la LIGA desarrolla una actividad que depende del público, y que, además, se le presume una profesionalidad en el uso y manejo habitual de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/139 Estima que no ha podido hacer alegaciones frente a esta consideración produciéndosele indefensión, ignorando el significado y relación de que “depende del público“, con la infracción que se pretende imputar, y careciendo de la condición de responsable del tratamiento, ignora el modo en que se produce el uso y manejo de datos personales del que supuestamente se predica la profesionalidad mencionada. NOVENO: Auto de la AN de 2/04/2024, pieza separada medidas cautelares Con fecha 2/04/2024, la Audiencia Nacional, sala de lo contencioso administrativo, sección 1ª emitió el auto 310/2024, recurso 155/2024: “pieza separada de medidas cautelares 155/2024” promovido por la reclamada. El auto efectúa una valoración circunstanciada de los intereses en conflicto. Se cita por considerar de interés parte del razonamiento que conduce a desestimar la suspensión solicitada, que figura en el fundamento CUARTO: “Así las cosas, en contra de lo que dice la parte actora, la adopción de dicha medida se encuentra debidamente motivada, siendo proporcional dado los intereses en juego. En este sentido, en cuanto a la ponderación de los intereses en conflicto, a la vista de las circunstancias concurrentes en el presente caso, esta Sala considera que debe prevalecer la salvaguarda del interés general, consistente en la protección del derecho a la protección de datos personales de los interesados que es un derecho fundamental, frente al interés particular de la parte recurrente, máxime cuando el Reglamento General de LA LIGA Nacional de Fútbol Profesional, no configura el control de acceso biométrico como el único modo posible de acceder a las gradas de animación en recintos deportivos, y que del cuadro de Clubs y Sociedades Anónimas Deportivas que aportó LA LIGA Nacional de Fútbol Profesional hasta la temporada 22/23, sin incluir la actual, con información de la fecha de implantación de los sistemas de dato biométrico utilizados para el acceso a las gradas de animación, se parte de que la implantación de sistema biométrico contempla un total nueve equipos tanto en primera como en segunda división, de un total de 20 equipos en primera y de 22 en segunda. Es decir, la medida provisional adoptada por la Agencia Española de Protección de Datos no haría perder la finalidad legitima del recurso, siendo su objetivo fundamental es que se garanticen los derechos y libertades de los interesados, la continuidad del tratamiento vulneraría gravemente los mismos, debiendo prevalecer este sobre el interés general. La suspensión pretendida vaciaría de contenido de la medida en cuestión, que tiene por finalidad proteger los derechos y libertades de los interesados con carácter inmediato, y en tanto no exista un resultado de dicha evaluación. Debemos añadir que, la parte actora dispone de otras posibles alternativas para la misma finalidad del control que no serían tan intrusivas como la que fue objeto de la resolución recurrida.” DÉCIMO: Segundo y tercer escrito de la reclamada de alegaciones. Con fecha 21/05/2024, se recibe escrito de la reclamada indicando que el 7/05/2024 han recibido escrito de la CEVRXID dando traslado a la LIGA de lo acordado en la reunión de la citada Comisión de 30/04/2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/139 En el acuerdo se significa que han tenido conocimiento de la publicación el 23/11/2023 de la “Guía sobre tratamientos de control de presencia mediante datos biométricos” y el 6/03/2024 ha elevado una consulta a la AEPD, solicitando aclaración de si la mencionada guía es vinculante, y, por tanto, anula el criterio del informe de 22/12/2022, afectando al acuerdo adoptado por esta Comisión con fecha 13/03/2023”. El acuerdo señala que en su reunión de 30/04/2024, la Comisión ha acordado suspender la aplicación del acuerdo adoptado con fecha 13/03/2023, hasta que se reciba respuesta de la AEPD a la consulta planteada. La reclamada adoptó el 13/05/2024 la Circular 28, de la temporada 23/24, dando traslado a los Clubs integrados en la LIGA que, en base a lo acordado por la CEVRXID, se comunica a los Clubs/SADs afiliados que procedan a suspender temporalmente todo tratamiento de datos personales relativos a los datos biométricos para el control de acceso a las gradas de animación. Aporta copia de documento 1 de la CEVRXID, dirigido al Presidente de la LNFP con el fin también de que se comunique el acuerdo adoptado a los Clubes que la integran y documento 2 firmado por la LNFP el 13/05/2024, conteniendo la Circular dirigida a los Clubs. Con fecha 16/07/2024 se presenta escrito por la LNFP, indicando: -Aportan copia de la resolución de sanción impuesta por la AEPD al ***CLUB.4 por no haber realizado una EIPD, y deduce que “como puede comprobarse, es el citado Club y no la LNFP la obligada a la realización de una EIPD. En dicha resolución, y en términos similares a los manifestado por la LNFP, esa AEPD considera que son los Clubes y no La Liga quienes ostentan la condición de responsables del tratamiento, siendo aquellos los obligados a la realización de la EIPD, contradiciendo la imputación efectuada a la LNFP”. -Aportan copia de un auto del Juzgado de Instrucción 7 de Sevilla, en el que se acuerda la medida de alejamiento de los investigados en dicho procedimiento a cualquier campo de fútbol en los que se disputen competiciones. En el punto 3 de la parte dispositiva, se señala: “Notifíquese la resolución para su efectividad a la LNFP a efectos de comunicación de la resolución adoptada al ***CLUB.5, al ***CLUB.1 y resto de Clubes nacionales de fútbol”. Deduce de ello la LNFP, que son los Clubes y no la LNFP, quienes han de adoptar las medidas adecuadas para control de accesos a los estadios, por lo que solo aquellos ostentarían la condición de responsables del tratamiento, siendo los únicos obligados a la realización de una evaluación de impacto en la protección de datos, conforme a lo preceptuado en el artículo 35 del RGPD. DÉCIMO PRIMERO: Propuesta de resolución Con fecha 12/11/2024, se emitió propuesta de resolución, del literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos, respecto de LIGA NACIONAL DE FÚTBOL PROFESIONAL con NIF G78069762, -Se sancione por una infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4
  41. a)del RGPD, calificada como grave a los solos efectos de la prescripción de dicha infracción, en el artículo 73.
  42. t)de la LOPDGDD, con una multa de 10.000.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/139 SEGUNDO: Para salvaguardar el derecho fundamental de los abonados a las gradas de animación, sobre la suspensión temporal incluida como medida provisional en el acuerdo de inicio, en virtud del artículo 58.2.
  43. f)del RGPD, se propone que se eleve a definitiva.” DÉCIMO SEGUNDO: Alegaciones a la propuesta de resolución. Con fecha 10/12/2024 tuvo entrada escrito de alegaciones contra la propuesta, en las que se indica: 1- “Vulneración de los derechos de la liga y fundamento de derecho de la propuesta” -Sobre la medida provisional adoptada en el acuerdo de inicio, dio cumplimiento a la medida al trasladar a los Clubes la improcedencia de llevar a cabo el tratamiento de datos biométricos en el acceso a las gradas de animación, si bien se halla recurrida -Sobre documentos aportados en actuaciones previas de investigación “por un tercero”, el ***CLUB.4, y las razones expuestas en la propuesta, estima que no se ajustan a derecho ni a la realidad. Analizando diversos puntos de la resolución del procedimiento sancionador contra ***CLUB.4 manifiesta que ambas reclamaciones tuvieron entrada el 4/11/2022, no se dirigían ni contra el ***CLUB.4 ni contra la LNFP sino contra “el C.S.D.”. En todo caso, “la AEPD decidió que la investigación afectaba tanto a mi representada como al ***CLUB.4, tramitando las actuaciones de investigación de forma conjunta, al entender que podía existir un nexo de unión entre ambas. De hecho, en los antecedentes de hecho de la Resolución del procedimiento PS/00483/2023 sí constan los escritos formulados por mi representada, así como los restantes que obran en la “porción” del procedimiento a la que se ha dado acceso a mi representada, pero sin que figuren en ésta última los documentos aportados por el ***CLUB.4”, “cuyo contenido, como inmediatamente se indicará, a la vista de la Resolución de aquel procedimiento, sí producen un efecto sustancial en la valoración que ha fundamentado el reproche sancionador dirigido por la Propuesta de Resolución contra LALIGA.” “La Administración no puede decidir la segregación o la fragmentación de un expediente administrativo por propia iniciativa sin ni siquiera motivar los hechos que justifican dicha decisión. El expediente administrativo es único y no es dable a la Administración segregar o trocear el mismo como lo estime conveniente, máxime cuando existe una indudable conexión entre la información sustraída al conocimiento de mi representada y la fundamentación empleada para imponer” la sanción”. “La decisión unilateral de la AEPD de decidir, ni siquiera formalmente, qué parte del expediente administrativo que sirve de fundamento para la tramitación de un expediente sancionador contra LALIGA, puede libremente ocultársele, dado que ésta sólo tiene derecho a acceder a la “porción” del expediente que la AEPD estime conveniente.” El artículo 70 de la LPACAP, dispone lo que se entiende por expediente administrativo, como conjunto ordenado de documentos y actuaciones que sirven de antecedente y fundamento a la resolución administrativa, así como las diligencias encaminadas a ejecutarla. “De este modo, el expediente administrativo deberá contener todos los documentos, pruebas, acuerdos, notificaciones, decretos, requerimientos y diligencias que hayan tenido lugar a lo largo del procedimiento administrativo, incluidas las actuaciones previas, que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/139 evidentemente se incorporarán al mismo cuando la investigación se convierta, como ha sucedido en este caso, en un procedimiento sancionador. Y el expediente administrativo ha de ser único. Es decir, si de la realización de unas actuaciones administrativas previas de investigación se desprendiese la necesidad de proceder a la apertura de dos procedimientos administrativos sancionadores contra dos entidades distintas, el expediente que sirve de base a dicha tramitación ha de ser el efectivamente tramitado, y no la “porción” que, sin motivación ni fundamentación alguna, considere la Administración sancionadora que ha de incorporarse en cada caso.” Si la Administración entendía que las actuaciones de investigación debían diferenciarse en uno u otro caso, simplemente podría haber procedido a la apertura de unas nuevas actuaciones a las iniciadas con posterioridad, incorporando sólo a ellas las diligencias que se tramitasen en el seno de esta última. Pero si la AEPD ha considerado procedente unificar la investigación en este caso no puede sustraer del conocimiento de mi representada todo lo actuado en ese procedimiento, dado que en ese caso estaría afectando gravemente los derechos de mi representada.” “El ***CLUB.4 sí podía acceder a todo el expediente, incluyendo lo señalado por mi representada, mientras que LALIGA no podía acceder a lo manifestado por el ***CLUB.4, el contenido de dichas manifestaciones, en lo que resulta de la Resolución recaída en el expediente PS/00483/2023, que evidentemente no reproduce la “porción” del expediente sustraída al conocimiento de mi mandante, pone de manifiesto hasta qué punto lo indicado por el ***CLUB.4 en los tres escritos a los que LALIGA no ha podido acceder es sustancialmente relevante para negar a mi representada la condición de responsable del tratamiento que pretende imponérsele en este expediente. “ En dicha Resolución se indica, como acreditado, que: 1-“No se tiene constancia de que LALIGA hubiera adoptado medidas dirigidas a exigir el cumplimiento de las obligaciones previstas en el referido artículo del RGLALIGA hasta que la CEVRXID le instó a hacerlo. En concreto, consta acreditado que la CEVRXID instó hasta en dos ocasiones a LALIGA para que promoviera la implantación por los Clubes de las medidas de control biométrico indicadas en el Libro XII de su Reglamento General, exclusivamente para las gradas de animación en primera y segunda división. En sus acuerdos hace referencia además a que su incumplimiento dará lugar a “las correspondientes propuestas de apertura de expedientes sancionadores en ejercicio de su función de vigilancia y control prevista en la Ley”. Sin embargo, la Propuesta de Resolución considera que el establecimiento de un sistema biométrico de acceso a los recintos deportivos procede de la decisión unilateral de LALIGA, manifestada en el Reglamento de Venta de Abonos y Entradas (en adelante “RVAE”), integrado en el Reglamento de LALIGA, cuando de la información recabada y sustraída a mi representada se desprende que LALIGA no llevó a cabo acción alguna encaminada a exigir el cumplimiento de esta previsión en tanto no fue requerida a ello por la Comisión Estatal contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte (en adelante, “CEVRXID”). De este modo, la información sustraída al conocimiento de mi mandante pone de manifiesto, precisamente, lo contrario de lo que se afirma en la Propuesta.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/139 2-“Recibido el comunicado anterior [de la CEVRXID, de fecha 21 de marzo de 2023], LALIGA adoptó el día 23 de marzo de 2023 la “Circular N.º 19 de la Temporada 2022/2023, por la que se trasladaba a los Clubes lo indicado por la citada Comisión, informando asimismo del informe de esa AEPD de 22 de diciembre de 2022”. La Circular traslada a los Clubes que “el acceso a las gradas de animación mediante datos biométricos puede mantenerse, pero siempre que exista consentimiento libre del interesado, previa información de las concretas finalidades para el tratamiento de los datos de carácter personal. En caso de no contar con el consentimiento de los interesados, la CEVRXID recuerda que los espectadores de estas gradas no estarán exentos de someterse a todos los controles de verificación de identidad que se hallen vigentes en cada momento y, a tal fin, resulta obligatorio que el Club o SAD cuente con un procedimiento que permita identificarlos”. “Se pone nuevamente de manifiesto que el establecimiento de los sistemas de acceso a los recintos no deriva de una decisión de mi representada, sino que procede de la adoptada a su vez por la CEVRXID, a la vista del informe 98/2022 del Gabinete Jurídico de esa AEPD.” 3-“La Liga, a través de la entidad SEFPSA, provee a los miembros que lo solicitan los distintos dispositivos para el accionamiento de los tornos de entrada a los recintos deportivos, incluyendo, en su caso, los sistemas biométricos de reconocimiento por huella dactilar. Los Clubes son libres de contratar el sistema de huella dactilar de SEFPSA o cualquier otro, siempre y cuando dispongan de un sistema biométrico de venta de abonos y control de acceso a sus gradas de animación. Sin embargo, en la Propuesta de Resolución se indica “[l]a LNFP ha contratado y ha puesto a

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.