REPOSICION-PS-00468-2021

1/15  Procedimiento Nº.: PS/00468/2021 Recurso de Reposición Nº RR/00035/2022 (EXP202100104) Examinado el recurso de reposición interpuesto por el CLUB DEPORTIVO RITMO DE ANDALUCÍA, con CIF.: G23718299, (en adelante, “la parte recurrente”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento, PS/00468/2021, por vulneración a lo estipulado del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), y en la L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD), y en base a los siguientes: HECHOS PRIMERO: Con fecha 15/12/21, la Directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/00468/202, abierto al CLUB DEPORTIVO RITMO DE ANDALUCÍA, que fue notificado a la entidad el 16/12/21, imponiéndola una sanción de 2.000 euros (dos mil euros), por la infracción del artículo 13 del RGPD, al no informar a los padres o tutores y deportistas de los aspectos indicados en dicho artículo cuando obtenía los datos personales de éstos a la hora de inscribirse en el Club. También se le impuso una sanción 2.000 euros (dos mil euros), por la infracción del artículo 7 del RGPD, al obligar a los deportistas que se inscribían en el Club y sus padres o tutores, a dar su consentimiento para cualquier otro fin al que el club deseara destinar los datos personales obtenidos, sobre todo las imágenes de los deportistas compitiendo, para subirlas a las redes sociales. SEGUNDO: Con fecha 14/01/22, tiene entrada en esta Agencia, escrito de recurso de reposición presentado por el CLUB DEPORTIVO RITMO DE ANDALUCÍA, en el cual, entre otra, se alega lo siguiente: PRIMERO. - El bien jurídico protegible en el presente expediente sancionador es el derecho a la protección de datos de carácter personal. Este derecho tiene carácter de fundamental y aparece garantizado en el Artículo 18.4 de la Constitución Española, donde se dispone que la Ley limitara el uso de la informática para garantizar el derecho al honor, a la intimidad personal y familiar, y a la propia imagen de los ciudadanos. Las previsiones contenidas en este artículo, se desarrollan en la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), de Protección de Datos de personales y garantía de los derechos digitales, donde se construye un sistema de garantías y pleno ejercicio de los derechos de los ciudadanos en materia de datos de carácter personal, siendo este un derecho fundamental independiente del derecho al honor, la intimidad y propia imagen; el derecho a la protección de datos tiene, por tanto, una entidad autónoma y absolutamente independiente respecto del resto de derechos, y con un carácter fundamentalmente individualista en su lesión. En el presente procedimiento y en base a los hechos relatados y a las actuaciones previas que constan en el expediente, el inicio del procedimiento sancionador se produce con fecha 12/06/2021 como consecuencia de la presentación de un escrito de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 una madre reclamante en el que genéricamente expone que “ dicho Club no ha implantado medidas adecuadas en materia de protección de datos, para la gestión y custodia de datos de sus miembros y familiares, y señala que en el documento de inscripción se impone un consentimiento general para la cesión de imágenes de los asociados, junto a otros tratamientos de datos, señalando asimismo que se exponen datos de menores en redes sociales”. No constando en dicha reclamación inicial lesión individualizada si no genérica como figura en las siguientes actuaciones en la que con fecha 27/08/21, la entidad, envió escrito de contestación al requerimiento realizado por esta Agencia, en el cual, en esencia, alegaba lo siguiente: “No se ha recibido en este club ninguna solicitud de ejercicio de los derechos (establecidos en el RGPD en sus artículos 15 al 22) de ningún tipo por parte de la reclamante. En ningún momento nos ha trasmitido su deseo de acceso, rectificación, supresión, etc. de los datos personales que tratamos. Si se hubiera recibido formal o informalmente alguna solicitud de este tipo, hubiéramos procedido a su respuesta sin demora. Desde el momento que nos traslada sus inquietudes se han puesto en marcha acciones encaminadas a reforzar el cumplimiento normativo establecido en el RGPD. Hemos contratado una consultora especializada para que supervise el nivel de cumplimiento normativo en materia de protección de datos, a raíz de este trabajo, se han detectado incidencias que van a ser subsanadas sin dilación, en concreto se va a modificar el formulario de inscripción en el que se incluirá una primera capa informativa respecto al tratamiento de datos que se va a realizar, así como un enlace a la política de privacidad. Se va a incluir de manera separada las autorizaciones para los diferentes tratamientos (imágenes en redes sociales, pertenecer a grupos de WhatsApp, etc.), tal y como se establece en el RGPD. En definitiva, se va a hacer una revisión completa de los tratamientos de datos realizados para que los mismos cumplan con lo establecido en la LOPDGDD de manera que haya un estricto cumplimiento normativo. Actualmente se ha suspendido la inscripción de nuevos interesados hasta estén redefinidos los nuevos procedimientos. También se notificarán a los actuales integrantes los cambios realizados, así como, toda la información relativa al tratamiento de datos en base a los nuevos estándares que se están implantando, y se recabará nuevamente la autorización para cada uno de los tratamientos previstos a los miembros del club deportivo. Estos trabajos estarán implantados en el plazo máximo de un mes. Por las características de nuestro club, la manera de dar a conocer las actividades que realizamos, así como, los campeonatos en los que nuestras deportistas participan son a través de las redes sociales, todos los padres lo conocen y ellos mismos comparten este contenido en sus propias redes sociales además de publicar aquellas imágenes que ellos mismos registran en los eventos. Todas las imágenes y noticias que se publican en redes sociales tienen que ver con el desarrollo de la actividad deportiva y se descarta cualquier imagen indecorosa o de mal gusto. Todos los padres son conocedores que pueden solicitarnos la retirada de cualquier imagen en la que aparezca su hija con solo solicitarlo. El club agrupa a sus integrantes en grupos de 5 o 6, los padres de nuestras gimnastas son conocedores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 que se publican imágenes y noticias de los eventos en nuestras redes sociales y, hasta ahora, ningún padre o tutor nos ha solicitado que no publiquemos imágenes de sus hijos. Puede ser difícil de explicar a una niña por qué no puede ponerse en la foto con sus compañeras cuando reciben una medalla o participan en un evento, aun así, vamos a respetar escrupulosamente el deseo de los padres y no publicar o difuminar las imágenes de aquellos niños de los que no tengamos la autorización expresa de los padres o tutor legal. Respecto a los grupos de WhatsApp los mismos tienen un número muy reducido de integrantes y se limita al grupo de padres en el que está su hija (5 o 6 integrantes por grupo), la intención es tener un medio de comunicación compartido entre todos, no obligamos a nadie a estar en el grupo y es potestad de cada uno el salir del grupo cuando así lo considere. Es un medio de comunicación y coordinación entre los padres y, para el próximo curso escolar, requeriremos expresamente la autorización previa para participar en el chat del grupo. Queremos transmitirles que en ningún momento nuestra actuación es fruto de la mala fe sino del uso de la tecnología para facilitar la comunicación y difusión de la actividad de nuestras atletas. Siempre hemos sido muy estrictos con el tratamiento de datos que hacemos al ser conscientes que hacen referencia a menores, para reforzar los controles y el adecuado de los mismos, como indicamos, hemos contratado los servicios de una consultora externa especializada en adaptaciones a la normativa en materia de protección de datos que está colaborando con nosotros para la redefinición e implantación de nuevos procedimientos y métodos”. No se ha producido perjuicio alguno en los hechos relatados estableciendo medidas inmediatamente desde la primera comunicación por parte de esa AEPD y atendiendo escrupulosamente las medidas aconsejadas y establecidas en la normativa vigente y en las instrucciones dadas directamente por esa Agencia, actuando siempre de forma colaborativa comunicativa y de puesta a disposición de esa Administración ha solicitado. SEGUNDO.- Sobre la falta de información que se proporciona a los interesados sobre el tratamiento de sus datos personales. En su escrito de resolución estipula que en el presente caso los hechos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 13 del RGPG al no informar convenientemente a los interesados, de los fines a los que van a destinar su datos personales en el momento de recopilar sus datos, sin embargo no queda claro la graduación de la sanción estipulando en su escrito de forma literal que ” De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: - La duración de la infracción, teniendo en cuenta que la reclamante adjunta al escrito de reclamación los formularios de las dos últimas temporadas: 2019/2020 y 2020/2021, donde se constata la falta de información sobre el tratamiento de los datos personales según marca la normativa vigente, (apartado a). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida, al vulnerar lo establecido en el artículo 13 del RGPD, posibilita fijar una sanción de 2.000 euros (dos mil euros).” Asimismo, no se ha tenido en consideración la existencia dentro de los procedimientos del Club de un consentimiento previo que si bien el mismo se ha realizado de forma genérica en cuento a la finalidad para todas las publicaciones. TERCERO. - Sobre la inexistencia de un mecanismo que posibilite dar el consentimiento libre y voluntario para cada uno de los fines a lo que se dedicará el tratamiento de datos. Asimismo y en relación con las mismas argumentaciones del apartado anterior, como se expone en su escrito de resolución estipula que en el presente caso los hechos son constitutivos también de una infracción, imputable a la parte reclamada, por vulneración del artículo 7 del RGPG al no posibilitar al usuario realizar un consentimiento libre y voluntario del tratamiento de los datos personales para otros fines ajenos, como la publicación de las imágenes de las deportistas en redes sociales, sin embargo no queda claro la graduación de la sanción estipulando en su escrito de forma literal que ” De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción de acuerdo con los siguientes criterios agravantes que establece el artículo 83.2 del RGPD: - La duración de la infracción, teniendo en cuenta que la reclamante adjunta al escrito de reclamación los formularios de las dos últimas temporadas: 2019/2020 y 2020/2021, donde se recoge un consentimiento general para el tratamiento de los datos personales de los deportistas. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida, al vulnerar lo establecido en el artículo 13 del RGPD, posibilita fijar una sanción de 2.000 euros (dos mil euros).” Asimismo, y como se ha dicho en apartados anteriores no se ha lesionado ni producido perjuicio individualizado o colectivo alguno no lesionando ninguno de los bienes jurídicos protegidos, debiendo la madre reclamante haberlo puesto en conocimiento de este Club si así hubiese sido circunstancias que como ha quedado probado en el expediente no se han producido CUARTO. – Inicio de procedimiento sancionador por parte de la AEPD el 26/10/2021, a la vista de hechos y comprobaciones realizadas por este organismo. Para determinar la apertura de procedimiento sancionador al sujeto infractor, la AEPD ha de estudiar detenidamente la naturaleza de los hechos: la concurrencia de las circunstancias atenuantes recogidas en la LOPDGDD y la lesión de los bienes jurídicos protegidos, si se comprueba efectivamente la existencia de una vulneración la AEPD se pondrá en contacto con el infractor abriendo un plazo de alegaciones. Argumentar que la fase de alegaciones no se pudo atender por defecto de notificación electrónica ( caducó en la bandeja de entrada de notificaciones electrónicas sin poder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 acceder a ella ), por lo que existe una evidente falta de notificación del acuerdo de inicio por lo que no se pudieron formular alegaciones dado que en el momento que la Administración dice de haber practicado a la misma no se tenía acceso por ningún medio a las notificaciones electrónicas, hecho no imputable a esa Administración pero que si ha producido indefensión a esta parte, cuando se ha actuado de la forma más colaborativa y predispuesta a efectuar todas las modificaciones tendentes cumplir la normativa. Las consecuencias de no haber hecho uso de las alegaciones ha sido la de no poder informarles que desde Agosto del 2021 cuando somos conscientes de estas deficiencias se subsanan con el asesoramiento de una empresa externa, creando todo tipo de consentimientos para regularizar la situación. Adjuntamos a modo de ejemplo algunos. QUINTO. Defecto, irregularidad o error en la emisión de la Resolución de Procedimiento sancionador Ref. PS/00468/2021 dado que en el apartado segundo de las resoluciones notificadas expone textualmente: “…SEGUNDO: NOTIFICAR el presente acuerdo de inicio de expediente sancionador al CLUB DEPORTIVO RITMO DE ANDALUCÍA.” En la notificación realizada por la AEPD con fecha 15 de diciembre de 2021 se informa sobre la resolución del procedimiento sancionador al infractor y en el mismo documento resuelve en el punto SEGUNDO: NOTIFICAR el presente acuerdo de inicio de expediente sancionador Resolución por tanto contradictoria dado que lo que entiendo que se está notificando en la presente momento es la resolución con la imposición de dos sanciones concretamente infracción del artículo 13 del RGPD por importe de 2.000 euros, e infracción del art.7 del RGPD por importe de otros 2.000 euros, y lo que se está comunicando es un acuerdo de inicio de expediente sancionador, lo que produce a esta parte una gran confusión y a la par indefensión pues conforme se ha desarrollado el procedimiento sancionador. Visto lo cual con las argumentaciones se considera que procede LA ANULACIÓN la RESOLUCION DE PROCEDIMIENTO SANCIONADOR con Procedimiento Nº PS/ 00468/2021 en base a las manifestaciones anteriormente expuestas y podamos ejercer el derecho a alegaciones. Por lo expuesto, SOLICITO A V.I, que por tenga por interpuesto RECURSO DE REPOSICIÓN contra la NOTIFICACIÓN DE RESOLUCION DE PROCEDIMIENTO SANCIONADORA con Procedimiento Nº PS/00468/2021, procediendo a la anulación de esta, o en su defecto a la modificación de este”. QUINTO: A lo largo del procedimiento sancionador seguido con la identificación, PS/ 468/2021, respecto de las actuaciones del CLUB DEPORTIVO RITMO DE ANDALUCÍA, en lo que se refiere al tratamiento de los datos personales de los deportistas inscritos en el mismo, se pudo constatar las siguientes circunstancias para tener en cuenta en la resolución de este recurso de reposición: 1º.- Según se indicaba en la reclamación, el Club Deportivo Ritmo de Andalucía carecía de las medidas adecuadas en materia de protección de datos, para la gestión y custodia de datos de sus miembros y familiares, y señalaba que en el documento de inscripción se obligaba a las familias a dar un consentimiento general para cualquier tratamiento de datos, sobre todo para subir imágenes de deportistas menores de edad, a las redes sociales, como la red social FACEBOOK. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 Se aportaba los documentos de inscripción al Club de las temporadas 2019/2020 y 2020/2021, donde se podía constatar la existencia de la obligación indicada anteriormente: “INSCRIPCIÓN C.D. RITMO DE ANDALUCÍA 2020-2021 NORMAS DEL CLUB: (…) Es obligatoria la cesión de derechos de imagen al club. Las fotos y ví deos que realicemos a l@s gimnastas, así como eventos programados, podrán visionarlos en el Facebook: Club Deportivo Ritmo de Andalucía y en el Instagram C.D. Ritmo de Andalucía(…)”. 3º.- Según afirmó el Club en su escrito de contestación a la solicitud hecha por esta Agencia para que explicara lo que en la reclamación se decía, cuando tuvieron conocimiento de esta reclamación, se suspendió la inscripción de nuevas altas hasta que estuvieran redefinidos los nuevos procedimientos en materia de protección de datos. También indicaron que, se notificarían a los integrantes del club, los cambios realizados en esta materia, así como, toda la información relativa al tratamiento de datos en base a los nuevos estándares, y se recabaría nuevamente la autorización para cada uno de los tratamientos previstos a los miembros del club deportivo. El Club se comprometió, a que estos trabajos estarían finalizados e implantados antes del 15 de septiembre de 2021. 5º.- Al constatar la existencia de una presunta vulneración del RGPD y al no recibir ningún tipo de documento que corroborara las afirmaciones hechas por el Club, el 26/10/21, se inició procedimiento sancionador por las presuntas infracciones de los artículos 13 y 7 del RGPD, otorgando al Club un plazo de audiencia de diez días para que formulase las alegaciones y presentase las pruebas que considerase convenientes, indicándole además que, si en el plazo estipulado no se efectuara alegaciones al acuerdo de inicio, el mismo podría ser considerado como propuesta de resolución, según lo establecido en el artículo 64.2.

1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). Según el certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica, el requerimiento enviado a Club, el día 27/10/21, a través del servicio de notificaciones electrónicas NOTIFIC@, fue rechazado en destino el día 07/11/21. 6º.- Al no hacer uso del derecho de alegaciones, con fecha 15/12/21, la Directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/00468/2021, contra el Club, por la Infracción del artículo 13 del RGPD, al no informar a los padres o tutores y a los deportistas sobre los aspectos del tratamiento de sus datos personales según marca la normativa, y por la infracción del artículo 7 del RGPD, al no posibilitar, a los padres o tutores y a los deportistas inscritos, dar un consentimiento libre y voluntario para cada uno de los fines al que se iban a destinar los datos personales obtenidos. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 La valoración conjunta de la documentación obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada en el recurso de reposición se debe indicar lo siguiente: a).- Sobre las alegaciones presentadas en el punto PRIMERO: “El bien jurídico protegido”. Se indica en este punto de escrito de recurso de reposición, entre otras que: “(…) No constando en dicha reclamación inicial LESION INDIVIDUALIZADA SINO GENÉRICA como figura en las siguientes actuaciones en la que con fecha 27/08/21, la entidad, envió escrito de contestación al requerimiento realizado por esta Agencia, en el cual, en esencia, alegaba lo siguiente: “No se ha recibido en este club ninguna solicitud de ejercicio de los derechos (establecidos en el RGPD en sus artículos 15 al 22) de ningún tipo por parte de la reclamante. En ningún momento nos ha trasmitido su deseo de acceso, rectificación, supresión, etc. de los datos de carácter personal que tratamos. Si se hubiera recibido formal o informalmente alguna solicitud de este tipo, hubiéramos procedido a su respuesta sin demora. Desde el momento que nos traslada sus inquietudes se han puesto en marcha acciones encaminadas a reforzar el cumplimiento normativo establecido en el RGPD (…)” Pues bien, el artículo 47 de la LOPDGDD, establece las funciones y potestades de la AEPD, indicando entre ellas que, la corresponde el control de la correcta aplicación del RGPD, y en particular, las funciones establecidas en los artículos 57 y 58. Por su parte, el artículo 77 del RGPD, establece el derecho de los interesados a presentar una reclamación ante la AEPD, indicando que: “1. Sin perjuicio de cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho a presentar una reclamación ante una autoridad de control (…), si considera que el tratamiento de sus datos personales infringe el presente Reglamento”. Por tanto, no es obligatorio, ni siquiera necesario, que la persona que considera que sus datos personales han sido tratados de forma ilícita con respecto a lo establecido en el RGPD, deba ponerlo previamente en conocimiento del responsable del tratamiento y puede dirigirse directamente a la autoridad de control, a exponer los hechos. En el caso que nos ocupa, la reclamante, haciendo uso del derecho que le asiste a presentar una reclamación ante la autoridad de control, (artículo 77 del RGPD), puso en conocimiento de esta Agencia las presuntas irregularidades cometidas por el Club, con respecto al tratamiento de los datos personales. b).- Sobre las alegaciones presentadas en los puntos “SEGUNDO y TERCERO”: La falta de información que se proporciona a los interesados sobre el tratamiento de sus datos y La inexistencia de un mecanismo que posibilite dar el consentimiento libre y voluntario para cada uno de los fines a lo que se dedicará el tratamiento de datos. El RGPD no se limita a situar la responsabilidad sobre un responsable pasivo que pueda vulnerar lo establecido en el mismo y que por ello deba hacer frente a las posibles consecuencias por las infracciones cometidas en materia de protección de datos, sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 que adopta un enfoque proactivo sobre el tratamiento de los datos personales, esto es, exige que el responsable del tratamiento adopte las medidas preventivas necesarias dirigidas a eliminar los riesgos de su incumplimiento y, además, que esté en condiciones de demostrar ante la autoridad de control, que ha implantado esas medidas y que las mismas son las adecuadas, y son eficaces y pertinentes. En este sentido, el considerando 74 del RGPD indica que: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como, el riesgo para los derechos y libertades de las personas físicas. Por su parte, el artículo 5.2 del RGPD, establece que, el responsable del tratamiento de los datos personales estará obligado a aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento que está realizando de los datos personales es conforme con el RGPD. Pues bien, el artículo 13 del RGPD, establece la información que se debe proporcionar al interesado en el momento en que se obtengan sus datos personales. En nuestro caso, sería, la información que se debería proporcionar a los padres/tutores y/o deportistas en el momento de su inscripción en el Club: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. Pues bien, ante la reclamación presentada el 12/06/21 donde se denunciaba, entre otras, que el Club Deportivo Ritmo de Andalucía no había implantado ninguna medida para la gestión y custodia de los datos personales que obtenía de los deportistas y familiares, el club afirmó, en el escrito enviado a esta Agencia el 27/08/21, que: “(…)Entendemos que la reclamación viene motivada después de una discrepancia con la reclamante, madre de una de las gimnastas de nuestro club, (…) (…). Hasta la fecha (…) la persona en cuestión no había manifestado ninguna inquietud respecto al tratamiento de datos que se realiza en el club, desde el momento que nos traslada sus inquietudes se han puesto en marcha acciones encaminadas a reforzar el cumplimiento normativo establecido en el RGPD los cuales detallaremos (…). Hemos contratado una consultora especializada para que supervise el nivel de cumplimiento normativo en materia de protección de datos, a raíz de este trabajo, se han detectado incidencias que van a ser subsanadas sin dilación, en concreto se va a modificar el formulario de inscripción en el que se incluirá una primera capa informativa respecto al tratamiento de datos que se va a realizar, así como un enlace a la política de privacidad. Se va a incluir de manera separada las autorizaciones para los diferentes tratamientos (imágenes en redes sociales, pertenecer a grupos de WhatsApp, etc.) tal y como se establece en el RGPD. En definitiva, se va a hacer una revisión completa de los tratamientos de datos realizados para que los mismos cumplan con lo establecido en la LOPDGDD de manera que haya un estricto cumplimiento normativo. Actualmente se ha suspendido la inscripción de nuevos interesados hasta estén redefinidos los nuevos procedimientos. También se notificarán a los actuales integrantes los cambios realizados, así como toda la información relativa al tratamiento de datos en base a los nuevos estándares que se están implantando, y se recabará nuevamente la autorización para cada uno de los tratamientos previstos a los miembros del club deportivo. Estos trabajos estarán finalizados e implantados en el plazo máximo de un mes, (15 de septiembre del 2021) (…)”. Pues bien, ni antes ni después del 15/09/21, ni mucho menos, antes de que se resolviera el expediente sancionador abierto al Club, el 15/12/21, se presentó ninguna prueba o documento en esta Agencia que corroborase esas afirmaciones, esto es, que demostrase se habían implementado medidas eficaces en el tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 personales de las personas que se inscribían en el Club, de conformidad con lo establecido en el artículo 13 del RGPD. Solamente después de resolver el expediente sancionador, se ha presentado, junto con el escrito de recurso de reposición, enviado a esta Agencia el 14/01/22, copia del documento de inscripción en el club: “CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES”, donde se informa a los padres/tutores y deportistas de la identidad del responsable del tratamiento de los datos; la finalidad del tratamiento; la legitimación para ello; los criterios de conservación de los datos; la posible comunicación de los datos a terceros; los derechos que asisten al usuario sobre sus datos; sobre el derecho a presentar una reclamación ante la autoridad de control y los datos de contacto para ejercer dichos derechos. En lo que respecta a las alegaciones presentadas respecto a la inexistencia de un mecanismo que posibilite dar el consentimiento libre y voluntario para cada uno de los fines a lo que se dedicará el tratamiento de datos, recordar que, en el formulario de inscripción de deportistas en el club, presentado junto con la reclamación se indicaba textualmente lo siguiente: “INSCRIPCIÓN C.D. RITMO DE ANDALUCÍA 2020-2021 NORMAS DEL CLUB: (…) Es obligatoria la cesión de derechos de imagen al club. Las fotos y vídeos que realicemos a l@s gimnastas, así como eventos programados, podrán visionarlos en el Facebook: Club Deportivo Ritmo de Andalucía y en el Insta gram C.D. Ritmo de Andalucía(…)”. En este sentido, el artículo 6 del RGPD, detalla en su apartado 1 los supuestos en los que el tratamiento de datos es considerado lícito: “1.El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
14. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
15. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)”. Igualmente, el art 6.2 de la LOPDGDD indica, sobre el tratamiento basado en el consentimiento, que: “2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. Por su parte, el artículo 7 del RGPD recoge las condiciones para el consentimiento hecho por el interesado: 1.Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2.Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 3.El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4.Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato. Pues bien, de lo anterior se desprende que, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime, como es, en este caso, la relación contractual existente entre la deportista y sus padres con el club deportivo a través de la ficha de inscripción en el club. Pero si, además, la entidad desea realizar un tratamiento de los datos personales, en este caso, las imágenes grabadas de los deportistas para otros fines ajenos, como es, su publicación en redes sociales deberá recabar su consentimiento prestado válidamente y de forma expresa para cada uno de esos fines diferentes. No es válido, por tanto, marcar obligatoriamente la casilla de aceptación en el formulario de inscripción sin dar la opción al usuario a dar el consentimiento libre e individualizado para cada una de las finalidades a las que se destinaran los datos personales, ajenas a la principal, esto es, ajenas a la inscripción en el club deportivo y en su caso, la inscripción en la Federación Deportiva correspondiente. En las alegaciones presentadas por el club el 27/08/21, se afirmaba que: “(…) Se va a incluir de manera separada las autorizaciones para los diferentes tratamientos (imágenes en redes sociales, pertenecer a grupos de WhatsApp, etc.) tal y como se establece en el RGPD (…). Estos trabajos estarán finalizados e implantados en el plazo máximo de un mes, (15 de septiembre del 2021) (…)”. Pues bien, volver a recordar que, ni antes ni después del 15/09/21, ni mucho menos, antes de que se resolviera el expediente sancionador abierto al Club, el 15/12/21, se presentó ninguna prueba o documento en esta Agencia que corroborase esas afirmaciones, esto es, que se hubieran implementado medidas eficaces en el tratamiento de los datos personales de las personas que se inscribían en el Club, de conformidad con lo establecido en el artículo 7 del RGPD. Solamente después de resolver el expediente sancionador, se ha presentado, junto con el escrito de recurso de reposición, enviado a esta Agencia el 14/01/22, copia del documento de inscripción en el club: “CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES”, donde se solicita el consentimiento individual, libre y voluntario para, recibir información (por cualquier medio) sobre las actividades desarrolladas por el responsable; para la grabación de imágenes y vídeos de las actividades para ser colgados en los murales internos del centro, así como la publicación en anuarios, calendarios y otros medios de comunicación del responsable, incluida las redes sociales y para ser incluido en el grupo de mensajería instantánea al que pertenezca el/la gimnasta y además, se solicita autorización a los padres o tutores para su inscripción como socio/a en el C.D. Ritmo de Andalucía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 c).- Contestación a las afirmaciones hechas por el recurrente en el sentido de que no se han lesionado ni producido perjuicio individualizado o colectivo alguno y no se han lesionado ninguno de los bienes jurídicos protegidos: Los dos primeros considerandos del RGPD, establecen, sobre la protección de los datos de carácter personal, lo siguiente: