1/6 Expediente nº.: EXP202104896 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por REAL FEDERACIÓN ESPAÑOLA DE TENIS DE MESA (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 23 de enero de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 23/01/2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202104896, en virtud de la cual se imponía a REAL FEDERACIÓN ESPAÑOLA DE TENIS DE MESA por: “- Una infracción del artículo 9.2 del RGPD, de conformidad con el artículo 83.5.
- a)del RGPD, y a efectos de prescripción en el artículo 72.1.
- e)de la LOPDGDD, una multa administrativa de 10.000 euros.” Dicha resolución, que fue notificada a la parte recurrente en fecha 24/01/2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00051/2022, quedó constancia de los siguientes: procedimiento sancionador, “1) El reclamante reclama que se iba a presentar a un examen el 20/11/2021 para “entrenador de tenis de mesa” que había convocado la reclamada y se le exigió presentar la pauta completa de vacunación contra la COVID 19. El lugar de realización de la prueba fue elegido por la reclamada, en las instalaciones de la residencia “Joaquín Blume”, Centro de Alto Rendimiento (CAR), titularidad del Consejo Superior de Deportes. La prueba del examen, correspondía a la última de la parte presencial obligatoria, de una convocatoria del curso nivel 1 de técnico deportivo de tenis de mesa. Fue convocada por la circular 43, de 16/03/2021, temporada 2020/2021 y ya se determinaba la fecha 20/11/2021 como fecha de examen. Según los listados que aportó la reclamada en pruebas, asistieron finalmente 32 alumnos, entre ellos el reclamante, todos ellos federados según certifica, aunque no era requisito para examinarse. 2) El 14/10/2021, la reclamada recibió correo del CSD con copia a todas las Federaciones deportivas en el que se notificaba una actualización de normas de acceso al (CAR), Residencia, indicando que era necesaria la “pauta completa de vacunación” y “si no se pudiera por alguna prescripción médica, sería necesario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 aportar un test de antígeno o PCR de no más antigüedad de 24 horas”. También exigía la remisión de listados “certificando la vacunación completa”, con los autorizados a la utilización de las instalaciones-adjuntaba archivo para facilitar la información solicitada-, teniendo las normas efectos a partir del 25/10/2021. En el correo se añadía que era debido a “ los cambios en los protocolos del Covd-19 y ante la evolución de la pandemia y las medidas preventivas que se han tomado”. La reclamada no disponía ni obtuvo copia del protocolo y el CSD no remitió copia del mismo. 3) Ante la petición de pruebas del papel de la Delegación de Protección de Datos en la reclamación, la reclamada indicó que no le dio conocimiento, al estimar que “era una norma de obligado cumplimiento por parte de la Federación, considerando que no cabía negociación o modificación alguna de la misma.”, tampoco figura que le diera conocimiento de las reclamaciones del reclamante, indicando que si le dio noticia “cuando tuvo conocimiento una vez la AEPD comunicó la reclamación interpuesta contra la RFETM” 4) La reclamada- departamento de formación- comunicó el 15/10/2021, a los alumnos que se iban a examinar, que el centro de examen, Residencia J. Blume, del CSD, requería para acceder a realizar el examen, el “pasaporte COVID”, y “Necesitaríamos que nos enviarais vuestro pasaporte COVID a este correo”(de formación, utilizado para comunicarse con los alumnos). El reclamante envió un e mail en respuesta al mismo el 26/10/2021 señalando que para eso se precisa de base legitima, siendo datos de salud. Respondió la Federación el 2/11 (dirección deportiva, con copia a formación) que el requisito venía impuesto por el titular de la sede, CSD “dando opción de enviar el documento al asesor médico de la Real Federación, el doctor… con el fin de que tus datos médicos queden protegidos”, sin que el reclamado se acogiera a esta medida o alternativa. El día 8/11/2021, el reclamante pidió a la reclamada que se eliminaran los requisitos de vacunación y se le respondió en escrito de 11/11/2021, que las condiciones venían impuestas por el CSD, y que la RFETM no tenía competencia para la modificación de dicho protocolo, existiendo “la posibilidad de alternativa como la presentación de PCR negativa de las ultimas 72 horas” “que ya se le trató de exponer”. Figura otro escrito de la reclamada al reclamante de 18/11/2021, reiterando que el protocolo es del CSD para ofrecer garantías sanitarias a los asistentes, y proteger la salud pública, reiterando la opción del test PCR a la pauta de vacunación con certificado. 5) Se acredita que el 17/11/2021, la reclamada informa a los alumnos en e mail “que pueden enviar certificado de vacunación o test negativo” indicando la dirección de e mail: ***EMAIL.1. 6) La reclamada envió un listado al CSD el día 19/11/2021, de los alumnos que le habían acreditado a la reclamada la presentación de “la vacuna o prueba diagnostica PCR negativa en las 72h previas”, en forma de certificado, un total de 29, conteniéndose sus nombres y apellidos y el NIF. Estos alumnos enviaron sus certificados de vacunación y pruebas, sin distinguir la reclamada en el listado si es de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 uno u otro tipo. La reclamada indica que los alumnos utilizaron dos direcciones de correo, ambas oficiales, de la RFETM para remitirle los certificados de vacunación o el test negativo, ***EMAIL.2 y ***EMAIL.1, siendo el primero el usado como normal entre el responsable de formación y los alumnos, el segundo, se les ofreció dos días antes del examen ante la necesidad de obtener los datos necesarios para remitir el listado y que tuvieran acceso al examen. La reclamada indica que la dirección ***EMAIL.3, como perteneciente según la reclamada a un doctor asesor médico de la RFETM, se ofreció exclusivamente al reclamante en un e mail de respuesta al reclamante el 2/11, pero no se utilizó. Se desconoce el modo de envío y recepción del listado de 18/11/2021. El día siguiente, también se comunica por la reclamada al CSD en un e mail, un total de tres alumnos mas, entre ellos el reclamante, también con nombre y apellidos y NIF, certificando que pueden acceder. El e mail se remite con copia a diversas direcciones, entre otras, a una dirección Gmail, varias de dominio csd, entre ellas personal de seguridad, y de distintas secciones de la reclamada. 7) El día del examen, el control de acceso fue realizado por el propio personal de Seguridad destinado en la Residencia, y en el acceso, se presentó el reclamante y exhibió certificado negativo del Test PCR, confirmando en e mail -hecho probado anterior- la reclamada ese mismo día al CSD el permiso para el acceso. 8) De acuerdo con lo expresado por la reclamada, el acceso a la Residencia obedece a un protocolo del CSD que establece obligaciones para no propagar el virus y preservar la salud, mencionando los artículos 5, 15 y 16 de la Ley 2/2021 de 29/03, de medidas urgentes de prevención contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19, que no establecen la potestad de establecer la exigibilidad de aportación de certificado de vacunación o prueba PCR. La reclamada, como Federación, no consta que tuviera parte o interviniera en la decisión de la imposición de la exigencia de la vacunación ordenada por el CSD en el correo de 14/10/2021 para acceso a la Residencia, aunque ha manifestado que fuera una “medida consensuada”, también ha expresado que solo le cupo obedecer dicho requerimiento, si bien tampoco consta que trasladara las varias quejas del reclamante al CSD ante dicha imposición, (tres escritos) ni al DPD, pues ha manifestado la reclamada, que no dio a conocer los hechos a este sino cuando tuvo entrada el primer escrito de la AEPD con la reclamación. 9) La reclamada, pese a haber manifestado que el requisito de la certificación de la vacunación o las pruebas PCR le viene impuesto por el CSD, titular de la instalación, considera licito el tratamiento en base a: -Los interesados dieron su consentimiento para “uno o varios fines”. -El tratamiento es necesario para proteger intereses vitales de interesado o de otra persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 -Ejecuta misión de interés público como agente colaborador de la Administración Pública al ejercer funciones publicas de carácter administrativo (art 30.2 y 33-1-
- d)de la Ley 10/1990 de 15/10 del Deporte). -Para el tratamiento de los datos especiales de salud, manifestó que se efectúa al amparo del artículo 9.
- h)del RGPD, en base a la prevención de la salud de los empleados de la RFETM y de la residencia, donde se celebraban las pruebas, con el fin de evitar la propagación del virus.” TERCERO: La parte recurrente ha presentado en fecha 21/02/2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en 1) Incongruencia que se desprende de archivar la infracción del artículo 6.1 del RGPD admitiendo el interés vital como base legitimadora y sancionar mediante el artículo 9.2 del RGPD por no habilitar los datos de salud cuando era una exigencia del CSD para salvaguardar la posibilidad de contagio en un establecimiento publico que cuenta con residencia, evitando la expansión de la enfermedad a terceros. 2) Reitera que prestaba en el examen realizado funciones de colaboración administrativa de formación de técnicos, y actuaba como colaborador de la Adminsitración pública, y que se le ha de aplicar el apercibimiento por estar incluida en el artículo 77 de la LOPDGDD, incluyéndose el hecho de la asistencia a la sede del examen 3) Reitera la falta de culpabilidad y añade que se ha de aplicar del principio de buena fé y confianza legitima. 4) Solicita que se tengan en cuenta circunstancias atenuantes como la ausencia de beneficios, no vinculación de su actividad con realización de tratamientos, falta de intencionalidad, la situación de pandemia. Solicita que no sea tenido en cuenta como agravante la propia categoría de datos que es objeto de tratamiento (83.2.
- g)que esta implícito en la tipificación del precepto. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la Resolución recurrida. Sobre la falta de culpabilidad se puede añadir además que la reclamada podía haber obrado de otra forma distinta a la que lo hizo ante las sucesivas reclamaciones que formuló el reclamante. En cuanto a la incongruencia al sancionar por el artículo 9.2 del RGPD, se valoró y explicó en la resolución la distinción entre la base legitimadora del artículo 6.1 y la habilitación para el tratamiento de los datos de salud referidos al artículo 9.2 del RGPD por la prohibición que se detalla en el párrafo 1. Finalmente, en cuanto a la confianza legitima, concurriendo culpabilidad no es apreciable dicha eximente, especialmente porque al poco tiempo de recibir el requerimiento de la aportación de los datos de salud, el reclamante comenzó a expresar claramente el desajuste en la petición de los datos, peticiones que tuvo que reiterar en dos ocasiones mas antes de la celebración del examen. En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por REAL FEDERACIÓN ESPAÑOLA DE TENIS DE MESA contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 23/01/2023, en el expediente EXP202104896. SEGUNDO: NOTIFICAR la presente resolución a REAL FEDERACIÓN ESPAÑOLA DE TENIS DE MESA. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es