REPOSICION-PS-00363-2023

1/15  Expediente nº.: EXP202310096 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 19/08/2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 19/08/2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202310096, en virtud de la cual se imponía a A.A.A. sanciones de multas administrativas por las infracciones del RGPD de los siguientes artículos: -9, de conformidad con el artículo 83.5.

1. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
2. e)de la LOPDGDD, con una multa de 8.000 euros. -30, de conformidad con el artículo 83.4.
3. a)del RGPD y calificada como grave a efectos de prescripción en el artículo 73.
4. n)de la LOPDGDD., con una multa de 1.000 euros. -13, de conformidad con el artículo 83.5.
5. a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
6. h)de la LOPDGDD, con una multa de 6.000 euros. Dicha resolución, que fue notificada a la parte recurrente en fecha 19/08/2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00363/2023, quedó constancia de los siguientes: procedimiento sancionador, 1) La carrera de carácter privado “X Gomera Paradise Trail” se celebró el 10 y 11/09/2021, con diferentes modalidades y con participación abierta para personas mayores de 14 años, según figura en el Reglamento de dicha carrera (RC), en https://gomeraparadise.com/reglamento (versión impresa incorporada al expediente de 21/10/2021). 2) La página web oficial de la carrera, según el reclamado: A.A.A. con NIF ***NIF.1, y el propio RC, era www.gomeraparadise.com. Para participar en la carrera, se debía, rellenar a través de la página un formulario en su apartado “inscripciones”. El plazo para ello fue, desde el 14/05, a 15/08/2021 (artículos 7 y 8 del RC). Dicha cumplimentación implicaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 la aceptación de las condiciones y requisitos del RC, (artículo 1), informándose que este podía sufrir modificaciones, rectificaciones o ser mejorado en cualquier momento por la organización (art 24). 3) En el RC, en la versión obtenida para este expediente, que lleva el logo de X TRAIL Gomera Paradise, solo se especificaba inicialmente respecto a los datos relacionados con la COVID 19, en el apartado 14, dentro de “recogida de dorsales”, que se realizaba, una vez inscrito, del 6 al 10/09/2021, que “el participante deberá entregar un documento de protocolo Covid-19 en el que se compromete a haber cumplido las medidas que en él se estipulan”, sin que se acredite que dicho protocolo formara parte del formulario de inscripción. También ser indicaba que estaba organizada por GOMESPORT EVENTOS. En el RC no figuraba aspecto alguno sobre protección de datos personales recogidos. 4) La Subdirección General de Inspección de Datos obtuvo con fecha 21/10/2021 una copia impresa en pantalla, de “política de privacidad y protección de datos”, con la información que constaba en la web de la carrera www.gomeraparadise.com, localizada en https://gomeraparadise.com/politica-privacidad/, conteniendo el logo de X TRAIL Gomera Paradise, informando sobre datos personales, que: - el responsable de la página y de la recogida de datos como “responsable del tratamiento” es A.A.A., que trata los datos de “clientes y visitantes para prestar los servicios solicitados por los usuarios”. -La sede ante la que ejercer los derechos y la opción de plantear una reclamación ante la AEPD. -En legitimación del tratamiento, se informaba solo respecto de los productos o servicios que oferta al reclamante, con la base de legitimación del tratamiento, como “Relación contractual”, derivada de la compra o contratación de sus servicios. Sobre la recogida y tratamiento de datos de salud, no señalaba nada. 5) Consta acreditado, que a los pocos días de cerrado el período de inscripción, el 19/08/2021, el reclamado envió a los participantes un mensaje a través de la plataforma online de inscripciones del evento (afirmación del reclamado en actuaciones previas de investigación el 8/04/2022, con copia impresa del mensaje y aportado en pruebas), solicitando a los participantes de la carrera que “aportaran”: -Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19. (lo subrayado, literal, podría referirse a haber pasado la enfermedad, “debiéndose aportar” certificado a tal efecto). -En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba que vaya a realizar, un test PCR o antígenos de resultado negativo. Para aportar los mencionados documentos, se habilitaba la web de la carrera: gomeraparadise.com, en la “zona privada de participante”, entrando con los datos que se dieron al efectuar la inscripción previa: ID de inscripción asignada y el email que anotaron cuando se inscribieron. El plazo que para ello estableció el reclamado, iba desde 23/08 hasta el domingo 5/09/2021. En caso de test PCR o antígenos, se debía aportar a la organización a la hora de la recogida de dorsales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 6) Con fecha 24/08/2021 (se acredita con captura de pantalla aportada por el reclamado el 8/04/2022 en lo solicitado en pruebas), el reclamado envía otro mensaje a los participantes de la carrera por la misma vía que el de 19/08. El comunicado avisa de que ya está disponible la zona privada del participante para volcar el certificado de vacunación en base a COVID 19, “ante las dudas y/o sugerencias que nos han hecho llegar: En ningún momento hemos remitido la obligatoriedad de o se presenta documentación o se elimina al participante del evento. Dicho certificado se solicita con el fin de poder disponer de las máximas garantías de seguridad en materia COVID-19, por la alerta sanitaria como la que estamos viviendo, creemos que lo mejor para todos es garantizarnos el máximo de seguridad”, apelando a la solidaridad de todos para poder celebrar eventos de forma segura y responsable. En este segundo comunicado, se informa a los participantes que el procedimiento para volcar el certificado de vacunación o certificado que garantice el disponer de anticuerpos, es: accede a tu Zona Privada: https://inscripciones.gomesporteventos.com/inscripcion/ixgomera-paradise/ zona_privada/logeo/ 7) El espacio en el que se almacenaron los datos recabados se había contratado por el reclamado con AVAIBOOK ON-LINE S.L, siendo el sistema de plataforma de inscripción on line para el evento, en el que se alojaban los datos. 8) En alegaciones al acuerdo, el reclamado fundamenta la solicitud de datos de salud a los participantes en la carrera relacionados con la COVID 19, recogidos a partir de 23/08/2021 hasta 5/09/2021, en la obtención del consentimiento, que considera posibilitaría el tratamiento conforme el artículo 9.2.
7. a)del RGPD. Sin embargo, no se acredita que, existiera alguna cláusula de política de protección de datos, cláusula informativa o medio que explique e informe a los participantes en la carrera en que consistiría el tratamiento, la petición de su consentimiento, en que consistiría tal consentimiento, su finalidad, o cómo se recabaría, para habilitar este tratamiento. 9) El reclamado indicó en alegaciones al acuerdo de inicio, que en la carrera participaron 1.350 personas, volcando en la plataforma el certificado de datos COVID 19, un total de 690 personas, existiendo 660 personas participantes sin haber aportado certificado COVID, prueba diagnóstica ni documento similar alguno. 10) No se acredita que el reclamado informe en modo alguno sobre este tratamiento de datos de salud en el momento de recogerse los datos de los afectados (23/08/2021 a 5/09/2021) en la página de política de privacidad de la carrera www.gomeraparadise.com, titularidad del reclamado, considerando la previsión e inicio de recogida de datos de salud en correos de 19 y 24/08/2021. 11) El reclamante reclama el 8/09/2021, que para poder participar en la carrera “X Gomera Paradise Trail”, se recogen datos personales asociados a la vacuna contra la COVID 19 y certificado de recuperación de la enfermedad, así como pruebas diagnósticas COVID (test antígenos y/o PCR) a elección del participante. 12) Solicitada en actuaciones previas en dos ocasiones al reclamado la copia del registro de actividad del tratamiento (RAT) vigente al momento de la recogida de datos de salud relacionados con la reclamación, no fue aportada sino hasta las alegaciones al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 acuerdo de inicio del presente procedimiento. El RAT solicitado en pruebas “vigente al momento de la fecha de recogida de los datos de salud”, y aportado comprende el RAT de “actividad de tratamiento: Gestión de evento deportivo”. Contempla variaciones históricas sin ninguna marca de vigencia o período de vigencia o entrada en vigor. Solo incluye en las tres versiones aportadas, el título puesto por el reclamado para diferenciarlo, de: - “RAT vigente en el momento del evento”, -“RAT remitido a la AEPD, antes de su revisión integra” (en alegaciones, donde se aprecia que se contiene la existencia de DPD, hecho que acontece a partir de 6/2023, continuando a dicha fecha referenciando en el apartado de “finalidad” la crisis sanitaria derivada del COVID 19, así como en legitimación una ley de la materia, la Ley 2/21 de 29/03, y - “RAT vigente actual”, según manifiesta el reclamado vigente, desde octubre 2023. De este modo, tampoco acredita la fecha de implantación, ni de vigencia ni actualización en los posteriores. Sustenta el reclamado la vigencia del RAT a la fecha en que se recogieron los datos de salud, a partir del 24/08/2021 a 5/09/2021, con el título: “RAT vigente en el momento del evento” con la mera declaración de que el documento estaba vigente desde 17/08/2021, siendo las otras, dos versiones de este.” TERCERO: La parte recurrente ha presentado en fecha 19/09/2024, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en: 1-Reitera lo manifestado en alegaciones al acuerdo de inicio del procedimiento sancionador, que los usuarios que dieron sus datos de salud lo hicieron con el consentimiento “expreso, inequívoco, libre e informado que subieron el certificado a la plataforma”, complementado con la intención del responsable de velar por los intereses vitales de los interesados. Si bien añade que: “En cuanto a la validez del consentimiento prestado por los interesados, art.9 RGPD”, “El tratamiento de datos de salud no requiere en todo caso la solicitud del consentimiento explicito. Es posible cuando se busque proteger intereses vitales de los interesados, art 6.1.d del RGPD”. Además, reitera que tales datos se pueden tratar sin tal consentimiento, por ser necesarios por razones de interés público en el ámbito de la salud pública, según expresa el considerando 54 del RGPD. Añade que presentó el DOCUMENTO II, entrada registro Gobierno de Canarias, de 14/08/2021 (aporta copia, no aportada en el procedimiento) para celebración del evento GOMERA PARADISE TRAIL los días 9 a 11/09/2021 y el DOCUMENTO III (aporta copia) “Plan de prevención de contagios”, -no aportado durante el procedimiento-“ ante el servicio Canario de Salud antes de la celebración del evento”, “donde ya se indicaba el tratamiento de esta tipología de datos”, y fue “esta organización la que dio su conformidad autorizando la celebración del evento mediante lo dispuesto en el ANEXO IV”, (aporta copia) ”considerando por tanto que se estaba llevando a cabo un tratamiento de datos proporcional a las circunstancias del momento”. “Como consecuencia de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 recepción de dicha autorización, es cuando se abre la posibilidad de subir el certificado COVID.” En el DOCUMENTO III: “Plan de prevención de contagio”, a presentar por el organizador del evento, figura entre otros elementos, no muy legibles, sobre todo las preguntas abiertas: como organizador GOMESPORT EVENTOS, del 9 al 11/09/2021, en espacio de aire libre, con aforo máximo de participantes entre todas las modalidades de 1200, evento sin público. En el apartado de número y descripción de puntos críticos en el lugar de celebración del evento que puedan propiciar el contacto estrecho debido al no mantenimiento de la distancia de seguridad interpersonal, figura la cruz marcada en la casilla de “no hay puntos críticos”. En la cuestión “implementación de un registro que permita la identificación de los asistentes y conservación durante al menos 30 días”, consta que sí. Sobre la exigibilidad de algún documento de vacunación o certificación de la misma, se indica en el punto B.9, pese a la dificultad de la lectura de todo el documento, “observaciones de la persona titular, promotora u organizadora” “que se exigirá por parte de la organización del evento, pauta completa de vacunación o en su defecto test de antígenos...” El ANEXO IV, ya obraba en el expediente, tratándose del documento del servicio Canario de Salud que no se pronuncia sino sobre las medidas preventivas, sin alusión alguna a la vacunación o test de antígenos. Reitera el recurrente que era de aplicación lo dispuesto en el Acuerdo de Gobierno de Canarias adoptado en sesión de 5/08/2021, por el que se aprueba la actualización de las medidas de prevención establecidas mediante Acuerdo del Gobierno de 19/06/2020, para hacer frente a la crisis sanitaria ocasionada por el Covid-19, una vez superada la Fase III del Plan para la transición hacia una nueva normalidad, finalizada la vigencia de las medidas propias del estado de alarma, en su Anexo, apartado 3.15, “Celebración de eventos deportivos no profesionales, profesionales y federados que se realicen en Canarias”, donde se permite incluir las medidas necesarias para mantener la distancia de seguridad interpersonal o, en su defecto, el uso de medidas alternativas de protección, como las propuestas y aceptadas por el reclamado. Señala el recurrente que tales medidas alternativas fueron las de solicitar el certificado de salud referidos en el expediente. “En este sentido, el apartado
8. g)del artículo 9.2 del RGPD, establece que se podrán tratar categorías especiales de datos si el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; circunstancia que se producía en el año 2021 debido a la pandemia producida por el COVID-19 (Véase Resolución de Archivo de Actuaciones con número de expediente EXP202102792).” “de forma adicional el responsable del tratamiento actuó en base al interés en la protección de los intereses vitales de los afectados, así como con objeto de cumplir una misión basada en el interés público, conforme se ha señalado en el presente escrito.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 Añade que la solicitud voluntaria de los datos de salud respondía a la creencia de que se actuaba correctamente en relación con la autorización de celebración por parte del Servicio. 2-“Sobre la infracción del artículo 30 del RGPD”, manifiesta el recurrente que el artículo 30 RGPD, no establece que haya que preservar documento inicial alguno del Registro de actividades de Tratamiento de Datos, solo que “los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico”. En este caso es claro el RGPD, indicando formatos, pero en ningún caso alude a que se guarde una copia del RAT inicial. En este caso, aplicando el sentido estricto del artículo 30, desarrolla el contenido mínimo y el formato, y que el que se aportó “contaba con hoja de control de cambios.” Indica que “aportó un histórico de los extractos, exponiendo las versiones del RAT: el inicial que era el que estaba en vigor en el momento del evento, el que se modificó en el momento de la designación de la DPD, y el RAT en vigor a fecha actual, cuya versión se aprobó en el mes de octubre de 2023.” También ha manifestado que desconoce porque a pesar de haber aportado los documentos, incluyendo “el control de versiones del RAT, aun no sea suficiente para que resulte fehacientemente acreditado”. 3- “Sobre el incumplimiento del deber de información del responsable, art 13 del RGPD” -Manifiesta el recurrente que la Agencia Española de Protección de Datos sostiene que “cuando se aprueba el Reglamento de la carrera no estaba prevista la recogida de los datos controvertidos, por lo que era imposible informar en el formulario de inscripción”. Sin embargo, en contra de lo que dice la Agencia, que obvia los documentos presentados, es en el propio Reglamento cuando, en primera instancia, se informa de la recogida de esta categoría de datos personales. Por lo que, si bien es cierto que no era un tratamiento que se pretendiera realizar inamoviblemente, se informó desde el formulario de inscripción de este tratamiento a expensas de las posibles indicaciones del Servicio Canario de Salud. Reitera lo alegado frente a la propuesta de: - “como ya ha quedado demostrado, la página oficial del evento era www.gomeraparadise.com, tal y como se indicaba en el Reglamento de la carrera. No obstante, y debido a que el responsable del tratamiento contaba en ese momento con dos páginas web, la inscripción se realizaba desde www.gomesporteventos.com, aunque posteriormente su acceso se realizaba desde www.gomeraparadise.com. Es necesario tener en cuenta la información que se facilitaba a través de estos textos legales, ya que esto supone gran parte de la información facilitada a los participantes” - “Para verificar la información que el responsable facilitó a los participantes, se remitió en pruebas los textos legales incluidos en la página web www.gomesporteventos.com.” -“Como hemos mencionado en escritos anteriores, del Reglamento de la carrera se desprende que el responsable del tratamiento es GOMESPORT EVENTOS, pues figura que el evento “está organizado por GOMESPORT EVENTOS”, también se desprende “del formulario de inscripción” y de “los correos enviados en diversas ocasiones a los participantes del evento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 Considera que ello se confirma porque en los correos electrónicos enviados a los participantes de 19 y 24/08/2021, también figura en el pie de los comunicados dicha entidad con el literal: “Has recibido este correo porque te inscribiste en un evento organizado por GOMESPORTEVENTOS”. Indica que, pese a que el enlace al formulario de inscripción en la carrera que contenía una cláusula informativa se suprimió, en el correo de 24/08/2021, se aclaraba de nuevo el responsable, la tipología de datos a tratar, la finalidad del tratamiento, el carácter voluntario de la aportación de los documentos de salud, y se comunicaba cómo obtener más información sobre los derechos de los participantes. -“Sobre la posibilidad de ejercer los derechos en materia de protección de datos, quedaba recogido explícitamente en la política de privacidad incluida en la web del responsable, así como implícitamente en los correos enviados a los participantes, donde se indicaba que “recordar que, si tienen alguna duda sobre este e mail, deben enviar a info@gomeraparadise.com”. -Considera que estas informaciones ya constituyen una primera capa informativa, avisando de quien es el responsable del tratamiento, así como la tipología de datos a recoger, (art 14 del Reglamento de la carrera) y la finalidad, que no es otra que la inscripción y gestión del evento y disponer de las máximas garantías de seguridad en materia de COVID 19. “Con ello se da respuesta a algunos requerimientos del artículo 13.1 del RGPD, que después se ven ampliados mediante la política de privacidad incorporada en la web del organizador del evento Gomesport Eventos”. Estima que, a pesar de no dar la información en un único texto, se debe dar por cumplida, existiendo pruebas que figuran en: “-El Reglamento de la carrera- artículo 14 en relación con el artículo 24, -Política de privacidad de las páginas gomesporteventos.com y gomeraparadise.com. -Cláusula insertada en el formulario de inscripción, -Correos electrónicos remitidos a los participantes, -Propia política de privacidad de AVAIBOOK aportada, que hace referencia en todo momento al responsable, dejando claro que es GOMERA PARADISE el responsable del tratamiento.” “al objeto de reforzar lo ya expuesto, a través de lo indicado en los textos legales de Avaibook se remite al usuario a lo contenido en la web del gestor del evento, es decir, GomeSport Eventos, donde en todo momento se incluyó la información pertinente en la versión vigente a la celebración del evento, ya aportada por esta parte y que ha sido totalmente obviada por la Agencia Española de Protección de Datos en todos sus hechos probados al indicar que el evento era organizado GomeSport Eventos”. “Por lo expuesto, en todo caso, procedería la imputación de una infracción considerada leve, por cuanto no se produjo una omisión del deber de informar, sino un incumplimiento del principio de transparencia de la información o del derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679 (Véase art. 74.
9. a)de la LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 Lo expuesto queda constatado a través del análisis de lo establecido en el artículo 11.2 de la LOPDGDD”. Considera el recurrente que la tipificación no se correspondería con los hechos probados, calificando como muy grave la vulneración, e indicando a lo largo de la resolución que se ha cumplido el deber de información, únicamente que no ha tenido lugar de forma unitaria, y menciona la sentencia de 23/04/2019, recurso 88/2017, sin identificar Tribunal/Juzgado o sede judicial de procedencia o la relación que guarde con el caso. 4-Reitera lo manifestado en la propuesta, que obró de buena fe y con ánimo de actuar exhaustiva y rigurosamente conforme a las directrices y criterios de la autoridad sanitaria en un momento de pandemia y crisis sanitaria en la que la intención en todo momento fue organizar un evento deportivo sin poner en riesgo a ningún participante ni sus familias y allegados. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 y 2 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas sobre el tratamiento de datos de salud En cuanto a que se contaba con fundamento jurídico que levantaba la prohibición del tratamiento de datos de salud, aludiendo ahora a que concurre para tratar los datos de salud sin necesidad del consentimiento, de la causa del artículo 6.1.
10. d)del RGPD, que indica respecto de la licitud del tratamiento: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
11. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física”. Respecto de ello, hay que poner de relieve que la resolución no sanciona al recurrente por carecer de base legitimadora del artículo 6 del RGPD, y que esta causa no es susceptible de levantar la prohibición del tratamiento de datos de salud en este supuesto, toda vez que se tendría que encontrar entre alguno de los supuestos referenciados en el artículo 9.2.
12. b)a j).Se aprecia que el más similar que pudiera corresponder podría ser el artículo 9.2.
13. c)del RGPD, que indica: “el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento”. Sin embargo, se aprecia que no se dan los condicionantes de que el tratamiento fuera necesario para dicho objeto, pues los participantes no consta que no estuvieran capacitados para dar su consentimiento y como la práctica demostró, tampoco se acredita la necesidad del tratamiento cuando hubo participantes que no aportaron ningún documento de salud ni C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 certificado de vacunación, y participaron en el evento, no siendo pues necesario tal tratamiento. En cuanto a la acreditación de que el recurrente contaba con el consentimiento, manifestada en el procedimiento sancionador, se motiva que no concurre en el fundamento de derecho VII. Se añaden ahora en alegaciones para sustentar que se contaba con causa que habilitaba el tratamiento de los datos de salud, con nuevas contradicciones que ponen de manifiesto la falta de acreditación del mismo. Toda vez que al consentimiento explicito que manifiesta en el procedimiento sancionador como base de excepción a la prohibición del tratamiento de los datos de salud no concurre, según se determina en el aludido fundamento de derecho, añade ahora la excepción del artículo 9.2.
14. g)del RGPD ”el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado”. Se ha de estimar que esta circunstancia, parte de la base de la necesidad del tratamiento de los datos por razones de un interés público esencial. La contradicción se revela porque el recurrente dejó a los participantes voluntariamente participar dependiendo de cada uno si aportaba o no la documentación de salud. Ello, lo que revela palpablemente es que ni siquiera se reunía la nota de “necesidad”, que exime de analizar siquiera el interés público esencial, en un organizador de un evento privado. Esto es, además, que el responsable del tratamiento no ostenta ni esta investido en este caso de una autoridad oficial ni se acredita desarrolle una tarea de interés público, aspectos que se atribuyen típicamente en ley o reglamentos. Lo mismo cabe señalar con el mencionado “tratamiento necesario para proteger el interés vital del interesado o de otra persona física, en el supuesto de que el interesado no este capacitado, física o jurídicamente para dar su consentimiento”, artículo 9.2.
15. c)del RGPD, por cuanto no se acredita la ausencia de capacitación de ningún tipo de los afectados participantes en la carrera en otorgar su consentimiento. Por lo demás, la autorización de la celebración de la prueba por la autoridad sanitaria canaria no menciona siquiera aspecto alguno de vacunación o documentación sanitaria con ella relacionada, que señalaba tan solo las medidas para los eventos deportivos. Todos estos elementos contribuyen a que esta alegación no pueda ser tenida en cuenta. III Contestación a las alegaciones presentadas sobre la infracción del artículo 30 del RGPD. Sobre la alegación del recurrente en relación con la infracción del artículo 30 del RGPD indicando que aportó un histórico de los extractos, en el RAT denominado “gestión de evento deportivo”, con responsable del tratamiento “A.A.A.”, y resultando que el citado documento se requirió en dos ocasiones antes del acuerdo de inicio del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 sancionador, se ha de precisar que señala el Considerando 82 del RGPD: “Para demostrar la conformidad con el presente Reglamento, el responsable o el encargado del tratamiento debe mantener registros de las actividades de tratamiento bajo su responsabilidad.” Se indica del RAT que será un instrumento, para demostrar la conformidad con el Reglamento, debiendo reflejar la realidad de los tratamientos y cooperando con la Autoridad de control, poniéndolos a su disposición si fuese requerido al efecto. Se debe señalar que al final fue aportado el 29/07/2023 en alegaciones al acuerdo de inicio del procedimiento sancionador, incluyendo en la versión la alusión en el epígrafe de la existencia de la DPD, que resulta fue designado el 29/06/2023. En pruebas manifestó el reclamado que aportó el actualizado y vigente a dicha fecha, señalando que hay otras dos versiones del RAT. La inicial que era la que estaba en vigor en el momento del evento, desde 17/08/2021, la que se modificó en el momento de la designación de la DPD aportado en alegaciones, y el RAT en vigor a fecha actual, cuya versión se aprobó en el mes de octubre de 2023, sin señalar tampoco la fecha exacta ya que no figura en ningún documento. Con lo cual, la fecha de vigencia o la de modificación y que es lo que se varía no puede ser conocido, no sirviendo a los fines de registro, ordenado, sucesivo, cronológico que refleje los cambios en el mismo, que es por la que se establece la citada obligación. A tal efecto, se debe indicar que ninguno de ellos se distingue a simple vista más que por el título que puso el reclamado a cada uno, el vigente en la fecha, el vigente en la actualidad en octubre de 2023, o en el que se nombró al DPD, sin que se acredite un orden sucesivo o consecutivo ni se sepa su orden de vigencia. Además, se ha de indicar que, con el nombre y naturaleza de registro, debe comprender por su finalidad cualquier variación, modificación de los elementos relacionados con o referidos con la actividad del tratamiento, de modo que respondan con fidelidad a su evolución o actualización periódica, contemplando las fases o requerimientos que se producen sobre el mismo, registro que se ha de mantener a lo largo del tiempo. Solo así se entiende el sentido garantizador que el RGPD da al mismo con el fin de constituir medios útiles para apoyar el análisis de las implicaciones de cualquier tratamiento de datos, sea que exista presente, o que se planee de futuro Al no acreditarse que se aportaran completos, actualizados y ordenados, pues no hay modo de conocer la fecha de aprobación y la de vigencia de ninguno de ellos, tales registros no pueden cumplir los objetivos para los que son requeridos, siendo elementos sustanciales, y que en este caso aplicaba la disposición del mismo por recogerse y tratarse datos de categoría especial como los de la vacunación de la COVID. IV Contestación a las alegaciones presentadas sobre la infracción del artículo 13 del RGPD. En cuanto a la infracción del artículo 13 del RGPD imputada, comienza el recurrente indicando que debido a que el responsable del tratamiento contaba con dos páginas web, la inscripción en la carrera se efectuaba “desde” www.gomesporteventos.com, aunque “posteriormente” su acceso se realizaba desde www.gomeraparadise, y que se remitió en pruebas los textos legales incluidos en la página www.gomesporteventos.com. En la respuesta en pruebas del procedimiento, el reclamado señaló que la información de la recogida de datos se hallaba en la pantalla de inscripción de gomesporteventos y que esa capa informativa se incorporó en el formulario de inscripción, siendo necesario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 aceptar la política de privacidad para tal inscripción, si bien no conservaba dicha pantalla de inscripción ni el formulario. En el ANEXO I, aportado en dichas pruebas, política de privacidad www.gomesporteventos.com, aparte de no contener versiones, fechas, u otro indicativo que revele el momento en que se ofrece a los interesados, se incluye como se ha señalado al recurrente como responsable del tratamiento, y se indica el contacto de la DPD que se instauró en junio 2023. Por otro lado, se ha de contar con que dicho periodo de inscripción en la carrera fue de 14/05 a 15/08/2021, y que según también se deduce de los mensajes a los participantes ya inscritos enviados el 19 y el 24/08/2021, (tenían la ID de inscripción y el e mail que apuntaron al formalizar la inscripción y disponían ya de cuenta como inscritos) podían acceder a dicha web para enviar los datos de salud a partir del 23/08/2021. Sobre la exigencia de los datos de salud, el recurrente no decidió desde el principio del periodo de inscripción exigir los citados datos de salud, siendo la primera referencia a su exigencia la del envío del correo de19/08/2021. Así pues, el recurrente no acredita, que, a fecha del inicio de la inscripción, se informase en dicho sector del formulario del contenido dispuesto en el artículo 13 del RGPD, cuando de hecho se decidió después exigir los datos. La política de privacidad del sitio gomesporteventos no lleva fecha alguna de vigencia o versión, ni es aportado el formulario y es modificable como acredita que se produzcan variaciones sin introducir fechas o versiones, como cuando se instaura la DPD. A ello además colabora que la petición a la autoridad sanitaria canaria solicitando la autorización para celebrar la prueba se hizo por el recurrente el 14/08/2021, contestándose el 28/08/2021, en escrito fechado por la autoridad canaria de 23/08/2021, indicando según manifestó el recurrente, tras haber obtenido dicha autorización fue cuando el recurrente decide solicitar los datos de salud, no antes, aunque lo pudiera tener previsto. Por lo que no resulta creíble que en el formulario de inscripción de la prueba se incluyera la información sobre la previsión de la recogida de datos de salud, y, de hecho, no figura tampoco referido ni en el reglamento de la carrera, y por tanto como tal en hechos probados. Sobre si se informó en fecha posterior, contando con que en los comunicados de 19 y 24/08/2021 dirigidos a los ya inscritos, solo se les indicaba que a partir del 23/08 hasta el 5/09 volcaran los certificados y que era voluntario, tampoco queda acreditado que se informara de los extremos del artículo 13 del RGPD que se entiende vulnerado. Además, en la respuesta a la petición en actuaciones previas, el 8/04/2022, el recurrente se atribuía su condición de responsable y que todas las inscripciones y los datos se alojan en una plataforma online de inscripciones de eventos deportivos, la cual se rige por la política de privacidad, aportando solamente las “normas de uso y condiciones aceptadas al realizar una inscripción, con AVAIBOOK” . Igualmente, en dichas actuaciones, se solicitó la información facilitada a los interesados sobre el tratamiento de los datos, sin obtenerse más respuesta que las citadas NORMAS DE USO Y CONDICIONES ACEPTADAS AL REALIZAR UNA INSCRIPCIÓN”, y sin efectuar alegación alguna cuando se imputó la misma infracción del artículo 13 en el expediente PS/291/2022, significándose que se reciben alegaciones el 30/06/2023 a la propuesta interviniendo el DPD recién nombrado. En las mismas, nada se indica sobre las cláusulas de política de privacidad en gomesporteventos, y sí que “con ánimo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 correctivo, señalamos que ya se ha incorporado una cláusula informativa de accesible entendimiento actualizada para el interesado en la plataforma. En ella se puede leer de forma clara y sencilla todos los detalles sobre la protección de los datos solicitados. Si bien esto se ha realizado con intención de mejorar la gestión del reclamado y los eventos que organice, en todo momento hubo ánimo de claridad y sencillez en las comunicaciones respecto a los datos de los participantes. “ Asimismo, la información del e mail de 19/08/2021 se indica que “el formato a llevar a cabo será a través de la página web www.gomeraparadise.com, en el que la organización habilitara una zona privada del participante” En el correo del 24/08/2021 se indica por otro lado por el recurrente que realmente la zona privada es https://inscripciones.gomesporteventos.com/inscripcion/ix-gomeraparadise/zona_privada/logeo/, sin que ello constituya indicio alguno de que se hubiera proporcionado de modo efectivo la información. Sobre la afirmación de que el responsable del tratamiento era GOMESPORT EVENTOS pues en el Reglamento de la carrera se indica que está organizada por tal nombre, o entidad, se ha de señalar que con arreglo a la documentación y así se indica en los hechos probados, el responsable del tratamiento de los datos de salud pedidos para la carrera era el recurrente. Además, es un contrasentido no solo con la información y datos que constan en el expediente, sino con lo manifestado previamente por el propio recurrente, de que el responsable del tratamiento, recurrente, contaba entonces con dos páginas siendo una de ellas la de gomesporteventos.com. No pudiendo ser una página web responsable del tratamiento, en su caso, lo sería su titular si cumple lo previsto de que “solo o junto con otros, determinase los fines y medios del tratamiento” (art 4.7 del RGPD), por lo que la consideración de organizador de un evento no ha de coincidir indubitadamente con la condición de responsable del tratamiento. Tal condición sin embargo, en este caso, se desvela porque en el propio Reglamento de la carrera hacia constar lo era el recurrente, e incluso en las versiones de los RAT que ha aportado, así como en las cláusulas informativas contenidas en el sitio de gomesporteventos, ANEXO I, denominado “Política de privacidad www.GOMESPORTEVENTOS.COM, “que aportó en pruebas el reclamado, en el que también figuraba como responsable del tratamiento el recurrente. El recurrente como responsable del tratamiento, debe poder acreditar, tanto usara una página como la otra, que cumplió con la exigencia que prevé el artículo 5.2 del RGPD: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. Asimismo, se insiste en que, en el Reglamento de la carrera, nada se significaba sobre la recogida de datos de vacunación o test de antígenos, por lo que no puede deducirse que ya en el mismo se informara de tal recogida. Las informaciones de los correos enviados a los participantes dan información parcial sobre algunos aspectos, que no es completa ni se corresponde con la unitaria que se comprende en el artículo 13 del RGPD, como podría ser que “si se tiene alguna duda sobre el e mail” obtener más información” proporcionando una dirección de correo electrónico, que no sirve como vía posible para ejercer los derechos en protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 El principio de transparencia que se refleja en el artículo 5.1.
16. a)del RGPD se materializa según el considerando 39 del RGPD, en la obligación del responsable del tratamiento de informar a los interesados acerca del tratamiento de sus datos personales expuesta de forma concisa, fácilmente accesible y fácil de entender, considerando 58 del RGPD, e informarle de la existencia de la operación de tratamiento y sus fines. De conformidad con el artículo 12.1 “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14 del RGPD”, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Las directrices del GT 29 sobre transparencia en virtud del RGPD, adoptadas el 29/11/2017, revisadas por última vez y adoptadas el 11/04/2018, indican en su párrafo 26 que la información ha de proporcionarse en el momento en el que los datos personales se obtengan. En este supuesto, hubo un periodo de inscripción en la carrera de 14/05 a 15/08/2021, obteniéndose como inscrito un ID y habiendo dado los participantes una dirección electrónica con la que el recurrente comunicó los correos de 19 y 24/08/2021, sin que conste acreditado que en el momento de recabarse los datos de salud que de forma voluntaria se comunicó se iban a recoger, se informara por el responsable del tratamiento del contenido completo del artículo 13 del RGPD. Por lo demás, sobre la comparación de la sentencia que alega para entender cumplido tal obligación, de 23/04/2019, recurso 88/2017, efectuada una búsqueda en jurisprudencia, podría ser la sentencia de la Audiencia Nacional, sala de lo contencioso-administrativo, sección 1ª, de 23/04/2019, recurso 88/2017. En la misma, se ha de partir de la base de que las infracciones imputadas en los dos casos son distintas, pues la sentencia refiere no un incumplimiento de información de la recogida de los datos, sino una vulneración del deber de secreto en el tratamiento de los datos personales al buscador de internet GOOGLE, según lo dispuesto por el artículo 10 de la LOPD, y las razones de su archivo no tienen nada que ver con lo sucedido en el presente supuesto. V Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. VI Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la LPACAP el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 19/08/2024, en el expediente EXP202310096. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
17. b)de la LPACAP, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
18. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-21112023 Olga Pérez Sanjuan La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es