← España

REPOSICION-PS-00368-2021

1/32  Procedimiento Nº.: PS/00368/2021 Recurso de Reposición Nº RR/00159/2022 Examinado el recurso de reposición interpuesto por la REAL FEDERACION ESPAÑOLA DE FUTBOL, (RFEF) con CIF.: Q2878017I, (en adelante, “la parte recurrente”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento, PS/00368/2021, por vulneración a lo estipulado del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), y en la L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD), y en base a los siguientes: HECHOS PRIMERO: Con fecha 14/02/22, la Directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/00368/2021, abierto a la REAL FEDERACION ESPAÑOLA DE FUTBOL, (RFEF), y que fue notificada el 15/02/22, imponiendo a la RFEF, una sanción total de 200.000 euros (doscientos mil euros): 100.000 euros por la infracción del artículo 13 del RGPD y 100.000 euros por la infracción del artículo 6.1 del RGPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/ 00368/2019, quedó constancia de los siguientes: Primero: La reclamación presentada por la ASOCIACIÓN DE FUTBOLISTAS ESPAÑOLES (AFE), por la LIGA NACIONAL DE FÚTBOL PROFESIONAL (LNFP), y de su ***PUESTO.6 contra la REAL FEDERACIÓN ESPAÑOLA DE FUTBOL (RFEF), versa sobre los siguientes aspectos: Que, la RFEF grabó, sin consentimiento de los participantes, entre ellos representantes de la AFE, de la LNFP y de otros entes de carácter deportivo, una reunión que se celebró on-line, el 07/04/20, a través de la plataforma Zoom, titulada: "Comisión de Seguimiento COVID 19" y celebrada para tratar la cuestión del impacto de esta emergencia sanitaria en el mundo del fútbol. Además de la falta de información sobre el hecho de que la reunión iba a ser grabada, por supuesto, tampoco se les informó del tratamiento de los datos personales que iban a ser obtenidos a través de la grabación. Que, posteriormente, la RFEF difundió a través de los medios de comunicación radiofónicos (Cadena SER, y, posteriormente, a la COPE), extractos de las intervenciones que se habían producido durante la reunión, sin el conocimiento previo de los intervinientes y por supuesto, sin su consentimiento, que lo descubrieron cuando sus intervenciones fueron emitidas en antena el 08/04/20. Que, previamente a esta reunión que había sido difundida a través de los medios de comunicación, había habido una primera, celebrada de forma presencial el 12/03/20, en la sede de la RFEF. En esta primera reunión del Comité de Seguimiento del Covid19, sí se había indicado a los participantes que la sesión iba a ser grabada pero no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/32 les indicó nada más sobre el tratamiento de los datos personales que se iban a obtener a través de la grabación Segundo: De la documentación aportada junto con los escritos de reclamación, se encuentran los siguientes documentos: a).- Copia de la contestación que hace la RFEF el 10/04/20 a la AFE, en relación con el escrito de fecha 09/04/20, en el que ésta solicita información a la RFEF, acerca de las grabaciones efectuadas en las reuniones de la Comisión de Seguimiento del Covid-19, donde se destacan las siguientes explicaciones que ofrece la RFEF: -“[…] Que, al comienzo de la primera reunión, celebrada el día 12 de marzo, se acordó, sin oposición de ninguno de los intervinientes, grabar las conversaciones de la comisión para que quedara constancia de ello. En cualquier caso, cuando la comisión se ha reunido telemáticamente, en las pantallas de cada uno de los intervinientes aparece en todo momento un piloto rojo que informa que se está produciendo la grabación de toda la reunión. -[…] Que ese Sindicato, tras la reunión celebrada el 7 de abril, difundió entre los medios de comunicación una nota de prensa en la que se contenía una versión de lo acaecido contraria a lo que realmente había ocurrido. Que, con la finalidad de preservar el derecho a recibir una información veraz prevista en la CE, la RFEF remitió a los medios de comunicación una nota de prensa corrigiendo las divergencias e inexactitudes con la realidad de lo que había ocurrido en la reunión, acompañando, al primer medio que nos lo pidió, las grabaciones que así lo acreditaban […]” . b).- Copia de correo electrónico remitido desde la dirección ***EMAIL.1 el 11/04/20 a la dirección: ***EMAIL.2 donde se destaca lo siguiente: -“(…) Sabes perfectamente que las reglas de funcionamiento de cualquier órgano o grupo de trabajo se fijan en la primera sesión y, en tanto no se modifiquen, siguen rigiendo para las reuniones siguientes. Así nos lo habéis expresado en multitud de ocasiones en las reuniones de los órganos de la LNFP. Y, en consecuencia, también sabías perfectamente que todas las reuniones de la Comisión de seguimiento del COVID-19 estaban siendo grabadas (…)” c).- Copia de contestación remitida por la RFEF el 04/05/20, y dirigida al ***PUESTO.6 LNFP, como consecuencia de la solicitud que realiza éste a la RFEF , en relación con el tratamiento de sus datos personales y donde destaca las siguientes afirmaciones: -“(…) En este sentido le informo que el fin del tratamiento de sus datos personales es realizar el acta, así como tener constancia fehaciente del desarrollo de los temas y del contenido tratado en la reunión. -(…) En el caso que nos ocupa, dichas categorías son los datos de identificación: la institución a la que pertenece cada uno, la imagen y la voz. -(…) Los datos personales que le conciernen a que se refiere su solicitud, me informan que fueron igualmente comunicados a la Cadena Ser, único medio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/32 comunicación que lo solicitó. No obstante, al tratarse de una información de interés público y con trascendencia social, se podrá facilitar a cuantos medios lo pudieran solicitar. -(…) El plazo de conservación podrá ser indefinido, salvo que deba atenderse el ejercicio de los derechos de supresión, oposición o rectificación por las partes interesadas. - (…) En el caso que nos ocupa, su solicitud se basa en la letra

  1. b)del apartado 1 del artículo 18 del RGPD. Es decir, considera que el tratamiento de sus datos que lleva a cabo la RFEF es "ilícito" y por ello solicita la limitación de su tratamiento. Sin embargo, no justifica de ninguna forma la supuesta ilicitud del tratamiento ni hay decisión o resolución alguna de la AEPD o de los Tribunales que así lo establezca. Independientemente de ello, la RFEF se ratifica en los tratamientos llevados a cabo los cuales están perfectamente ajustados a derecho. En consecuencia, no se dan las circunstancias para estimar su solicitud de limitación del tratamiento”. Tercero: De las afirmaciones hechas por la RFEF, en los diferentes escritos remitidos a esta Agencia como consecuencia de los requerimientos hechos por este Organismos, hay que destacar las siguientes: Que la primera reunión, el 12/03/20, celebrada presencialmente en la que asistieron 11 personas, fue grabada con el conocimiento de los asistentes, pues así fue comunicado por el ***PUESTO.4 de la RFEF al principio de la reunión y sobre el que ninguno de los asistentes mostró objeción alguna. Con respecto a esto, se presenta grabación y transcripción de dicha parte de la reunión donde se puede leer: “(…) Estamos grabando la reunión para que quede constancia de todo, ¿vale?, y nada, pues tienes la palabra tú, C. (02:25) C2 de la Liga: Muchas gracias L. Buenos días a todos (…). Que la segunda reunión, celebrada de fecha 07/04/20, fue realizada on-line, a través de la plataforma Zoom, donde se conectaron 26 personas y que también fue grabada, pero que no se comunicó a los asistentes este hecho por qué, según la propia federación: “(…)Es obvio que, como se señala en la citada contestación, la información facilitada en la primera reunión es aplicable a las sucesivas, teniendo en cuenta además que entre la primera y la segunda reunión de la Comisión no transcurrió ni un mes (…). Hay que destacar que, según los datos aportados por la RFEF, en la primera reunión asistieron 11 personas y en la segunda se conectaron 26, (15 personas más que en la primera). No obstante, según la RFEF, los asistentes a la segunda reunión que se conectaron on-line, podían comprobar que la sesión de videoconferencia estaba siendo grabada puesto que aparecía un piloto rojo encendido, situado en la parte superior izquierda de la pantalla de los ordenadores, junto a una indicación que informaba “grabando”, e indica que ninguno de las personas conectadas a la reunión mostró disconformidad sobre este aspecto. Cuarto: Sobre el hecho de que la RFEF no informara a los asistentes a las reuniones de la gestión que se iba a realizar sobre los datos personales obtenidos, la RFEF afirmó que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/32 - Como se informó a los asistentes de que las sesiones iban a ser grabadas. En consecuencia, el deber de información que exigen los artículos 13 del RGPD y 11 de la LOPDGDD fue cumplido. - Que se informó del fin del tratamiento de los datos personales diciendo al comienzo de la primera reunión que se iba a grabar la reunión: “(…) para dejar constancia de todo (…)”. - Que la RFEF cuenta con una “política de privacidad” en la URL: https://www.rfef.es/proteccion-datos donde se puede obtener toda la información con respecto a este asunto. Quinto: La RFEF reconoce que solamente después de la segunda reunión elaboró un documento con los extremos exigidos en el artículo 13 del RGPD que proporciona a los asistentes a las reuniones on-line: “(…) con posterioridad a la reunión de 4 de abril de 2020, y para otras reuniones on-line de los órganos colegiados de la RFEF, se elaboró una cláusula informativa que se adjunta como DOCUMENTO Nº 3 en la que se detallan todos los extremos exigidos por el art. 13 del RGPD y el art 11 de la LOPDGDD (…)”. Sexto: Con respecto la cesión de la grabación de la reunión del 07/04/20, hecha por la RFEF a los medios de comunicación y donde, por tanto, se cedían datos personales de los intervinientes en la misma, se debe destacar las siguientes afirmaciones hechas por la RFEF: - Que tras la reunión del 07/04/20, la AFE hizo de inmediato pública una nota de prensa con lo que, a su parecer, había ocurrido en la reunión. - Que la RFEF al entender que la nota de prensa de la AFE tergiversaba totalmente lo en la reunión se había tratado, y que lanzaba mensajes incorrectos, emitió una nota de prensa desmintiendo las afirmaciones que la AFE había transmitido a la sociedad. - Que, según la RFEF, esta situación de confusión generada hizo que la Cadena SER, pidiera a la RFEF las grabaciones de la reunión para corroborar las afirmaciones que defendía ésta. - Que la RFEF accedió a entregar a la Cadena Ser la grabación de la reunión teniendo en cuenta que se estaba tratando, nada más y nada menos, que de los efectos en el fútbol (una de las actividades más mediáticas que existen y con un impacto económico y social que nadie puede poner en duda); - la declaración del estado de alarma, que implicaba la suspensión de la celebración de todos los partidos de futbol profesional” y por “la necesidad de aclarar de forma contrastada la verdad en relación con las cuestiones analizadas en la reunión”. - Que, la cesión de la grabación y, por tanto, de los datos personales de los asistentes a la reunión, a la Cadena Ser, fue acogiéndose al derecho de información veraz recogido en el artículo 20 de la CE y en base a la legitimación que le proporcionaba el artículo 6.1.
  2. e)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/32 TERCERO: Con fecha 15/03/22, dentro del plazo establecido tiene entrada en esta Agencia, escrito de recurso de reposición presentado por la RFEF, contra la resolución reseñada en el “Antecedente Primero”, en el cual, entre otra, se alega lo siguiente: “En la exposición de nuestros argumentos jurídicos seguiremos en la medida de lo posible la argumentación de la AEPD en la resolución que ahora recurrimos. 1.- Sobre los hechos declarados probados. Señala la AEPD que “la única prueba que aporta la Federación para intentar corroborar las anteriores afirmaciones es el documento al que se le designa como “Documento Nº 1” presentado ante esta Agencia el 23/09/21, donde se transcribe la reunión del 12/03/20”. Sin perjuicio de que (como ya expusimos en su momento en nuestros escritos anteriores de alegaciones, hemos ya adelantado en el presente recurso, y más atrás insistiremos) se ha producido a esta RFEF una clara situación de indefensión derivada de la no admisión de la prueba testifical propuesta, debemos señalar lo siguiente. Dice la AEPD (pág. 62) que “la RFEF se limita a afirmar que (…) de las 15 personas más que asistieron a la segunda reunión, 13 pertenecen a la RFEF y por tanto eran conocedoras perfectamente de las reglas por las que se rigen las reuniones (…), sin aportar la más mínima prueba que pudiera corroborar afirmación”. (sic). Precisamente la prueba testifical que esta RFEF propuso y que no fue admitida por la AEPD tenía como objetivo demostrar que sí conocían las reglas por las que se rigen las reuniones. Pero es que a continuación (pág. 62) la AEPD afirma: “hay que recordar que, además de las 13 personas que asistieron a la segunda reunión y que pertenecían a la RFEF, asistieron 2 personas más, pertenecientes a la AFE y a la Comisión de Clubes de fútbol femenino de Primera y Segunda División, respectivamente, que no tenían por qué tener conocimiento de que la reunión iba a ser grabada ni del contenido de la primera reunión Al margen de los puntos anteriores, donde se ha constatado que, existieron al menos 13 personas, (los asistentes a la segunda reunión) que no fueron informados convenientemente de que su reunión iba a ser grabada, lo que no ha quedado demostrado en ningún caso, es que la RFEF informara a los asistentes de que las reuniones de los extremos que marca el artículo 13 del RGPD, respecto a la gestión iba a realizar de los datos personales obtenidos en las dos grabaciones efectuadas”. Nos preguntamos con todo respeto: ¿Cómo ha podido constatar la AEPD que “existieron al menos 13 personas, (los asistentes a la segunda reunión) que no fueron informados convenientemente de que su reunión iba a ser grabada”? ¿Qué pruebas han aportado los denunciantes para tal afirmación? A la AEPD tan sólo le consta que los dos representantes de las entidades denunciantes dicen no haber sido informados en lo que se refiere a la segunda reunión (ellos mismos reconocen que fueron informados en la primera), pero ninguna constancia hay que corrobore la afirmación de la Agencia ¿Corresponde a esta RFEF demostrar que unas personas que no han denunciado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/32 irregularidad alguna por parte de la Federación fueron informadas? ¿No está alterándose la carga de la prueba? ¿No estaremos ante un juicio de valor de la AEPD sin base probatoria?. Lo cierto es que la simple lectura de los asistentes a las dos reuniones demuestra que a la primera asistieron 11, de los que 4 pertenecían a la RFEF y que a la segunda asistieron 26, de los que 17 pertenecían a la Federación, y por su puesto eran conocedoras de que la reunión estaba siendo grabada. De los 9 restantes, 7 habían asistido también a la primera reunión. De modo que, como mucho, sólo 2 (dos) personas no habrían sido informadas -según la 4 AEPD, cosa que rechazamosde que la segunda reunión iba a ser también grabada, como lo fue la primera. Por otra parte, afirma la AEPD (pág. 63) que “lo que ha quedado constatado en todo este proceso es que la RFEF no informó en ningún momento a los asistentes a las reuniones de los …. puntos que marca el artículo 13 del RGPD”. Con todo respeto, la AEPD debe tener en cuenta que el artículo 13 RGPD debe interpretarse en conexión con el art 11 de la LOPDGDD, que permite una información más limitada. En cualquier caso, no es realista pretender exigir que en cualquier reunión de las múltiples que se celebran por vía telemática en la actualidad se informe con carácter previo a los asistentes de los extremos que señala el art. 13 del RGPD. Pero es que ni siquiera la AEPD parece hacerlo en los webinars que organiza. Por ejemplo en el Webinar sobre “Identidad, biometría y privacidad” (https://www.youtube.com/watch?v=SQPZTem5um4) , o el que versa sobre “Interfaz cerebro-computador y protección de datos cerebrales” (https://www.youtube.com/watch?v=ZBT3AcW7po0 , que permiten incluso el envío de comentarios identificando a quien los formula, no se informa en absoluto del tratamiento de datos personales que en su caso se lleva a cabo, ni de quien es el responsable (la Agencia, You Tube o un tercero) ni la finalidad del tratamiento de los datos de quienes incluyan comentarios en la web, ni ningún otro extremo que exige la AEPD. El artículo 11 LOPDGDD no exige informar en primera capa de la “base jurídica” que sustenta el tratamiento ni de otros muchos extremos. Critica la AEPD (pág. 64) que el ***PUESTO.4 de la EFEF “no identifica, en absoluto ningún fin específico del tratamiento ni por supuesto tampoco informa de la base jurídica que los sustenta”. Pues bien, sí se informó de la finalidad (grabar la reunión para dejar constancia de lo tratado en tan trascendentes reuniones) y el artículo 11 LOPDGDD no exige informar de la base jurídica del tratamiento, pues dicho artículo no exige informar de todos los puntos que recoge el artículo 13 RGPD, algo que la Agencia, seguramente por error, viene a exigir a la RFEF. Por lo demás, como la propia AEPD recuerda, el artículo 18 de la Ley 40/2015 posibilita que las reuniones de un órgano colegiado puedan ser grabadas a efectos de acompañar al acta de la sesión y darle prueba de legitimidad e integridad. Por tanto, debe considerarse que los asistentes a la reunión debían ser conscientes de que las sesiones podían e incluso debían ser grabadas, lo que nos sitúa en el art. 13.4 RGPD (aplicable también al art. 11 LOPDGDD) que permite excepcionar la información “cuando el interesado ya disponga de la información”. Que es lo que cabalmente acontece en nuestro caso, pues los asistentes a la reunión eran conscientes de quién grababa la reunión y por tanto era responsable (la RFEF) y de la finalidad (informada por el ***PUESTO.4 de la RFEF desde la primera reunión y en todo caso derivada del art. 18 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/32 de la Ley 40/2015). De hecho, la propia AEPD reconoce que se informó de la finalidad, aunque reprocha, en base al artículo 13 RGPD que no se ofreció “ningún tipo de información adicional” (pág. 63). Cuando en realidad el art. 11 LOPDGDD no exige que en primera capa se informe de todos los puntos a que se refiere el art. 13 RGPD, como hemos señalado. Insiste a continuación la AEPD en que la cesión de las grabaciones a los medios de comunicación no puede considerarse expresión de la libertad de expresión reconocida por 5 el art. 20 de la Constitución. Sin perjuicio de que volveremos más adelante sobre este punto, lo que ahora debemos reiterar es que, con todo respeto hacia esa Agencia, ésta no puede configurarse como definidora del alcance del derecho a la libertad de expresión, por lo que no podemos compartir la afirmación (pág. 69) de que esta RFEF “ya había ejercido su derecho a expresar y difundir libremente sus opiniones a través de un comunicado de prensa, haciendo uso, como indica la propia Federación del derecho reconocido en el artículo 20 de la CE”. La valoración del ejercicio de la libertad de expresión no corresponde a la AEPD. En este caso resulta evidente, como la propia AEPD reconoce, que la publicación de sendas notas de prensa por la LNFP y por la RFEF generó una gran confusión en la opinión pública, lo que derivó en que un medio de comunicación relevante, serio y reconocido solicitase la grabación de parte (no de toda) de la reunión, para poder ejercer por su parte, y, asimismo, su derecho a la libertad de información, basada en la libertad de expresión que ejercitó la RFEF, de acuerdo con el artículo 20 de la CE. Si así no se reconoce, debe concluirse que la conducta de los medios de comunicación también excedió el derecho a la libertad de información y que por tanto también ellos violaron la legislación de protección de datos de carácter personal. 2.- Sobre la grabación de las reuniones de la Comisión de Seguimiento del COVID 19. No podemos compartir la afirmación de la AEPD en el sentido de que en las actas no tienen que incluirse transcripciones de lo tratado en la reunión de que se trate. Incluso el art. 19 de la Ley 40/2015 permite anexar la grabación al acta. Por otra parte, reiteramos que la supuesta falta de prueba aportada por esta RFEF, que la AEPD afea a esta parte (afirma, pág. 70, que no aportamos “la más mínima prueba o documento con el que se pueda corroborar que las personas que asistieron a las reuniones conocían que las reuniones iban a ser grabadas y los extremos recogidos en el artículo 13 del RGPD”) se debe precisamente a la negativa de la AEPD a admitir la prueba testifical que tenía como objetivo demostrar que sí conocían que la reunión iba a ser grabada y los puntos del art. 11 LOPDGDD (reiteramos que el art. 13 del RGPD debe interpretarse conjuntamente con el citado art. 11). 3.- Sobre la publicación por parte de varios medios de comunicación de información referida a las reuniones de la Comisión de Seguimiento COVID-19. Reiteramos íntegramente lo ya aducido en nuestras alegaciones a la propuesta de resolución, que entendemos que no ha sido desvirtuado por la AEPD. Insistimos en que, como hemos apuntado más atrás, la valoración del ejercicio de la libertad de expresión no corresponde a la AEPD. 4.- Sobre la falta de legitimación de las entidades denunciantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/32 Reiteramos de nuevo lo ya apuntado en las alegaciones a la propuesta de resolución. Tal como establece el artículo 77 del RGPD, quienes tienen derecho a presentar una reclamación ante una autoridad de control son “los interesados”, y estos, de acuerdo con lo que establece el artículo 4.1 del citado RGPD, deben en todo caso tener la condición de persona física identificada o identificable, nunca de persona jurídica. Añadimos ahora que esta es la interpretación que deriva del artículo 57.1.
  3. f)del RGPD al atribuir a las Autoridades de Control “tratar las reclamaciones presentadas por un interesado o por un organismo, organización o asociación de conformidad con el artículo 80, e investigar, en la medida oportuna, el motivo de la reclamación e informar al reclamante sobre el curso y el resultado de la investigación en un plazo razonable, en particular si fueran necesarias nuevas investigaciones o una coordinación más estrecha con otra autoridad de control”. De modo que deben ser los interesados o las organizaciones a las que se refiere el art. 80 del RGPD quienes presenten una reclamación, que es la vía para la protección efectiva del derecho a la protección de datos, como derecho personalísimo que es. En definitiva, el modelo ha cambiado respecto al que derivaba del marco normativo previo al RGPD. 5.- Sobre la naturaleza de los datos objeto de tratamiento. En cuanto a la naturaleza de los datos personales, insistimos, como ya dijimos en las alegaciones a la propuesta de resolución, en que la LOPDGDD parte de la base de que es necesario tener presente el verdadero perjuicio que se produce a los titulares de los datos a la hora de considerar si se ha producido o no una conducta sancionable. Y en este sentido es evidente que el tratamiento de datos que ha llevado a cabo la RFEF no ha afectado para nada al ámbito privado o personal de los denunciantes, pues ha quedado probado que actuaban en cuanto que representantes de las entidades convocadas a la reunión (las entidades, y no las personas físicas, fueron las convocadas, como reconocen los propios demandantes. Y las entidades fueron las que expresaban su voluntad u opinión en las reuniones, si bien a través de quienes actuaban en su representación). Algo que no ha quedado resuelto en la resolución que ahora recurrimos. 6.- Sobre la supuesta falta de información ofrecida a las personas que asistieron a las reuniones del Comité de Seguimiento del COVID-19. En este punto debemos reiterar una vez más que la AEPD basa toda su argumentación en la violación del artículo 13 del RGPD sin tener en cuenta que debe ponerse en relación con el artículo 11 de la LOPDGDD. Ya hemos señalado que la información sobre el responsable y la finalidad del tratamiento se facilitó. Por otra parte, no se acierta a entender la afirmación de la AEPD (pág. 82) según la cual “Pues bien, indicar en este punto que el artículo 13 del RGPD establece que: “1.- Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará (…)”, y según consta, esto no llegó a ocurrir nunca, pues los asistentes a la primera reunión, celebrada presencialmente, no tenían por qué estar conectados en ningún momento a la página web de la Federación, ni siquiera consta que tuvieran equipos informativos en su poder para conectarse, ni siquiera se les informó de la existencia de página web de la Federación donde podrían consultar su “Política de Privacidad””. Y ello porque en ningún caso se ha puesto en cuestión el tratamiento de datos que se llevó a cabo en la primera reunión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/32 presencial y porque la AEPD da por sentado algo para nada acreditado y tampoco cuestionado, que es el hecho de dar por sentado, casi probado, que los asistentes no tenían equipos informáticos. Tal afirmación carece de soporte fáctico alguno y nada tiene que ver con este procedimiento. 7.- “Sobre el supuesto tratamiento ilícito de los datos personales de los asistentes a las reuniones. Protección de datos y libertad de información y expresión”. En relación con este punto reiteramos íntegramente lo ya expuesto en nuestras alegaciones a la propuesta de resolución, que no han sido tenidas en cuenta por la AEPD. Somos conscientes de que, como señala la Agencia (pág. 85) “el derecho a la libertad de expresión e información frente al derecho fundamental a la protección de datos no puede entenderse de forma absoluta”. Precisamente en nuestras alegaciones, que repetimos no han sido tenidas en cuenta ni valoradas por la AEPD, insistimos en ese punto para señalar extensamente (págs. 13 a 19 de las alegaciones a la propuesta de resolución), con sólida base en la jurisprudencia e incluso en resoluciones de esa AEPD, que en el presente caso se han calibrado por la RFEF ambos derechos y se concluyó que, dadas las graves circunstancias que se estaban produciendo, la alarma social que se había generado, la inquietud de los medios de comunicación, la naturaleza de los datos que se recogían en las grabaciones, la entidad del medio de comunicación que solicitó la información para ejercer su derecho a la libertad de información, se consideró que el derecho a la libertad de expresión e información podía ejercerse de acuerdo a lo dispuesto en el artículo 20 de la Constitución. Todo ello, además, a la vista de la jurisprudencia de la Audiencia Nacional y del Tribunal Supremo y de la doctrina de la propia AEPD. La Agencia, sin embargo, sin base legal ni jurisprudencial (que es la que debe utilizarse a falta de la ley que establece el art. 85 del RGPD, a la que la AEPD se refiere), estima que al no haberse informado según el artículo 13 del RGPD (en lugar del artículo 11 de la LOPDGDD) de la finalidad consistente en tratar los datos para el ejercicio del derecho a la libertad de expresión e información, no podía ejercerse el derecho fundamental reconocido en el citado artículo 20 constitucional. Lo que supone una limitación formal al derecho a la libertad de expresión e información que no está recogida en el citado artículo 85. Muy al contrario, este artículo parte de la base de que el ejercicio del derecho a la libertad de expresión e información justifica la limitación de los principios recogidos en el Capítulo II del RGPD (entre otros los recogidos en el artículo 5.1 que al AEPD cita) y los derechos de los interesados reconocidos en el Capítulo III del RGPD (entre otros el derecho a la información regulado en el artículo 13, en el que también basa la AEPD su argumentación). 8.- Sobre las agravantes aplicadas por la AEPD. Reiteramos todos y cada uno de los argumentos que ya expusimos en nuestras alegaciones a la propuesta de resolución, que entendemos que no han sido desvirtuados por la AEPD. En particular queremos insistir en los siguientes puntos: - En cuanto a la agravante del art. 83.2.
  4. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/32 Llama la atención que la AEPD considere que son 37 las personas afectadas (pág. 88). Suponemos que la AEPD, para llegar a esa cifra ha sumado los asistentes a la primera reunión

(11)y los asistentes a la segunda
(26). Pero es que tal cifra es inexacta, pues las 11 personas que asistieron a la primera también lo hicieron a la segunda. Se suman, pues, dos veces a 11 personas y se incrementa erróneamente el número (muy bajo, en cualquier caso) de afectados, que serían como mucho 26. Pero ni aun así éste es el número correcto. Y ello debido a que la AEPD incluye como afectado al propio ***PUESTO.4 de la RFEF, lo que con todo respeto carece de sentido. Como también considerar afectadas a las personas que prestan servicios en la propia RFEF. Lo que se afirma sin haber acreditado para nada el perjuicio causado, que la AEPD da por supuesto. Igual que da por supuesto el perjuicio ocasionado al resto de personas que no son los representantes de las personas jurídicas denunciantes. En consecuencia, el “nivel de daños y perjuicios” es mínimo, en realidad inexistente. A lo sumo, referido a dos personas con una relevancia pública innegable y que actúan no en cuanto particulares sino como representantes de sendas personas jurídicas (LNFP y AFE). En cuanto a la agravante del art. 83.2.b). En este punto la argumentación de la AEPD es asimismo cuestionable. Para “acreditar” la negligencia de la RFEF se basa en las medidas de responsabilidad proactiva que ha adoptado. De modo que se considera agravante el tomar medidas, en contra de lo que establece el artículo 24 del RGPD y la doctrina de la propia AEPD en nume rosas resoluciones que no es el caso ahora enumerar, pero que vienen a corroborar la trascendencia que para la Agencia tiene el hecho de que el responsable adopte medidas para mitigar los riesgos. Pues bien, en nuestro caso, no sólo no se valoran positivamente las medidas adoptadas y expuestas a esa AEPD, sino que se consideran como argumento para agravar la conducta de esta RFEF. Con todo respeto, carece de sentido penalizar la adopción de medidas adoptadas en aplicación del principio de responsabilidad proactiva, que no indican que con anterioridad a su adopción se hubiese obrado negligentemente, como pretende la AEPD, sino que se adoptan para mejorar la situación, sobre todo teniendo en cuenta que la situación denunciada por las personas jurídicas LNFP y AFE se produjo justo cuando se produce una situación hasta entonces inédita cual es la declaración del estado de alarma y el confinamiento que trajo consigo. La adopción de medidas por parte de la RFEF no corrobora, como pretende esa AEPD (pág. 89), “el hecho de que anteriormente (la RFEF) no realizaba una gestión diligente en el tratamiento de los datos que gestionaba” sino que es diligente en el cumplimiento de la legislación de protección de datos. Penalizar la adopción de mejores prácticas y considerar esta conducta como agravante es contrario a lo que establecen tanto el RGPD como la LOPDGDD. Por otro lado, la conclusión alcanzada (“anteriormente no realizaba una gestión diligente en el tratamiento de los datos que gestionaba”) es contradictoria con los precedentes que obran en esa estimada Agencia. Nos referimos al expediente N.º E/02043/2019, que archivó una denuncia interpuesta por un particular frente a la RFEF, en cuyo Fundamento de Derecho III se constata lo siguiente: “Es también relevante que mediante diligencia de la inspección de datos de la AEPD de fecha 14 de febrero de 2019 se dejó constancia en el expediente 9 administrativo, a través de diversas capturas de pantalla obtenidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/32 de la página web de la RFEF, que esta entidad dispone de varios formularios de recogida de datos personales y que su página web ofrece una información en materia de Protección de Datos que se adecúa a las exigencias del artículo 13 del RGPD”. 9.- Sobre la inadmisión de la prueba testifical solicitada por la RFEF. A lo largo de la resolución que ahora se recurre la AEPD ha imputado a esta RFEF el hecho de no haber aportado “prueba alguna” en que fundamentar sus planteamientos. Sin embargo, y contrariamente a tal afirmación, la propia AEPD señala en su resolución (pág. 90) que “la instrucción consideró que la información y la documentación aportada al procedimiento era suficiente para poder dilucidar si existía o no infracción a la normativa vigente en materia de protección de datos. Esto es así porque el presente procedimiento administrativo sancionador se incoa tras haber realizado la AEPD una intensa labor inspectora, que ha quedado documentalmente incorporada al expediente y que constituye suficiente prueba para esta resolución”. Y a continuación señala que “en el presente caso, se asume como cierta la información aportada por las partes” (sic). Para más adelante hay que añadir que “en el caso que nos ocupa, la RFEF no ha presentado en ningún momento del procedimiento ningún documento o prueba que corroborase que los asistentes a las reuniones eran conscientes de que las mismas iban a ser grabadas. Tampoco se ha aportado prueba alguna en el sentido de demostrar que se había informado convenientemente a los asistentes a las reuniones de los aspectos indicados en el artículo 13 del RGPD…Por tanto, las pruebas testificales solicitadas por la RFEF se consideran que no son necesarias en este caso, en aplicación del principio de “economía procesal” al estar ya suficientemente acreditados los hechos imputables a la reclamada…”. Con todos los respetos, ¿cómo puede afirmarse que las pruebas son suficientes, que “se asume como cierta la información aportada por las partes” y que la RFEF no ha aportado prueba alguna? Y todo ello teniendo en cuenta que esta Federación había solicitado reiteradamente la práctica de prueba testifical, por considerarla imprescindible para acreditar lo que siempre ha mantenido, es decir, que su actuación fue acorde con la legislación de protección de datos. ¿Cómo puede decirse que se da por cierta “la información aportada por las partes” si es evidente que es contradictoria una con la otra? ¿Se da por cierta una información y la contraria? Sin olvidar que las personas jurídicas denunciantes no han aportado prueba alguna, que solo han aportado sus propias declaraciones, y que la AEPD, sin embargo, y sin base alguna, las ha dado por buenas y acreditadas. Por ello reiteramos que la inadmisión de la prueba testifical ha generado una clarísima indefensión en esta parte, contraria totalmente al artículo 24 de la Constitución. POR TODO ELLO, Se SOLICITA, Que teniendo por presentado este escrito ante la Agencia Española de Protección de Datos se sirva admitirlo y tenga por presentado en tiempo y forma RECURSO DE 10 REPOSICIÓN contra la Resolución de 14 de febrero de 2022 dictada por la Directora de la Agencia Española de Protección de Datos en el Procedimiento Nº: PS/00368/2021. Que estime el presente recurso y en consecuencia anule y deje sin efecto la citada resolución, y declare que la RFEF no ha infringido la legislación de protección de datos, y en particular, ni el artículo 13 del RGPD ni el artículo 6.1 del mismo RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/32 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II La valoración conjunta de la documentación obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada en el recurso de reposición se debe indicar lo siguiente: 1.- Contestación a las alegaciones hechas sobre los hechos declarados probados: En principio, la RFEF hace referencia una vez más, al hecho de que la prueba testifical solicitada no fue admitida por parte de esta Agencia causando un grave perjuicio e indefensión. Pues bien, se debe volver a indicar, una vez más que, el artículo 77 de la LPACAP, establece, sobre los “Medios y período de prueba”, lo siguiente: “1. Los hechos relevantes para la decisión de un procedimiento podrán acreditarse por cualquier medio de prueba admisible en Derecho, cuya valoración se realizará de acuerdo con los criterios establecidos en la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. 2. Cuando la Administración no tenga por ciertos los hechos alegados por los interesados o la naturaleza del procedimiento lo exija, el instructor del mismo acordará la apertura de un período de prueba por un plazo no superior a treinta días ni inferior a diez, a fin de que puedan practicarse cuantas juzgue pertinentes. Asimismo, cuando lo considere necesario, el instructor, a petición de los interesados, podrá decidir la apertura de un período extraordinario de prueba por un plazo no superior a diez días. 3. El instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias, mediante resolución motivada (…). Y en base a ello, y a la facultad que permite dicho artículo, la instrucción del expediente PS/368/2021, consideró que la información y la documentación aportada al procedimiento era lo suficientemente amplia y completa para poder dilucidar si existía o no infracción a la normativa vigente en materia de protección de datos y esto fue así porque el procedimiento administrativo sancionador se incoa tras haber realizado la AEPD una intensa labor inspectora, que quedó documentalmente incorporada al expediente y que constituyó suficiente prueba para la resolución del mismo. Pero es que, tampoco se asumible la declaración que hace la RFEF cuando denuncia la situación de indefensión derivada de la no admisión de la prueba testifical, de forma genérica y abstracta sin considerar siquiera que, según establece el artículo 24.2 de la CE, aplicable también en este caso, se reconoce el derecho de la entidad reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/32 “a utilizar todos los medios de prueba pertinentes para su defensa”, dejando a su criterio poder presentar cuantos medios de prueba estimase pertinentes a lo largo del procedimiento, posibilidad que ni siquiera utilizó pues no presentó ninguno, quedándose solamente en la denuncia de que esta Agencia no admitió su solicitud de prueba testifical causándole un grave perjuicio, cuando pudo haber presentado en este proceso, por su cuenta, cuanta documentación o pruebas hubiera tenido por conveniente presentar y no lo hizo. Por lo tanto, no es admisible, en ningún sentido la denuncia que hace la RFEF de la ”indefensión” causada por esta Agencia. Vuelve sobre el asunto la RFEF cuando indica que la prueba testifical era crucial para demostrar que las 13 personas que asistieron a la segunda reunión eran conocedoras de que las reuniones se estaban grabando, pero, en la propia reclamación presentada ante esta agencia, el 16/04/20, por la ASOCIACIÓN DE FUTBOLISTAS ESPAÑOLES (AFE), LA LIGA NACIONAL DE FÚTBOL PROFESIONAL, y por su ***PUESTO.6, se indicaba precisamente todo lo contrario y fueron personas que asistieron a la dos reuniones. No tiene, por tanto, ningún sentido, volver a solicitar su declaración en prueba testifical cuando ya, en la propia reclamación denunciaban la falta de información por parte de la REFE sobre las grabaciones de las reuniones. Pero es que, además, ni la propia RFEF ha aportado prueba testifical alguna en el sentido de demostrar que se había informado convenientemente a los asistentes a las reuniones de las grabaciones, como, por ejemplo, una declaración jurada de los propios representantes de la RFEF admitiendo que conocían este hecho, haciendo uso de su derecho constitucional recogido en el artículo 24.2 CE. Es más, en la carta enviada por el ***PUESTO.7 de la RFEF al ***PUESTO.4 de la AFE, con fecha 10/04/20, adjuntada junto con la reclamación que esta Asociación presentó ante la AEPD se puede leer en el punto 2º, lo siguiente: “2.- Que, al comienzo de la primera reunión, celebrada el día 12 de Marzo, se acordó, sin oposición de ninguno de los intervinientes, grabar las conversaciones de la comisión para que quedara constancia de ello. En cualquier caso, cuando la comisión se ha reunido telemáticamente, en las pantallas de cada uno de los intervinientes aparece en todo momento un piloto rojo que informa que se está produciendo la grabación de toda la reunión”. El hecho de que se considere que, cuando aparece en las pantallas de los ordenadores un piloto rojo encendido, todas las personas conectadas son conscientes de que ese piloto, si es que percatan de él, significa eso mismo, “que la reunión está siendo grabada”, no puede ser tomada en consideración pues dicha afirmación carece totalmente de certeza probatoria, más aún cuando ni siquiera existía, al comienzo de la reunión un banner emergente donde pudiera advertir a la persona que se conecta a la reunión telemática que ésta “va a ser grabada” solicitándole el consentimiento previo. Además de todo ello, El RGPD establece, en el artículo 5.1. que los datos personales serán:
  1. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/32
  2. b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
  3. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
  4. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
  5. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
  6. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Estableciendo, en el punto segundo del artículo 5, que el responsable es quién tiene la obligación de demostrar que el tratamiento de los datos personales realizado se ajusta a lo indicado en el apartado primero, lo que se conoce como “Responsabilidad Proactiva”: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»). Por tanto, el hecho de que la RFEF se acoja a que, por haber un piloto rojo encendido en la pantalla del ordenador, sea prueba suficiente para demostrar que todas las personas que estaban conectadas a la reunión telemática eran conocedores de que significaba, sin tener ni siquiera tener instalado en la aplicación, u método o un banner emergente de advertencia y de solicitud de consentimiento al comienzo de la reunión, no puede ser considerado, en ningún caso, como la prueba concluyente en el sentido indicado por la RFEF. Sobre la consideración que hace la RFEF en el sentido de considerar excesivo lo estipulado en el artículo 13 del RGPD cuando indica que “En cualquier caso, no es realista pretender exigir que en cualquier reunión de las múltiples que se celebran por vía telemática en la actualidad se informe con carácter previo a los asistentes de los extremos que señala el art. 13 del RGPD”. Solamente indicar que, el RGPD se establece lo que Legislador consideró oportuno establecer y no cabe interpretaciones arbitrarias de parte fuera en la esfera de una simple opinión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/32 Pues bien, el artículo 12.1 del RGPD establece lo siguiente: “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios”, Por su parte, el artículo 13 del propio RGPD indica, sobre la Información que se debe facilitar a los interesados siempre que de él se obtengas sus datos personales, lo siguiente: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación (…)” : Hace mención después la RFEF al artículo 11 de la LOPDGDD, sin diferenciar que dicho artículo se encuentra dividido en dos partes. La primera, que corresponde al apartado uno, establece la obligatoriedad del responsable del tratamiento de informar al interesado, de acuerdo con el artículo 13 del RGPD, de lo que se considera información básica: 1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente (…). La información básica, a la que se refiere el apartado anterior, y que debe ser proporcionada al interesado siempre que se obtengan sus datos personales, está indicada en el apartado siguiente (art. 11.2 de la LOPDGDD): 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  7. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  8. b)La finalidad del tratamiento.
  9. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. No obstante, lo anterior, y esta es la segunda parte del artículo 11 LOPDGDD, también indicada en el apartado primero, se establece que: 1.- (…) indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/32 (…)”. Pues bien, lo que establece este artículo no es la posibilidad de interpretar el artículo 13 RGPD para proporcionar: “(…) una información más limitada(…)”, como alegar la RFEF. Lo que establece este artículo es que, la información básica, esto es, la identidad del responsable del tratamiento; la finalidad del tratamiento e informar de la posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del RGPD, debe ser ofrecida al usuario siempre que se obtengan los datos de él y el resto de la información a la que hace referencia el artículo 13 RGPD puede ser ofrecida a través de una dirección electrónica u otro medio. Pero si el responsable del tratamiento, ni siquiera ofrece al usuario la dirección electrónica donde puede obtener dicha información, difícilmente podrá cumplir las obligaciones que le marca el RGPD. Por tanto, si ni siquiera se ofrece al usuario una dirección electrónica donde poder dirigirse para conocer la información a la que hace referencia el artículo 13 RGPD, es lógico que se deba dar toda la información a la que hace referencia el RGPD cuando se obtienen los datos personales de interesado. Pero es que, además, lo establecido en el apartado 1 del artículo 11 LOPDGDD no se cumple en absoluto con un simple piloto rojo encendido en la pantalla del ordenador, por mucho que se conozca, si esto hubiera sido cierto, del significado de que dicho piloto estuviera encendido. Esto es, en el caso hipotético de que todas las personas conectadas a la reunión telemática hubieran conocido que el piloto rojo encendido en la pantalla de su ordenador significaba que dicha reunión estaba siendo grabada, eso no tampoco implica que, se cumpliera lo estipulado en el artículo 11 LOPDGDD. En otra parte de este punto primero, La RFEF hace referencia a su libertad de expresión reconocida en nuestro texto constitucional defendiendo su derecho a expresar lo que crea conveniente, pero seguidamente niega el derecho a esta Agencia a defenderse sin ni siquiera tener derecho a decir lo único que se dijo en la Propuesta de Resolución respecto al citado artículo 20 CE, y que no fue ninguna interpretación sino simplemente la confirmación siguiente: “ (…) ya había ejercido su derecho a expresar y difundir libremente sus opiniones a través de un comunicado de prensa, haciendo uso, como indica la propia Federación del derecho reconocido en el artículo 20 de la CE (…)” Hay que dejar constancia de que esta Agencia en ningún momento se propuso valorar la libertad reconocida en el artículo 20 CE, sino todo lo contrario, simplemente se constató el hecho de que la RFEF, incluso reconocido por ella misma, había ejercido con total libertad su derecho a la libertad de expresión al enviar una nota de prensa a los medios de comunicación. Además de ello, se puntualizó que, se debía tener en cuenta, cuando se hace uso del derecho reconocido en el artículo 20 de la CE, que también este artículo manifiesta, en su punto 4 lo siguiente: “Estas libertades tienen su límite en el respeto a los derechos reconocidos en este Título, en los preceptos de las leyes que lo desarrollen y, especialmente, en el derecho al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la infancia”, sin entrar a valorar y a pronunciarse sobre ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/32 2.- Contestación a las alegaciones hecha sobre la grabación de las reuniones de la Comisión de Seguimiento del COVID 19. En este punto hace referencia la RFEF a que: “(…) Incluso el art. 19 de la Ley 40/2015 permite anexar la grabación al acta (…)”. Pues bien, se debe aclarar que dicho artículo, con el título “Régimen de los órganos colegiados de la Administración General del Estado y de las Entidades de Derecho Público vinculadas o dependientes de ella” hace referencia al régimen aplicable a dichos organismos (apartado 1); a las atribuciones que le corresponden al Presidente (apartado 2); a las atribuciones que les corresponden a los miembros del órgano colegiado (apartado 3); a las atribuciones que le corresponden al Secretario (apartado 4); y solo, en el apartado 5, hace referencia al acta de la sesión, indicando que: “5. En el acta figurará, a solicitud de los respectivos miembros del órgano, el voto contrario al acuerdo adoptado, su abstención y los motivos que la justifiquen o el sentido de su voto favorable. Asimismo, cualquier miembro tiene derecho a solicitar la transcripción íntegra de su intervención o propuesta, siempre que, en ausencia de grabación de la reunión aneja al acta, aporte en el acto, o en el plazo que señale el Presidente, el texto que se corresponda fielmente con su intervención, haciéndose así constar en el acta o uniéndose copia a la misma”. Pues bien, sobre la función que tiene la grabación de la reunión debemos, antes estar a lo que el artículo 18 LRJSP indica a este respecto: 1. De cada sesión que celebre el órgano colegiado se levantará acta por el Secretario, que especificará necesariamente los asistentes, el orden del día de la reunión, las circunstancias del lugar y tiempo en que se ha celebrado, los puntos principales de las deliberaciones, así como el contenido de los acuerdos adoptados. Podrán grabarse las sesiones que celebre el órgano colegiado. El fichero resultante de la grabación, junto con la certificación expedida por el Secretario de la autenticidad e integridad del mismo, y cuantos documentos en soporte electrónico se utilizasen como documentos de la sesión, podrán acompañar al acta de las sesiones, sin necesidad de hacer constar en ella los puntos principales de las deliberaciones. 2. El acta de cada sesión podrá aprobarse en la misma reunión o en la inmediata siguiente. El Secretario elaborará el acta con el visto bueno del Presidente y lo remitirá a través de medios electrónicos, a los miembros del órgano colegiado, quienes podrán manifestar por los mismos medios su conformidad o reparos al texto, a efectos de su aprobación, considerándose, en caso afirmativo, aprobada en la misma reunión. Cuando se hubiese optado por la grabación de las sesiones celebradas o por la utilización de documentos en soporte electrónico, deberán conservarse de forma que se garantice la integridad y autenticidad de los ficheros electrónicos correspondientes y el acceso a los mismos por parte de los miembros del órgano colegiado. Pues bien, tal y como se indica en dicho artículo, la grabación de la reunión de un órgano colegiado es exclusivamente y a los solos efectos de acompañar al acta de la seC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/32 sión y darle prueba de legitimidad e integridad: “(…) El fichero resultante de la grabación, junto con la certificación expedida por el Secretario de la autenticidad e integridad del mismo, y cuantos documentos en soporte electrónico se utilizasen como documentos de la sesión, podrán acompañar al acta de las sesiones (…)”. Además, según especifica la norma, solamente tendrán acceso a la grabación los miembros del órgano colegiado: “Cuando se hubiese optado por la grabación de las sesiones celebradas (…) deberán conservarse de forma que se garantice la integridad y autenticidad de los ficheros electrónicos correspondientes y el acceso a los mismos por parte de los miembros del órgano colegiado”. Por tanto, en ningún momento, la norma posibilita el acceso a la grabación de personas ajena al órgano colegiado. Por tanto, no podemos confundir el acta de la sesión con los documentos o ficheros que le dan soporte y que garantizan la autenticidad e integridad del acta de la sesión. No es lo mismo, el acta de la sesión que la grabación de la sesión: El acta de la sesión es, según se indica en el artículo 18.1 LRJSP (párrafo 1º), aquel documento donde se “especificará necesariamente los asistentes, el orden del día de la reunión, las circunstancias del lugar y tiempo en que se ha celebrado, los puntos principales de las deliberaciones, así como el contenido de los acuerdos adoptados” y la grabación de la reunión anexa al acta es, según se indica en el artículo 18.2 LRJSP (párrafo 2º): aquel fichero que junto con la certificación expedida por el Secretario de la autenticidad e integridad del mismo, y cuantos documentos en soporte electrónico se utilizasen como documentos de la sesión, acompañan al acta de las sesiones, pudiendo, cuando así se haga, que no consten en el “acta” los puntos principales de las deliberaciones. Vuelve a incidir en este punto la RFEF que, a causa de no permitir la prueba testifical solicitada, no pueden demostrar que se cumplió lo estipulado en el artículo 13 del RGPD y se vuelve, una vez más, a indicar desde esta Agencia que, con independencia de que se admita o no prueba, el en el artículo 5.2. RGPD establece que, “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»). Por tanto, se exige al responsable del tratamiento de los datos personales, en este caso a la RFEF que, en base al principio que rige el RGPD de “responsabilidad proactiva” tanto en el cumplimiento de la normativa sobre protección de datos como en la posibilidad de demostrarlo, pueda demostrar por si, que sus afirmaciones son correctas y que todas las personas que asistieron a las reuniones fueron informadas convenientemente de todos los preceptos indicados en el artículo 13 RGPD. Y esto es así, porque ni siquiera ha aportado, por ejemplo, declaración jurada de los propios representantes de la RFEF que asistieron a las reuniones indicando que ellos si conocían que las reuniones estaban siendo grabadas o que habían sido informados convenientemente de todos los preceptos incluidos en el artículo 13 RGPD Pues bien, en base a todo ello, en aplicación del RGPD, el responsable del tratamiento de datos deberá establecer procedimientos a través de los cuales pueda garantizar la aplicación de la normativa de protección de datos y mecanismos que puedan demostrar frente a terceros la efectiva aplicación y el cumplimiento de la normativa de protección de datos, y esto, en el caso que nos ocupa, no ha ocurrido, sino que, la RFEF ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/32 responsabilizado a esta Agencia de no poder demostrarlo por no admitirle la prueba testifical. 3.- Contestación a las alegaciones hechas sobre la publicación por parte de varios medios de comunicación de información referida a las reuniones de la Comisión de Seguimiento COVID-19. Según se indica en el recurso presentado por la RFEF: “a causa de la de confusión generada por al menos una de las entidades denunciantes que incrementó aún más la incertidumbre entre los medios de comunicación, la Cadena SER, pidió a la RFEF que le facilitase parte de las grabaciones de la reunión y la RFEF considerando que la cesión de los datos que se solicitaban por parte de la Cadena SER estaba amparada en el interés público de acuerdo al artículo 6.1.
  10. e)del RGPD y a la prevalencia en este caso del derecho fundamental a la libertad de expresión. Pues bien, tal y como hemos expuestos, legalmente la grabación de una reunión de un órgano colegiado solamente se puede utilizarse para dar soporte de autenticidad al acta de la sesión y que cualquier otro fin al que se deseara utilizar la información, esto es, por ejemplo, la cesión de los datos personales grabados en las intervenciones de los asistentes a la misma deberá ser previamente autorizada por los implicados mediante su consentimiento expreso. Se basa la RFEF que facilitó la grabación de la reunión del día 07/04/20 a la Cadena Ser, en base al “interés público” recogido en el artículo 6.1.
  11. e)del RGPD, pero debería tener presente la RFEF, además, lo establecido en el artículo 8.2 de la LOPDGDD, en el cual se desarrolla el tratamiento de datos personales fundamentado en el “interés público o ejercicio de poderes públicos”. Así se establece en este artículo que: “2.- El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
  12. e)del Reglamento (UE) 2016/679 cuando derive de una competencia atribuida por una norma con rango de ley”. Y así lo marca el considerando 50 del RGPD, cuando dice que: ”El tratamiento de datos personales con fines distintos de aquellos para los que hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines de su recogida inicial. En tal caso, no se requiere una base jurídica aparte, distinta de la que permitió la obtención de los datos personales. Si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, los cometidos y los fines para los cuales se debe considerar compatible y lícito el tratamiento ulterior se pueden determinar y especificar de acuerdo con el Derecho de la Unión o de los Estados miembros. Las operaciones de tratamiento ulterior con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos deben considerarse operaciones de tratamiento lícitas compatibles. La base jurídica establecida en el Derecho de la Unión o de los Estados miembros para el tratamiento de datos personales también puede servir de base jurídica para el tratamiento ulterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/32 Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos personales, el responsable del tratamiento, tras haber cumplido todos los requisitos para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en particular las expectativas razonables del interesado basadas en su relación con el responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las consecuencias para los interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas tanto en la operación de tratamiento original como en la operación de tratamiento ulterior prevista. Por tanto, si el interesado dio su consentimiento o el tratamiento se basa en el Derecho de la Unión o de los Estados miembros que constituye una medida necesaria y proporcionada en una sociedad democrática para salvaguardar, en particular, objetivos importantes de interés público general, el responsable debe estar facultado para el tratamiento ulterior de los datos personales, con independencia de la compatibilidad de los fines. Se debe garantizar la aplicación de los principios establecidos por el presente Reglamento y, en particular, la información del interesado sobre esos otros fines y sobre sus derechos, incluido el derecho de oposición. La indicación de posibles actos delictivos o amenazas para la seguridad pública por parte del responsable del tratamiento y la transmisión a la autoridad competente de los datos respecto de casos individuales o casos diversos relacionados con un mismo acto delictivo o amenaza para la seguridad pública debe considerarse que es en interés legítimo del responsable. Con todo, debe prohibirse esa transmisión en interés legítimo del responsable o el tratamiento ulterior de datos personales si el tratamiento no es compatible con una obligación de secreto legal, profesional o vinculante por otro concepto. Y por su parte, el considerando 45 del RGPD establece que: “Cuando se realice en cumplimiento de una obligación legal aplicable al responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una base en el Derecho de la Unión o de los Estados miembros. El presente Reglamento no requiere que cada tratamiento individual se rija por una norma específica. Una norma puede ser suficiente como base para varias operaciones de tratamiento de datos basadas en una obligación legal aplicable al responsable del tratamiento, o si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. La finalidad del tratamiento también debe determinase en virtud del Derecho de la Unión o de los Estados. Además, dicha norma podría especificar las condiciones generales del presente Reglamento por las que se rige la licitud del tratamiento de datos personales, establecer especificaciones para la determinación del responsable del tratamiento, el tipo de datos personales objeto de tratamiento, los interesados afectados, las entidades a las que se pueden comunicar los datos personales, las limitaciones de la finalidad, el plazo de conservación de los datos y otras medidas para garantizar un tratamiento lícito y leal. Debe determinarse también en virtud del Derecho de la Unión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/32 o de los Estados miembros si el responsable del tratamiento que realiza una misión en interés público o en el ejercicio de poderes públicos debe ser una autoridad pública u otra persona física o jurídica de Derecho público, o, cuando se haga en interés público, incluidos fines sanitarios como la salud pública, la protección social y la gestión de los servicios de sanidad, de Derecho privado, como una asociación profesional. Por tanto, para que el tratamiento de los datos personales pueda ser legitimado por “interés público” antes que, por el consentimiento del afectado, debe haberse conferido un poder oficial bien al responsable del tratamiento, bien a la tercera parte a la que este comunica los datos y el tratamiento de datos debe ser necesario para el ejercicio de dicha potestad. Pero este “poder oficial o misión de interés público” deberán conferirse o atribuirse mediante ley u otra normativa jurídica. Ahora bien, si el tratamiento conlleva una invasión de la privacidad o si este se exige de otro modo en virtud de la legislación nacional, para garantizar la protección de las personas afectadas, la base jurídica deberá ser lo suficientemente específica y precisa a la hora de definir el tipo de tratamiento de datos que puede permitirse. Pues bien, la RFEF, en vez de indicar en que “base legal”, la norma jurídica en la que se apoya para defender la cesión de los datos personales a la Cadena Ser “en interés público”, a parte del artículo 20 de la CE, argumenta que se basó en las siguientes circunstancias: “Que ante el impacto social y mediático que produjo la suspensión de las actividades de fútbol como consecuencia de la declaración del estado de alarma, Que diversos medios de comunicación se hicieron eco de las reuniones que mantuvo la Comisión de Seguimiento Covid-19. Que debido a que la AFE, una de las entidades presentes en las reuniones, hizo de inmediato pública, el mismo día de la reunión, una nota de prensa, en el que se hace eco de su percepción de la reunión, tergiversando totalmente lo en ella tratado, lanzando un mensaje incorrecto a la sociedad y a los medios de comunicación. Que, esta situación de confusión hizo que la Cadena SER, pidiera a la RFEF que le facilitase parte de las grabaciones de la reunión. Que debido a que se estaba tratando, nada más y nada menos, que de los efectos en el fútbol (una de las actividades más mediáticas que existen y con un impacto económico y social que nadie puede poner en duda) y dada la responsabilidad de la RFEF y dada la necesidad de aclarar de forma contrastada la verdad en relación con las cuestiones analizadas en la reunión Que teniendo en cuenta además el derecho a la libertad de información y expresión que reconoce el artículo 20 de la Constitución, emitió una nota de prensa corrigiendo las inexactitudes y divergencias con la realidad de lo que había ocurrido en la reunión. Que un medio de comunicación pidió las grabaciones que acreditaban que la RFEF era la que se ajustaba a la verdad. Ante tal situación, la RFEF consideró que la cesión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/32 de los datos que se solicitaban por parte de la Cadena SER estaba amparada en el interés público de acuerdo con el artículo 6.1.
  13. e)del RGPD. Que se tuvo en cuenta además que los datos que se iban a ceder eran datos de representantes de personas jurídicas, en sus relaciones profesionales y en ningún caso privadas. De los puntos en que se basó la RFEF para ceder los datos personales incluidos en las grabaciones a los medios de comunicación, indicados anteriormente, se desprende que el único motivo que tuvo la RFEF para hacerlos fue corroborar y dar validez al comunicado de prensa que había enviado antes y que contradecía a lo expresado en el comunicado de prensa enviado por la AFE, haciéndose públicos datos personales de personas que no tenían ninguna vinculación ni con la RFEF ni con la AFE. Todo ello sin entrar a valorar que también se pudieron hacer públicas, posibles opiniones, o comentarios que no tenían nada que ver con el tema que se trataba en la reunión y que podrían haber dañado la imagen del interviniente. Un ejemplo de lo anterior es cuando uno de los intervinientes grabados indica: “(…) Muchas gracias L. Buenos días a todos. Yo la verdad es que me he subido en el coche con una idea y he llegado aquí con otra, eh.(…)”. 4.- Contestación a las alegaciones hechas sobre la falta de legitimación de las entidades denunciantes. Sobre la legitimación o no de poder presentar una reclamación ante la autoridad de control, esto es, antes esta Agencia, el artículo 77 RGPD, establece lo siguiente: 1. Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de datos personales que le conciernen infringe el presente Reglamento. No se puede hacer una interpretación restrictiva de este artículo como hace la RFEF, pues en ningún caso, la presentación de reclamaciones esta solamente vedada a los “interesados” en un procedimiento pues no es eso lo que dice la norma. Lo que dice es que, “(…) los interesados tendrán derechos a presentar una reclamación (…)”, pero no se prohíbe que otras personas, físicas o jurídicas puedan presentarse ante la Administración Pública, en este caso, la AEPD y poner en su conocimiento una posible infracción que atente contra el derecho a la protección de los datos de carácter personal y así mismo, lo indica la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en cuyo artículo 3.
  14. a)establece lo siguiente: “tendrán capacidad de obrar ante las Administraciones Públicas, las personas físicas o jurídicas que ostenten capacidad de obrar con arreglo a las normas civiles”. En el caso que nos ocupa, tanto la ASOCIACIÓN DE FUTBOLISTAS ESPAÑOLES como la LIGA NACIONAL DE FUTBOL PROFESIONAL, personas jurídicas, se personaron ante esta Agencia, el 16/04/20, denunciando que: “La REAL FEDERACIÓN ESPAÑOLA DE FÚTBOL (RFEF) grabó, sin consentimiento de los participantes y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/32 posteriormente, difundió extractos de los ficheros de audio entre alguno de los medios de comunicación (la cadena SER y la COPE). La reclamación que presentaron ambas entidades hacía referencia a la grabación y posterior cesión de datos personales de las personas que asistieron a las reuniones, no hacía referencia a sus propios datos de identificación como personas jurídicas. Si esto último hubiera sido el cuerpo de la reclamación, podríamos haber estado en el artículo 4 del RGPD, como alega la entidad: “a efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente (…)”., y por tanto hubiera tenido cabida la inadmisión a trámite de la denuncia pues se hubiera hecho referencia a los datos de identificación de una persona jurídica pero como este no fue el caso, no se puede tener en consideración la solicitud de inadmisión que hace en este punto la RFEF. Por tanto, ambas entidades, LA ASOCIACIÓN DE FUTBOLISTAS ESPAÑOLES como la LIGA NACIONAL DE FUTBOL PROFESIONAL, tenían la capacidad legal necesaria para presentarse ante esta Agencia y denunciar, lo que, a su entender, vulneraba la legislación vigente en materia de protección de datos y que no era otra cosa que la falta de información y el tratamiento ilícito de datos personales de las personas físicas que estuvieron presentes en las reuniones celebradas en la RFEF. Recordemos que en representación ambas entidades asistieron a la reunión de fecha 12/03/20, por parte de la LNFP y en representación de esta: ***PUESTO.1 y por parte de AFE y en representación de esta: el ***PUESTO.4 y el ***PUESTO.5 y a la reunión del 07/04/20, por la LNFP, su ***PUESTO.6 y el ***PUESTO.2 y por la AFE: su ***PUESTO.4, ***PUESTO.5 y el ***PUESTO.3, y los firmantes de las denuncias presentadas en esta Agencia fueron precisamente, por parte de la LNFP su ***PUESTO.6 y por parte de la AFE: su ***PUESTO.4; el ***PUESTO.5 y el ***PUESTO.3, denunciando un presunto tratamiento ilícito de los datos personales de las personas físicas que asistieron a las reuniones celebradas en la RFEF los días 12/03/20 y 07/04/20. Pero es que, además, el artículo 54 de la LPACAP establece, sobre las modalidades de iniciar un procedimiento administrativo, que: “Los procedimientos podrán iniciarse de oficio o a solicitud del interesado”. Y en particular, respecto a la iniciación de oficio, el artículo 58 de la citada Ley establece, que: “Los procedimientos se iniciarán de oficio por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, a petición razonada de otros órganos o por denuncia”. Considerando como denuncia, “el acto por el que cualquier persona, en cumplimiento o no de una obligación legal, pone en conocimiento de un órgano administrativo la existencia de un determinado hecho que pudiera justificar la iniciación de oficio de un procedimiento administrativo” (artículo 62 de la LPACAP), la AEPD tuvo la total capacidad para iniciar el procedimiento sancionador objeto de este recurso. Sobre la necesidad de diferenciar “el tratamiento de datos personales de personas físicas que afecten a su vida privada que el de datos que exclusivamente afecten a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/32 vida profesional en cuanto integrantes de una persona jurídica”, que realiza la RFEF, indicar, en primer lugar, que no existe en ningún cuerpo normativos referente a la protección de datos de carácter personal tal diferenciación (datos personales que afecten a la vida privada versus datos personales que afecten a la vida profesional). En este sentido, es dato personal, y como tal está amparado por el RGPD y por la LOPDGDD, por ejemplo, “***PUESTO.4 de la RFEF”, pues con dicho identificador, se idéntica directamente a una determinad persona, (artículo 4.1 RGPD). En nuestro ordenamiento jurídico, solamente existe una diferenciación con los datos de carácter personales, y son los denominados por el RGPD, “datos de categorías especiales” por ser de especial protección frente a los demás datos de carácter personal. Así tenemos como el artículo 9 RGPD establece que: “1.Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física”. 5.- Contestación a las alegaciones sobre la naturaleza de los datos objeto de tratamiento. Afirma la RFEF: “(…) el tratamiento de datos que ha llevado a cabo la no ha afectado para nada al ámbito privado o personal de los denunciantes, sino tan sólo a su ámbito meramente profesional, en cuanto representantes de las entidades convocadas a la reunión (…)”, o que: “(…) las entidades, y no las personas físicas, fueron las convocadas, como reconocen los propios demandantes. Y las entidades fueron las que expresaban su voluntad u opinión en las reuniones, si bien a través de quienes actuaban en su representación (…)”. Pues bien, como hemos visto a lo largo de este proceso, fueron los datos de carácter personal, esto es, la voz y la identificación de la persona que intervenía en la reunión, los que realmente fueron puesto a disposición de los medios de comunicación que los hicieron públicos sin su consentimiento, con independencia del contenido del mensaje que se grabó o con independencia de a quién estaban representado. Respecto a esto, el artículo 2.1 RGPD establece el ámbito de aplicación material de la norma, indicando que: “1.El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. Además, el RGPD aclara que, se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); Considerándose como “persona física identificable” a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/32 “toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; Por otra parte, el RGPD considera “tratamiento de datos personales”: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”; Por tanto, en el RGPD no se diferencia el modo o manera, o en base a qué, o en representación de quien, el interesado proporciona sus datos personales al responsable. La única referencia que hace el RGPD es al destino o fin para el que trataran los datos personales obtenidos de las personas física. En nuestro caso, en las reuniones convocadas por la RFEF, los días 12 de marzo y 7 de abril de 2020, se produjo una grabación de las conversaciones que allí se estaban produciendo, junto con los datos de identificación de las personas intervinientes, y esos datos personales (la identificación del interviniente y su voz), fueron puestos a disposición del medio de comunicaciones que se los solicito, la Cadena Ser. En definitiva, no cabe diferenciar si los asistentes eran a título personal o en representación de entidades jurídicas o que sus intervenciones eran mandatos de esas entidades o ideas propias, pues los datos personales de una persona son considerados autónomos e independientes, más aún cuando en las intervenciones grabadas existen datos u opiniones exclusivamente personales. 6.- Contestación a las alegaciones presentadas sobre la supuesta falta de información ofrecida a las personas que asistieron a las reuniones del Comité de Seguimiento del COVID-19. Alega la RFEF en este punto que: “(…)debemos reiterar una vez más que la AEPD basa toda su argumentación en la violación del artículo 13 del RGPD sin tener en cuenta que debe ponerse en relación con el artículo 11 de la LOPDGDD. Ya hemos señalado que la información sobre el responsable y la finalidad del tratamiento se facilitó (…)”, y debemos insistir que únicamente, un momento donde el responsable del tratamiento de los datos personales, esto es, el ***PUESTO.4 de la RFEF hace referencia a que la reunión del 12/03/20 va a ser grabada y es, cuando al principio de la misma dice: “(…) Estamos grabando la reunión para que quede constancia de todo, ¿vale?, y nada, pues tienes la palabra tú, C. (02:25)(…)”. Sin entrar por ahora a valorar que, en la segunda reunión, ni siquiera se les informó a los asistentes de que la reunión iba a ser grabada, no existe, aparte de lo indicado en el párrafo anterior, ninguna otra prueba que corrobore las afirmaciones realizadas por la RFEF, en el sentido de que todos los asistentes, tanto a la primera reunión (la del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/32 12/03/20) como a la segunda (la del 07/04/20), eran conscientes de que sus intervenciones y, por tanto, sus datos personales estaban sido grabados. Volvemos a incidir una vez más que, la RFEF no aporta prueba que pueda corroborar que los asistentes a ambas reuniones conocían los extremos que marca la norma sobre protección de datos, esto es, que fueran informados de aspectos indicados en el artículo 13 del RGPD, en relación la gestión que se iba a hacer de los datos personales obtenidos de las grabaciones por parte de la RFEF. Como hemos indicado en varias ocasiones a lo largo de este procedimiento, el RGPD no se limita a situar la responsabilidad sobre un responsable pasivo, sino que adopta un enfoque proactivo, exigiendo que el responsable adopte medidas preventivas dirigidas a eliminar los riesgos de su incumplimiento y, además, que esté en condiciones de demostrar que ha implantado esas medidas y que las mismas son las adecuadas para lograr la finalidad perseguida. Este principio, como hemos tenido ocasión de indicar más arriba, está recogido, entre otros, en el considerando 74 del RGPD y en el artículo 5.2 del RGPD. Por todo ello, de lo anteriormente expuesto debe destacarse los siguientes puntos: En la reunión del 12/03/20, de la frase que el responsable de la RFEF dice al comienzo de esta, dejando señalado que es la única referencia que existe a que las reuniones iban a ser grabadas: “(…) Estamos grabando la reunión para que quede constancia de todo, ¿vale?, y nada, pues tienes la palabra tú…”, no se desprende en ningún momento que los asistentes a la reunión del 12/03/20, fueran informados además de los aspectos incluidos en el artículo 13 del RGPD, como marca la norma. Igual ocurre con los asistentes a la segunda reunión, con el agravante si cabe de que, en ésta, ni siquiera se les informó de que iba a ser también grabada. Sigue haciendo mención la RFEF ha hecho de que esta Agencia no ha tenido en cuenta que la aplicación del artículo 13 RGPD debe hacerse con respecto al artículo 11 LOPDGDD y se debe volver a indicar a la RFEF que el artículo 11 citado hace referencia a dos aspectos claramente diferenciables: Por una parte, establece la obligatoriedad del responsable del tratamiento de informar al interesado, de acuerdo con el artículo 13 del RGPD, de lo que se considera información básica, esto es: 1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente (…). Y dicha información básica es la que, a continuación, se especifica: 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  15. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  16. b)La finalidad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/32
  17. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Esta información debe ser proporcionada, según establece el artículo 13 RGPD siempre que se obtengan datos personales de los interesados y esto no ocurrió en ningún momento, durante el desarrollo de las dos reuniones que hubo en la RFEF. Por otra parte, el mismo artículo 11 LOPDGDD, posibilita que el responsable del tratamiento de datos ofrezca la información, no básica, que el artículo 13 RGPD le obliga a dar a los usuarios en una plataforma o página web, pero debe, ofrecer, por lo menos, al usuario la dirección electrónica donde puede dirigirse para obtener la información. Si la RFEF ni siquiera ofreció a los asistentes a las reuniones la dirección electrónica donde poder obtener información que le obliga el artículo 13 RGPD, difícilmente puede cumplir con lo establecido en la normativa. Pero es que, además, conviene señalar que, la información que se proporciona en la “Política de Privacidad” de una página web de la RFEF hace referencia al tratamiento de los datos personales de los usuarios que se conectan a la página no sobre el tratamiento de los datos personales que se obtienen por otros medios o en otros lugares, como ocurre en el caso que nos ocupa, cuando se obtienen de las grabaciones efectuadas en las reuniones celebradas presenciales en la RFEF o a través de videoconferencia. Es más, si accedemos a la “Política de Privacidad” de la página web de la RFEF, cuyo enlace se encuentra en la parte inferior de la misma, denominada <<protección de datos>> la web redirige a una nueva página, https://www.rfef.es/proteccion-datos donde se puede leer, en el apartado “DATOS PERSONALES QUE TRATAREMOS”, lo siguiente: “En virtud de su relación con la Real Federación Española de Futbol podremos tratar las siguientes categorías de datos personales: 1. Datos identificativos como, nombre y apellidos, NIF/Pasaporte/NIE. 2. Datos de contacto: domicilio, teléfono, dirección (incluida dirección postal y electrónica), etc. 3. Datos de sus características personales, como estado civil, sexo, fecha y lugar de nacimiento, edad, nacionalidad o profesión. 4. Categorías especiales de datos cuando sean estrictamente necesarios, como los datos de salud. 5. Datos de navegación por la Web de la RFEF”. Y en el apartado “FINALIDADES PARA LAS QUE TRATAMOS SUS DATOS” se puede leer: “La recopilación de datos personales puede tener como finalidad la gestión de solicitudes de acreditaciones de prensa, entradas de partidos y cursos, cumplimentar y tramitar formularios en general así como enviar comunicaciones sobre actividades, productos o servicios que ofrezca la RFEF”, que por supuesto, no tiene nada que ver con las finalidades para las que se recogieron los datos personales de las personas que asistieron a las dos reuniones y cuyos datos personales fueron grabados. Por último, también debemos recordar que, según reconoce la propia RFEF, solamente después de haber celebrado las dos reuniones indicadas, esto es, la del 12/03/20 y la del 07/04/20, elaboró un documento con cláusulas informativas para proporcionar a los asistentes y solo a las reuniones “on-line”, los extremos exigidos en el artículo 13 del RGPD. Así lo reconoce la propia RFEF: “(…)debe tenerse en cuenta como hecho relevante en las presentes actuaciones que, con posterioridad a la reunión de 4 de abril de 2020, y para otras reuniones on-line de los órganos colegiados de la RFEF, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/32 elaboró una cláusula informativa que se adjunta como DOCUMENTO Nº 3 en la que se detallan todos los extremos exigidos por el artículo 13 del RGPD y el artículo 11 de la Ley Orgánica 3/2018. Dicha cláusula se incorpora desde hace ya tiempo a las convocatorias de reuniones on-line. A tal fin y como evidencia de ello se adjunta como DOCUMENTO Nº 4 copia de un correo de convocatoria de una reunión on-line en el que se adjunta el documento “Reuniones virtuales. Clausula Informativa protección de datos.pdf (…)”. 7.- Contestación a las alegaciones hechas sobre el supuesto tratamiento ilícito de los datos personales de los asistentes a las reuniones. Protección de datos y libertad de información y expresión”. Alega la RFEF en este punto que: “la cesión de la grabación de parte de la reunión de 7 de abril de 2020 a la Cadena SER se produjo al objeto de garantizar el derecho a la libertad de información y a recibir una información veraz reconocido en el artículo 20 de la Constitución” y que “Fue el medio de comunicación quien, en ejercicio de tal derecho fundamental, pidió a la RFEF que facilitase esa grabación” La entidad reclamada asume que es el medio de comunicación quién hace uso de dicho derecho al solicitar y que la RFEF, en uso de ese derecho (a comunicar información veraz) emitió una nota de prensa que envió a los medios de comunicación, según ella: “(…)corrigiendo las inexactitudes y divergencias con la realidad de lo que había ocurrido en la reunión (…). Por tanto, en ningún momento se le coartó a la RFEF, el derecho a comunicar información veraz por cualquier medio de comunicación, pues emitió una nota de prensa, según ella, contando la verdad de lo ocurrido en las reuniones. Otra cosa muy diferente al ejercicio del derecho constitucional es que el medio de comunicación, para, según la RFEF, corroborar lo que se dijo en la nota de prensa que la RFEF envió a los medios de comunicación sobre las reuniones, les solicitase las grabaciones de dichas las reuniones y que la RFEF, siempre según ella, para demostrar que decía la verdad y contradecir con ello las afirmaciones hechas por la AFE, se las proporcione sin ningún tipo de reparo. Esto no es ya ejercicio de un derecho fundamental pues el ejercicio del derecho ya está realizado con anterioridad cuando envía a los medios de comunicación una nota de prensa con la información que, a su entender es veraz. 8.- Contestación a las alegaciones hechas sobre las agravantes aplicadas por la AEPD. La RFEF en este punto, indica que “reiteramos todos y cada uno de los argumentos que ya expusimos en nuestras alegaciones a la propuesta de resolución (…)”. Pues bien, se debe reiterar en este punto, por tanto, lo indicado en la resolución del expediente: a).- Sobre el agravante aplicado con respecto al artículo 76.2.
  18. b)de la LOPDGDD: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/32 El artículo 4 de la Resolución de 24 de enero de 2011, de la Presidencia del Consejo Superior de Deportes, por la que se publican los Estatutos de la Real Federación Española de Fútbol, establece como Competencias de la RFEF las siguientes: “El gobierno, administración, gestión, organización y reglamentación del fútbol, en todas sus especialidades. En su virtud, es propio de ella:
  19. a)Ejercer la potestad de ordenanza.
  20. b)Controlar las competiciones oficiales de ámbito estatal, sin perjuicio de las competencias propias de la Liga Nacional de Fútbol Profesional.
  21. c)Ostentar la representación de la FIFA y de la UEFA en España, así como la de España en las actividades y competiciones de carácter internacional celebradas dentro y fuera del territorio del Estado. A tal efecto es competencia de la RFEF la selección de los futbolistas que hayan de integrar cualquiera de los equipos nacionales.
  22. d)Autorizar la venta o cesión, fuera del territorio nacional, de los derechos de transmisión televisada de las competiciones oficiales de carácter profesional, y, asimismo, cualesquiera otras de ámbito estatal.
  23. e)Formar, titular y calificar, en el ámbito de sus competencias, a los árbitros, así como a los entrenadores, o personal que desarrollen labores técnicas de dirección o auxiliares, cuya titulación se imponga a los clubes que participan en competiciones nacionales o internacionales.
  24. f)Velar por el cumplimiento de las disposiciones por las que se rige.
  25. g)Tutelar, controlar y supervisar a sus asociados, funciones que serán extensivas, excepto tratándose de clubs adscritos a la Liga Nacional de Fútbol Profesional, a la actividad económica de los mismos.
  26. h)Promover y organizar las actividades deportivas dirigidas al público.
  27. i)Emitir el informe sobre los Estatutos y reglamentos de la Liga Nacional de Fútbol Profesional que, como requisito previo a su aprobación por el Consejo Superior de Deportes, prevé el artículo 41.3 de la Ley del Deporte.
  28. j)Contratar al personal necesario para el cumplimiento de sus funciones y la prestación de sus servicios.
  29. k)Cumplir y hacer cumplir los estatutos, reglamentos, directrices y decisiones de la FIFA, de la UEFA y los suyos propios, así como las reglas de juego.
  30. l)Elaborar las normas y disposiciones que conforman su ordenamiento jurídico.
  31. m)Llevar a cabo las relaciones deportivas internacionales.
  32. n)Velar por la pureza de los partidos y competiciones.
  33. o)En general, cuantas actividades no se opongan, menoscaben y destruyan su objeto social. Se aplica este agravante, por tanto, por la alta vinculación de la actividad de la RFEF con la realización de tratamientos de datos personales, considerando el nivel de implantación de la entidad y la actividad que desarrolla, en la que se ven implicados datos personales de miles de interesados, jugadores, árbitros, entrenadores, directivos y en general todas las personas físicas que integran la RFEF. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad de la Federación en relación con el tratamiento de los datos. b).- Sobre el agravante aplicado con respecto al artículo 83.2.
  34. a)del RGPD: “El alcance o propósito de la operación de tratamiento de datos, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido” El número de interesados afectados, por las dos grabaciones fue de 37 personas, respecto a los cuales se realizó un tratamiento de datos personales sin haberles informado convenientemente de los aspectos establecidos en el artículo 13 del RGPD y un tratamiento de datos posterior de manera ilícita al ceder la grabación de la segunda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/32 reunión, donde asistieron 26 personas, a los medios de comunicación sin que se les notificara previamente este hecho ni se les pidiera el consentimiento preceptivo que marca el artículo 6.1.
  35. a)del RGPD. Respecto a la gravedad y nivel de daños y perjuicios sufridos por los interesados, es notorio que la cesión a los medios de comunicación de cobertura nacional, de los datos personales grabados y su posterior difusión a toda la sociedad condiciona y perjudica gravemente su intimidad y privacidad. En cuanto a perjuicios causados por la falta de información debida, es claro y notorio el perjuicio causado a los interesados pues les privó de la posibilidad de ejercer los derechos recogidos en los artículos 15 a 22 del RGPD. c).- Sobre el agravante aplicado con respecto al artículo 83.2.
  36. b)del RGPD: “la intencionalidad o negligencia en la infracción". Negar la concurrencia de una actuación negligente por parte de la RFEF en este caso, equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente. Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado acreditada la falta de diligencia debida en su actuación. Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de que se trata de una entidad cuya actividad lleva aparejado un continuo tratamiento de datos como ha quedado constatado en el punto anterior, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Igualmente, el hecho de que la RFEF haya implementado posteriormente a las reuniones del 12/03/20 y 07/04/20, modificaciones en la gestión del tratamiento de los datos. publicando una guía con los aspectos incluidos en el artículo 13, corrobora el hecho de que anteriormente no realizaba una gestión diligente en el tratamiento de los datos que gestionaba. Pues bien, las sanciones se imponen por la falta de diligencia debida a la hora de obtener los datos personales de los asistentes a las reuniones, donde ha quedado demostrado que no obtuvieron la información pertinente que marca el RGPD en su artículo 13 y por la utilización posterior de dichos datos, de manera ilícita, cuando fueron cedidos a los medios de comunicación sin el consentimiento previo de los afectados. El hecho infractor consiste en que la RFEF, como responsable del tratamiento de los datos personales obtenidos en las grabaciones, no ha sido capaz de demostrar de forma fehaciente que en dicho tratamiento ha cumplido los principios de protección de datos recogidos en el RGPD, al no haber adoptado las medidas adecuadas para la protección de los datos objeto del tratamiento. Máxime cuando tal y como hemos señalado en la SAN de 17 de octubre de 2007 (rec. 63/2006) precitada: “ (…) cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/32 personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto (…)". La negligencia como agravante se conecta entonces, no con el tipo infractor mismo (que incluye mucho más que la diligencia debida), sino con hechos circundantes a este, puesto que nos encontramos con una entidad que realiza tratamientos de datos personales a gran escala, de manera sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos, tal y como establece la jurisprudencia. Máxime cuando dispone de medios de toda índole más que suficientes para cumplir adecuadamente. No es lo mismo si la infracción es cometida por la RFEF que por una persona física o por una pequeña empresa. En el primer caso es más reprobable el incumplimiento. Así se infiere del considerando 148 del RGPD que impone estar a las circunstancias concurrentes para calificar una infracción como grave o leve a los efectos del RGPD. Los incumplimientos tienen grados, resultando este más gravoso por las circunstancias descritas, entrando de lleno en el campo de la negligencia. d).- Sobre el agravante aplicado con respecto al artículo 83.2.h): “La forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida”: De todo el proceso, ha quedado constatado que la RFEF no tiene implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, de modo que la infracción no es consecuencia de una anomalía puntual en el funcionamiento de dichos procedimientos, sino un defecto del sistema de gestión de los datos personales por parte del responsable, que la autoridad de control, en este caso, la AEPD, ha tenido conocimiento a partir de la reclamaciones presentada por la AFE y por la LNEF. Se tiene en cuenta, además, el alto grado de difusión que ha tenido la grabación a través de los medios de comunicación y, por ende, la amplia difusión que han tenido los datos personales incluidos en las mismas. 9.- Contestación a las alegaciones hechas sobre la inadmisión de la prueba testifical solicitada por la RFEF. Se debe volver a incidir en este punto que, el artículo 77 de la LPACAP, establece, sobre los “Medios y período de prueba”, lo siguiente: “1. Los hechos relevantes para la decisión de un procedimiento podrán acreditarse por cualquier medio de prueba admisible en Derecho, cuya valoración se realizará de acuerdo con los criterios establecidos en la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil. 2. Cuando la Administración no tenga por ciertos los hechos alegados por los interesados o la naturaleza del procedimiento lo exija, el instructor del mismo acordará la apertura de un período de prueba por un plazo no superior a treinta días ni inferior a diez, a fin de que puedan practicarse cuantas juzgue pertinentes. Asimismo, cuando lo considere necesario, el instructor, a petición de los interesados, podrá decidir la apertura de un período extraordinario de prueba por un plazo no superior a diez días. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/32 3. El instructor del procedimiento sólo podrá rechazar las pruebas propuestas por los interesados cuando sean manifiestamente improcedentes o innecesarias, mediante resolución motivada (…). Y en base a ello, y a la facultad que permite dicho artículo, la instrucción del expediente PS/368/2021, consideró que la información y la documentación aportada al procedimiento era lo suficientemente amplia y completa para poder dilucidar si existía o no infracción a la normativa vigente en materia de protección de datos y esto fue así porque el procedimiento administrativo sancionador se incoa tras haber realizado la AEPD una intensa labor inspectora, que quedó documentalmente incorporada al expediente y que constituyó suficiente prueba para la resolución del mismo. En consecuencia, en virtud de cuanto antecede, en el presente recurso de reposición la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, de fecha 14/02/22, Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos: RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la REAL FEDERACIÓN ESPAÑOLA DE FUTBOL, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos el 14/02/22, en el procedimiento sancionador: PS/00368/2021 SEGUNDO: NOTIFICAR la presente resolución a la REAL FEDEREACIÓN ESPAÑOLA DE FUTBOL. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos, Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.