1/33
Expediente N.º: EXP202104896
- RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a
los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8/11/2021 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige
contra REAL FEDERACIÓN ESPAÑOLA DE TENIS DE MESA con NIF Q2878038E,
(RFETM), y contra el CONSEJO SUPERIOR DE DEPORTES, (CSD). Los motivos en que
basa la reclamación son los siguientes:
El día 20/11/2021, tenía que presentarse para realizar el examen de entrenador de tenis
de mesa en las instalaciones de la ***RESIDENCIA.1, de Madrid, dependiente del CSD.
El día 2/11/2021, recibió un correo del que aporta copia, de RFETM (dirección deportiva)
en el que le explican en base a un correo anterior, al indicar “entiendo lo que nos
comentas” e indica que: “la Residencia establece como requisito obligatorio para poder
acceder a sus instalaciones estar vacunado. Nos piden como Federación, que
certifiquemos que todos los asistentes cuentan con la pauta completa de la vacuna. Para
ello necesitamos que los asistentes acrediten que tienen la vacunación completa a través
de un documento que lo acredite.”” … te propongo que le hagas llegar el documento al
asesor médico de la RFETM, el Doctor …, con el fin de que tus datos médicos queden
protegidos. El correo del doctor es …@gmail.com. En caso de no acreditar que cuentas
con la vacuna no podemos certificar que la tienes. Sólo necesitamos que nos ayudes a
poder buscar una solución.”
Considera que se le obliga a entregar documentos relacionados con sus datos de salud y
desconoce si existe obligatoriedad.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), el 29/11/2021 se trasladó la reclamación a la RFETM y al CSD para que
procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
Aunque la notificación se practicó válidamente para ambas entidades, solo responde la
RFETM el 28/12/2021, indicando:
1) Los exámenes de entrenador los convoca la RFETM para quienes deseen obtener el
titulo, de acuerdo con las competencias que se regulan en la Ley del Deporte 10/1990 de
15/10.
2) Como consecuencia de la pandemia, para poder realizar el examen en las
instalaciones de la Residencia, “es necesario de conformidad con la normativa aplicable
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/33
al respecto, el seguimiento de un protocolo sanitario, con objeto de preservar la salud de
todos los participantes, miembros de la Residencia y miembros de la RFETM
(trabajadores).”
“El protocolo fue elaborado conjuntamente por la Federación y el Departamento de
instalaciones del CSD, en virtud de las obligaciones impuestas a la Federación y al CSD
como organizador de la actividad y titular del centro donde se desarrollaban las pruebas,
entre otras normas, por la ley 2/2021, de 29/03, de medidas urgentes de prevención
contención y coordinación para hacer frente a la crisis sanitaria ocasionada por el
COVID-19, artículos 5, 15 y 16 con objeto de no propagar el virus y preservar la salud.”
No aporta copia del protocolo.
3) Por correo electrónico, se comunicó a todos los aspirantes al examen incluido el
reclamante, que para el acceso a la sala de examen “debían aportar el certificado de
vacunación bien a una dirección de correo electrónico del Director de Actividades
Deportivas o bien mediante su simple exhibición a la entrada del aula.”
4) El reclamante, inicialmente se opuso a presentar el certificado, solicitando la retirada
de dicho requisito, respondiendo la Federación “el mismo 2/11 y por el mismo medio de
enviar el documento al asesor médico de la Real Federación, el doctor… con el fin de
que tus datos médicos queden protegidos”, sin que el reclamado se acogiera a esta
alternativa.
No obstante, los responsables “de Formación, y del curso, de la RFETM continuaron en
su intento de ofrecer alternativas” y solución al reclamante, “ofreciéndole la posibilidad de
que aportara en el momento de la realización del examen una prueba PCR realizada
dentro de las 72 horas previas, que nos permitiera salvaguardar su propia integridad y la
integridad del resto de participantes, informando a tal efecto telefónicamente al
interesado en fechas previas a la realización del examen.“
Aporta copia de escrito de 11/11/2021, dirigido al reclamante en el que le da las dos
alternativas.
“No obstante, y en contestación al escrito presentado en su nombre por su abogado,
oponiéndose a presentar el certificado de vacunación, con fecha 18/11, se le contestó en
el mismo sentido en el que se le había informado telefónicamente, es decir, ofreciéndole
la alternativa a presentar el certificado negativo del test PCR”. Aporta copia de escrito en
el que le ofrecen las dos alternativas.
“El día señalado para la realización del examen, el reclamante se presentó en el lugar y a
la hora señalados, y exhibió a la entrada del mismo, certificado negativo del Test PCR,
dentro de las 72 horas previas a la actividad, permitiéndosele el acceso a la instalación y
pudiendo realizar la prueba”.
5) “Una vez finalizada la actividad, fueron destruidos todos los certificados de vacunación
COVID-19 del resto de alumnos enviados a la dirección de correo electrónico del
responsable del tratamiento, que fueron remitidos de forma libre y consentida, y con
conocimiento de la finalidad del requerimiento del dato sanitario”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/33
6) Considera que “de conformidad con el art. 6 del RGPD, son lícitos los tratamientos de
datos, cuando se cumplan al menos una de las siguientes condiciones, el interesado dio
su consentimiento para uno o varios fines específicos, como es el caso; el tratamiento es
necesario para proteger intereses vitales del interesado o de otra persona física, objetivo
final del protocolo adoptado por el CSD y la RFETM”.
“Por otro lado, al tratarse de datos que pudieran considerarse categorías especiales, el
tratamiento viene justificado (mera exhibición) al amparo del art. 9 h) del citado RGPD
con objeto de prevenir derechos de los trabajadores de la RFETM y de la residencia de
deportistas, y con los fines de utilidad social, ya dichos, de prevención de propagación
del virus, en unas instalaciones deportivas, la residencia de deportistas del alto
rendimiento “JOAQUIN BLUME” En este sentido, hacer referencia también a la normativa
sobre prevención de riesgos laborales, al existir personal laboral en la misma, siendo una
obligación de las empresas, de conformidad a instrucciones del Ministerio de Sanidad y la
normativa ya citada, de establecer todas las medidas necesarias para preservar la salud
y la propagación del virus”
7) No han procedido al tratamiento de datos sino que se han limitado a constatar que
concurrían las circunstancias necesarias para poder asistir sin riesgos para la salud al
centro deportivo dependiente del CSD, conforme al protocolo establecido al efecto.
Considera que los datos no han sido tratados, no han sido almacenados, limitándose al
mero examen de la documentación que validaba el acceso a las instalaciones deportivas.
“No se ha llevado a cabo ningún listado de personas excluidas o incluidas, ni se ha
procedido a ningún almacenamiento de dichos datos.”
El interesado tenía dos alternativas: certificado médico de vacunación o PCR negativa, y
exhibiendo este último, consideran que esta medida no se constituía como obligatoria,
sino como alternativa y siempre con carácter voluntario.
“El reclamante solo mostró el resultado del test, sin proporcionar ni recogerse ningún dato
identificativo del mismo, sino una oposición a los requisitos de acceso a un recinto
cerrado propiedad del CSD.”
“La decisión de solicitar el certificado COVID, o en su defecto el test PCR, fue una
medida consensuada entre instalaciones del Consejo Superior de Deportes y la Real
Federación Española de Tenis de Mesa”.
TERCERO: Con fecha 24/01/2022, de conformidad con el artículo 65 de la LOPDGDD, se
admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO; Con fecha 3/05/2022, la Directora de la AEPD acordó:
“INICIAR PROCEDIMIENTO SANCIONADOR a REAL FEDERACIÓN ESPAÑOLA DE
TENIS DE MESA, con NIF Q2878038E, por la presunta infracción de los artículos:
-6.1 del RGPD, de conformidad con el artículo 83.5.a) del RGPD y del artículo 72.1.b) de
la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/33
-9.2 del RGPD, de conformidad con el artículo 83.5.a) del RGPD y del artículo 72.1.e) de
la LOPDGDD. “
“A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimiento
Administrativo Común de las Administraciones Públicas, las sanciones que pudiera
corresponder serían de 6.000 euros y de 10.000 euros, sin perjuicio de lo que resulte de
la instrucción.”
QUINTO: La reclamada efectúa alegaciones el 17/05/2022, indicando:
1) El examen que se celebró el 20/11/2021, era la última prueba de la realización de la
parte presencial obligatoria de una convocatoria del curso nivel 1 de técnico deportivo de
tenis de mesa, convocado a través de la circular 43, temporada 2020/2021, con fecha
16/03/2021. De los requisitos de acceso no se desprende que en el momento del curso
se haya de tener licencia federativa.
2) El 14/10/2021, se recibió correo del CSD que dirigió a todas las Federaciones
deportivas en el que se notificaba “actualización de normas de acceso al Centro de Alto
Rendimiento (CAR)”, indicando que era necesario la “pauta completa de vacunación” y “si
no se pudiera por alguna prescripción médica, sería necesario aportar un test de
antígeno o PCR de no más antigüedad de 24 horas”. También exigía la remisión de dos
listados “certificando la vacunación completa”, uno con deportistas (becados internos,
externos y concentrados de larga duración, y otro con los autorizados a la utilización de
las instalaciones-adjunta archivo para facilitar la información solicitada-, teniendo las
normas efectos a partir del 25/10/2021. Aporta copia del correo enviado que así lo
atestigua en la que se aprecia que es debido a “ los cambios en los protocolos del Covid-
19 y ante la evolución de la pandemia y las medidas preventivas que se han tomado”,
Como destinatarias, figuran las múltiples Federaciones Españolas.
3) El 15/10/2021, la reclamada comunicó a los alumnos que el acceso para el examen
en el CAR, requería, a petición del centro, el “pasaporte COVID”. Aporta sin embargo, …
un e mail de 15/05/2022, dirigido desde formación de la reclamada, a distintos e mails, de
tipo informativo sobre el examen que será en la Residencia Blume, y “para acceder allí es
necesario el pasaporte COVID” ”Necesitaríamos que nos enviarais vuestro pasaporte
COVID a este correo”.
4) Aporta la reclamada, copia de e mail de reclamante de 26/10/2021, del que destaca:
–“Te contesto al e mail de 15/10/2021 que me enviaste, solicitando que te enviara el
pasaporte COVID como condición de acceso a la Residencia…”, continúa indicando que
se le están pidiendo datos de salud y que se precisaría de base legitima para pedirlos con
el fin de acceder al sitio de examen, sea público o privado, ”te solicito que me confirmes
que puedo acceder a la > Residencia Blume para el examen de bloque común del curso
de > Entrenador Nivel 1, sin enviarte el pasaporte COVID.”
-Le sigue otro correo de la reclamada del mismo día, indicando que se reenvía al
responsable.
5) El 8/11/2021, se recibió reclamación en nombre del reclamante para que se elimina-
ran los requisitos de la vacunación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/33
La reclamada manifiesta que “dirigió varias comunicaciones oficiales, reiterando la doble
posibilidad de presentar certificado de vacunación o exhibiendo test negativo, añadiendo
el correo del médico de la entidad al que puede dirigir el mismo, con fechas 1 1 y
18/11/2021. Todos los alumnos pudieron acogerse a la doble opción de presentar el
certificado o el test negativo, accediendo todos ellos y el personal de formación de la
Federación a la Residencia (aporta doc 6)”. En el mismo, se dirige exclusivamente al
reclamante, explica que la necesidad de aportar los datos proceden de “normas
consensuadas”, y que “La normativa de acceso al lugar del examen, es clara y
comprende diferentes opciones como la presentación de un test PCR negativo realizado
dentro de las 72 horas previas a la realización del examen o la presentación del
certificado de la pauta de vacunación.” “…lamentablemente desde la Real Federación
Española de Tenis de Mesa debemos indicarle que D. deberá, si quiere presentarse al
examen del próximo sábado 20 de noviembre, cumplir con los requisitos establecidos por
los responsables de la instalación, en este caso el Consejo Superior de Deportes, en las
mismas condiciones que el resto de los compañeros que se examinaran en esta fecha,
protegiendo de este modo la salud pública.”
6) Estima que tiene base legitimadora para el tratamiento de datos al considerar que le
sería de aplicación el artículo 8.2 de la LOPDGDD, considerando que la ley de la que
deriva el tratamiento que posibilita el ejercicio de poderes públicos, actuando como
agente colaborador, lo que se llevó a cabo en este supuesto, relacionado con la
formación de sus técnicos deportivos, es la Ley 10/1990 del Deporte, que confiere a las
Federaciones dichos poderes públicos. Además, reitera la legitimación del tratamiento
para proteger intereses vitales del interesado con base al informe del Gabinete Jurídico
de la AEPD 17/2020 y el considerando 46 del RGPD.
Considera que su actuación solo podría ser objeto de apercibimiento, conforme señala el
artículo 77 de la LOPDGDD, pues actuó en la convocatoria y ejecución del curso de
entrenadores, función pública de carácter administrativo, dando por incluida la parte de la
organización y realización y condiciones de dicho examen en el CAR también, como
ejercicio de funciones públicas de carácter administrativo, actuando en este caso como
agente colaborador de la Administración Pública, de conformidad con el artículo 33.1.d)
de la Ley del Deporte, y bajo el control y supervisión del CSD.
Como comparativa, pone el ejemplo del archivo del procedimiento sancionador, en
resolución R/00985/2011, que archivó y abrió infracción por Administración Pública,
según la entonces vigente LOPD, 15/1999.
7) Alude a la sentencia del TS, sala de lo contencioso administrativo sección cuarta,
1112/2021 de 14/09/2021, para acreditar que la exhibición del pasaporte COVID no
vulnera el derecho a la igualdad, y que aprecia una justificación objetiva y razonable para
permitir o no el acceso al correspondiente establecimiento, pues se trata de la protección
de la salud y de la vida de las personas de manera que evita o restringe la propagación
de la pandemia.
“Del mismo modo el tribunal descarta la vulneración del derecho fundamental a la
Protección de Datos personales cuando lo que se establece para entrar en el interior de
un determinado establecimiento es la mera exhibición, es decir enseñar a mostrar la
documentación en cualquiera de las tres modalidades exigida. Sin que, desde luego,
puedan recoger los datos de los asistentes a tales locales, ni pueden elaborarse un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/33
fichero, ni hacer un tratamiento informático al respecto” En este caso, “los alumnos
voluntariamente optaron por remitir la documentación al correo del director Técnico de la
RFETM o exhibirlo a la entrada del recinto. Se dio traslado al CSD de un listado con los
nombres de los federados que podrían acceder al Centro, y pasar el control de seguridad
que el CAR tiene establecido”
8) La imposición del CSD y la buena fe de la reclamada supone que el hecho no pueda
ser considerado antijurídico, actuando en “estado de necesidad”. La no petición de las
documentación supondría no poder finalizar su tarea.
9) Se ha de contemplar que el CAR es un centro principal de referencia en el deporte,
donde viven más de 250 deportistas de élite, de ahí que se imponga una normativa mas
estricta dentro de su plan de contingencia. El requisito del CSD se aplica a todas las
personas que accedan a los locales del CSD, y los protocolos y planes de contingencia
que adoptara el CSD, proceden de la Orden 1362/2021 de 21/10, de la Consejería de
Sanidad de la CCAA de Madrid, por la que se modifica la Orden 1244/2021, de 1/10, por
la que se establecen medidas preventivas para hacer frente a la crisis sanitaria
ocasionada por la COVID-19.
Considera que atendiendo a las circunstancias especiales del centro de acceso, a la
situación epidemiológica, existe legitimación para el tratamiento de datos contemplados
en el artículo 9.2 del RGPD con base al apartado h) e i) del citado artículo. En el primer
caso, bajo la garantía de un profesional, el doctor médico de la Federación, B.B.B.,
citando el artículo 9.3 del RGPD.
10) En cuanto a las sanciones económicas, por la infracción del artículo 6.1 del RGPD,
contemplado lo dispuesto en el apartado 83.2.a), indica que el propósito del tratamiento
era el de cumplir con el mandato del CSD, ninguno de los miembros del curso que debían
asistir al examen sufrieron ningún tipo de daño o perjuicio, dado que voluntariamente
comunicaron los datos solicitados, entendiendo que realizaron una clara acción
afirmativa.
No concurriría las circunstancias del 83.2.b) del RGPD, dado que la reclamada no posee
locales donde realizar las funciones publicas de carácter administrativo-exámenes-
debiendo utilizar los locales del CSD, y acatar las normas sobre acceso y uso que la
misma imponga.
No se ha tenido en cuenta el artículo 83.2.c) del RGPD, dado que la RFETM trató de
acomodar las exigencias del CSD a las manifestaciones en contra del reclamante,
entendiendo su posición y tratando de ofrecer nuevas alternativas.
En cuanto a la cuantía por la infracción del artículo 9 del RGPD, considerar la categoría
de dato de salud estaría implícito en la tipificación, por lo que no puede ser agravante, y
sobre la del 83.2.d) del RGPD, solo solicitaron los datos estrictamente necesarios que
fueron tratados, solo para la finalidad pretendida, no fueron almacenados, limitándose a
comunicar al CSD “que las personas que iban a acceder al local cumplían con los
requisitos de acceso” impuestos por el CSD.
SEXTO: Con fecha 11/11/2021, se inicia un periodo de pruebas, dando por reproducidas
a efectos probatorios la reclamación interpuesta por el reclamante y su documentación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/33
los documentos obtenidos y generados durante la fase de admisión a trámite de la
reclamación, y actuaciones previas que forman parte del procedimiento E/12548/2021.
Asimismo, se da por reproducido las alegaciones al acuerdo de inicio del procedimiento
sancionador referenciado, presentadas por la reclamada y la documentación que a ellas
acompaña.
Además, se decide solicitar:
-A la reclamada, informe o aporte:
a) Número de personas que se examinaban y confirmen si todas las personas que
realizaron el curso de técnico deportivo de tenis de mesa tenían que tener licencia
federativa.
Con fecha 28/11/2022 se recibe respuesta.
Reproduce los requisitos generales y específicos de la circular 43 temporada 20/21 y en
ellos no se encuentra que deban estar federados, aunque manifiesta la reclamada que
todos ellos eran federados en la fecha del examen, aportando un certificado, añadiendo
que se presentaron un total de 20 alumnos.
a) ¿Cómo actuaron frente a la petición razonada que en nombre del reclamante
registraron el 8/11/2021 sobre la no exigibilidad del pasaporte COVID? ¿Se trasladó a
CSD?
Se le respondió que las condiciones venían impuestas por el CSD, y que la RFETM no
tenía competencia para la modificación de dicho protocolo.
c) Si la verificación de entrada al acceso al examen se realizaba por personal de la
reclamada o del CSD, de la residencia?, y si se les entregó algún listado para verificación
de accesos de personas.
Manifiesta que el control de acceso se realizó por el servicio de seguridad del CSD.
La reclamada remitió al CSD el 19/11/2021, un listado de alumnos que habían
presentado certificado de vacunación o test negativo. Aporta copia de documento número
1, en el que figura dicho certificado de alumnos que habían presentado su “certificado de
vacunación o una prueba PCR negativa en las 72 h previas”. El formato contiene nombre
y apellidos, y NIF, de 29 personas.
“El día 20/11, dado que había dos personas no incluidas en el listado se envió
comunicación al CSD y al servicio de vigilancia y seguridad del mismo, junto con el
reclamante que se personó con prueba PCR negativa el mismo día 20 a las puertas” y del
cual también tuvo que certificar. Aporta documento 2, e mail en el que se comunica esa
inclusión con nombres y apellidos en los mismos términos que los del listado. El mensaje
se envía con copia a diversas direcciones con dominio csd, incluyéndose a Seguridad y a
una dirección con dominio gmail.com, además de a diversas direcciones de la RFETM.
c) Si la posibilidad de presentar certificado de vacunación o test negativo se comunicó y
se ofreció solamente al reclamante o a otras personas, acreditando la comunicación a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/33
todos los participantes. Si la admisión final con test de antígenos o PCR que utiliza el
reclamante, fue consultada por el reclamado al CSD, documentos que lo acrediten.
Responde que esa posibilidad “fue ofrecida y conocida por todos los alumnos”.
Se aporta uno de los correos que se enviaron donde se les recuerda que pueden enviar
certificado de vacunación o test negativo y así se visiona en documento 3, e mail de
17/11/2021, añadiéndose que “para ambos casos a los que no lo hayan enviado ya, es
necesario hacérselo llegar urgentemente a ***EMAIL.1.”
Añade que el CSD remitió un correo el 17/12, donde se recogen nuevas directrices para
el acceso al CAR de Madrid
. “-Si es la primera vez que se accede al CAR de Madrid la Federación correspondiente
justificará la presentación de test de antígenos negativo, posteriormente no se solicitará
test salvo que presente síntomas, en el caso de estar vacunado.
-En caso de no estar vacunado deberá presentar test negativo antes de acceder al CAR,
además se realizarán test cada 3 días o 72 horas durante el periodo que acceda al CAR.
-En ambos casos, vacunados o no vacunados, si existe una ausencia de varios días por
competición, vuelve de fin de semana o por otro motivo, deberán presentar test de
antígeno negativo con 24 horas de antelación como máximo. Las federaciones serán las
responsables de certificar el resultado de estos test”
No aporta documento que verifique que sea de la fecha que indica y del contenido.
d) “Copia de la primera comunicación donde se aprecie literal y fecha, enviado al
reclamante, sobre que, además de la vacunación, puede aportar certificados de pruebas
diagnósticas, igualmente primer comunicado al resto de personas que se iban a
examinar.”
“Además, en alegaciones manifestaron:”
“En cumplimiento de esta obligación la RFETM, con fecha 15 de octubre de 2021, desde
el departamento de formación envía correo en el que se comunica a los alumnos que el
examen será en la Residencia Blume y que para poder acceder a la misma el centro
exige el pasaporte COVID.”
Sin embargo, aportaron un e mail de 15/05/2022, por ello, se solicita: acreditación del
envío y contenido del texto que señalan.
Aclaración además, de porque en el correo referido se lee que solicitan “pasaporte
COVID”, cuando el literal del CSD indicaba “pauta completa de vacunación” y “si no se
pudiera por alguna prescripción médica, sería necesario aportar un test de antígeno o
PCR de no más antigüedad de 24 horas”.
Indica que el 15/10/2021, desde el departamento de formación se envía un correo donde
se comunican a los alumnos la sede del examen y que para poder acceder, “el Centro
exigirá el pasaporte COVID” ”El hecho de que en fase de alegaciones se aportara y
aparezca fecha de mayo ha debido ser por algún error o superposición de correos
reenviados” “Se hace referencia a este pasaporte COVID, dado que la prueba de
antígenos suponía un coste económico para los alumnos y el certificado de vacunación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/33
era gratuito No obstante en otros correos y conversaciones con los alumnos se les
comunica la doble opción. Dicho correo es el utilizado durante el curso para comunicarse
con los alumnos y existe una comunicación fluida entre ellos y los entrenadores,
profesores personal de la federación.
Los alumnos entendieron como lógica la situación generada por el COVID. El único
alumno que manifestó sus reparos en acreditar tales extremos se le trató de dar distintas
soluciones.”
e) El protocolo exige “remitir listados certificando la vacunación completa” al CSD. Modo
y manera en que se llevaba a la práctica esta comunicación, si era con el envío de copia
de las vacunas, fotografía de las mismas, e mail et., que información se trasladaba y
cuantos se remitieron, desde que se recibieron las instrucciones del CSD.
La Federación dirige al CSD un listado con los alumnos que han acreditado la vacunación
o PCR negativo con fecha 19/11/2021 y el día 20, otro correo donde se adjunta el nombre
de otros 3 alumnos más entre ellos el del reclamante, estos listados ya han sido
aportados en documento 1 y 2 que contiene nombre y apellidos y DNI de las personas
que han aportado PCR negativa o certificado de vacunación sin distinción entre ellos, no
se transmite más documentación ni información.
El CSD es el que exige para poder acceder al lugar del examen que la Federación aporte
listado con los alumnos que tienen la pauta completa de vacunación o test negativo,
siendo la obligación de la Federación la de cumplir con el mandato del CSD de elaborar
un listado certificando que los alumnos incluidos en el mismo cumplen dichos requisitos.
f) En el traslado manifestaron: “Como consecuencia de la actual situación de pandemia
provocada por la COVID 19, para poder realizar el examen de entrenador nivel 1, en los
locales citados, es necesario de conformidad con la normativa aplicable al respecto, el
seguimiento de un protocolo sanitario, con objeto de preservar la salud de todos los
participantes, miembros de la residencia y miembros de la Real Federación Española de
Tenis de Mesa (trabajadores) El protocolo fue elaborado conjuntamente por la RFETM y
el departamento de instalaciones del CSD”, se le solicita detalle en que contribuyó la
RFETM de ese protocolo sanitario conjunto, y copia del mismo si dispusiera.
Respondió que no participó en la elaboración del mismo sino que su papel frente al
mismo se circunscribe a “la aceptación y cumplimiento de las requisitorias que van
comunicándose a las federaciones”.
g) En el traslado manifestaron: que los asistentes “debían aportar certificado de
vacunación, bien a la dirección de correo electrónico del director de actividades
deportivas, o bien mediante su simple exhibición a la entrada del aula.”, luego añadieron:
”El reclamante inicialmente se opuso a presentar el certificado de vacunación, solicitando
la retirada de dicho requisito de la convocatoria, a lo que se contestó por parte de esta
Federación, en la misma fecha, es decir, el 2/11, y por el mismo medio, que nos hiciera
“llegar el documento al asesor médico de la RFETM, el Doctor B.B.B., con el fin de que
tus datos médicos queden protegidos. El correo del doctor es ***EMAIL.2.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/33
Al respecto, se le solicita que informe cuantos correos se recibieron en ambas
direcciones y porque se crearon dos buzones, la diferencia entre una persona y la otra, y
el curso que se daba a lo contenido en esos correos, fechas y destrucción de los
documentos, acreditación de la destrucción, si se verificaba a la persona que lo enviaba
con algún recibí, y como se utilizaban para los accesos el día 20/11/2021 de la
realización de la prueba presencial.
“Los alumnos utilizaron dos direcciones de correo, ambos oficiales, de la RFETM para
remitir los certificados de vacunación o el test negativo, ***EMAIL.3 y ***EMAIL.1. “
“El primero era el cauce normal de comunicación entre alumnos y responsable de
formación, y el segundo se les ofreció dos días antes del examen ante la necesidad de
obtener los datos necesarios para remitir el listado y que tuvieran acceso al examen.
Todos los alumnos relacionados en el DOC. Nº 1 enviaron la documentación requerida a
uno de esos dos correos. De dicha documentación solo se extrajo el nombre del alumno,
para incluirlo en el listado que se trasladó al CSD. Toda la documentación remitida por
los alumnos fue eliminada con fecha 22 de noviembre 2021, como consta en el DOC Nº
5. El correo del doctor B.B.B., (médico clasificador de la RFETM) solo se le ofreció al
reclamante, sin que fuera utilizado dado que aportó PCR momentos antes del examen.
En documento 5 que aporta se indica que el “22/11/2021 se realizó la destrucción de los
documentos adjuntos a los correos recibidos en las direcciones ***EMAIL.1 y ***EMAIL.3
con concepto pasaporte COVID”.
h) Informen el papel desempeñado por su Delegación de Protección de Datos en la
reclamación.
“La RFETM no comunicó esta circunstancia al Delegado de Protección de Datos, en
cuanto estimó que era una norma de obligado cumplimiento por parte de la Federación,
considerando que no cabía negociación o modificación alguna de la misma. La
Delegación de Protección de Datos tuvo conocimiento una vez la AEPD comunicó la
reclamación interpuesta contra la RFETM.”
-AL CSD,
a) Respecto de las normas de acceso dadas a las Federaciones (en este caso a la Real
Federación Española de Tenis de Mesa, que iba a celebrar una prueba de examen el
21/11/2021 en la ***RESIDENCIA.1 para entrenador), informando e mail a las distintas
federaciones españolas, el 14/10/2021, con el literal:
“Para acceder al CAR será necesario estar vacunado con la pauta completa, si no se
pudiera por alguna prescripción médica será necesario aportar un test de antígeno o
PCR de no más antigüedad de 24 horas, repitiendo este test cada 72 horas”
Se les solicita la normativa al amparo de la que exigieron para poder acceder a dicho
espacio a las Federaciones y a sus miembros los requisitos de vacunación o prueba
diagnóstica, previa acreditación médica de que no podía ser vacunado, así como la
instrucción o protocolo en que se formalicen dichos requisitos. Igualmente, si alguna
autoridad sanitaria informó sobre la necesidad o proporcionalidad para requerir tales
pruebas diagnosticas o certificado de vacunación sobre Federados o personas que
acceden como en este caso a usar sus instalaciones para realizar un examen. Informen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/33
también si en las citadas exigencias intervino la Delegación de Protección de Datos
aportando el informe que emitió si fuera el caso.
b) Protocolo o plan de contingencia en el año 2021-octubre, a diciembre 2021 sobre
medidas preventivas para hacer frente a la crisis sanitaria de la COVID 19.
c) En cuanto a los listados de personas de las Federaciones que estas debían comunicar
para el acceso al CAR, en concreto en este caso por parte de la Real Federación
Española de Tenis de Mesa, para acceder a las pruebas a celebrar en la
***RESIDENCIA.1 el 21/11/2021, que procedimiento de tratamiento de estos datos que
recibían tenían, y fecha hasta la que se han almacenado, o certificación de la supresión
de los datos si hubiera tenido lugar. Precisando además cuantos listados les envió la
RFETM, y fechas, con copias si dispusieran de las mismas.
d) Si recibieron observaciones o quejas de las Federaciones por la exigencia de este tipo
de datos de salud como obligación para el acceso a sus instalaciones, que respuesta se
les dio.
Recibido el escrito, el CSD no respondió.
SÉPTIMO: Con fecha 9/12/2022, se emite propuesta del literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione a
REAL FEDERACIÓN ESPAÑOLA DE TENIS DE MESA, con NIF Q2878038E, por:
-Una infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5.a) del
RGPD, y a efectos de prescripción en el artículo 72.1.b) de la LOPDGDD, con una multa
administrativa de 6.000 euros.
- Una infracción del artículo 9.2 del RGPD, de conformidad con el artículo 83.5.a) del
RGPD, y a efectos de prescripción en el artículo 72.1.e) de la LOPDGDD, con una multa
administrativa de 10.000 euros.”
OCTAVO: Con fecha 23/12/2022 la reclamada
-Disconforme con la expresión del hecho probado cuarto en que se indica que “el
reclamante se opuso a presentar el certificado solicitando la retirada de dicho requisito”,
por cuanto consideran que el reclamante se opuso a “presentar o exhibir, tanto el
certificado de vacunación como el test negativo realizado en las ultimas 72 horas”. El
reclamante, conocedor de las dos alternativas solicitaba la retirada de ambas opciones,
negándose a la mera exhibición, instaba a que se “eliminen en un plazo de 72 horas del
protocolo referido toda diferenciación entre vacunados, personas que no facilitan sus
datos médicos y no vacunados”.
-Reitera su falta de culpabilidad, al dar la reclamada cumplimiento a las exigencias de las
obligaciones que impone el CSD, y que dirigió a todas las Federaciones el 14/10 y el
17/12/2021. Añade que actuó bajo el convencimiento de que existía un protocolo de
medidas sanitarias aprobado por el CSD “que prohíbe la entrada en el recinto de examen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/33
a aquellos usuarios que no estén recogidos en un listado, que deben realizar las propias
federaciones, en el que se certifique que han aportado certificado de vacunación o test
negativo realizado en las 72 horas previas al acceso”. La Federación no trasladó al CSD
la reclamación, por considerar que actuaba habiendo recibido un mandato, “certificar que
los asistentes cumplían con los requisitos de entrada…” y realiza los actos necesarios
para su cumplimiento, bajo la base de que entiende que el CSD ha aprobado un
protocolo que les vinculaba.”
-El reclamante, exhibió el resultado negativo del test el mismo día del examen ante el
personal de seguridad del CSD, confirmando ese mismo día por email la reclamada al
CSD el permiso para el acceso. En base a ello, estima que no hubo tratamiento de datos
del reclamante, “sin que se recogiera o se diera traslado de documentación alguna”,
determinando el acceso y la inclusión en el listado de asistentes.
-Reitera que tienen legitimación para el tratamiento de los datos de los asistentes, y que
en este caso pueden concurrir varias.
Sobre la obtención del consentimiento por el hecho de que ha habido personas que
presentaron su certificado enviándolo por e mail o lo exhibieran al acceder, los asistentes
tenían la opción de no aportar el certificado que no llevaba como sanción el no poder
acceder al lugar, sino el tener que exhibirlo para que la reclamada certificara ante el CSD
su mandato, existiendo opción de una u otra vía. “Por lo que los alumnos que remitieron
la documentación, prestaron su consentimiento libremente para dicho acto, dado que
podían optar por la mera exhibición “.
El art. 8 de la LOPDGDD, establece en relación con dicho artículo 6, que “2. El
tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de
una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE)
2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.
En este sentido, y tal como se ha fundamentado anteriormente, es la propia Ley 10/1990,
de 15 de octubre, del Deporte, la que confiere a las federaciones el ejercicio de dichos
poderes públicos. Por lo tanto, dado que el tratamiento de los datos objeto del presente
expediente se realizó en el ejercicio de los poderes públicos conferidos a la RFETM como
agente colaborador en la formación de técnicos deportivos, dicha actuación no
contraviene el art. 6 LPD, en cuanto que el mismo establece que el tratamiento será lícito
si se cumplen al menos una de las condiciones que enumera.”
Reitera pues, que, además de sus propias atribuciones, actúa como agente colaborador
de la Administración Publica en la formación de técnicos deportivos de tenis de mesa,
ejerciendo por delegación funciones públicas de carácter administrativo, bajo la tutela del
CSD. Alude al control y supervisión de las normas por las que se rige la Federación,
desde los Estatutos que se publican por resolución del CSD, o el Reglamento de la
escuela nacional de entrenadores o las enseñanzas deportivas. Añade o liga esta
actuación como agente colaborador, al hecho de que solicitó el uso de la Residencia
“Joaquín Blume”, dependiente del CSD, dado que la reclamada carece de locales propios
y “actúa en esta materia, bajo la tutela y coordinación del CSD”. Considera que la
celebración del examen es un elemento mas en la promoción de técnicos deportivos, “el
órgano que coordina, supervisa y tutela, y que en definitiva es quien impone las normas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/33
de utilización de dichos locales, para ejercer las funciones por las distintas Federaciones
deportivas que por Ley se le pueden encomendar”
Estima que las Federaciones deportivas hay que considerarlas asimiladas a las entidades
referidas en el artículo 77 de la LOPDGDD, y no cabría sanción económica. Además, en
este caso, concurre que la exigencia del posible tratamiento de datos, deriva de
requerimiento directo del organismo público, CSD, que si se contempla expresamente en
el citado precepto.
“Igualmente, se hace referencia al dictamen 6/2014 sobre concepto de interés legítimo
del responsable del tratamiento de datos, para concluir que no es admisible en el
presente expediente, la existencia de protección de intereses vitales del interesado o de
otra persona física, al no tratarse de peligro de vida o muerte en caso de no tratarse los
datos, o en un peligro tangible cualificado con ello relacionado. Sin embargo, la posición
mantenida en el Informe Covid N/REF: 0017/2020 del Gabinete Jurídico de la AEPD, en
cuanto establece sobre el mismo concepto que “Dicha base jurídica del tratamiento (el
interés vital) puede ser suficiente para los tratamientos de datos personales dirigidos a
proteger a todas aquellas personas susceptibles de ser contagiadas en la propagación de
una epidemia, lo que justificaría, desde el punto de vista de tratamiento de datos
personales, en la manera más amplia posible, las medidas adoptadas a dicho fin, incluso
aunque se dirijan a proteger personas innominadas o en principio no identificadas o
identificables, por cuanto los intereses vitales de dichas personas físicas habrán de ser
salvaguardados, y ello es reconocido por la normativa de protección de datos
personales”.
- “Ausencia de beneficios económicos.” Se prevé la imposición de una multa a la
federación por una actuación en cumplimiento de una obligación impuesta legalmente y
de la que la misma no obtiene ningún tipo de beneficio económico. “La Federación
depende económicamente de las subvenciones anuales del Ministerio de Cultura y
Deportes”.
-Ausencia de vinculación de la actividad de la Federación con la realización de
tratamientos de datos de carácter personal. En este sentido, la LOPD, reconoce esa
circunstancia y así solo exige Delegado de Protección de Datos, a aquellas federaciones
deportivas, que traten datos de menores. Se destaca mucho en la resolución que no se
dio traslado al Delegado de Protección de Datos y que ello supone una conducta más
culpable, cuando por el contrario, la Ley no exige tener delegado de protección de datos,
cuando no se tratan datos de menores, como ocurría en este caso que eran todos
mayores de edad.(art.34 de la LOPDGDD).
- Falta de intencionalidad en la actuación de la Federación. La situación de pandemia,
carácter masivo de la vacunación, la diversidad legislativa entre las diferentes
comunidades autónomas sobre requisitos de acceso a los locales, que provocó una total
confusión a la hora de implementación de los mismos.
-Se solicita una agravación de la sanción por el hecho de que por parte de la Federación
se redacte el listado que solicita el CSD y se le de traslado a éste. Hay que señalar que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/33
en dicho listado no se distingue si están vacunados o no, la remisión del mismo es
necesaria para la finalidad para la que se solicitaron los datos y fueron remitidos a los
correos oficiales del CSD.
Todos los participantes eran conscientes y con dicha finalidad exhibieron o aportaron la
documentación, para figurar en el listado que el CSD exigía. En este sentido, “estimar
que la cesión o comunicación de los datos entre Administraciones Públicas, mientras se
lleve a cabo, precisa y únicamente, para alcanzar el fin o uno de los fines a los que
obedece la creación misma del fichero y la propia recogida de aquéllos, y no, por tanto,
para el ejercicio de competencias diferentes o de competencias que versen sobre
materias distintas, queda ya amparada por el consentimiento inicialmente prestado por el
titular de los datos para su recogida y tratamiento. Es decir, en tal caso, huelga la
necesidad de un nuevo consentimiento cuyo objeto específico sea aquella cesión o
comunicación.” Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección3ª)
Sentencia de 15 abril 2002. RJ 2002\4689.
-Señala que el propósito del tratamiento no era otro que cumplir con el mandato del CSD,
organismo autónomo de carácter administrativo a través del cual se ejerce la actuación
de la AGE en el ámbito del deporte, certificando las exigencias establecidas por el CSD,
siendo la finalidad ultima, la de que los alumnos pudieran realizar el examen de técnico
de tenis de mesa.
-No existía intencionalidad de infringir ninguna norma ni perjudicar derechos de los
asistentes
-“No existe reclamación por parte de ninguno de los alumnos que exhibieron o aportaron
la documentación, dado que ninguno de los miembros del curso que debían asistir al
examen sufrieron ningún tipo de daño o perjuicio, dado que voluntariamente comunicaron
los datos solicitados. Incluido el reclamante, que accedió al examen previa exhibición de
test negativo. Toda la documentación fue debidamente eliminada en cuanto se completó
el examen final. “
- No se ha tenido en cuenta el punto c) del mencionado artículo “cualquier medida
tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios
sufridos por los interesados”, dado que la RFETM trató de acomodar las exigencias del
Consejo Superior de Deportes a las manifestaciones en contra del reclamante,
entendiendo su posición y tratando de obtener nuevas alternativas sin menoscabar sus
derechos. Señalar, que el reclamante, el mismo día que dirigió formalmente su queja ante
la RFETM, interpuso reclamación ante la AEPD. La Federación, ajena de la interposición
de tal reclamación, se dirigió en varias ocasiones al reclamante para tratar de llegar a una
solución sin que el afectado sufriera ningún menoscabo en sus derechos, ofreciendo la
participación del servicio médico de la Federación, lo que supone en todo caso una
circunstancia atenuante y no agravante como se califica en la propuesta de resolución.
-Aporta copia del correo electrónico del CSD de 17/12/2021, “nuevas normas de acceso
CAR Madrid COVID 19”, dirigido a diversas Federaciones, entre otras la reclamada. En el
escrito indica que “será obligatorio para acceder”, “la Federación justificará la
presentación de test de antígenos negativo”, o “si existe ausencia de varios días por
competición”, siendo las responsables de certificar el resultado de estos test.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/33
HECHOS PROBADOS
1) El reclamante reclama que se iba a presentar a un examen el 20/11/2021 para
“entrenador de tenis de mesa” que había convocado la reclamada y se le exigió presentar
la pauta completa de vacunación contra la COVID 19. El lugar de realización de la prueba
fue elegido por la reclamada, en las instalaciones de la residencia “Joaquín Blume”,
Centro de Alto Rendimiento (CAR), titularidad del Consejo Superior de Deportes. La
prueba del examen, correspondía a la última de la parte presencial obligatoria, de una
convocatoria del curso nivel 1 de técnico deportivo de tenis de mesa. Fue convocada por
la circular 43, de 16/03/2021, temporada 2020/2021 y ya se determinaba la fecha
20/11/2021 como fecha de examen. Según los listados que aportó la reclamada en
pruebas, asistieron finalmente 32 alumnos, entre ellos el reclamante, todos ellos
federados según certifica, aunque no era requisito para examinarse.
2) El 14/10/2021, la reclamada recibió correo del CSD con copia a todas las
Federaciones deportivas en el que se notificaba una actualización de normas de acceso
al (CAR), Residencia, indicando que era necesaria la “pauta completa de vacunación” y
“si no se pudiera por alguna prescripción médica, sería necesario aportar un test de
antígeno o PCR de no más antigüedad de 24 horas”. También exigía la remisión de
listados “certificando la vacunación completa”, con los autorizados a la utilización de las
instalaciones-adjuntaba archivo para facilitar la información solicitada-, teniendo las
normas efectos a partir del 25/10/2021. En el correo se añadía que era debido a “ los
cambios en los protocolos del Covd-19 y ante la evolución de la pandemia y las medidas
preventivas que se han tomado”. La reclamada no disponía ni obtuvo copia del protocolo
y el CSD no remitió copia del mismo.
3) Ante la petición de pruebas del papel de la Delegación de Protección de Datos en la
reclamación, la reclamada indicó que no le dio conocimiento, al estimar que “era una
norma de obligado cumplimiento por parte de la Federación, considerando que no cabía
negociación o modificación alguna de la misma.”, tampoco figura que le diera
conocimiento de las reclamaciones del reclamante, indicando que si le dio noticia
“cuando tuvo conocimiento una vez la AEPD comunicó la reclamación interpuesta contra
la RFETM”
4) La reclamada- departamento de formación- comunicó el 15/10/2021, a los alumnos
que se iban a examinar, que el centro de examen, Residencia J. Blume, del CSD,
requería para acceder a realizar el examen, el “pasaporte COVID”, y “Necesitaríamos que
nos enviarais vuestro pasaporte COVID a este correo”(de formación, utilizado para
comunicarse con los alumnos). El reclamante envió un e mail en respuesta al mismo el
26/10/2021 señalando que para eso se precisa de base legitima, siendo datos de salud.
Respondió la Federación el 2/11 (dirección deportiva, con copia a formación) que el
requisito venía impuesto por el titular de la sede, CSD “dando opción de enviar el
documento al asesor médico de la Real Federación, el doctor… con el fin de que tus
datos médicos queden protegidos”, sin que el reclamado se acogiera a esta medida o
alternativa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/33
El día 8/11/2021, el reclamante pidió a la reclamada que se eliminaran los requisitos de
vacunación y se le respondió en escrito de 11/11/2021, que las condiciones venían
impuestas por el CSD, y que la RFETM no tenía competencia para la modificación de
dicho protocolo, existiendo “la posibilidad de alternativa como la presentación de PCR
negativa de las ultimas 72 horas” “que ya se le trató de exponer”.
Figura otro escrito de la reclamada al reclamante de 18/11/2021, reiterando que el
protocolo es del CSD para ofrecer garantías sanitarias a los asistentes, y proteger la
salud pública, reiterando la opción del test PCR a la pauta de vacunación con certificado.
5) Se acredita que el 17/11/2021, la reclamada informa a los alumnos en e mail “que
pueden enviar certificado de vacunación o test negativo” indicando la dirección de e mail:
***EMAIL.1.
6) La reclamada envió un listado al CSD el día 19/11/2021, de los alumnos que le habían
acreditado a la reclamada la presentación de “la vacuna o prueba diagnostica PCR
negativa en las 72h previas”, en forma de certificado, un total de 29, conteniéndose sus
nombres y apellidos y el NIF. Estos alumnos enviaron sus certificados de vacunación y
pruebas, sin distinguir la reclamada en el listado si es de uno u otro tipo. La reclamada
indica que los alumnos utilizaron dos direcciones de correo, ambas oficiales, de la
RFETM para remitirle los certificados de vacunación o el test negativo, ***EMAIL.3 y
***EMAIL.1, siendo el primero el usado como normal entre el responsable de formación y
los alumnos, el segundo, se les ofreció dos días antes del examen ante la necesidad de
obtener los datos necesarios para remitir el listado y que tuvieran acceso al examen. La
reclamada indica que la dirección ***EMAIL.2, como perteneciente según la reclamada a
un doctor asesor médico de la RFETM, se ofreció exclusivamente al reclamante en un e
mail de respuesta al reclamante el 2/11, pero no se utilizó.
Se desconoce el modo de envío y recepción del listado de 18/11/2021.
El día siguiente, también se comunica por la reclamada al CSD en un e mail, un total de
tres alumnos mas, entre ellos el reclamante, también con nombre y apellidos y NIF,
certificando que pueden acceder. El e mail se remite con copia a diversas direcciones,
entre otras, a una dirección Gmail, varias de dominio csd, entre ellas personal de
seguridad, y de distintas secciones de la reclamada.
7) El día del examen, el control de acceso fue realizado por el propio personal de
Seguridad destinado en la Residencia, y en el acceso, se presentó el reclamante y
exhibió certificado negativo del Test PCR, confirmando en e mail -hecho probado
anterior- la reclamada ese mismo día al CSD el permiso para el acceso.
8) De acuerdo con lo expresado por la reclamada, el acceso a la Residencia obedece a
un protocolo del CSD que establece obligaciones para no propagar el virus y preservar la
salud, mencionando los artículos 5, 15 y 16 de la Ley 2/2021 de 29/03, de medidas
urgentes de prevención contención y coordinación para hacer frente a la crisis sanitaria
ocasionada por el COVID-19, que no establecen la potestad de establecer la exigibilidad
de aportación de certificado de vacunación o prueba PCR.
La reclamada, como Federación, no consta que tuviera parte o interviniera en la decisión
de la imposición de la exigencia de la vacunación ordenada por el CSD en el correo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/33
14/10/2021 para acceso a la Residencia, aunque ha manifestado que fuera una “medida
consensuada”, también ha expresado que solo le cupo obedecer dicho requerimiento, si
bien tampoco consta que trasladara las varias quejas del reclamante al CSD ante dicha
imposición, (tres escritos) ni al DPD, pues ha manifestado la reclamada, que no dio a
conocer los hechos a este sino cuando tuvo entrada el primer escrito de la AEPD con la
reclamación.
9) La reclamada, pese a haber manifestado que el requisito de la certificación de la
vacunación o las pruebas PCR le viene impuesto por el CSD, titular de la instalación,
considera licito el tratamiento en base a:
-Los interesados dieron su consentimiento para “uno o varios fines”.
-El tratamiento es necesario para proteger intereses vitales de interesado o de otra
persona física.
-Ejecuta misión de interés público como agente colaborador de la Administración Pública
al ejercer funciones publicas de carácter administrativo (art 30.2 y 33-1-d) de la Ley
10/1990 de 15/10 del Deporte).
-Para el tratamiento de los datos especiales de salud, manifestó que se efectúa al
amparo del artículo 9.h) del RGPD, en base a la prevención de la salud de los empleados
de la RFETM y de la residencia, donde se celebraban las pruebas, con el fin de evitar la
propagación del virus.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este
procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
El reclamante, en el ejercicio de un derecho, titularse como entrenador de una modalidad
deportiva de la RFETM, ha de someterse el 20/11/2021 a un examen que realiza la
RFETM y que se celebra en unas instalaciones de la residencia “Joaquín Blume”, que
dependen del CSD. En el momento de presentar la solicitud para el examen no se
precisa estar Federado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/33
Las Federaciones ejercen diversas funciones en relación con el ámbito que les es propio,
potestades en las que actúan. La Ley 10/1990 de 15/10 del Deporte señala en su artículo
30:
“1. Las Federaciones deportivas españolas son Entidades privadas, con personalidad
jurídica propia, cuyo ámbito de actuación se extiende al conjunto del territorio del Estado,
en el desarrollo de las competencias que le son propias, integradas por Federaciones
deportivas de ámbito autonómico, Clubes deportivos, deportistas, técnicos, jueces y
árbitros, Ligas Profesionales, si las hubiese, y otros colectivos interesados que
promueven, practican o contribuyen al desarrollo del deporte.
2. Las Federaciones deportivas españolas, además de sus propias atribuciones, ejercen,
por delegación, funciones públicas de carácter administrativo, actuando en este caso
como agentes colaboradores de la Administración pública.”
Entre otras funciones, que se ejercen bajo la tutela y coordinación del CSD, figuraría la
de “ Colaborar con la Administración del Estado y la de las Comunidades Autónomas en
la formación de técnicos deportivos”. (art 33 1.d Ley del Deporte)
La aprobación de unas normas de protección sanitaria y de acceso a la residencia, han
de efectuarse, de acuerdo con lo dispuesto en las medidas generales de prevención e
higiene frente al COVID-19 indicadas por las autoridades sanitarias. En este caso, las
normas del CSD no están destinadas exclusivamente al personal que acude al examen,
son normas generales de acceso que se envían a todas las Federaciones por difusión
general. En las mismas, que se desconocen, se obligaba a aportar certificado de
vacunación con el fin de poder acceder a la misma.
El artículo 3 de la Ley Orgánica 3/1986, de 14/04, de Medidas Especiales en materia de
Salud Pública, es una norma de cobertura de las medidas sanitarias que comporten
alguna restricción de derechos fundamentales, en concreto, cuando dispone que "con el
fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de
realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el
control de los enfermos, de las personas que estén o hayan estado en contacto con los
mismos y del medio ambiente inmediato, así como las que se consideren necesarias en
caso de riesgo de carácter transmisible".
La Ley 2/2021 que menciona la RFTM establece protocolos en los que se contemplan
medidas de ventilación, limpieza y desinfección adecuadas a las características de los
centros de trabajo, entidades o titulares de actividades económicas. Esta Ley señala que
la adopción de medidas necesarias para su cumplimiento corresponderá a la
Adminsitración General del Estado con la colaboración de las Comunidades Autónomas.
Nada se indica de los certificados de vacunación ni de la obligatoriedad de pruebas de
diagnóstico de infección como es una PCR.
Tampoco en la CCAA de Madrid se ha dictado ninguna norma que desarrolle medidas de
prevención especificas como consecuencia de la evolución de la situación epidemiológica
derivada de la Covid-19, ni por tanto explicitas y concretas sobre exigencia de exhibición
documental de vacunación o prueba diagnóstica para acceder a establecimientos como el
lugar en el que se celebra el examen, al que es obligada la asistencia, con el fin de su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/33
realización. La Orden 1362/2021 de 21/10 de la Consejería de Sanidad, por la que se
modifica la Orden 1244/2021, de 1/10, por la que se establecen medidas preventivas para
hacer frente a la crisis sanitaria ocasionada por el COVID-19, aparte de medidas
preventivas y la no obligación de llevar mascarilla en el momento de realizar actividad
deportiva al aire libre, no determina aspecto alguno en cuanto a exigencia de aportar
certificado de vacunación o prueba diagnóstica.
LA RFETM indica que recogió certificados de vacunación y de pruebas que se enviaron a
dos direcciones e mails, uno de ellos el de formación, que estuvo operativo desde el
inicio, y otro que se puso en marcha a escaso tiempo de celebrarse el examen. Además
de recibirse tales certificados, se guardaron por un tiempo. Por otro lado, se
confeccionaron listas con datos al CSD, y el reclamante, además de encontrarse en una
de esas listas, accedió mostrando su prueba PCR.
De principio, se instaba por la reclamada a los deportistas a tener que enviar por e mail
su “pasaporte COVID”, término procedente de Reglamento 2021/953 del Parlamento
Europeo y del Consejo de 14/06/2021, o certificado COVID digital de la UE, que no se
especificaba que comprendía las pruebas PCR. Teniendo en cuenta que la opción de las
pruebas PCR, era limitada, pues han de tener una vigencia de 72 horas antes el examen,
se estima que se recogieron certificados de vacunación desde el aviso, 15/10/2021 y solo
72 horas antes se habrían recibido en su caso, las citadas PCR, estimando que la
mayoría, además por su gratuidad, serían certificados.
Siendo la regla general que la vacunación sea voluntaria, por lo demás, la “realización de
pruebas diagnósticas de infección para la detección del COVID-19 se limita a aquellos
casos en los que exista una prescripción previa por un facultativo y se ajusten a criterios
establecidos por la autoridad sanitaria competente.” (apartado segundo de la Orden SND/
344/2020 de 13/04 por la que se establecen medidas excepcionales para el refuerzo del
Sistema Nacional de Salud y la contención de la crisis sanitaria ocasionada por el
COVID-19, BOE ( 14/04/2020). Tal y como se indica en el preámbulo de esa norma, se
trata con ello de limitar la realización de las pruebas diagnósticas para la detección del
COVID-19 a aquellos casos en los que exista una prescripción previa por un facultativo y
se ajusten a criterios establecidos por la autoridad sanitaria competente, sometiendo de
esta forma el régimen de realización de esta clase de pruebas a la previa existencia de
criterios médicos que aconsejen su realización.
De existir esa indicación médica, podría discutirse el alcance de la obligación para los
asistentes a la residencia del CSD.
III
Sobre la base de los datos recabados de los asistentes al examen a través de
certificados de vacunación enviados a las direcciones email que recomendaba la RFETM,
dos, se ha producido un tratamiento de datos definido en el artículo 4.2 del RGPD como:
“cualquier operación o conjunto de operaciones realizadas sobre datos personales o
conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o modificación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/33
extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra
forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;”
También se ha enviado e mail y un escrito, ambos con listados completos de datos de
personas que se fueron a examinar el día 20/11/2021 por la reclamada, al CSD.
Por tanto, no ha habido mera exhibición del documento, o de documentos de los
asistentes al examen, por cuanto se han recogido, enviado, almacenado, verificado y se
han creado listas y enviado e mails con esos datos, sobre los que se ha certificado,
incluyendo al reclamante, sabiendo que cada uno ha aportado los datos requeridos, lo
que entra en el concepto de tratamiento de datos, por lo que le resulta de aplicación el
RGPD.
La opción alternativa menos intrusiva podría haber sido la mera exhibición el día del
examen, sin anotación alguna siquiera en la puerta de acceso el día del examen, de los
certificados o las pruebas franqueando el acceso.
En este caso, la reclamada trata de datos de salud definidos en el artículo 4.15 del
RGPD, que indica:
“datos relativos a la salud: datos personales relativos a la salud física o mental de una
persona física, incluida la prestación de servicios de atención sanitaria, que revelen
información sobre su estado de salud;”
Por su parte el Considerando (35) “Entre los datos personales relativos a la salud se
deben incluir todos los datos relativos al estado de salud del interesado que dan
información sobre su estado de salud física o mental pasado, presente o futuro. (…) todo
número, símbolo o dato asignado a una persona física que la identifique de manera
unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una
parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y
muestras biológicas, y cualquier información relativa, a título de ejemplo, a una
enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico,
el tratamiento clínico o el estado fisiológico o biomédico del interesado,
independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un
hospital, un dispositivo médico, o una prueba diagnóstica in vitro.”
El RGPD establece un concepto muy amplio de los datos de salud, y le otorga un régi-
men específico, el correspondiente a las denominadas “categorías especiales de datos” a
que se refiere el artículo 9 del texto normativo. Se denominan de esa manera porque su
tratamiento implica situaciones en las que surge un riesgo grave de protección de datos,
desde las consecuencias de que su uso indebido puede tener para las personas, y se
consideran tan perjudiciales que su tratamiento está prohibido a menos que se aplique
una excepción.
El artículo 9 del RGPD indica:
“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o
racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación
sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de
manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/33
sexual o la orientación sexual de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos
personales con uno o más de los fines especificados, excepto cuando el Derecho de la
Unión o de los Estados miembros establezca que la prohibición mencionada en el
apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de
derechos específicos del responsable del tratamiento o del interesado en el ámbito del
Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice
el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al
Derecho de los Estados miembros que establezca garantías adecuadas del respeto de
los derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física, en el supuesto de que el interesado no esté capacitado, física o
jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las
debidas garantías, por una fundación, una asociación o cualquier otro organismo sin
ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el
tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales
organismos o a personas que mantengan contactos regulares con ellos en relación con
sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el
consentimiento de los interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho
manifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base
del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al
objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y
establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de
la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o
tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia
sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en
virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y
garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud
pública, como la protección frente a amenazas transfronterizas graves para la salud, o
para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/33
los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los
Estados miembros que establezca medidas adecuadas y específicas para proteger los
derechos y libertades del interesado, en particular el secreto profesional,
j) el tratamiento es necesario con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89,
apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe
ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección
de datos y establecer medidas adecuadas y específicas para proteger los intereses y
derechos fundamentales del interesado.
3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados
en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a
la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el
Derecho de la Unión o de los Estados miembros o con las normas establecidas por los
organismos nacionales competentes, o por cualquier otra persona sujeta también a la
obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros
o de las normas establecidas por los organismos nacionales competentes.
4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive
limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos
relativos a la salud.”
Estas aplicaciones con excepciones pueden considerarse requisitos que solo limitan el
alcance de la prohibición, pero que, en si mismas y por si mismas, no ofrecen un motivo
de legitimación suficiente para el tratamiento. En este sentido, la aplicabilidad de las ex-
cepciones del artículo 9.2 a) a j) del RGPD no excluye la aplicabilidad de los requisitos
del artículo 6.1 del RGPD, y ambos cuando así proceda, deberán aplicarse acumulativa-
mente. Ello se traduce en la práctica en que aunque se acreditara que en el caso concre-
to existiera alguna circunstancia que levantara la prohibición de tratamiento de los datos
de salud, no es suficiente para su legalidad, exigiéndose un fundamento jurídico de los
que señala el artículo 6.1 del RGPD que establece los supuestos que permiten considerar
lícito el tratamiento de datos personales:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para
uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/33
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por
el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un
niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones
IV
Procede valorar las causas alegadas por la reclamada que levantarían el tratamiento de
los datos de salud, la reclamada señaló como tales:
-art. 9 h) del citado RGPD, con objeto de prevenir derechos de los trabajadores de la
RFETM y de la residencia de deportistas, y con los fines de utilidad social, ya dichos, de
prevención de propagación del virus, en unas instalaciones deportivas, la residencia de
deportistas del alto rendimiento “JOAQUIN BLUME”. También la existencia de personal
empleado de la residencia siendo una obligación de las empresas la aplicación de
medidas de prevención de riesgos laborales para preservar a salud y evitar propagar el
virus.
La reclamada aduce que dada la situación de pandemia, para la realización del examen
se establecieron “de conformidad con la normativa aplicable el seguimiento de un
protocolo sanitario” con objeto de preservar la salud de los participantes, miembros de la
residencia y miembros de la reclamada (trabajadores). El protocolo fue elaborado por el
CSD, sin disponer la reclamada de copia alguna, ni conocer su contenido, a pesar de
informar a esta AEPD que si había participado en el mismo. Así, el CSD mandó un e mail
a todas las Federaciones, aludiendo a dicha situación.
El CSD eludió responder tanto en el traslado como en las pruebas pedidas. A tal efecto,
la situación descrita es trasladable y equiparable a cualquier otra entidad pública en la
que se reciben visitas del público o además se prestan servicios públicos de primera
necesidad, dado que los asistentes van a efectuar un examen, no permanecerán allí más
tiempo que lo que dure la prueba, elemento que parece claro diferencia a los que residen
allí.
No cabe duda de que en la situación de crisis sanitaria ocasionada por la COVID-19, el
empleador está obligado a adoptar medidas extraordinarias encaminadas a prevenir
nuevos contagios de COVID-19 y estas medidas deben aplicarse atendiendo a los
criterios definidos por las autoridades sanitarias.
El procedimiento de actuación para los servicios de prevención de riesgos laborales
frente a la exposición al SARS COV-2, aprobado por el Ministerio de Sanidad, ya se ha
señalado, que prevé la práctica de las pruebas diagnósticas, previa prescripción
facultativa de los empleados y si no existe como regla general obligación para estos de
efectuarse prueba alguna o aportar certificado de vacunación en el desempeño de sus
puestos, no se entiende porque para un tercero ajeno a ese círculo le sea exigible en
base a dicha norma, o se esgrima para la protección de aquellos. Sirva como ejemplo
que para los colectivos de los técnicos de transporte de ambulancia no existía norma
alguna, entre ellas de prevención de riesgos laborales, que obligase a realizar a la
empresa a realizar la prueba de detección del COVID 19 (STS sala cuarta, de lo social,
sentencia 562/2021 de 20/05).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/33
Estas normas de prevención de riesgos laborales o de protección social no aplican
cuando el tercero que se va a examinar no es empleado y por tanto no es sujeto de
derecho de prevención de riesgos laborales que se le deba aplicar. Igualmente, no se
aprecia la nota de la necesidad, cuando la información sobre una posible inmunidad
frente a la enfermedad no contribuye significativamente a la protección del resto de
personal o de la propia persona, en la medida en que los protocolos de prevención de
riesgos adoptados por las autoridades sanitarias y laborales se aplican por igual a todo el
personal, orientándose por lo que se refiere a la presencia de infección a los casos
sospechosos.
En cuanto al interés vital alegado del artículo 9.2 c) “el tratamiento es necesario para
proteger intereses vitales del interesado o de otra persona física, en el supuesto de que
el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;”, no
parece el caso en que los asistentes si podían dar el consentimiento.
Por tanto, se estima que no concurre causa alegada que levantaría la prohibición del
tratamiento de datos especiales, estimándose que se ha infringido el artículo 9.2 del
RGPD.
V
Ahora procede valorar las bases legitimadoras acumulativas al tratamiento de los datos
de salud alegadas por la reclamada incluidas en el artículo 6.1 del RGPD. La base
legitimadora aplicable debe determinarse antes de comenzar el tratamiento y se debe
documentar. En el aviso de privacidad o información del tratamiento de datos a los
sujetos a los que se les recogen, se debe incluir la base legal para el tratamiento y la
finalidad del mismo.
Los alumnos que se presentan al examen tienen una relación jurídica con la reclamada,
orientada a la realización de los exámenes y la obtención del titulo. Cada alumno
formalizó su instancia y pagó lo establecido, sometiéndose al proceso de examen de cara
a tener la titulación tras los sucesivos procesos de examen a los que se han sometido.
La RFTM alude como la base jurídica que permite el tratamiento de los datos de las
personas que se van a examinar, que cumplen “al menos una de las siguientes
condiciones: “el interesado dio su consentimiento para uno o varios fines específicos,
como es el caso, el tratamiento es necesario para proteger intereses vitales del
interesado o de otra persona física, objetivo final del protocolo”.
El considerando 42 del RGPD indica: “…El consentimiento no debe considerarse
libremente prestado cuando el interesado no goza de verdadera o libre elección o no
puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.”
El artículo 4.11 del RGPD define:
“consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración
o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/33
En cuanto al consentimiento que manifiesta ha obtenido la RFETM por el hecho de que
ha habido personas que presentaron su certificado de vacunación, enviándolo por e mail
a la dirección habilitada, o lo exhibieran al acceder, no sería valido dicho consentimiento
si su no aportación va a tener consecuencias negativas como el no acceso al examen,
como es el caso, de modo que no puede calificarse como voluntad libre en su prestación
al estar condicionado por esas consecuencias. La reclamada ha de certificar en todo caso
que se cuenta con un elemento, la vacunación, o se ha practicado un test PCR negativo
en las 72 horas anteriores al examen. De cualquiera de las formas, se requieren datos de
salud de la persona que se va a examinar, datos que por el mero hecho de certificarse,
seguirán siendo datos de salud. Por ello, resulta indiferente que no consten o se
diferencien los que aportaran certificado de vacunación o prueba de antígenos. En todo
caso, y así lo advirtió la reclamada al reclamante, si no se aportaba cualquiera de los dos,
el acceso no era posible, y por tanto la realización de la prueba, al estar vetado su
acceso, convirtiéndose en una norma de acceso general para cualquier persona que el
CSD había instaurado, que afectaba a los deportistas que allí residían, pero también a los
que accedían, por cualquier motivo, en este caso, para la realización de una prueba de
examen. Así pues, “El consentimiento no debe considerarse libremente prestado cuando
el interesado no goza de verdadera o libre elección o no puede denegar o retirar su
consentimiento sin sufrir perjuicio alguno” (considerando 42).
En general, el consentimiento solo puede ser una base jurídica adecuada si se ofrece al
interesado control y una capacidad real de elección con respecto a si desea aceptar o
rechazar las condiciones ofrecidas o rechazarlas sin sufrir perjuicio alguno. Aquí, además
se daba la opción de poder enviar por e mail a una dirección de formación y de dirección
técnica los certificados o pruebas, a lo que se añadía el envío de listados con los datos
de nombre y apellidos y DNI a otro grupo de empleados del CSD. Los que entregaron el
certificado a través del e mail se encontraban en esa situación, siendo lo cierto que
cuando solicita el consentimiento, el responsable del tratamiento tiene la obligación de
evaluar si dicho consentimiento cumplirá todos los requisitos para la obtención de un
consentimiento válido. La implementación del consentimiento como base jurídica del
tratamiento debe estar sujeta a requisitos estrictos ya que afecta a los derechos
fundamentales del interesado y el responsable del tratamiento desea realizar una
operación de tratamiento que sería ilícita sin el consentimiento del interesado.
También considera que, al haber llevado a cabo la formación de técnicos deportivos, se
ha “Colaborado con la Administración” “bajo la tutela y coordinación del CSD”,
considerando que ejerce por delegación funciones públicas de carácter administrativo,
actuando como agente colaborador de la Administración Pública, lo que incluiría el
acceso a la sede que el CSD programa como necesario aportar el certificado de
vacunación o PCR. Estima la reclamada que podría estar amparada en la base del
artículo 6.1.e) del RGPD que señala: “El tratamiento es necesario para el cumplimiento
de una misión realizada en interés público o en el ejercicio de poderes públicos
conferidos al responsable del tratamiento”
Sobre la relación jurídica tendente a la obtención del título de entrenador, las partes
desenvuelven una relación, en el curso de la cual, por acudir a realizar el examen a una
concreta sede, se les requiere por el titular de esa sede, en este caso una entidad
administrativa tuteadora, el CSD, la aportación de datos de salud.
Parece claro que cuestiones como el régimen de impugnación de preguntas en el
examen, calificación de ejercicios, y su impugnación, o en alguna medida la expedición
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/33
de los títulos si tienen clara relación directa con la formación y obtención del título.
Pero en este caso concreto, las normas de acceso que no pone en tela de juicio la
reclamada, serían comunes para cualquier persona, no por realizar el examen sino por el
hecho de acceder, con lo que no se deduce su intrínseca relación legitima y necesaria
con la realización de la pruebas. Aunque se pueda apreciar que la función está
caracterizada por la nota que aduce la reclamada, el acceso a la Residencia se sujeta a
las normas comunes para el resto de las personas, por lo que dicha función no llega a
incidir en el régimen de acceso establecido por el CSD para legitimar el tratamiento de los
datos con tal consideración.
Por otra parte, no es posible “acumular bases jurídicas con el mismo fin”, ni pasar de una
base jurídica a otra o utilizar retrospectivamente otra base cuando se encuentre con
problemas para justificar los problemas de validez de la anterior base, debiendo ser la
aplicación y selección de la base debidamente informada a los afectados cuando se le
recogen los datos. Los responsables deben decidir cuál es la base jurídica aplicable
antes de recoger los datos.
En cuanto a la base jurídica para el tratamiento por interés vital, “necesario para proteger
intereses vitales del interesado o de otra persona física”, en este caso, el personal que
atiende la realización de las pruebas, o el personal de la residencia que pueda guardar
relación con las pruebas.
El Considerando (46) del RGPD ya reconoce que en situaciones excepcionales, como
una epidemia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el
interés público, como en el interés vital del interesado u otra persona física.
(46) El tratamiento de datos personales también debe considerarse lícito cuando
sea necesario para proteger un interés esencial para la vida del interesado o la de
otra persona física. En principio, los datos personales únicamente deben tratarse
sobre la base del interés vital de otra persona física cuando el tratamiento no
pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de
tratamiento pueden responder tanto a motivos importantes de interés público
como a los intereses vitales del interesado, como por ejemplo cuando el
tratamiento es necesario para fines humanitarios, incluido el control de epidemias
y su propagación, o en situaciones de emergencia humanitaria, sobre todo en
caso de catástrofes naturales o de origen humano.
El artículo 6.1.d) del RGPD considera no solo que el interés vital es suficiente base
jurídica del tratamiento para proteger al “interesado”, en este caso la persona que se
presenta al examen, sino que dicha base jurídica pueda ser utilizada para proteger los
intereses vitales “de otra persona física”, lo que por extensión supone que puedan ser
tanto personas no identificadas o identificables, como innominadas, en cuanto a ostentar
un interés digno de ser salvaguardado. Además, no se desprende conforme señala el
artículo 6.3 del RGPD de que la necesidad de que la base del tratamiento por razón de
interés vital haya de ser establecida por el derecho de la Unión o el derecho de los
Estados Miembros aplicables al responsable del tratamiento.
Analizada esta base de legitimación, se considera que ampararía el tratamiento originado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/33
por la situación de pandemia en el concreto marco de la realización de un examen oficial
para la obtención de la titulación de entrenador en una residencia de deportistas, por lo
que la infracción imputada del artículo 6.1 del RGPD ha de ser archivada.
VI
La infracción aparece tipificada en el artículo 83.5.a) del RGPD, que indica:
5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
A efectos de prescripción en la LOPDGDD, su artículo 72.1) señala:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
“e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9
del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas
en dicho precepto y en el artículo 9 de esta ley orgánica.”
VII
Los apartados d) e i) del artículo 58.2 del RGPD disponen lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de
una determinada manera y dentro de un plazo especificado;”
“i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/33
En este caso, se acude al procedimiento sancionador de multa administrativa, dada la
categoría de los datos que se recogen y los riesgos de los derechos y libertades que con
ellos resultan comprometidos.
VIII
La Ley 10/1990 de 15/10, del Deporte, señala en su artículo 30.2:
“Las Federaciones deportivas españolas, además de sus propias atribuciones, ejercen,
por delegación, funciones públicas de carácter administrativo, actuando en este caso
como agentes colaboradores de la Administración pública.”
Sobre la alegación de que la reclamada ha de considerarse que es agente colaborador,
en el ejercicio de poderes públicos en las labores de la convocatoria para la formación de
sus técnicos, que se prevén en la ley 10/1990 del Deporte (art. 33.1.d), se ha de indicar
como ya se ha mencionado, que el lugar de celebración del examen, que condicionaba la
aportación de la vacunación es un elemento accesorio de dicha competencia, no se impo-
ne por la norma la celebración en dicho lugar, sino que eran unas normas generales para
acceder, a cualquier miembro, de cualquier Federación, no ligadas de modo especifico a
la realización de ninguna prueba relacionada con los cursos de formación. De tal modo,
que se podía haber elegido otro que no hubiese impuesto ese requisito de limitación de
derechos, o haber seleccionado uno propio directamente, y ello no convierte a la recla-
mada en sujeto de los que se mencionan en el artículo 77 de la LOPDGDD, que indica:
“1. El régimen establecido en este artículo será de aplicación a los tratamientos de los
que sean responsables o encargados:
d) Los organismos públicos y entidades de Derecho público vinculadas o dependientes
de las Administraciones Públicas
g) Las corporaciones de Derecho público cuando las finalidades del tratamiento se
relacionen con el ejercicio de potestades de derecho público.
2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen
alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica,
la autoridad de protección de datos que resulte competente dictará resolución
sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las
medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la
infracción que se hubiese cometido.”
Por lo demás, una Federación Deportiva, aún si ejerciera las funciones que señala la
reclamada, tampoco se hallaría calificada como corporación de derecho público, según
ya reconoció la sentencia del Tribunal Constitucional 67/1986 de 24/05/1985, recurso
364/1983, lo que hace doblemente inviable la aplicación del citado régimen.
En cuanto a la alegación de que la imposición de la petición del certificado de vacunación
le venía impuesta del organizador, CSD, no consta que elevara cuestión alguna que fue
planteada con precisión por el reclamante en al menos tres ocasiones, asumiendo como
propia la petición y solicitándola, y estableciendo los medios propios para llevar a cabo su
tratamiento, recogiendo y almacenando los datos, además de confeccionando listados
que se enviaron al CSD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/33
IX
La determinación de las sanciones que procede imponer en el presente caso, exige ob-
servar las previsiones de los artículos 83.1) y .2) del RGPD, preceptos que, respectiva-
mente, disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento indicadas
en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disua-
sorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo
58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su
cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número
de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los ar-
tículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la in-
fracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular
si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mis-
mo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certifi-
cación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamen-
te, a través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: “Sanciones
y medidas correctivas”:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/33
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de
la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3.Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las
restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE)
2016/679.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer en el presente caso, tipificada en el artículo 83.5.a) del RGPD, de la que
se responsabiliza a la RFETM, para la infracción del artículo 9.2 del RGPD, se estiman
concurrentes en calidad de agravantes los siguientes factores que revelan una mayor
antijuridicidad y/o culpabilidad en la conducta de la reclamada:
- Artículo 83.2 g) “las categorías de los datos de carácter personal afectados por la
infracción” se han recabado datos de salud para los que se precisa efectuarse
activamente, bien una acción, vacunación, con la que se obtiene un certificado, bien una
prueba de detección de infección, con el fin de poder realizar los exámenes. Estos datos,
además se comunicaron a una dirección de e mail de formación de la reclamada, y a otra
de la misma entidad, siendo guardados y también fueron comunicados en e mail al CSD
a distintos colectivos con copia.
- Artículo 83.2 d) “el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado
en virtud de los artículos 25 y 32”, considerando la naturaleza referida a los datos de
salud que intrínsecamente suponen una excepción a su tratamiento, objeto de
interpretación restrictivo, y esa restricción no ha sido considerada en el diseño del
tratamiento, como pone de manifiesto que las quejas del afectado ni fueran trasladadas ni
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/33
valoradas por la DPD, respondiendo que eran normas impuestas. Disponiendo de una
DPD, que los datos afecten a menores de edad para que esta participe solo en esos
casos, no se adecua al establecimiento de dicha figura.
Sobre la supuesta falta de culpabilidad de la reclamada, el artículo 28 de la Ley 40/2015,
de 1/10 de régimen jurídico del sector público, señala: “1. Sólo podrán ser sancionadas
por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así
como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las
uniones y entidades sin personalidad jurídica y los patrimonios independientes o
autónomos, que resulten responsables de los mismos a título de dolo o culpa.”
La jurisprudencia del Tribunal Supremo, en línea con la del Tribunal Constitucional, ha
establecido que la potestad sancionadora de la Administración, en tanto que
manifestación del ius puniendi del Estado, se rige por los principios del Derecho penal,
siendo principio estructural básico el de culpabilidad, incompatible con un régimen de
responsabilidad objetiva, sin culpa
El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento de la
culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable
administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o impruden-
cia, negligencia o ignorancia inexcusable.”
Esta exigencia de culpabilidad en el ámbito de los ilícitos administrativos ha sido reiterada
hasta la saciedad por la jurisprudencia del Tribunal Supremo. Así, las SSTS de 12 (féc.
388/1994) y 19/05/1998, Sección Sexta, afirman que en el ámbito sancionador "está ve-
dado cualquier intento de construir una responsabilidad objetiva" y que "en el ámbito de
la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica,
sino que también es necesario que sea culpable, esto es, consecuencia de una acción u
omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcu-
sable (...) es decir, como exigencia derivada del artículo 25.1 de la Constitución , nadie
puede ser condenado o sancionado sino por hechos que le puedan ser imputados a título
de dolo o culpa (principio de culpabilidad)".
A la vista de la Jurisprudencia expuesta, procede concluir que cuando se produce una
actuación que pudiera incurrir en una infracción administrativa, debe examinarse a
efectos de no proceder a iniciar un procedimiento sancionador de manera automática. Si
bien no es necesario el dolo o la culpa en la comisión de una infracción, sino basta con la
mera negligencia para poder exigir responsabilidad al infractor, no es menos cierto que,
tal y como afirma el Tribunal Constitucional “más allá de la simple negligencia, los hechos
no pueden ser sancionados”.
En el presente caso, la reclamada indicaba a los alumnos que había aprobado un
protocolo junto con el CSD, y hasta en tres ocasiones contestó la reclamada a las
peticiones del reclamante que ponía en duda la base legitimadora del tratamiento de
datos de la COVID 19, sin conocer la reclamada la normativa que manifiesta era
aplicable, del CSD, y prefiriendo en definitiva el sacrificio de los propios derechos,
pidiendo se realizaran la vacunación o abonar una PCR, antes que aclarar la base de la
citada obligatoriedad como imposición, pudiendo haber paralizado el proceso ante la
invasión de los derechos de los asistentes a las pruebas, estimando la prevalencia de los
mismos. Se considera pues, que si existe culpabilidad en la conducta de la reclamada.
Considerando las circunstancias, se considera una cuantía de la multa de 10.000 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/33
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la REAL FEDERACIÓN ESPAÑOLA DE TENIS DE MESA, con
NIF Q2878038E, por:
- Una infracción del artículo 9.2 del RGPD, de conformidad con el artículo 83.5.a) del
RGPD, y a efectos de prescripción en el artículo 72.1.e) de la LOPDGDD, una multa
administrativa de 10.000 euros.
SEGUNDO: NOTIFICAR la presente resolución a REAL FEDERACIÓN ESPAÑOLA DE
TENIS DE MESA.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art.
98.1.b) de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12,
mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que
figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-
0000-0000-0000-0000-0000, abierta a nombre de la Agencia Española de Protección de
Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre
los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario
será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre
los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del
segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el
día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional
cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación
de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/33
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el
caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a
la Agencia Española de Protección de Datos, presentándolo a través del Registro
Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de
alguno de los restantes registros previstos en el art. 16.4 de la citada LPCAP. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del
recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
938-181022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es