Sí, hoy nos toca hablar sobre la normativa de protección de datos en un club deportivo. Y en particular, hace unos meses, la Agencia Española de Protección de Datos (AEPD) publicaba una resolución de un expediente sancionador en el que estaba involucrado un club de balonmano de Asturias.
Resulta interesante o al menos sirve como un ejemplo más a los que ya hemos comentado:
Ejemplo 1: Procedimiento sancionador en un club por falta de adaptación a la normativa de protección de datos
¿Cuáles son los hechos en el club asturiano?
Resulta que el reclamante interpuso una reclamación ante la AEPD en agosto del año 2022, -dicho sea de paso, en plenas fiestas de la localidad de Gijón-.
Interpuso la reclamación frente al Ayuntamiento de Gijón, frente a un Club de Balonmano de Gijón y frente al Patronato Deportivo Municipal de Gijón.
Y es que a la reclamación le precede una consulta al delegado de Protección de Datos que no fue contestada. Solicitaba respuesta sobre los siguientes puntos:
«1º Que determinasen el criterio que legitimaba la difusión de las imágenes de los menores en la página web y en las redes sociales del patronato deportivo. En este sentido, significaba que no recuerda haber autorizado la difusión de las imágenes de su hija (que en la actualidad se visualiza).
2º Que le concretasen en cuál de las actividades que constan en el inventario del registro de actividades del tratamiento publicado por la parte reclamada se encuentra el realizado por las escuelas deportivas del Patronato Deportivo.
3º Que le contestasen en qué momento y mediante que sistemática tienen evidencia de que los titulares de la patria potestad o tutela de los niños y niñas de 1º a 6º de primaria que participan en las escuelas deportivas han recibido la información requerida por los artículos 13 y 14 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). 4º Si disponen de contratos de protección de datos con todos los encargados de tratamiento de las escuelas deportivas del Patronato Deportivo.
5º Si se ha efectuado una evaluación de impacto.
6º Si la parte reclamada cumple con las medidas de seguridad establecidas en la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD).
7º Si la brecha de seguridad ocurrida el 19 de abril de 2022 había sido notificada a la AEPD».
La AEPD dio traslado al Ayuntamiento de Gijón para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.
El Ayuntamiento da traslado al Patronato para que responda pues se entiende que el competente en deporte y en esta cuestión en particular es el propio Patronato.
Parece ser que el Patronato tiene establecido una colaboración con Centros de Enseñanza de Gijón, públicos, concertados y privados, mediante convocatorias anuales, en cuyas bases se especifica que las inscripciones y gestión de las actividades deportivas se efectuará por el Consejo Escolar de cada Centro Escolar beneficiario. De igual modo, el Patronato Deportivo Municipal suscribe convenios de colaboración con clubes deportivos, como es el caso con el Club Balonmano Gijón, al objeto de «fomento del Balonmano de Alto Nivel y del Deporte Base (Escuelas Deportivas).
El Ayuntamiento manifiesta que las imágenes publicadas se encuentra en la web del Ayuntamiento y respecto al registro de Actividades de Tratamiento, aprobado por Resolución de Alcaldía de 21 de junio de 2021, publicado en el BOPA y en la Web municipal, las actividades deportivas se encuadran en el «RAT039 Servicios deportivos», cuya finalidad del tratamiento es la «Gestión de información, programas y prestación de servicios deportivos» incluyendo entre las categorías de datos personales los de imagen y «otra información necesaria para las actividades (como autorizaciones para menores de edad)».
A todo esto, no solo hubo una reclamación, sino que el reclamante disparó también a la Federación de Balonmano del Principado de Asturias.
En esas nuevas reclamaciones del reclamante: (PS/00285/2020 a la Federación de Balonmano del Principado de Asturias y PS/00427/2020 contra el Ayuntamiento de Gijón), aporta escritos de autorización para el tratamiento de datos de menores del Club Balonmano Gijón y de la Federación Española de Balonmano y escrito contra el Club de Balonmano de Gijón en el que se aporta, entre otra documentación, Normativa para las escuelas deportivas 2020/2021, Estatutos del Club de Balonmano Gijón, información sobre el mencionado club en el portal de Transparencia del Ayuntamiento y correo electrónico remitido a la delegada de protección de datos del Ayuntamiento y a la Alcaldesa, incluyendo documentos presentados en sus reclamaciones.
Todo esto es comprobado por la AEPD
En fecha 23 de febrero de 2023, desde la Inspección de Datos se accede a algunas de las direcciones aportadas por el reclamante, verificando la publicación de fotografías del Club de Balonmano de Gijón, entre las que se encuentran imágenes de menores, incluida la hija del denunciante.
En relación con información recibida en las actuaciones de inspección:
Se remiten requerimientos de información al Ayuntamiento, al Patronato y al Club de Balonmano de Gijón.
Se recibe información del Ayuntamiento, en el que se pone de manifiesto que el Club informa a los tutores legales sobre la política de protección de datos y deben firmar un consentimiento. El escrito de autorización para el tratamiento de datos de menores del Club Balonmano Gijón consta firmado por el reclamante en su condición de tutor, en fecha 2 de enero de 2021.
Otorgando asimismo su consentimiento, marcando la casilla al efecto, para comunicaciones publicitarias y la utilización de los datos personales en cualquier medio (marketing directo, redes sociales, correo electrónico) para la promoción del Club de Balonmano.
Se recibe contestación del Ayuntamiento en relación con el escrito de requerimiento en el que se pone de manifiesto lo siguiente:
- El Ayuntamiento ha tenido conocimiento de los requerimientos emitidos desde la Inspección de datos al Patronato y al Club, manifiesta que se ha abierto un expediente administrativo y que en las actividades deportivas objeto de reclamación, el Patronato Deportivo Municipal asume la posición de Encargado del Tratamiento, sin perjuicio de las relaciones de éste con las entidades participantes en los programas “Escuelas deportivas”, ya que, entre otros motivos, el Patronato desarrolla las competencias del Ayuntamiento en la promoción de la actividad deportiva .
- Respecto de la consulta al delegado de protección de datos realizada por el reclamante: En el documento donde se solicita el consentimiento para el tratamiento de la realización y utilización de imágenes mencionado en puntos anteriores consta como base legitimadora la relación jurídica para la actividad y el consentimiento del interesado. Asimismo, se ha aportado dicho documento suscrito por el reclamante.
- Respecto del Registro de Actividades de Tratamiento: las actividades deportivas se encuadran en el «RAT039 Servicios deportivos», cuya finalidad del tratamiento es la «Gestión de información, programas y prestación de servicios deportivos» incluyendo entre las categorías de datos personales los de imagen y «otra información necesaria para las actividades (como autorizaciones para menores de edad)» En relación con la información suministrada a los tutores en materia de protección de datos, el Ayuntamiento manifiesta que “En atención a la definición, naturaleza y finalidad de la Evaluación de impacto del tratamiento de datos personales el tratamiento realizado no cumple con las condiciones para la realización de evaluaciones de impacto, no suponiendo un alto riesgo para los derechos y libertades de las personas afectadas”.
- Respecto de la brecha de seguridad: Con fecha 22 de abril de 2022 se realizó una notificación inicial a la AEPD de una brecha de disponibilidad provocada por un ciberataque ransomware detectada el 19 de abril de 2022. El 3 de junio de 2022, se realiza una notificación completa en la que se aporta un informe sobre la brecha.
- La herramienta Comunica Brecha de la AEPD dio un resultado positivo debido al volumen de personas afectadas por lo que se han realizado comunicados en diferentes medios de difusión pública para que las personas afectadas pudiesen conocer la situación desde el momento en el que se produjo el ciberataque. Asimismo, se paralizaron los plazos administrativos debido al incidente anunciado este hecho en la web del Ayuntamiento. A este respecto, desde la Inspección de Datos se ha comprobado la publicación de la brecha en las direcciones aportadas por el Ayuntamiento desde el 19/04/2022 y el aviso de la paralización de plazos.
- Por la brecha se vieron afectados todos los ficheros al estar paralizados los servicios y al no poderse evaluar el número de personas afectadas consideran como cifra estimada la población del municipio, con 250.000 habitantes.
En el informe del análisis de riesgo como consecuencia de la brecha se concluye que, al ser una brecha de disponibilidad, no constituye un alto riesgo para los derechos y las libertades de las personas físicas. Como consecuencia del incidente, el Ayuntamiento ha adoptado nuevas medidas, entre ellas: despliegue del doble factor de autenticación, restricción al máximo la conectividad con Internet (Lista blanca), revisión de parcheado de sistemas previa puesta en producción e identificado de sistemas obsoletos.
Tras las actuaciones de investigación, …
…la Directora de la AEPD procede al archivo del expediente. Sin embargo, el reclamante interpone recurso de reposición fundamentándolo básicamente en que el consentimiento facilitado al Club Balonmano Gijón lo firmó el 2 de enero de 2021, y las imágenes publicadas de su hija menor corresponden a la temporada 2019-2020.
Además, aparecen pre-marcadas las casillas de consentimiento para envío de publicidad y de publicación de datos personales en redes sociales. Insiste en que el Ayuntamiento de Gijón tiene un error en el RAT de las actividades deportivas al considerar como causa de legitimación el consentimiento ya que no se obtiene lícitamente. No se habría analizado bien la necesidad de Evaluación de Impacto. Tampoco serían adecuadas las medidas de seguridad y la falta de notificación de la quiebra de seguridad sufrida al reclamante.
En fecha 13 de noviembre de 2023, se resuelve el recurso potestativo de reposición presentado por la parte reclamante, acordándose, por parte de la Directora de esta Agencia, que no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la reclamación presentada frente al Ayuntamiento de Gijón. No obstante, de las actuaciones previas de investigación realizadas sí se habría detectado una presunta actuación contraria a la normativa de protección de datos por parte del Club Balonmano Gijón.
Tras el encuadre de los hechos en la normativa de protección de datos
… de conformidad con las evidencias de las que se dispone de acuerdo de inicio de procedimiento sancionador, se considera que el reclamado ha podido vulnerar el artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo, sin que conste acreditado ninguna de las bases de legitimación previstas en el citado artículo para el tratamiento de los datos de la parte reclamante en relación a la captación y difusión de imágenes de una menor en la página web de la parte reclamada.
Al final, se impuso una multa de MIL EUROS al CLUB por incumplir la normativa de protección de datos que, por pago voluntario, fue reducida a 600 euros.
Además, se le ordenaba en la resolución a que, en el plazo de 1, notificare a la Agencia Española de Protección de Datos adopción de las medidas que lleven al Club a un clima de cumplimiento normativo (medidas que se desarrollan en la Resolución y que básicamente implican o se reducen a redactar y recabar correctamente los consentimientos a sus deportistas).
¿La estructura de tu club está adecuada a la normativa de protección de datos?
Escríbenos si tienes alguna duda al respecto