1/21
Expediente N.º: EXP202105680
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 24/11/2021 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra
FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA con NIF G45046455 (en
adelante, la parte reclamada).
Se reclama que la reclamada solicita y trata datos de salud de los participantes en sus
competiciones, discriminando en razón de dichos datos, dado que vinculan el uso de
mascarillas en el desarrollo de sus competiciones con la presentación del correspondiente
certificado de vacunación contra la COVID-19, o bien la presentación de pruebas de antígenos.
Señala asimismo que no informan sobre el plazo de conservación de datos y demás aspectos
previstos en el artículo 13 del RGPD y carecen de Delegado de Protección de Datos.
Aporta:
-impresión de pantalla con el logo de la reclamada, no se aprecia fecha, que informa que se
“ha votado en Asamblea la nueva normativa en el uso de la mascarilla en las competiciones”,
“Se podrá decir adiós a ella siempre que los jugadores o jugadoras presenten su certificado de
vacunación con la pauta completa en todas las categorías -en categoría escolar no será
necesario presentar la pauta de vacunación por el momento-.
Aquellos que aún no hayan recibido la doble pauta de vacunación podrán competir sin
mascarilla siempre que se realice un test de antígenos 48 horas antes del partido y presentar el
resultado de la prueba. Para cualquier duda sobre la normativa podéis contactar vía email con
la Federación.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD),
se dio traslado de dicha reclamación a la parte reclamada el 23/12/2021, para que procediese a
su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo
para adecuarse a los requisitos previstos en la normativa de protección de datos. Se solicitaba
en concreto:
“1.- La base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición
para tratar categorías especiales de datos, según el artículo 9 del RGPD.
2.- La finalidad del tratamiento.
3.- Las garantías adecuadas implementadas para la protección de los derechos y
libertades de las personas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/21
4.- Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información
facilitada a éstos sobre el tratamiento de los datos.
5.- La Evaluación de Impacto realizada o motivos por los que no se ha realizado (para
conocer la lista de tratamientos de datos personales que requieren una evaluación de
impacto, así como cualquier otra información relacionada con las evaluaciones de impacto,
puede consultar la herramienta “Gestiona EIPD” en https://www.aepd.es/es/guias-y-
herramientas/herramientas/gestiona-eipd)
6.- La decisión adoptada a propósito de esta reclamación.
7.- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
8.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias
similares, fechas de implantación y controles efectuados para comprobar su eficacia.
9.- Cualquier otra que considere relevante.”
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP),
fue recogido en fecha 23/12/2021 como consta en el acuse de recibo que obra en el
expediente.
Con fecha 27/01/2022, se recibe en esta Agencia escrito de respuesta, indicando:
a) Como base jurídica del tratamiento: “El tratamiento de datos personales a que se refiere la
reclamación es regulado por el Reglamento 2021/953 del Parlamento Europeo y del Consejo
relativo a un marco para la expedición, verificación y aceptación de certificados COVID-19
interoperables de vacunación, de prueba diagnóstica y de recuperación-certificado COVID digital
de la UE-, a fin de facilitar la libre circulación durante la pandemia de COVID-19”, con “la
información que debe contener el certificado sobre la vacunación, resultado de una prueba
diagnóstica o la recuperación de la enfermedad del interesado”. Conviene en que son datos de
salud incluidos en el artículo 9.1 del RGPD. Reproduce el considerando 46 del RGPD que alude
a diversas circunstancias que pueden habilitar la licitud del tratamiento, destacando: “cuando el
mismo sea necesario para proteger un interés público esencial sobre la base del Derecho de la
Unión Europea o de los Estados miembros, el cual deberá ser proporcional al objetivo
perseguido”, y la “Protección de intereses vitales del interesado o de otra persona física”, “está
justificada, en tanto en cuanto la situación vivida durante estos dos últimos años ha sido
excepcional, implicando un alto número de fallecidos, así como múltiples efectos secundarios
menos visibles en las cifras, provocados por el SARS-COV-2.” “Dicha base legitimadora, está
regulada por el Derecho de la Unión Europea, debido a que el responsable simplemente ha
tratado datos que ya se encuentran regulados por el Reglamento (UE) 2021/953, instrumento
normativo que tiene efecto directo de aplicación en España.”
b) En cuanto a finalidad del tratamiento: es “implementar las medidas que este responsable
tiene a su disposición, de acuerdo con la normativa actual” “limitada a que se cumplan las
medidas sanitarias y de prevención exigidas, tanto por la normativa europea, como nacional o
autonómica. Dicho certificado de vacunación regulado por la normativa, y los datos obrantes en
el mismo, solo serán utilizados para garantizar la práctica del deporte con seguridad, de acuerdo
con las herramientas sanitarias y científicas que se ostentan hasta el momento”
Entiende que dicho tratamiento de datos personales cumple con los principios de eficacia,
necesidad y proporcionalidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/21
c) Como garantías implementadas para la protección de los derechos y libertades de las
personas, manifiesta que el 26/10/2021, creó el registro de actividades de tratamiento-RAT- que
aporta en documento 2. En el mismo no figura la referencia del DPD, constando el tratamiento
“FEDERADOS” y el de “CERTIFICADO SANITARIO COVID 19” en el que destaca:
“Descripción de la finalidad y tipificación de la finalidad: Protección de intereses vitales del
interesado o de otra persona física. De acuerdo con la base legitimación que ampara dicho
tratamiento de datos personales, la finalidad estará limitada a que se cumplan las medidas
sanitarias y de prevención exigidas, tanto por la normativa europea, como nacional o
autonómica. Dicho certificado de vacunación regulado por la normativa, y los datos obrantes en
el mismo, solo serán utilizados para garantizar la práctica del deporte con seguridad de acuerdo
con las herramientas sanitarias y científicas que se ostentan hasta el momento.
“Plazo de conservación: Los datos se conservarán durante el tiempo necesario para cumplir con
la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se
pudieran derivar de dicha finalidad y del tratamiento de los datos. No obstante, en dicho sentido,
de acuerdo con lo establecido en el propio Reglamento (UE) 2021/953, en su art. 17, no se
conservarán dichos datos más allá de la fecha de 30 de junio de 2022, por falta de aplicación
desde esa fecha.”
“Base jurídica de licitud o legitimación: Art. 6.1 d) Protección de intereses vitales del interesado o
de otra persona física. En este tratamiento los intereses vitales a proteger son los de las
personas que practican el deporte de Balonmano, bajo el ámbito de actuación de la Federación,
cuyo ámbito queda circunscrito a la Comunidad Autónoma de Castilla La Mancha y solo en
referencia a la práctica de dicho deporte por todas las personas federadas.”
“Tipología o categoría de datos de carácter personal: Datos especialmente protegidos: Datos de
salud,
d) Sobre la información facilitada a los interesados sobre el tratamiento, no señala nada.
e) Sobre la EIPD, estima que “no resulta preceptivo hasta el momento realizar una evaluación
de impacto, sin perjuicio de la necesidad de adoptar otras medidas de seguridad.”
f) En cuanto a la decisión adoptada a propósito de la reclamación, manifiesta que “han finalizado
dicha actividad de tratamiento”, debido al cambio de situación epidemiológica, así como la
aparición de variantes, que “está llevando a las autoridades a reconsiderar que dicho pasaporte
COVID tiene menor eficacia, lo que implica que el principio de eficacia, necesidad y
proporcionalidad que requiere dicho tratamiento no sea superado.”
Manifiesta que se ha nombrado DPD externo a la entidad con fecha 26/01/2022.
Manifiesta que “debe apreciarse, que la FEDERACIÓN DE BALONMANO DE CASTILLA LA
MANCHA, proporcionó varias opciones para poder practicar dicho deporte de forma segura
cumpliendo los protocolos exigibles en dicho momento, no siendo la única opción la de compartir
el CERTIFICADO COVID, sino que como se acredita en los distintos documentos adjuntados,
había distintas vías como la de realización de una prueba PCR o antígenos 48 antes.”
g) Sobre las causas que han motivado la incidencia que origina la reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/21
Manifiesta que “la reclamación notificada a esta parte tiene su origen en la decisión alcanzada
con fecha de 25/10/2021, por la Asamblea de la FEDERACIÓN DE BALONMANO DE CASTILLA
LA MANCHA, recogida en Acta”, que adjuntan en DOCUMENTO nº4. “Se acordó en el punto nº
1, la decisión de exigir los siguientes requisitos para la práctica de dicho deporte por los
federados de 14 años en adelante: “…se determina que a partir de la fecha el asunto de la
mascarilla quedará de la siguiente manera:” “Podrán jugar sin mascarilla las niños y niñas que o
bien presenten el certificado COVID (dos pautas completas o una pauta si se ha pasado la
enfermedad) o bien presenten una prueba de antígenos negativa 48 horas antes del encuentro.
En caso de que exista algún miembro del equipo (incluido el cuerpo técnico) que no presente lo
solicitado anteriormente, dicho equipo tendrá que llevar mascarilla”. “(Los menores de 12 años
que dependen directamente de la JCCM no tienen que cumplir dicha regla)” “Respecto a esta
última afirmación, la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, aclara que
la edad mencionada fue una errata recogida en acta, ya que el Responsable no tiene
competencias sobre los menores de 14 años” “las categorías escolares (hasta los 14 años), se
rigen por las instrucciones directas de la Junta de Comunidades de Castilla La Mancha.” “A los
Clubes pertenecientes a la Federación, se comunicó el 29 del mismo mes, con nota aclaratoria
de 4/11/2021, “las formas de poder jugar“ “sin mascarilla, subiendo el certificado COVID a la
página de la Federación”, o “sin mascarilla, realizando una PCR con resultado negativo 48 horas
antes del encuentro-se certificará de la manera explicada anteriormente)”, y “con mascarilla si
no se cumple alguno de los dos requisitos anteriores” aportan doc 6, nota informativa de
4/11/2021 a los equipos indicando que el proceso se realizaba a través del correo electrónico de
la Federación, mandando “fotografía del test y certificado de que el test ha dado negativo”, a
continuación señala que también puede jugar sin mascarilla, “subiendo el certificado COVID a la
página de la Federación”
-Aporta también “protocolo juego seguro sin mascarilla-temporada 21/22”” insertar certificado
vacunación categoría senior y juvenil-pauta completada” en documento 7, indicándose:
“Cada jugador/entrenador/delegado juvenil o senior, debe entrar en el siguiente enlace
***URL.1”” Código de club se lo tendréis que dar vosotros. Se encuentra en la intranet de cada
equipo y todos los jugadores que tengan ficha en vigor con ese club podrán meter el certificado
sin problema.”, continua con los campos de DNI-NIE pasaporte, fecha de nacimiento, clic de
acceder. A continuación, “seleccionar y guardar el certificado de vacunación”.
“la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, implementó dichas
opciones a efectos de cumplir con lo establecido en el Real Decreto-ley 30/2021, de 23/12, por
el que se adoptan medidas urgentes de prevención y contención para hacer frente a la crisis
sanitaria ocasionada por la COVID-19, en concreto lo establecido en su art. 6.2, en el que se
establece la obligación de utilizar mascarilla en recintos y espacios públicos cerrados. Espacios
y recintos cerrados en los que se celebra siempre dicho deporte.”
h) Sobre las medidas adoptadas, y controles efectuados para comprobar su eficacia, señala las
fechas del registro de actividad de tratamiento, la de designación del DPD, y realización de
análisis de EIPD.
TERCERO: Con fecha 24/02/2022, de conformidad con el artículo 65 de la LOPDGDD, se
admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO Con fecha 26/10/2022, la directora de la AEPD acordó:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/21
“Iniciar procedimiento sancionador a la reclamada, por la presunta infracción del RGPD en los
siguientes artículos:
-9, de conformidad con el artículo 83.5.a) del RGPD y a efectos de prescripción en el artículo
72.1.e) de la LOPDGDD.
-13, de conformidad con el artículo 83.5.a) del RGPD y a efectos de prescripción en el artículo
72.1.h) de la LOPDGDD
“A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimiento
Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACP), la sanción
que pudiera corresponder sería de:
-10.000 euros por una infracción del artículo 9 del RGPD.
-7.000 euros por una infracción del artículo 13 del RGPD.”
QUINTO: El Acuerdo de inicio fue notificado al representante de la reclamada, sin que se
recibieran alegaciones.
SEXTO: Con fecha 12/06/2023, se emite propuesta de resolución con el literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione a
FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, con NIF G45046455, por la
infracción del RGPD, artículos:
- 9 del RGPD, de conformidad con el artículo 83.5.a) del RGPD, y a efectos de prescripción
calificada como muy grave en el artículo 72.1. e) de la LOPDGDD, con una multa administrativa
de 10.000 euros.
- 13 del RGPD, de conformidad con el artículo 83.5 b) del RGPD, y a efectos de prescripción
calificada como muy grave en el artículo 72.1.h) de la LOPDGDD, con una multa administrativa
de 7.000 euros. “
Notificado el 12/06/2023, figura aceptada el mismo día.
Con fecha 26/06/2023, la reclamada efectúa alegaciones, indicando que el expediente estaría
caducado conforme lo señalado en el artículo 21 de la LPACAP, al mencionar la obligación de la
Administración en dictar la resolución e informar sea cual sea su forma de iniciación, admitiendo
que la incoación del procedimiento sancionador se produjo el 27/10/2022 “si bien la propuesta
de resolución ha tenido lugar el 12/06/2023”
Subsidiariamente solicita que no se sancione en base a que las infracciones estarían prescritas.
SEXTO: Se declaran acreditados lo siguientes
HECHOS PROBADOS
1) La reclamante reclama contra la reclamada el 24/11/2021 porque para la práctica del deporte
en la competición del ámbito de Castilla La Mancha, se le exige que suba a la web de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/21
reclamada el certificado de vacunación contra la COVID con la pauta completa, o bien un
certificado de haberse recuperado de la enfermedad o una prueba de antígeno con resultado
negativo 48 horas antes de la celebración del encuentro deportivo.
2) Con fecha 23/12/2021, se traslada la reclamación a la reclamada, que recoge la notificación el
mismo día, respondiendo a la AEPD el 27/01/2022. En su respuesta, entre otras
manifestaciones, indica que debido a la evolución de la situación epidemiológica y a la aparición
de variantes o la eficacia, ha dejado de tratar los datos relacionados con la COVID para poder
participar en las competiciones.
3) La Asamblea de la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA, con fecha
de 25/10/2021, decidió exigir a los federados de 14 años en adelante y a los entrenadores y
delegados (todos los miembros del equipo) para la práctica de dicho deporte en la competición,
la posibilidad de jugar sin mascarilla (siempre es en espacios cerrados, no en el exterior) si bien
solo a los que presenten el certificado COVID (dos pautas completas o una pauta si se ha
pasado la enfermedad) o bien presenten una prueba de antígenos negativa 48 horas antes del
encuentro.
Esa información se trasladó a los Clubes pertenecientes a la Federación, el 29/10/2021, con nota
aclaratoria de 4/11/2021, indicando que el proceso se realizaba a través del correo electrónico
de la Federación, mandando “fotografía del test y certificado de que el test ha dado negativo”, a
continuación, señala que también puede jugar sin mascarilla, “subiendo el certificado COVID a la
página de la Federación”
4) La reclamada aportó “protocolo juego seguro sin mascarilla-temporada 21/22””insertar
certificado vacunación categoría senior y juvenil-pauta completada” en documento 7,
indicándose que entrando en su página ***URL.2 en la que cada deportista se identifica y
autentica sus datos, accede al área personal y selecciona y sube el certificado de vacunación o
el test de antígenos en este caso antes de cada partido como tope, el viernes antes de las 19
horas.
5) Como base jurídica del tratamiento, la reclamada señaló el Reglamento 2021/953 del
Parlamento Europeo y del Consejo relativo a un marco para la expedición, verificación y
aceptación de certificados COVID-19 interoperables de vacunación, de prueba diagnóstica y de
recuperación-certificado COVID digital de la UE-, a fin de facilitar la libre circulación durante la
pandemia de COVID-19, comúnmente conocido como “pasaporte COVID”, o “certificado COVID
digital de la UE. Agrega el artículo 9.2.g) del RGPD: “el tratamiento es necesario por razones
de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados
miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho
a la protección de datos y establecer medidas adecuadas y específicas para proteger los
intereses y derechos fundamentales del interesado”; y el artículo 9.2.c):”el tratamiento es
necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto
de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento”
6) La reclamada, el 26/10/2021, creó el registro de actividades de tratamiento-RAT.
“CERTIFICADO SANITARIO COVID 19” en el que destaca:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/21
“Descripción de la finalidad y tipificación de la finalidad: Protección de intereses vitales del
interesado o de otra persona física. De acuerdo con la base legitimación que ampara dicho
tratamiento de datos personales, la finalidad estará limitada a que se cumplan las medidas
sanitarias y de prevención exigidas, tanto por la normativa europea, como nacional o
autonómica. Dicho certificado de vacunación regulado por la normativa, y los datos obrantes en
el mismo, solo serán utilizados para garantizar la práctica del deporte con seguridad de acuerdo
con las herramientas sanitarias y científicas que se ostentan hasta el momento.
“Plazo de conservación: Los datos se conservarán durante el tiempo necesario para cumplir con
la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se
pudieran derivar de dicha finalidad y del tratamiento de los datos. No obstante, en dicho sentido,
de acuerdo con lo establecido en el propio Reglamento (UE) 2021/953, en su art. 17, no se
conservarán dichos datos más allá de la fecha de 30 de junio de 2022, por falta de aplicación
desde esa fecha.”
“Base jurídica de licitud o legitimación: Art. 6.1 d) Protección de intereses vitales del interesado o
de otra persona física. En este tratamiento los intereses vitales a proteger son los de las
personas que practican el deporte de Balonmano, bajo el ámbito de actuación de la Federación,
cuyo ámbito queda circunscrito a la Comunidad Autónoma de Castilla La Mancha y solo en
referencia a la práctica de dicho deporte por todas las personas federadas.”
“Tipología o categoría de datos de carácter personal: Datos especialmente protegidos: Datos de
salud,
7) Se solicitó a la reclamada la información proporcionada a los federados deportistas de su
Federación en la recogida de datos relacionados con la COVID 19, sin que aportara respuesta
relacionada con ese aspecto.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según
lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12 de
Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD),
es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de
Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por
la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE)
2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales
sobre los procedimientos administrativos."
II
El artículo 4 del RGPD define:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/21
“A efectos del presente Reglamento se entenderá por:
1) datos personales: toda información sobre una persona física identificada o identificable
(«el interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por
ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea
o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona;
2) tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;
15) datos relativos a la salud: datos personales relativos a la salud física o mental de una
persona física, incluida la prestación de servicios de atención sanitaria, que revelen información
sobre su estado de salud;”
A los tratamientos de datos personales en situaciones de emergencia sanitaria, le siguen sien-
do aplicables la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que
se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de trata-
miento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad,
principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hin-
capié en ello, el principio de minimización de datos.
Además, se ha de tener en cuenta que la finalidad especifica relacionada con la competición y
la salud para preservar la salud de los deportistas distinta de lo que puede ser la actividad de
tratamiento con finalidad de la obtención de licencia federativa, de lo que derivan categorías de
datos, diferentes riesgos para los derechos y libertades de los afectados, y se desprenden
unas facultades derivadas del ejercicio de derechos específicos que versan sobre la transpa-
rencia e información que se contienen en los artículos 12 y 13 del RGPD.
En la situación de crisis sanitaria ocasionada por la COVID19, la reclamada adopta las medidas
encaminadas a prevenir nuevos contagios de COVID-19, bajo sus instrucciones.
Los deportistas que pertenecen a la Federación reclamada tienen opciones variadas de subir
los datos a la web de la reclamada para los fines que decidió la misma. La recogida, almacena-
miento y uso de esos datos supone que la reclamada realiza tratamiento de datos personales
de los deportistas, datos de salud sobre los que en principio se debería tener causa licita de tra-
tamiento y una de las causas que habilite el especifico tratamiento de estos datos de salud.
III
El RGPD establece un concepto muy amplio de los datos de salud, y le otorga un régimen es-
pecífico, el correspondiente a las denominadas “categorías especiales de datos” a que se refie-
re el artículo 9 del texto normativo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/21
Este artículo 9 RGPD, señala:
“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial,
las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el
tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a
una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación
sexual de una persona física.”
En el artículo 9.2 del RGPD se significa no obstante que: “El apartado 1 no será de aplicación
cuando concurra una de las circunstancias siguientes:” que abarcan del artículo 9.2.a) al 9.2 j)
y que se examinará en el siguiente fundamento
De este modo, dicho tratamiento requiere tanto una base jurídica con arreglo al artículo 6 del
RGPD, como del cumplimiento de una de las condiciones del artículo 9.2 del RGPD. Los
responsables del tratamiento deben ser conscientes de la necesidad de cumplir ambos
requisitos para tratar estas categorías especiales de datos personales.
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento
de datos personales.
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o
varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte
o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al respon-
sable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona
física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público
o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el res-
ponsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan
los intereses o los derechos y libertades fundamentales del interesado que requieran la protec-
ción de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por
las autoridades públicas en el ejercicio de sus funciones
La pertenencia de personas a la Federación reclamada presupone en su régimen normal, que
sus datos pueden ser tratados con la finalidad de su relación asociativa, con el fin de la
promoción y extensión de la actividad deportiva ordinaria, finalidad que marca en origen el
tratamiento de esos datos.
Adicionalmente para el caso que se presenta de compatibilizar la práctica deportiva competitiva
con la salud en tiempo de pandemia, e intentar contener la extensión de la infección entre los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/21
participantes, añade la reclamada la base jurídica para el tratamiento por interés vital del
artículo 6.1.d) del RGPD, “el tratamiento es necesario para proteger intereses vitales del
interesado o de otra persona física”.
El Considerando (46) del RGPD ya reconoce que, en situaciones excepcionales, como una epi-
demia, la base jurídica de los tratamientos puede ser múltiple, basada tanto en el interés públi-
co, como en el interés vital del interesado u otra persona física.
(46) El tratamiento de datos personales también debe considerarse lícito cuando sea necesario
para proteger un interés esencial para la vida del interesado o la de otra persona física. En
principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra
persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica
diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés
público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es
necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en
situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de
origen humano.
El artículo 6.1.d) del RGPD considera no solo que el interés vital es suficiente base jurídica del
tratamiento para proteger al “interesado”, en este caso los deportistas que se enfrentan entre
sí, sino que dicha base jurídica puede ser utilizada para proteger los intereses vitales “de otra
persona física”, lo que por extensión supone que puedan ser tanto personas no identificadas o
identificables, como innominadas, en cuanto a ostentar un interés digno de ser salvaguardado.
Además, no se desprende conforme señala el artículo 6.3 del RGPD, de que la necesidad de
que la base del tratamiento por razón de interés vital haya de ser establecida por el derecho de
la Unión o el derecho de los Estados Miembros aplicables al responsable del tratamiento, como
si sería el caso de si la base de legitimación fuera la del cumplimiento de una misión en interés
público.
Analizada esta base de legitimación, se considera que ampararía el tratamiento originado por la
situación de pandemia en el concreto marco de la competición
Como elemento a considerar en el tratamiento llevado a cabo, además, se ha de valorar si la
reclamada supera el umbral siguiente que conlleva la prohibición del tratamiento de datos de
salud de estos deportistas federados. Esto es, salvo que se de alguna de las circunstancias li-
mitadas y enumeradas que establece su punto 2, el tratamiento de datos de salud no será lícito
IV
De los siguientes artículos comprendidos en el artículo 9.2 del RGPD, que se citan y que
pueden acreditar una eventual licitud del tratamiento de los datos de los certificados exigidos en
las competiciones a los deportistas, se analizaran los que según la reclamada serían aplicables
al caso concreto:
“a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales
con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Es-
tados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser le-
vantada por el interesado;
[…]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/21
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona
física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar
su consentimiento;
[…]”
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del De-
recho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo persegui-
do, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecua-
das y específicas para proteger los intereses y derechos fundamentales del interesado;
[…]”
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud pública,
como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar
elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o
productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que
establezca medidas adecuadas y específicas para proteger los derechos y libertades del intere-
sado, en particular el secreto profesional”
La reclamada manifiesta que serían aplicables:
a) En el RAT solo menciona “Art. 6.1 d) Protección de intereses vitales del interesado o de
otra persona física. En este tratamiento los intereses vitales a proteger son los de las personas
que practican el deporte de Balonmano, y solo en referencia a la práctica de dicho deporte por
todas las personas federadas.”. Sin embargo, el precepto alegado no es de los que permite
este tipo de tratamiento de datos.
b) En sus manifestaciones lo engloba en el marco del Reglamento 2021/953 (certificado
COVID digital de la UE) y añade el g) del artículo 9.2 del RGPD “el tratamiento es necesario
por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los
Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el
derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger
los intereses y derechos fundamentales del interesado;”
En cuanto al primero, la documentación conocida como pasaporte COVID, o certificado COVID
digital de la UE, (derivado del Reglamento 2021/1953 que alega la reclamada) implica la
tenencia de un documento que acredita tener la pauta completa de la vacuna, una prueba
diagnóstica de infección activa -PDIA- o test de antígenos, y la recuperación de la infección por
el SARS-Cov.2 diagnosticada, respecto de un periodo temporal, tiene como finalidad originaria
la libre circulación de personas en el territorio de la UE. Se trata de que el servicio público de
salud emite un certificado en los casos de vacunación o de recuperación de la enfermedad, y,
en los demás casos, mediante las pruebas realizadas, dándole al Reglamento validez a esos
certificados en la forma que recoge y para los fines específicos para los que se creó dicho
Reglamento.
Si bien el certificado COVID, fue aprobado inicialmente con la finalidad de garantizar el derecho
fundamental a la libre circulación de los ciudadanos en la Unión Europea, ha sido objeto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/21
utilización posterior con otros fines en la generalidad de los Estados miembros y, en particular
en España, como una de las medidas adoptadas por las autoridades sanitarias con el fin de
evitar la extensión de los contagios en diversos establecimientos, mediante su exhibición.
Ante la adopción por diversos Estados miembros de iniciativas unilaterales para expedir certifi-
cados COVID-19 que podían implicar restricciones del derecho a la libre circulación y dificultar
consiguientemente el funcionamiento del mercado interior, el Consejo Europeo tomó la iniciati-
va de elaborar un enfoque común, así como avanzar con carácter de urgencia en los trabajos
sobre unos certificados digitales interoperables y no discriminatorios en relación con la COVID-
19. Como fruto de esta iniciativa se elabora una propuesta de reglamento relativo a un marco
para la expedición verificación y aceptación de certificados COVID-19 interoperables de vacu-
nación de prueba diagnóstica y de recuperación a fin de facilitar la libre circulación durante la
pandemia.
La base jurídica de la propuesta fue el artículo 21 del Tratado de Funcionamiento de la Unión
Europea que reconoce y garantiza el derecho a la libre circulación en la Unión las garantías
para la libre circulación por razones de salud pública deben responder a los criterios de necesi-
dad y proporcionalidad. Las entidades que pueden acceder al certificado quedan limitadas a las
autoridades competentes del Estado miembro de destino y a los operadores transfronterizos de
servicios de transporte de viajeros aerolíneas y navieras que tienen la obligación de colaborar
con dichas autoridades.
El Reglamento 2021/953, se relaciona con la posibilidad de los Estados miembros de limitar el
derecho fundamental a la libre circulación por motivos de salud pública, y culmina el enfoque
coordinado de la restricción de la libre circulación de las personas en respuesta a la pandemia
en el seno de la UE. Su considerando 48 indica:
“El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo se aplica al tratamiento
de datos personales efectuado al aplicar el presente Reglamento. El presente Reglamento
establece la base jurídica para el tratamiento de los datos personales en el sentido del artículo
6, apartado 1, letra c), y el artículo 9, apartado 2, letra g), del Reglamento (UE) 2016/679,
necesarios para la expedición y verificación de los certificados interoperables establecidos en
el presente Reglamento. No regula el tratamiento de datos personales relacionados con la
documentación de una vacunación, una prueba diagnóstica o una recuperación con otros fines,
como la farmacovigilancia o el mantenimiento de historiales médicos personales. Los Estados
miembros pueden tratar datos personales con otros fines si la base jurídica para su tratamiento
con otros fines, incluidos los plazos de conservación correspondientes, está establecida en el
Derecho nacional, que debe cumplir con el Derecho de la Unión en materia de protección de
datos y los principios de eficacia, necesidad y proporcionalidad, y debe incluir disposiciones
específicas que determinen claramente el ámbito de aplicación y el alcance del tratamiento, la
finalidad específica de que se trate, las categorías de entidades que puedan verificar el
certificado, así como las salvaguardias pertinentes para evitar la discriminación y el abuso,
teniendo en cuenta los riesgos para los derechos y las libertades de los interesados. Cuando el
certificado se utilice con fines no médicos, los datos personales a los que se acceda durante el
proceso de verificación no deben conservarse, según lo dispuesto en el presente Reglamento.”
Así pues, el objeto principal del Reglamento es el que identifica su artículo 1: “establecer un
marco para la expedición, verificación y aceptación de certificados COVID-19 para facilitar la
libre circulación de sus titulares durante la pandemia y contribuir a la supresión gradual de las
restricciones establecidas por los Estados miembros”. Finalidad ésta que no se agota en
facilitar la libertad de circulación en sentido estricto, ya que estos documentos pueden ser
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/21
requeridos para fines conexos, tal como sucedió, especialmente en algunas normas sectoriales
dictadas por Consejerías de Sanidad de Comunidades Autónomas que regulaban en función de
la situación de diversos establecimientos, o sectores como medidas específicas de prevención,
la necesaria exhibición de este documento para poder acceder a dichos establecimientos en
función de la situación epidemiológica. Las sentencias que analizan su justificación han
considerado según su justificación, que la petición de este certificado digital o pasaporte COVID
estaba motivada, y en otros casos no, pero en todo caso viene de una norma de una autoridad
sanitaria y de su ratificación aprobada por la autoridad judicial hasta que las facultades en que
se apoyaba fueron declaradas inconstitucionales , lo que no acontece en ese caso en que es
una entidad federativa , la que organizando una competición establece unos requisitos
apoyándose en una norma como la del Reglamento que tiene unas finalidades propias y no se
pueden trasladar al ámbito de la competición en la que participan sus federados sin
intervención alguna de la autoridad sanitaria ni norma que lo apoye.
En este caso, el Reglamento que se alega UE 2021/953, no justifica la implementación del
sistema de exigencia de datos de salud para que los deportistas federados participen en la
competición sin mascarilla. La reclamada lo implementa motu proprio, sin que exista una norma
ad hoc aplicable al sector del deporte federado en el desarrollo de las competiciones.
Sobre el añadido artículo 9.2.g) del RGPD, no se menciona el derecho de la Unión o de los
Estados miembros que prevean la necesidad por esas razones de interés público esencial, y
que debería por otra parte respetar en lo esencial el derecho a la protección de datos y
establecer medidas.
Además, la Orden SND/344/2020, de 13/04, por la que se establecen medidas excepcionales
para el refuerzo del Sistema Nacional de Salud y la contención de la crisis sanitaria ocasionada
por el COVID-19, acuerda tanto la puesta a disposición de la autoridad sanitaria de cada Comu-
nidad Autónoma de todos aquellos centros, servicios y establecimientos sanitarios de diagnósti-
co clínico de titularidad privada ubicados en ellas, como el sometimiento de la realización de
pruebas diagnósticas para la detección del COVID-19 a las directrices, instrucciones y criterios
acordados al efecto por la autoridad sanitaria autonómica,
El fundamento Segundo de la citada Orden determina: “Requisitos para la realización de prue-
bas diagnósticas para la detección del COVID-19.”: La indicación para la realización de prue-
bas diagnósticas para la detección del COVID-19 deberá ser prescrita por un facultativo de
acuerdo con las directrices, instrucciones y criterios acordados al efecto por la autoridad sanita-
ria competente.”
“Tal y como se indica en el preámbulo de esa norma, se trata con ello de limitar la realización
de las pruebas diagnósticas para la detección del COVID-19 a aquellos casos en los que exista
una prescripción previa por un facultativo y se ajusten a criterios establecidos por la autoridad
sanitaria competente, sometiendo de esta forma el régimen de realización de esta clase de
pruebas a la previa existencia de criterios médicos que aconsejen su realización.”
Así pues, se considera que la reclamada no cumple el requisito que alega como excepción al
tratamiento de datos de salud, considerándose que infringe el artículo 9 del RGPD.
V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/21
Por otro lado, se desprende que la reclamada considerada en este caso una finalidad
especifica relacionada con la COVID 19, no ha acreditado que informe de los extremos que
debe contener la recogida de datos en este supuesto, que infringiría el artículo 13 del RGPD,
que indica:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del
tratamiento, en el momento en que estos se obtengan, le facilitará toda la información
indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del
tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos
del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer país u
organización internacional y la existencia o ausencia de una decisión de adecuación de la
Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo
49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los
medios para obtener una copia de estas o al hecho de que se hayan prestado.
2.Además de la información mencionada en el apartado 1, el responsable del tratamiento
facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente
información necesaria para garantizar un tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible,
los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos
personales relativos al interesado, y su rectificación o supresión, o la limitación de su
tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9,
apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier
momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo
a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito
necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos
personales y está informado de las posibles consecuencias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa
sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho
tratamiento para el interesado.
3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales
para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con
anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier
información adicional pertinente a tenor del apartado 2.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/21
4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en
que el interesado ya disponga de la información”
La información sobre la recogida de datos forma parte del contenido del principio de
transparencia que capacita a los interesados para pedir cuentas a los responsables para
ejercer el control sobre sus datos personales.
Los datos recogidos son distintos a los que pudieran haber sido objeto de tratamiento
previamente como los referidos a la licencia federativa, por su distinta finalidad, y categoría y se
impone la necesidad de una información explicita que permita ejercer sus derechos.
El considerando 39 del RGPD es informativo en cuanto al significado y el efecto del principio
de transparencia en el contexto del tratamiento de datos:
“Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando,
consultando o tratando de otra manera datos personales que les conciernen, así como la
medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda
información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y
fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en
particular a la información de los interesados sobre la identidad del responsable del tratamiento
y los fines del mismo y a la información añadida para garantizar un tratamiento leal y
transparente con respecto a las personas físicas afectadas y a su derecho a obtener
confirmación y comunicación de los datos personales que les conciernan que sean objeto de
tratamiento [...]”.
En este caso, los datos eran recabados en el área privada de la aplicación que gestiona la
Federación como parte del “protocolo juego seguro sin mascarilla-temporada 21/22”” cuya
decisión aprobó la Asamblea. Pese a que en dicha herramienta podría haberse informado
sobre dicha recogida, no consta explicación alguna de la reclamada sobre la instauración del
modo y procedimiento de informar de los datos implementados en la citada medida,
acreditándose el incumplimiento del citado artículo 13 del RGPD.
VI
Sobre la alegación de la caducidad del procedimiento con base al artículo 21 de la LPCAP, que
señala
1“La Administración está obligada a dictar resolución expresa y a notificarla en todos los proce-
dimientos cualquiera que sea su forma de iniciación.”
…
2“El plazo máximo en el que debe notificarse la resolución expresa será el fijado por la norma
reguladora del correspondiente procedimiento.
Este plazo no podrá exceder de seis meses salvo que una norma con rango de Ley establezca
uno mayor o así venga previsto en el Derecho de la Unión Europea”
El artículo 64 de la LOPDGDD, párrafo dos, final, sobre forma de iniciación y duración del pro-
cedimiento prescribe:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/21
“El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del
acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se
producirá su caducidad y, en consecuencia, el archivo de actuaciones.”
Circunstancia que se hace constar en el acuerdo de inicio notificado a la reclamada.
Considerando que el acuerdo de inicio es dictado el 26/10/2022, no ha transcurrido todavía el
período máximo que prevé la especifica norma aplicable citada, por lo que no procede acoger
dicha caducidad.
VII
De conformidad con las evidencias de las que se dispone se considera que los hechos
expuestos podrían vulnerar lo dispuesto en los artículos: 9 y 13 del RGPD, con el alcance
expresado en los Fundamentos de Derecho anteriores, lo que, supone la comisión de las
infracciones tipificadas en el artículo 83 apartado 5.a) y b) del RGPD que bajo la rúbrica
“Condiciones generales para la imposición de multas administrativas” dispone que:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado
2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa,
de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a
tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22.”
A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los
actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD, indica:
“Infracciones consideradas muy graves.
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
[…]
e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del
Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho
precepto y en el artículo 9 de esta ley orgánica.
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/21
d) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales
conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta
ley orgánica. (…)”
Sobre la prescripción de la infracción, considerando la del artículo 9 como muy grave, le corres-
pondería un periodo para dichos efectos, conforme prevé el artículo 72.1.e) del RGPD de tres
años.
La recogida de datos para el fin previsto se inicia en la temporada 21/22, con un protocolo “jue-
go seguro” que es para esa temporada y la reclamación es de 24/11/21. La Asamblea decidió
la medida el 25/10/2021, que se traslada a los clubes a los pocos días para su conocimiento.
En la respuesta de la reclamada al traslado, el 27/01/2022 declara que cesó en dicho tipo de
tratamiento. Habiendo firmado el acuerdo de inicio el 26/10/2022 y con la aceptación de la noti-
ficación el mismo día, no se considera que la infracción esté prescrita por el transcurso del pe-
riodo establecido.
Sobre la prescripción de la infracción del artículo 13, omisión de informar al llevar a cabo los
tratamientos con finalidad del protocolo desarrollado en “juego seguro”, que implicaba el trata-
miento de datos de salud, la infracción de omisión de tal deber conlleva igualmente un periodo
de cómputo de tres años, por lo que desde la comunicación a los clubes a la fecha de la recep-
ción del acuerdo de inicio no se considera que la misma se halle prescrita.
VIII
Los apartados d) e i) del artículo 58.2 del RGPD disponen lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a
continuación: (…)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada
manera y dentro de un plazo especificado;”
“i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”
En este caso, dada la categoría de los datos que se recogen y los riesgos de los derechos y
libertades que con ellos resultan comprometidos, y el amplio colectivo al que afecta, procede el
procedimiento sancionador de multa administrativa.
IX
La determinación de las sanciones que procede imponer en el presente caso exige observar
las previsiones de los artículos 83.1) y.2) del RGPD, preceptos que, respectivamente, disponen
lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas con
arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/21
2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía
en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta
de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento; f) el
grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y
mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación
aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los
beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de
la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: “Sanciones y
medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/21
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción,
que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan
controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las
restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE)
2016/679.”
De acuerdo con los preceptos transcritos, a efectos de fijar los importes de las sanciones de
multa a imponer en el presente caso tipificadas en el artículo 83.5.a) del RGPD, de la que se
responsabiliza a la reclamada, para la infracción del artículo 9 del RGPD, se estiman
concurrentes en calidad de agravantes los siguientes factores que revelan una mayor
antijuridicidad y/o culpabilidad en la conducta de la reclamada:
-Artículo 83.2.a) RGPD “naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;”. Los
datos se recogieron durante un período, aproximadamente desde noviembre 2021, también
para menores de edad, y con el añadido en la instrucción de que, si algún miembro del equipo
no presentara lo solicitado, certificado o pruebas, el equipo tendrá que llevar mascarilla, lo que
es una forma de impeler a que se sometan a las pruebas y se traten esos datos en cada
ocasión, o se inoculen la vacuna.
Con este factor, se impone una sanción de 10.000 euros.
Para la infracción del artículo 13 del RGPD, se estiman concurrentes en calidad de agravantes
los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta de
la reclamada:
- Artículo 76.2.b) de la LOPDGDD, “La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”, siendo una entidad de tipo asociativo
compuesta por 4.895 licencias federativas en el año 2021, según la publicación del Ministerio
de Cultura y Deporte, Estado, “Estadística de deporte Federado 2021”, que agrupa a 57 Clubs
federados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/21
Por la infracción del artículo 13 del RGPD, se impone una sanción de 7.000 euros.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de
las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la FEDERACIÓN DE BALONMANO DE CASTILLA LA MANCHA,
con NIF G45046455, dos multas administrativas, por las siguientes infracciones del RGPD:
-artículo 9 del RGPD, de conformidad con el artículo 83.5.a) del RGPD, y a efectos de
prescripción calificada como muy grave en el artículo 72.1. e) de la LOPDGDD, con 10.000
euros.
-artículo 13 del RGPD, de conformidad con el artículo 83.5 b) del RGPD, y a efectos de
prescripción calificada como muy grave en el artículo 72.1.h) de la LOPDGDD, con 7.000
euros.
SEGUNDO: NOTIFICAR la presente resolución a la FEDERACIÓN DE BALONMANO DE
CASTILLA LA MANCHA, a través de su representante, D. B.B.B.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la
LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de
Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la
Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº
IBAN: ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá
a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los
días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta
el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y
último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes
siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se
hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados
podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la
notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala
de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el
artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07,
reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar
desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/21
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su
intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado
deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de
Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros
previstos en el art. 16.4 de la citada LPCAP. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si
la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo
en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución,
daría por finalizada la suspensión cautelar.
938-010623
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es