1/45
Expediente N.º: EXP202310096
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8/09/2021 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige
contra B.B.B. con NIF ***NIF.1 (en adelante, reclamado). Los motivos en que basa la
reclamación son que para participar en la carrera “Gomera Paradise Trail” se recogen datos
personales asociados a vacunas y pruebas diagnósticas COVID.
Aporta:
1) Impresión de un mensaje desde “Gomera Paradise”, 19/08/2021, al reclamante, con el
logo de “X Gomera Paradise”, “certificado de vacunación o test antígenos o PCR”. Se
informa: “tras analizar la situación actual derivada de la pandemia COVID-19, la
organización ha decidido solicitar a los participantes, tal y como nos recomiendan los
diferentes organismos públicos, lo siguiente:
-Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer
de la dosis pertinente por haber pasado ya la COVID-19.
-En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba
que vaya a realizar, un test PCR o antígenos de resultado negativo.
El formato a llevar a cabo será a través de la página web gomeraparadise.com en el que la
organización habilitará una zona privada de participante, a través de la cual accederán
mediante la ID de inscripción y el email que apuntaron a la hora de formalizar la inscripción-
(archivo adjunto de la confirmación de la inscripción). En su cuenta dispondrán de un
apartado donde puedan adjuntar vía PDF o JPG dicho certificado”.
SEGUNDO: La reclamación dio lugar a la iniciación del procedimiento sancionador
EXP202103884, código actuación PS/00291/2022, que resultó archivada por caducidad del
expediente el 11/07/2023.
En dicha resolución se indicaba:
“En cuanto a los efectos, el artículo 95 de la Ley 39/2015, de 1/10, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) señala:
“3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de
la Administración, pero los procedimientos caducados no interrumpirán el plazo de
prescripción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/45
En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse
producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se
hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo
procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba
y audiencia al interesado.”
“En este caso concreto, fue a los pocos días de cerrado el período de inscripción en la
carrera, el 19/08/2021, cuando el reclamado envió a los participantes un email, indicando:
“tras analizar la situación actual derivada de la pandemia COVID-19, la organización ha
decidido solicitar a los participantes, tal y como nos recomiendan los diferentes organismos
públicos, lo siguiente:
-Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer
de la dosis pertinente por haber pasado ya la COVID-19.
-En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba
que vaya a realizar, un test PCR o antígenos de resultado negativo.”
La mencionada resolución fue notificada al reclamado el 11/07/2023, y es firme en vía
administrativa, al haber transcurrido el plazo de un mes sin que el reclamante haya
interpuesto recurso potestativo de reposición.
TERCERO: En la fecha en que se dictó el acuerdo de archivo, se estimó que no ha
transcurrido el plazo de prescripción de las presuntas infracciones que prevé el artículo 71 y
siguientes de la LOPDGDD.
En virtud del artículo 95.3, segundo párrafo de la LPACAP, por no estimarse prescritas las
eventuales infracciones, en el acuerdo de inicio se incorporaron a este procedimiento, “los
actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la
caducidad”, a saber:
1)- Las actuaciones de comprobación de la Subdirección General de Inspección de Datos
del EXP202103884, código actuación PS/00291/2022, en concreto con el literal:
“La Subdirección General de Inspección de Datos comprobó lo siguiente:
a) Impresión de 21/10/2021, de la página gomeraparadise.com/reglamento/, que contiene el
REGLAMENTO DE LA CARRERA: “reglamento X Gomera Paradise Trail21”, del que
destaca:
-Carrera de montaña organizada por “GOMESPORT EVENTOS” que se celebrará el 10 y
11/09/2021.
-De acuerdo con sus modalidades, pueden participar personas a partir de 14 años.
-Para participar entre otros requisitos a cumplir, deben formalizar la inscripción
cumplimentando un formulario publicado en la página web oficial, www.gomeraparadise.com
en el apartado de inscripciones. El plazo para ello va de 14/05 a 15/08/2021.
-La aceptación del Reglamento de la carrera se deriva de la formalización de la inscripción
de la participación (art. 1).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/45
-En el artículo 14 de “recogida de dorsales”, que se realiza una vez inscrito, del 6 al
10/09/2021, figura que “el participante deberá entregar un documento de protocolo covid-19
en el que se compromete a haber cumplido las medidas que en él se estipulan”.
-En el artículo 9, se indica que el pago del precio de la inscripción se dividirá en dos: siendo
el primero del 14/05 al 14/07/2021.
b) A 21/10/2021, en la página gomeraparadise.com, figura “Política de Privacidad y
Protección de Datos”, con el logo de “Gomera Paradise Trial” indicando a: “B.B.B.”, el
reclamado, como responsable del tratamiento, “trata los datos de “clientes y visitantes para
prestar los servicios solicitados por los usuarios, o para resolver las dudas o cuestiones
planteadas por nuestros visitantes”. Se informa que “todos los datos facilitados por nuestros
clientes o visitantes de la web serán incluidos en el registro de actividades de tratamiento de
datos de carácter Personal” del responsable del tratamiento “imprescindibles para prestar
los servicios solicitados por los usuarios, o para resolver las dudas o cuestiones planteadas
por nuestros visitantes.
“Legitimidad del tratamiento: ¿Por qué necesitamos sus datos?
1. a) Relación contractual: Es la que aplica cuando compra uno de nuestros productos o
contrata alguno de nuestros servicios.
b) Interés legítimo: Para atender a las consultas y reclamaciones que nos plantee y para
gestionar el cobro de las cantidades adeudadas.
c) Su consentimiento: Si es usuario de nuestra web, mediante la marcación de la casilla que
figura en el formulario de contacto, nos autoriza a que le remitamos las comunicaciones
necesarias para dar respuesta a la consulta o solicitud de información planteada.”
1) Como parte de las actuaciones previas, AI/00029/2022, que también figuraban en el
acuerdo de inicio precedente, bajo el literal:
“- Con fecha 25/01/2022, la Inspección de datos envió un escrito de solicitud de
información al reclamado mediante correo postal que fue entregado el día 4/02/2022, según
consta en la prueba de entrega del servicio de Correos. Se requirió al reclamado la siguiente
información y documentación:
“1.- La base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición
para tratar categorías especiales de datos, según el artículo 9 del RGPD.
2.- La finalidad del tratamiento. Copia del Registro de Actividad del tratamiento.
3.- Las garantías adecuadas implementadas para la protección de los derechos y libertades
de las personas.
4.- Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información
facilitada a éstos sobre el tratamiento de los datos. Número de interesados a los que se han
recabado los datos y descripción de los datos recabados.
5.- La Evaluación de Impacto realizada o motivos por los que no se ha realizado (para
conocer la lista de tratamientos de datos personales que requieren una evaluación de
impacto, así como cualquier otra información relacionada con las evaluaciones de impacto,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/45
puede consultar la herramienta “Gestiona EIPD” en https://www.aepd.es/es/guias-y-
herramientas/herramientas/gestiona-eipd)
6.- La decisión adoptada a propósito de esta reclamación.
7.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares,
fechas de implantación y controles efectuados para comprobar su eficacia.
8.- Cualquier otra que considere relevante.”
Transcurrido el plazo dado sin obtener respuesta al requerimiento, con fecha de 29/03/2022,
se reiteró la solicitud de información, teniendo entrada en esta Agencia con fecha 8/04/2022
escrito del reclamado en el que pone de manifiesto lo siguiente:
- El evento para el que se solicita la PCR o el certificado de vacunación se trata de un
evento privado, “el cual está organizado por él como autónomo y persona responsable del
mismo” y se rige por un reglamento que los que participen en la carrera han de aceptar. Su
artículo 24, indica que puede ser rectificado, modificado, mejorado en cualquier momento
por la organización.
- “Todas las inscripciones y todos los datos relevantes captados de los participantes se
encuentran alojados en una Plataforma Online De Inscripciones De Eventos Deportivos, la
cual se rige por la siguiente política de privacidad, y a través de la cual se vuelca toda la
información relevante de todos y cada uno de los participantes, incluyendo tanto el
certificado de pauta de vacunación o test.”
Aporta transcripción en copia-pega en página de “NORMAS DE USO Y CONDICIONES
ACEPTADAS AL REALIZAR UNA INSCRIPCIÓN”, “texto vigente desde el 18/11/2021”, que
contiene entre otras, las siguientes cláusulas:
1ACEPTACION
1.1. Está realizando una inscripción a través del sistema de AVAIBOOK SPORTS, que es
una solución tecnológica contratada por el gestor de inscripciones del evento y prestada por
AVAIBOOK ON-LINE S.L
1.2. Al realizar la inscripción usted acepta expresamente estas Condiciones Generales (CG)
en su integridad.
2.CONTRATO
2.1 “Al inscribirse en el evento a través del sistema AVAIBOOK Sports, la relación jurídica
que se genera es exclusivamente entre usted -en adelante el inscrito- y el gestor de
inscripciones del evento- en adelante GESTOR-.
AVAIBOOK simplemente proporciona la herramienta tecnológica que permite gestionar las
inscripciones al evento, por lo que carece de responsabilidad alguna sobre la celebración o
suspensión del evento, la información facilitada por el GESTOR sobre el mismo, posibles
fallos de organización, cualquier daño o perjuicio que pueda sufrir el inscrito o sus
pertenencias durante la celebración del evento o por cualquier otro motivo no relacionado
con su solución tecnológica.
(…)
6. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL 6.1. De acuerdo con lo previsto
en el artículo 33 de la Ley Orgánica 3/2018 de Protección de Datos y garantía de los
derechos digitales, AVAIBOOK tendrá la consideración de “Encargado del Tratamiento” y,
por tanto, no se considerará comunicación ni cesión de datos al acceso por AVAIBOOK a los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/45
datos de carácter personal de los INSCRITOS, a los únicos fines de la prestación del
servicio de inscripción en el evento.
- Manifiesta el reclamado que dada la situación epidemiológica derivada por la pandemia
COVID-19, “tras haber obtenido la autorización de Sanidad para la celebración del evento,
consideró oportuno solicitar una de las dos opciones explicadas anteriormente, simplemente
con el único y exclusivo motivo de garantizar la seguridad lo máximo posible de todos los
participantes del evento y, en su caso, aparecer un brote de dicha enfermedad en el evento,
poder tener un mayor control y acotamiento de posibles contagios graves del mismo, todo
ello exponiendo toda la información a los entes públicos competentes del mismo.”
- Manifiesta el reclamado que “El día 19/08/2021, se envió un mail a los participantes, a
través de la plataforma online de inscripciones y solicitando que esa información sea
volcada a la plataforma online de inscripción, a través de la cual solamente se puede
acceder habiendo formalizado la inscripción y habiendo, previamente, aceptado la política
de privacidad de la misma”.
El mensaje, del que aporta impresión de pantalla incluía el mismo texto de impresión de
mensaje que aportó reclamante, al que le faltaba, continuando aquel literal:
“Esta opción estará habilitada desde el lunes 23/08 hasta el domingo 5/09 para la opción del
Certificado de Vacunación. En caso de test PCR o Antígenos, deberá aportarlo a la
Organización a la hora de la recogida de dorsales.
En esta época, si queremos que se sigan organizando competiciones, hemos de adaptarnos
a las situaciones actuales.
Por último, hay que recordar que, si tienen alguna duda sobre este mail, deben enviar mail a
[email protected], únicamente para dudas, aun creyendo que la información está
bastante clara y transparente.”
- Manifiesta el reclamado que el día 24/08/2021, “se envía otro email”, literal que aporta
como copia-pega:
“Ya tienes disponible en tu Zona Privada del Participante la casilla para poder volcar el
certificado de vacunación o Certificado pertinente en base a COVID 19 (disponer de
inmunidad, disponer de, al menos, una dosis, etc.). Con respecto a las dudas y/o
sugerencias que nos han hecho llegar con respecto a dicho certificado, ACLARAMOS:
• En ningún momento hemos remitido la obligatoriedad de o se presenta documentación o
se elimina al participante del evento.
• Dicho certificado se solicita con el fin de poder disponer de las máximas garantías de
seguridad en materia COVID-19. Ya que en una época de alerta sanitaria como la que
estamos viviendo, creemos que lo mejor para todos es garantizarnos el máximo de
seguridad y ser solidarios.
• Entendemos que entre tod@s debemos ser solidarios, con el fin de poder celebrar
eventos de forma segura y responsable. Por ende, apelamos a la responsabilidad,
solidaridad y sentido común para poder hacer de la X GOMERA PARADISE TRAIL un
evento seguro y con garantías.
…, el procedimiento a llevar a cabo es el siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/45
Accede a tu Zona Privada: https://inscripciones.gomesporteventos.com/inscripcion/ix-
gomera-paradise/ zona_privada/logeo/
• Introduce tu ID de inscripción (la puedes encontrar en tu justificante de inscripción).
• introduce el mail.
• Volcar (de forma solidaria) el certificado de vacunación o certificado que garantice el
disponer de anticuerpos, etc.”
-Finaliza indicando el reclamado, que: “Con respecto a la decisión tomada a propósito de
esta reclamación, al no saber el remitente de esta reclamación, entre 1200 participantes, no
podemos confirmar si se tomó una decisión con respecto a la persona denunciante”.
3.- Con fecha 22/04/2022, la Inspección de datos envió un nuevo escrito de solicitud de
información al reclamado mediante el servicio de Dirección Electrónica Habilitada Única que
fue aceptado por el destinatario el día 25/04/2022. Se requirió al reclamado para que
aportara la siguiente información y documentación, sin obtener respuesta, de:
1.- Copia del contrato de encargado del tratamiento suscrito entre el titular de la
página web “gomeraparadise.com” y AvaiBook On-Line S.L.
2.- Número total de informes sobre pruebas PCR o antígenos y certificados de la
pauta de vacunación completa recogidos de los interesados. Período de conservación de los
mismos.
3.- La base jurídica del tratamiento de dichos datos relativos a la salud y, en su
caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos,
según el artículo 9 del RGPD.
4.- La finalidad del tratamiento. Copia del Registro de Actividad del tratamiento.
5.- La Evaluación de Impacto realizada, o motivos por los que no se ha realizado
(para conocer la lista de tratamientos de datos personales que requieren una evaluación de
impacto, así como cualquier otra información relacionada con las evaluaciones de impacto,
puede consultar la herramienta “Gestiona EIPD” en https://www.aepd.es/es/guias-
yherramientas/herramientas/gestiona-eipd).”
CUARTO: Con fecha 28/08/2023, se acordó por la directora de la AEPD:
“INICIAR PROCEDIMIENTO SANCIONADOR a B.B.B., con NIF ***NIF.1, por la presunta
infracción del RGPD, en los siguientes artículos:
-9 del RGPD, de conformidad con el artículo 83.5.a) del RGPD y calificada como muy grave
a efectos de prescripción en el artículo 72.1.e) de la LOPDGDD.
-13 del RGPD, de conformidad con el artículo 83.5.a) del RGPD y calificada como muy
grave a efectos de prescripción en el artículo 72.1.h) de la LOPDGDD.
-30 del RGPD, de conformidad con el artículo 83.4.a) del RGPD y calificada como grave a
efectos de prescripción en el artículo 73.n) de la LOPDGDD.”
“QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimiento
Administrativo Común de las Administraciones Públicas, la sanción que pudiera
corresponder sería de tres sanciones de multa administrativa, por la infracción del:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/45
-artículo 9 del RGPD, podría imponerse una sanción de multa, por importe de 8.000 euros.
-artículo 13 del RGPD, podría imponerse una sanción de multa, por importe de 6.000 euros.
-artículo 30 del RGPD, podría imponerse una sanción de multa, por importe de 1.000 euros.”
QUINTO: Con fecha 27/09/2023, se reciben alegaciones del reclamado, manifestando:
-La solicitud de datos relacionados con la vacunación COVID y pruebas diagnósticas
referidas al evento, se fundamentaron en el consentimiento libre, inequívoco e informado de
los interesados, que exime de la prohibición de tratamiento.
Añade que el consentimiento puede ser inequívoco y otorgarse de forma implícita, cuando
se deduzca de una acción del interesado, como subir sus datos a la plataforma.
-El 19/08/2021, el reclamado comunicó a los interesados las normas y condiciones que
regularían la celebración del evento, entre ellas, se solicitó la referida documentación, y les
comunicó el procedimiento para aportarlos para el caso que decidieran hacerlo, “desde la
conciencia y solidaridad para con el resto de las participantes”.
Para esclarecer el contenido de dicha documentación, el día 24 del mismo mes y año, el
reclamado envió a los participantes un segundo comunicado aclarando el carácter
voluntario, opcional y no obligatorio de la aportación de estos datos, precisando el margen
temporal (23/08 a domingo 5/09: certificado de vacunación), caso de test PCR o antígenos,
deberá aportarlo a la organización a la hora de recogida de dorsales.
Considera el reclamado que estos documentos constituyen prueba de la licitud del
tratamiento y del consentimiento inequívoco de los usuarios.
En el comunicado de 24/08/2021 constaba: “En ningún momento hemos remitido la
obligatoriedad de o se presenta documentación o se elimina al participante del evento”, y
añade el reclamado que “en ningún caso se impidió la participación en el evento a nadie con
motivo de no aportar documentación relativa a datos de salud, como tampoco existió
ninguna recogida o comprobación in situ el mismo día del evento”. “Prueba de ello es que el
número de participantes del evento ascendió a un total de 1350, y solo 690 de dichos
participantes volcaron voluntariamente en la plataforma el certificado en cuestión, existiendo
660 personas participantes sin haber aportado certificado COVID, prueba diagnóstica ni
documento similar alguno.”
Manifiesta el reclamado que “el día de la carrera no se solicitó certificado de vacunación
COVID ni similares, no había nadie solicitando a los participantes ningún tipo de documento
a la entrada del evento deportivo”.
-Manifiesta el reclamado que la finalidad del tratamiento era garantizar la seguridad y salud
de los participantes ante la situación de pandemia y crisis sanitaria derivada del COVID-19,
informándose de ello como por ejemplo en el comunicado de 24/08/2021.
Manifiesta el reclamado que la intención del reclamado fue actuar con diligencia en cuanto a
criterios y directrices que la autoridad sanitaria había dado en aquel momento, teniendo en
cuenta que, en la fecha de solicitud y tratamiento de los datos, las medidas y circunstancias
eran distintas para quien estaban vacunado de los que no lo estaban.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/45
-Sobre la infracción el artículo 13 del RGPD, indica el reclamado que en las “normas de uso
y condiciones”, así como en la “plataforma”, se informó de la identidad y datos de contacto
del responsable y su representante, y en el punto 2 de las “condiciones”, que el destinatario
de los datos es AVAIBOOK SPORTS, “que efectúa varias remisiones a la políticas del
GESTOR, esto es, las políticas de las webs de “GOMERA PARADISE”- en la que se hace
remisión a la de GOMESPORT, para información adicional,” y en esta misma, en la que se
da información detallada-Aporta DOCUMENTO 1, copia en pantalla de “POLITICA DE
PRIVACIDAD Y REGLAMENTO 2023”, extractos, enlace al texto completo en:“
https://gomesporteventos.com/politica-privacidad. En el documento 1, extracto, se aprecia
que pese a tratarse de 2023, se ha dejado el literal de que se van a tratar “datos de salud,
certificados médicos, de vacunación o pruebas de antígenos aportados por los interesados”,
relacionado con “finalidades” “garantizar el desarrollo del evento seguro adoptando las
medidas sanitarias…certificados médicos y pruebas de antígenos”. En legitimación reitera
que “el tratamiento de los datos de salud se basa en el consentimiento del usuario exigido
en el artículo 9.2.a del RGPD que quedará acreditado mediante la subida a nuestra
plataforma de la documentación y su exhibición al personal el día del evento. El usuario
puede revocar en cualquier momento el consentimiento prestado”.
Manifiesta el reclamado que con carácter previo al presente procedimiento y con ánimo
correctivo, ya se ha incorporado una cláusula informativa de accesible entendimiento
actualizada para el interesado en la plataforma de AVAIBOOK Sport. En ella, se puede leer
de forma clara y sencilla todos los detalles sobre la protección de los datos solicitados. Si
bien esto se ha realizado con intención de mejorar la gestión del reclamado -quien ha
colaborado en todo momento y no ha puesto impedimentos de colaboración con la AEPD- y
los eventos que éste organice. En todo momento hubo ánimo de claridad y sencillez en las
comunicaciones respecto a los datos de los participantes.
Manifiesta el reclamado que si bien es cierto que la información se podría haber
proporcionado de una forma más completa, clara y precisa en un único documento; con
ocasión de algunas confusiones producidas por la información del tratamiento expuesta en
la web del responsable, se consideró oportuno y necesario realizar aclaraciones al respecto.
Por este motivo, se comunicó vía correo electrónico los fines y legitimación para el
tratamiento de los datos de los participantes del evento. Específicamente, como ya hemos
referido al inicio de este documento, se enviaron dos correos electrónicos cuyas fechas y
aclaraciones fueron las siguientes: - 19 de agosto de 2021: “En su cuenta dispondrán de un
apartado donde puedan adjuntar vía PDF o JPG dicho certificado. Esta opción estará
habilitada desde el lunes 23 de agosto hasta el domingo 5 de septiembre para la opción del
Certificado de Vacunación. En caso de test PCR o Antígenos, deberá aportarlo a la
Organización a la hora de la recogida de dorsales”. - 24 de agosto de 2021:
-También aporta el reclamado la respuesta a su solicitud cursada el 14/08/2021 al Servicio
Canario de Salud sobre “celebración de evento multitudinario”, por la crisis de la COVID 19,
y respuesta de este, fechada el 23/08/2021, manifestando el reclamado que fue recibida el
28/08/2021. Indica que es muestra del tratamiento diligente, dado el interés del reclamado
en asegurar su actuación y el correcto desarrollo deportivo con la situación sanitaria
nacional y las medidas sanitarias a cumplir. Del DOCUMENTO 2 que aporta, se desprende:
Resulta de aplicación el Acuerdo de Gobierno de Canarias adoptado en sesión
celebrada el 5/08/2021, BOC 9/08/2021, por el que se aprueba la actualización de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/45
medidas de prevención establecidas mediante acuerdo del Gobierno de 19/06/2020 para
hacer frente a la crisis sanitarias ocasionada por el COVID-19, una vez superada la fase 3
del plan para la transición hacia una nueva normalidad, apartado 3.15 “celebración de
eventos deportivos no profesionales, profesionales y federados que se realicen en
Canarias”, determinando el comunicado, deberán contar con autorización previa los
organizadores de eventos de calendarios oficiales de las federaciones deportivas. En
sentido contrario, los organizadores de eventos deportivos programados no necesitarán de
autorización previa de la Dirección del servicio Canario de la Salud, si bien deberán dar
cumplimiento a lo indicado en el mismo apartado en lo que resulte de aplicación y menciona
una serie de medidas según los niveles de alerta, eventos deportivos con aforo de público o
medidas de separación interpersonal, de limpieza y desinfección.
Deduce el reclamado que, por todo ello, aun es más notorio como se solicitó, la aportación
del certificado, “si bien voluntario”, para garantizar la seguridad de los interesados.
-Señala que cuenta con un RAT que se adecua al contenido prescrito por el artículo 30 del
RGPD y ha realizado los preceptivos análisis de riesgos exigidos por el artículo 32 del
RGPD, “obteniendo riesgos que los clasifican como marginales y “aceptables”, adoptando
las medidas preventivas y correctivas para que el riesgo residual alcance un nivel
“aceptable”. Aporta DOCUMENTO 3, que ha actualizado con la designación del DPD.
El citado DOCUMENTO 3 es el RAT de “gestión de evento deportivo”, en el que reproduce lo
contenido en parte de la “POLITICA DE PRIVACIDAD Y REGLAMENTO 2023”. Reproduce
“legitimación: art 9.2.a RGPD, 6.1.e) del RGPD y Ley 2/2021 de 29/03, de medidas urgentes
de prevención, contención y coordinación para hacer frente a la crisis sanitaria ocasionada
por el COVID 19, “finalidad: identificar a los participantes del evento deportivo, así como la
gestión del mismo en garantía de la seguridad y salud de los participantes mediante una
adecuada y ágil gestión de prevención ante la situación de pandemia y crisis sanitaria
derivada del COVID 19”. En categorías de datos, figura, entre otros, de “salud relevantes
para la participación en el evento”, y “en garantía de seguridad en situación de crisis
sanitaria-certificado de vacunación COVID)”, y en destinatarios, que se comunicarán a
“AVAIBOOK SPORTS “.
Aporta en DOCUMENTO 4, la comunicación el 23/06/2023 a la AEPD del nombramiento de
Delegado de protección de datos. fechado el 10/07/2023.
-Sobre las medidas adoptadas a consecuencia de este procedimiento, indica el reclamado
que “ha activado el procedimiento de brecha de seguridad notificando a intervinientes
necesarios, analizando y documentando la brecha”, señalando:
a. Adopción de medidas de confidencialidad, integridad y disponibilidad
b. De conformidad con el artículo 17 de la RGPD, se procedió a la supresión de los datos
tras el tiempo estrictamente necesario para el fin para el que fueron solicitados.
c. Adopción de medidas para garantizar la resiliencia de los sistemas y servicios de
tratamiento, así como de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico.
d. Procesos de verificación, evaluación y valoración regulares de las medidas de seguridad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/45
e. Seudonimización y cifrado de datos personales.
f. Procesos de desvinculación de datos.
g. Ejecución de la eliminación de datos.
h. Actualización y revisión de las políticas de protección de datos y seguridad.
i. Actualización de los procedimientos de gestión de incidentes.
j. Incorporación de procedimientos de respuesta a las obligaciones del RGPD.
k. Los procedimientos, recursos y medios de detección y gestión (propios o a través de
terceros) así como las garantías de que todo lo anterior funciona correctamente.
l. Revisión y actualización del procedimiento de notificación de brechas. Documento Nº5
m. Revisión y actualización del procedimiento de ejercicio de derechos involucrando a la
figura del Delegado de Protección de Datos. DOCUMENTO Nº6
n. Auditorías periódicas.
o. Asimismo, como medida pendiente de ejecución, pero prevista, realizar una nueva
formación, cuya fecha se encuentra pendiente de confirmar.
p. Actualización de cláusula informativa en la plataforma.”
Entiende el reclamado que ha adoptado medidas para evitar ulteriores incidentes de la
tipología que trata el procedimiento.
Señala el reclamado que concurre la buena fe y el deseo de actuar conforme las directrices
y criterios de la autoridad sanitaria en aquel momento y la intención de organizar un evento
deportivo sin poner en riesgo a ningún participante
-Solicita que se apliquen como atenuantes, que la petición de documentación no supuso
beneficio para el reclamado, sino al contrario, por el coste de la plataforma, pero lo hizo para
asumir el bien común de los participantes, en beneficio del interés colectivo, y se nombró un
DPD voluntariamente y las demás medidas ya indicadas.
SEXTO: Con fecha 14/06/2024, se decidió abrir un período de practica de pruebas,
acordándose:
1.Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y
su documentación.
2.Dar por incorporados los documentos que se citan en el acuerdo de inicio y en el que ya
expresamente se hacía una referencia a los mismos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/45
3.Asimismo, se dan por reproducidos a efectos probatorios, las alegaciones al acuerdo de
inicio del procedimiento sancionador referenciado, presentadas por el reclamado, y la
documentación que a ellas acompaña.
Además, se solicita al reclamado, que, aporte o/e informe:
4.Según sus manifestaciones, en la página web de la “X Gomera Paradise Trail” existía un
apartado de POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS, de cuyo contenido
se dispone en el expediente de la versión impresa de 21/10/2021. Se le solicita que informe
en ¿qué apartado de la página web se hallaba dicha información?, si era en la parte general
de acceso, o en la parte de inscripción de la carrera, acreditándolo.
Con fecha 5/07/0224 se recibe su respuesta, manifestando:
“La Política de privacidad que recogía la información necesaria a facilitar a los usuarios, se
encontraba incorporada en el momento de la organización del evento en la pantalla de
inscripción.” Aporta lo que manifiesta era el ANEXO I, que no coincide con el que figura
incorporado al expediente, extraído por la SGID el 21/10/2021, que figuraba en la web de la
carrera www. gomeraparadise.com. El que ahora aporta, lleva el logo de GOMESPORT, y no
figuraba en el procedimiento. No lleva fecha de la versión o inicio de vigencia.
En el ANEXO I aportado, denominado “Política de privacidad
www.GOMESPORTEVENTOS.COM, se informa en lo que tenga que ver con la participación
en la carrera:
“Política de privacidad de un vistazo”
- “usamos los datos que nos has facilitado online, o a través de cualquier otro medio
para el registro de su inscripción,
- ¿Por qué los tenemos? “estamos legitimados a tratar los datos
“Cuando se inscribe en cualquiera de nuestros eventos, así como en cualquiera de nuestros
formularios”.
En el apartado 1, titulado: ¿Quién es el responsable del tratamiento de tus datos?, figura el
reclamado, asociado a la web www.gomesporteventos.com, consta una dirección diferente a
la de la de otra Política de Privacidad incorporada al expediente el 21/10/2021, y consta la
referencia al DPD. También que los datos facilitados por los distintos formularios de recogida
de datos serán tratados por el reclamado, y que dicho tratamiento se encuentra recogido en
el Registro de actividades de tratamiento.
En el apartado 2 “Para que se utilizan tus datos personales”, se indica que “en
www.gomesporteventos.com” tratamos datos tanto de usuarios de nuestra web como de
terceros que mantienen una relación con nosotros. Diferencia la información por tipo de
personas de las que “tratamos los datos”, destacando lo contenido sobre “datos de los
participantes que se inscriben en nuestras plataformas a los eventos” en el que informa que
trata datos de categoría especial, de salud, certificados médicos, certificados de vacunación
o pruebas antígenos aportados por los interesados, y datos identificativos: nombre,
apellidos, dirección postal y electrónica, teléfono. En ¿cómo obtenemos tus datos?”, indica
que “por el formulario on line que cumplimentas para la inscripción del evento y actividades
desarrolladas por GOMESPORT”. “El tratamiento de los datos está supeditado a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/45
aceptación de la política de privacidad mediante la marcación de una casilla incluida en el
formulario de inscripción al evento deportivo”
En finalidades para las que se van a tratar los datos, señala: “generar y gestionar la
documentación asociada a la inscripción, facilitar la información sobre el evento a los que
haya inscrito, tramitar sus solicitudes y consultas a través de la web, garantizar el desarrollo
de un evento seguro adoptando las medidas sanitarias adecuadas y garantizando la
seguridad de todos los participantes mediante la solidaridad mediante la aportación de
documentación sobre los certificados médicos y pruebas de antígenos”.
En el apartado de legitimación para el tratamiento de datos, se indica que “el tratamiento de
los datos de salud se basa en el consentimiento del usuario exigido en el artículo 9.2. a
RGPD, que quedará acreditado mediante la subida a nuestra plataforma de la
documentación y su exhibición al personal el día del evento. El usuario puede revocar en
cualquier momento el consentimiento prestado”.
En el apartado ¿por cuánto tiempo conservamos sus datos?, para participantes del evento,
se indica que “aquellos datos que son tratados en base al consentimiento del participante se
mantendrán mientras resulten relevantes para el fin que fueron recogidos y el
consentimiento no sea revocado
Los datos de salud pueden ser suprimidos directamente por el participante en la plataforma
y serán suprimidos una vez que haya finalizado el evento por parte de GomesSport”.
El apartado 4 “información adicional sobre el tratamiento de datos” indica que los datos de
carácter personal tratados por el reclamado “pueden ser obligatorios o voluntarios. Mediante
los formularios web se le solicitarán datos de categorías especiales para garantizar su
privacidad. La aportación de datos de salud no tiene carácter obligatorio, siendo los datos
que se van a solicitar en los formularios: 1 datos identificativos, 2 datos relativos en la
inscripción, y 3, datos relativos a las transacciones.
En el apartado de ejercicio de derechos, se informa además que el reclamado ha nombrado
DPD, figurando la dirección (...)@dpocanarias.com y una dirección de ejercicio de derechos
diferente al que constaba en política de privacidad de 21/10/2021.
Manifiesta el reclamado que “Esta capa informativa se incorporó en el formulario de
inscripción, a fin de que los futuros participantes conocieran el tipo de datos que se iban a
recoger, así como su responsable, la finalidad, los destinatarios y los derechos remitiendo al
aviso legal de la propia web y a la política de privacidad de web
www.gomesporteventos.com para acceder a la segunda capa informativa. No obstante, esta
capa actualmente no se encuentra operativa puesto que se eliminó el contenido y el enlace
a la inscripción del evento”
Aporta el reclamado ANEXO II bajo el título “denegación en el acceso al formulario de
inscripción”, en el que se la captura de una pantalla de una web SIN IDENTIFICAR A CUÁL
CORRESPONDERIA, informando de la “X Trail GOMERA PARADISE”, “el plazo de
inscripciones está cerrado” y se ven las pestañas de “inicio”, “zona privada del participante
“este evento ya fue celebrado”.
Manifiesta el reclamado que “sin perjuicio de lo anterior, en el Aviso Legal de la web
https://gomeraparadise.com/aviso-legal/, en concreto, en su apartado 9, relativo a la
POLÍTICA DE PRIVACIDAD, se menciona la posibilidad de ampliar la información relativa al
tratamiento de los datos”, tal y como se indica en su literal que reproduce, con el tenor:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/45
“El usuario puede consultar cómo el reclamado utiliza sus datos y las medidas de seguridad
implantadas en el enlace de Política de privacidad de esta web y en la «Política de
privacidad” de la web www.gomesporteventos.com donde podrán ampliar la información
sobre el tratamiento de los datos de los participantes en nuestros eventos en el siguiente
enlace: https://gomesporteventos.com/politica-privacidad/
Por otro lado, si acudimos al enlace https://gomesporteventos.com/politica-privacidad/
podremos ver el contenido que se muestra en el ANEXO III del presente escrito enmarcado
en rojo, donde se hace referencia específica al tratamiento de datos de salud y la base de
legitimación, en la cual se incluye el consentimiento expreso del usuario, el cual puede
revocar en cualquier momento, si bien este hecho no afecta a los tratamientos realizados
con carácter previo.“
A Sobre el ANEXO III que se aporta, en cuanto pueda afectar a los participantes en la
carrera, el documento titula “Información relativa al consentimiento”, con el logo de
GOMESPORT. Destaca porque empieza en el punto 2 ¿Para qué se utilizan tus datos
personales?, coincidiendo la información que proporciona con la misma que se ha visto en el
ANEXO I anteriormente citado que aporta el reclamado.
B 5. También se solicitó al reclamado que informara: “Sobre la misma información
contenida en la POLÍTICA DE PRIVACIDAD Y PROTECCIÓN DE DATOS, se pide que se
aporte la versión que estuviera vigente a la fecha del período de inscripción de la carrera-
14/05 a 15/08/2021- y de la recogida de datos de salud COVID de 23/08 a 5/09/2021, que
fue cuando se recogieron estos datos de salud adicionales (acreditando la vigencia de la
versión o versiones).
C Responda, además, si dicho contenido informativo sufrió modificaciones después de los
correos de 19 y 24/08/2021. Indique la fecha de la versión y aporten copia/s que soporten
sus manifestaciones.
D (Obsérvese que no se solicita información referida al apartado “NORMAS DE USO Y
CONDICIONES AL REALIZAR LA INSCRIPCION”).
Respondió que “en todo caso, no se realizó ningún cambio en el texto legal después del
correo enviado el 19/08/2021.
Aporta en ANEXO IV y V, las capturas de pantallas de los envíos a los participantes de la
carrera. En ambos textos figuran enviados desde una dirección gomeraparadise.com en el
que ya se ha visto que, en el primer mensaje, de 19/08/2021 se indicaba que los certificados
se enviaran a través de la zona privada del participante, en la web
www.gomeraparadise.com. Además, en este primer mensaje figura en la parte inferior que
“has recibido este correo porque te inscribiste en un evento organizado por GOMESPORT
EVENTOS”.
En el segundo mensaje de 24/08/2021, se indicaba también que el procedimiento era
“accede a tu zona privada: https://inscripciones.gomesporteventos.com/inscripcion/ix-
gomera-paradise/ zona privada/logeo/, introduce tu ID de inscripción (en el justificante de
inscripción y el e mail con el que se inscribieron). En el pie del mensaje se indica:
“GOMESPORT EVENTOS-para resolver dudas contáctanos [email protected].
Has recibido este correo porque te inscribiste en un evento organizado por GOMESPORT
EVENTOS”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/45
6- Sobre el RAT aportado-Se solicita que aporten la copia del RAT “gestión de evento
deportivo” en la versión vigente que se correspondiera con el estadio y situación temporal de
la fecha en que se recogieron los datos citados de salud (acreditándolo).
Se solicita que expliquen porque el RAT que aportan (refiere el nombramiento ya del DPD
6/2023) contiene la referencia a los datos de salud que se van a recabar o se están
recabando, si en el futuro no es previsible la recogida de dichos datos relacionados con la
COVID.
Respondió que el RAT aportado en sus alegaciones era el vigente a dicha fecha y por ello se
incluye la alusión al DPD designado el 29/06/2023, habiéndose modificado a la versión
actual en el mes de octubre 2023.
Manifiesta que aporta copia del mismo, vigente en el momento de organizar el evento, que
según manifiesta ya mencionaba todos los tratamientos de datos que en su momento se
estaba realizando, entre ellos los datos de salud, y que estuvo vigente desde 17/08/2021.
Aporta ANEXO VII que manifiesta contempla la evolución de las versiones del tratamiento
“gestión de evento deportivo”.
Se accede a dicho ANEXO. Cada una de las supuestas versiones solo se diferencia por el
añadido del literal que le precede, explicativo efectuado para esta respuesta con los títulos
“RAT vigente en el momento del evento”, “RAT remitido a la AEPD antes de su revisión
íntegra”, “RAT vigente a fecha actual”. Ninguno lleva fecha que pueda correlacionarse con la
de su aprobación o renovación/modificación, por lo tanto, no es posible deducir el período
inicial en que estuvo vigente.
Todos los aportados contienen la información que prescribe el artículo 30, diferenciándose
por leves matices en su contenido. En cuanto al supuestamente vigente en el momento de la
inscripción en la carrera, que se le ha incluido para la respuesta “RAT vigente en el
momento del evento”, figura como destacable:
-legitimación, artículo 9.2.a) RGPD,
-finalidad: identificar a los participantes del evento deportivo, así como la gestión
del mismo en garantía de la seguridad y salud de los participantes mediante una adecuada y
ágil gestión de la prevención ante la situación de pandemia y crisis sanitaria derivada del
COVID-19.
-categoría de datos: datos identificativos y datos característicos datos de salud
relevantes para la participación en el evento. Datos de salud en garantía de seguridad en
situaciones de crisis sanitaria (certificado de vacunación COVID).”
7-Sobre el comunicado de 24/08/2021 a los participantes de la carrera, se solicita que
envíen copia literal del mismo, en el formato en que fue enviado, forma en la que se enviaba
a los participantes y como acreditan que al reclamante o al resto de los participantes les fue
enviado y lo leyeron.
Se entiende respondido con los ANEXOS IV y V aportados. Añade el reclamado que se
remitió a los participantes inscritos a la dirección de correo electrónico que estos incluyeron
en el formulario de inscripción cumplimentando, única forma de contacto de la que se
disponía.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/45
Indica que es en ese “propio correo donde se remite el acceso a la zona privada en
https://inscripciones.gomesporteventos.com/inscripcion/ix-gomera-paradise/ zona
privada/logeo/,y por ende a su política de privacidad”. Es en ese apartado y en “AVISO
LEGAL de la web en el que se informa al interesado que debe acceder periódicamente para
verificar los cambios en la política de protección de datos”, “pero el reclamado consideró el
correo como la forma de modificar y aclarar las condiciones de participación en el evento”.
8-Sobre el mismo aspecto del punto anterior, si el inicio de la opción para subirlos a la
plataforma de los certificados de vacunación al área privada fue desde 23/08 a 5/09/2021,
indicar, acreditándolo, los certificados recogidos (número al menos) en las fechas, desde el
mismo día 23/08.
Respondió el reclamado que los números dados en alegaciones son una cifra estimada de
certificados que se recogieron, y no puede corroborar el número exacto, ya que acabado el
plazo de la realización del evento se suprimieron, considerando no necesaria su
conservación.
9- En sus alegaciones precisan el número de personas que volcaron en la plataforma el
certificado. Se le solicita acreditación documental del citado número, o cómo realizaban el
conteo. Informen si se producía algún control en la salida de la carrera o en la plataforma
contratada respecto de las personas que proporcionaron los certificados, los test o los
certificados de recuperación y el número de personas que utilizaron los test antígenos y el
certificado de recuperación de la enfermedad, o si pueden desglosar el número que
proporcionan en sus alegaciones de 690 personas.
Respondió el reclamado que “Durante los plazos de inscripción en el evento se pudo
acceder por parte del reclamado a la información respecto de los certificados que se habían
aportado. Si bien, no hubo acceso por parte del responsable, ya que sólo era necesario
verificar quienes lo habían remitido, y en ningún momento se tuvo acceso al contenido.” Esta
afirmación podría ser errónea desde que el reclamado es el responsable y declara que pudo
acceder y a continuación dice que no hubo acceso por parte del responsable, que es el
mismo.
Indica el reclamado que no se dispone de un número exacto de personas que aportan su
certificado, además, por que se cesó en la relación con el encargado. Los datos
proporcionados en alegaciones fueron obtenidos el 5/09/2021 por conteo de la propia
plataforma.
Añade que, dado que la aportación de los certificados era voluntaria, no se solicitó el
certificado presencial ni tampoco se verificó quien había presentado ese certificado a través
de la plataforma sin que se prohibiera la participación de los usuarios que no la facilitaran.
La intención inicial era garantizar la seguridad de todos los participantes, aun celebrándose
al aire libre.
Indica el reclamado que dadas las suspicacias y “los cambios y la comunicación presentada
del 28/08 con la autoridad sanitaria, se decidió no tomar medidas de cotejo permitiendo la
participación de la totalidad de los inscritos, con independencia del número de participantes
que han aportado los certificados”.
10-Informen del sistema que implantaron para la eliminación de los datos de salud
recogidos, fecha y como aseguraron que los datos dejaron de tratarse en la plataforma
contratada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/45
Respondió que el propio reclamado dispuso que todos los certificados facilitados por los
participantes fueran eliminados, ya que no eran necesaria su conservación para ningún
trámite posterior, “en especial dada su controversia”.
SÉPTIMO: Con fecha 11/07/2024, se emitió propuesta de resolución, del literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione a B.B.B.,
con NIF ***NIF.1, por las siguientes infracciones del RGPD:
-9, de conformidad con el artículo 83.5.a) del RGPD y calificada como muy grave a efectos
de prescripción en el artículo 72.1.e) de la LOPDGDD, con una multa de 8.000 euros.
-13 de conformidad con el artículo 83.5.a) del RGPD y calificada como muy grave a efectos
de prescripción en el artículo 72.1.h) de la LOPDGDD, con una multa de 6.000 euros
-30, de conformidad con el artículo 83.4.a) del RGPD y calificada como grave a efectos de
prescripción en el artículo 73.n) de la LOPDGDD., con una multa de 1.000 euros”
OCTAVO: Con fecha 30/07/2024, se reciben alegaciones del reclamado, manifestando:
-1 “En el Reglamento de la carrera, se indica que el organizador de la carrera es
GOMESPORT EVENTOS. En el encabezado del documento se incluye su logo,
referenciándose a la misma como “responsable del tratamiento”. “En este Reglamento se
aporta la primera capa informativa, conteniendo quién es el responsable, la finalidad:
inscripción y gestión del evento. Con ello se responde a algunos de los requerimientos
exigidos por el artículo 13 del RGPD y a todos los recogidos en el artículo 11 de la
LOPDGDD, “al contener la información básica”, en dicho artículo, en el apartado 2.”
Indica el reclamado, que se produjo la modificación del Reglamento de la carrera,
procediendo a comunicar sus aspectos aclaratorios mediante correo electrónico el
24/08/2021. “Lo dispuesto en el artículo 14 fue un error en la redacción pudiéndose
desprender en un principio la obligatoriedad del certificado COVID, del mensaje enviado el
día 24/08, se desprende la “rectificación de tal obligatoriedad ahondando más en el carácter
solidario, y dando cabida a la base de legitimación del artículo 6.1.a) del RGPD”.
“Por otro lado, examinada la Política de Privacidad de www.gomeraparadise.com, puede
extraerse que, con carácter general, ya se informaba a los interesados sobre la identidad del
Responsable del tratamiento, entre otros aspectos: “el responsable de la página y de la
recogida de datos como “responsable del tratamiento” es B.B.B., que trata los datos de
“clientes y visitantes para prestar los servicios solicitados por los usuarios ”. Si bien, en esta
Política de Privacidad y protección de datos indica que la legitimación se basa en el artículo
6.1.b) del RGPD el tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones: el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas precontractuales”, en
el formulario de inscripción se incluyó una cláusula específica en la cual se apelaba al
artículo 6.1.a) del RGPD para fundamentar tal tratamiento de carácter puntual.
“Esto se decidió así, puesto que la recogida iba a tener un carácter limitado en el tiempo y
no se creyó conveniente la modificación de la Política de la web en su totalidad, dado que
podría inducir a error al resto de los usuarios (la política de la web tiene una redacción
genérica para todos los usuarios que acceden a la web, con independencia de que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/45
inscriban o no). Por ello, se optó por la inclusión de una cláusula específica directamente
relacionada con las características del evento en el momento de la inscripción.
Sin perjuicio de entender como cumplido el deber de información estipulado en el artículo 13
del RGPD mediante la inclusión de la correspondiente Política de Privacidad en la web y la
correspondiente cláusula en el formulario de inscripción, viendo que el reclamante manifestó
que no había quedado claro el carácter voluntario de la aportación del certificado COVID, un
día después de la apertura del periodo de inscripción, es decir, el 24 de agosto de 2021, se
envió un correo aclaratorio que ensalzaba el consentimiento como base de legitimación por
parte de los usuarios. Con ello, se dejó un margen de 11 días para que aquellos usuarios
que lo hubieran subido bajo la creencia de que era obligatorio, lo pudieran eliminar
libremente.”
“Cabe destacar que el plazo para la aportación del certificado COVID iba desde el lunes 23
de agosto de 2021 al domingo 5 de septiembre del mismo año, reduciéndose, en todo caso,
el daño derivado de la confusión que se pudo originar en el participante a un día y dotando a
los participantes de la posibilidad de revocar el consentimiento mediante la supresión de la
documentación COVID aportada. Así, y para más abundamiento, se remite correo el día
24/08/21, tan solo cinco días después del comunicado del 19/08/24 y un día después de la
apertura del plazo para la presentación de la documentación, informando sobre la finalidad
para el tratamiento de estos datos, específicamente “dicho certificado se solicita con el fin de
poder disponer de las máximas garantías de seguridad en materia COVID-19”.
-2 Indica el reclamado, que se muestra en contra del contenido del hecho probado octavo,
estimando que no se tuvo en cuenta la información facilitada, y que si bien se suprimió -por
motivos de limitación del plazo de conservación-el ENLACE al formulario de inscripción
(aporta un link, en el que si se clica da 404 error, y si se pega a la barra de búsqueda del
navegador, lleva la reglamento de la carrera de la edición de 2021 (ya visto), y con ello la
correspondiente cláusula informativa, se comunicó la finalidad del tratamiento a los
participantes en el correo remitido el día 24/08/21.
“De igual forma, se informó sobre cómo se recabarían los datos en el primer correo “el
formato a llevar a cabo será a través de la página web www.gomeraparadise.com, en el que
la Organización habilitará una Zona Privada del Participante”.
Estima el reclamado, que la información básica estipulada en el artículo 11.2 de la
LOPDGDD se debe dar por facilitada “a través de los correos electrónicos, así como
mediante la política de privacidad y protección de datos incluida en la web, obviando lo
incluido en la cláusula del formulario de inscripción cuya finalidad principal era la de replicar
lo contenido en la política de privacidad y añadir los tratamientos específicos del evento
Por su parte, se remitió como prueba para verificar la información que el responsable facilitó
a los participantes los textos legales incluidos en la página web
www.gomesporteventos.com, que, si bien se ha considerado que no correspondía el envío
de estos textos legales al no ser parte del evento, consideramos que se debe aclarar este
hecho.
Como ya ha quedado demostrado, la página web oficial del evento era
www.gomeraparadise.com, tal y como se indicó en el Reglamento. No obstante, y debido a
que el Responsable del tratamiento contaba en este momento, y sigue contando
actualmente, con dos páginas web, la inscripción se realizaba desde
www.gomesporteventos.com, aunque su acceso se realizaba desde
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/45
www.gomeraparadise.com. Por ello, es necesario tener en cuenta la información que se
facilitaba a través de estos textos legales, ya que esto supone gran parte de la información
facilitada a los participantes.
Se vuelve a indicar en los hechos probados, en especial el décimo, la falta de información
facilitada a los participantes en relación con la recogida de datos de salud. En este contexto,
se considera que ya se ha facilitado dicha información, así como pruebas suficientes para
comprobarlo, siendo éstas las siguientes:
1. Reglamento de la carrera (artículo 14 en relación con artículo 24).
2. Política de Privacidad de www.gomesporteventos.com y
www.gomeraparadise.com.
3. Cláusula insertada en el formulario de inscripción.
4. Correo electrónico remitido el 24/08/21.
Añade el reclamado, que, en otras resoluciones, con la misma infracción, como el
expediente, 202312720 no se sancionó, sino que se apercibió, solicitándolo con base a que,
de 1350 participantes, voluntariamente presentaron el certificado 690, solo 660 optaron por
no dar su consentimiento, entendiendo que este ostentaba carácter solidario y no
obligatorio. La cuestión ya se encontraba aclarada mediante correo de 24/08/2021, y dado
su carácter puntual, así como la intencionalidad de facilitar a los participantes cuanta
información solicitaran. Subsidiariamente, solicita que se reduzca la sanción sobre este
artículo.
3-Reitera el reclamado la validez del consentimiento prestado en el art 9 del RGPD, y que
este puede ser “inequívoco y otorgarse de forma implícita cuando se deduzca de una acción
del interesado (como subiendo sus datos a la plataforma)”. En este caso nos encontramos
con una acción activa por parte de los participantes/interesados, que subieron sus datos,
constituyendo así un consentimiento explícito.
Añade que el carácter voluntario y opcional de aportar los referidos documentos son prueba
de la licitud del tratamiento y del consentimiento inequívoco de los usuarios.
4-Sobre el RAT, “se procede a adjuntar en el Documento nº2 la tabla de control de versiones
del RAT, donde se incluye el relativo al de “GESTIÓN DE PARTICIPANTES”, a raíz de la
nueva petición de la Agencia; no considerando oportuno aportar de nuevo el histórico de
versiones que ya dispone la Agencia en los documentos del presente procedimiento.”
El documento 2 reza: “Registro de actividades de tratamiento-B.B.B.-Gomesport Eventos”
“gestión de eventos deportivos”,
“Registro de cambios”,
Surge en v.1: “creación inicial “, fecha del cambio “1/05/2021”,
v.2: fecha del cambio 17/08/2021 “cambio: Incorporación en los datos recogidos de los
participantes de certificado y vacunación COVID”,
en la v.3: “cambio: Incorporación de los datos del DPD designado” “fecha 10/07/2023,
v.4: “eliminación del RAT de los datos relativos a certificados vacunación COVID y mayor
definición en los datos en el tratamiento”, “fecha del cambio 14/10/2023”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/45
5- El reclamado indica sobre las circunstancias que concurrieron: la buena fe, actuó
conforme a las directrices y criterios de la autoridad sanitaria en momentos de pandemia y
crisis sanitaria con intención de organizar un evento deportivo, sin poner en riesgo a ningún
participante, suponiéndole un coste adicional la implantación de la plataforma para velar por
el bien común de los participantes.
Solicita que se tengan como criterios atenuantes, de conformidad con lo establecido en el
RGPD, la falta de obtención de beneficios, la designación voluntaria del Delegado de
Protección de Datos y demás medidas ya indicadas a lo largo del presente escrito.
NOVENO: A la vista de todo lo actuado, por parte de la Agencia Española de Protección de
Datos en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
1) La carrera de carácter privado “X Gomera Paradise Trail” se celebró el 10 y 11/09/2021,
con diferentes modalidades y con participación abierta para personas mayores de 14 años,
según figura en el Reglamento de dicha carrera (RC), en
https://gomeraparadise.com/reglamento (versión impresa incorporada al expediente de
21/10/2021).
2) La página web oficial de la carrera, según el reclamado: B.B.B. con NIF ***NIF.1, y el
propio RC, era www.gomeraparadise.com. Para participar en la carrera, se debía, rellenar a
través de la página un formulario en su apartado “inscripciones”. El plazo para ello fue,
desde el 14/05, a 15/08/2021 (artículos 7 y 8 del RC). Dicha cumplimentación implicaba la
aceptación de las condiciones y requisitos del RC, (artículo 1), informándose que este podía
sufrir modificaciones, rectificaciones o ser mejorado en cualquier momento por la
organización (art 24).
3) En el RC, en la versión obtenida para este expediente, que lleva el logo de X TRAIL
Gomera Paradise, solo se especificaba inicialmente respecto a los datos relacionados con la
COVID 19, en el apartado 14, dentro de “recogida de dorsales”, que se realizaba, una vez
inscrito, del 6 al 10/09/2021, que “el participante deberá entregar un documento de protocolo
Covid-19 en el que se compromete a haber cumplido las medidas que en él se estipulan”,
sin que se acredite que dicho protocolo formara parte del formulario de inscripción. También
ser indicaba que estaba organizada por GOMESPORT EVENTOS. En el RC no figuraba
aspecto alguno sobre protección de datos personales recogidos.
4) La Subdirección General de Inspección de Datos obtuvo con fecha 21/10/2021 una copia
impresa en pantalla, de “política de privacidad y protección de datos”, con la información que
constaba en la web de la carrera www.gomeraparadise.com, localizada en
https://gomeraparadise.com/politica-privacidad/, conteniendo el logo de X TRAIL Gomera
Paradise, informando sobre datos personales, que:
- el responsable de la página y de la recogida de datos como “responsable del tratamiento”
es B.B.B., que trata los datos de “clientes y visitantes para prestar los servicios solicitados
por los usuarios”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/45
-La sede ante la que ejercer los derechos y la opción de plantear una reclamación ante la
AEPD.
-En legitimación del tratamiento, se informaba solo respecto de los productos o servicios que
oferta el reclamante, con la base de legitimación del tratamiento, como “Relación
contractual”, derivada de la compra o contratación de sus servicios. Sobre la recogida y
tratamiento de datos de salud, no señalaba nada.
5) Consta acreditado, que a los pocos días de cerrado el período de inscripción, el
19/08/2021, el reclamado envió a los participantes un mensaje a través de la plataforma
online de inscripciones del evento (afirmación del reclamado en actuaciones previas de
investigación el 8/04/2022, con copia impresa del mensaje y aportado en pruebas),
solicitando a los participantes de la carrera que “aportaran”:
-Certificado de pauta completa de vacunación o, en su defecto, certificado de disponer de la
dosis pertinente por haber pasado ya la COVID-19. (lo subrayado, literal, podría referirse a
haber pasado la enfermedad, “debiéndose aportar” certificado a tal efecto).
-En su defecto, con un tope de 48 horas de anterioridad a la celebración de la prueba que
vaya a realizar, un test PCR o antígenos de resultado negativo.
Para aportar los mencionados documentos, se habilitaba la web de la carrera:
gomeraparadise.com, en la “zona privada de participante”, entrando con los datos que se
dieron al efectuar la inscripción previa: ID de inscripción asignada y el email que anotaron
cuando se inscribieron. El plazo que para ello estableció el reclamado, iba desde 23/08
hasta el domingo 5/09/2021. En caso de test PCR o antígenos, se debía aportar a la
organización a la hora de la recogida de dorsales.
6) Con fecha 24/08/2021 (se acredita con captura de pantalla aportada por el reclamado el
8/04/2022 en lo solicitado en pruebas), el reclamado envía otro mensaje a los participantes
de la carrera por la misma vía que el de 19/08. El comunicado avisa de que ya está
disponible la zona privada del participante para volcar el certificado de vacunación en base a
COVID 19, “ante las dudas y/o sugerencias que nos han hecho llegar: En ningún momento
hemos remitido la obligatoriedad de o se presenta documentación o se elimina al
participante del evento. Dicho certificado se solicita con el fin de poder disponer de las
máximas garantías de seguridad en materia COVID-19, por la alerta sanitaria como la que
estamos viviendo, creemos que lo mejor para todos es garantizarnos el máximo de
seguridad”, apelando a la solidaridad de todos para poder celebrar eventos de forma segura
y responsable.
En este segundo comunicado, se informa a los participantes que el procedimiento para
volcar el certificado de vacunación o certificado que garantice el disponer de anticuerpos, es:
accede a tu Zona Privada: https://inscripciones.gomesporteventos.com/inscripcion/ix-
gomera-paradise/ zona_privada/logeo/
7) El espacio en el que se almacenaron los datos recabados se había contratado por el
reclamado con AVAIBOOK ON-LINE S.L, siendo el sistema de plataforma de inscripción on
line para el evento, en el que se alojaban los datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/45
8) En alegaciones al acuerdo, el reclamado fundamenta la solicitud de datos de salud a los
participantes en la carrera relacionados con la COVID 19, recogidos a partir de 23/08/2021
hasta 5/09/2021, en la obtención del consentimiento, que considera posibilitaría el
tratamiento conforme el artículo 9.2.a) del RGPD. Sin embargo, no se acredita que, existiera
alguna cláusula de política de protección de datos, cláusula informativa o medio que
explique e informe a los participantes en la carrera en que consistiría el tratamiento, la
petición de su consentimiento, en que consistiría tal consentimiento, su finalidad, o cómo se
recabaría, para habilitar este tratamiento.
9) El reclamado indicó en alegaciones al acuerdo de inicio, que en la carrera participaron
1.350 personas, volcando en la plataforma el certificado de datos COVID 19, un total de 690
personas, existiendo 660 personas participantes sin haber aportado certificado COVID,
prueba diagnóstica ni documento similar alguno.
10) No se acredita que el reclamado informe en modo alguno sobre este tratamiento de
datos de salud en el momento de recogerse los datos de los afectados (23/08/2021 a
5/09/2021) en la página de política de privacidad de la carrera www.gomeraparadise.com,
titularidad del reclamado, considerando la previsión e inicio de recogida de datos de salud
en correos de 19 y 24/08/2021.
11) El reclamante reclama el 8/09/2021, que para poder participar en la carrera “X Gomera
Paradise Trail”, se recogen datos personales asociados a la vacuna contra la COVID 19 y
certificado de recuperación de la enfermedad, así como pruebas diagnósticas COVID (test
antígenos y/o PCR) a elección del participante.
12) Solicitada en actuaciones previas en dos ocasiones al reclamado la copia del registro
de actividad del tratamiento (RAT) vigente al momento de la recogida de datos de salud
relacionados con la reclamación, no fue aportada sino hasta las alegaciones al acuerdo de
inicio del presente procedimiento. El RAT solicitado en pruebas “vigente al momento de la
fecha de recogida de los datos de salud”, y aportado comprende el RAT de “actividad de
tratamiento: Gestión de evento deportivo”. Contempla variaciones históricas sin ninguna
marca de vigencia o período de vigencia o entrada en vigor. Solo incluye en las tres
versiones aportadas, el título puesto por el reclamado para diferenciarlo, de:
- “RAT vigente en el momento del evento”,
-“RAT remitido a la AEPD, antes de su revisión integra” (en alegaciones, donde se aprecia
que se contiene la existencia de DPD, hecho que acontece a partir de 6/2023, continuando a
dicha fecha referenciando en el apartado de “finalidad” la crisis sanitaria derivada del COVID
19, así como en legitimación una ley de la materia, la Ley 2/21 de 29/03, y
- “RAT vigente actual”, según manifiesta el reclamado vigente, desde octubre 2023. De este
modo, tampoco acredita la fecha de implantación, ni de vigencia ni actualización en los
posteriores.
Sustenta el reclamado la vigencia del RAT a la fecha en que se recogieron los datos de
salud, a partir del 24/08/2021 a 5/09/2021, con el título: “RAT vigente en el momento del
evento” con la mera declaración de que el documento estaba vigente desde 17/08/2021,
siendo las otras, dos versiones de este.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/45
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad
de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica
3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora
de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados
por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Los datos recabados por el reclamado, primero los relativos a la inscripción en la carrera, y
después, a través de certificados de vacunación y pruebas de antígenos o PCRs subidos a
la plataforma de la web del reclamado gomeraparadise.com, se incluirían en el concepto de
tratamiento de datos personales, incluyendo en un momento posterior al período de
inscripciones, los datos personales de salud, cuyo responsable del tratamiento es el
reclamado. El artículo 4 del RGPD define:
1) «datos personales»: toda información sobre una persona física identificada o identificable
(«el interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un identificador
en línea o uno o varios elementos propios de la identidad física, fisiológica, genética,
psíquica, económica, cultural o social de dicha persona;
(…)
2)”tratamiento” cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;”
(…)
7)“responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios
del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/45
8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que trate datos personales por cuenta del responsable del
tratamiento;”
(…)
“15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una
persona física, incluida la prestación de servicios de atención sanitaria, que revelen
información sobre su estado de salud;”
(…)
Al principio, se deduce del Reglamento de la carrera, que no estaba previsto que durante el
periodo de inscripción se tuvieran que aportar certificados COVID, pues nada se indicaba en
el mismo.
No fue sino hasta el 19 y el 24/08/2021, cuando se producen dos envíos a los participantes,
inquiriendo el reclamado la responsabilidad de los participantes, aclarando el segundo que
no se excluiría la participación a los que no lo aportaran los datos de salud, si bien apelando
a la seguridad de la prueba y a la solidaridad. No obstante, el carácter del primero, enviado
seis días antes era imperativo en el sentido que indicaba la necesidad por el literal “La
organización ha decidido solicitar a los participantes”, y el lugar en el que acceder para ello,
y la forma, añadiendo que para la “opción test PCR o antígenos deberá aportarlo a la
organización a la hora de recogida de dorsales”.
Estos datos de salud, catalogados como datos de categoría especial (“datos sensibles”) en
el artículo 9 del RGPD, son considerados así, pues son particularmente sensibles en
relación con los derechos y las libertades fundamentales ya que el contexto de su
tratamiento podría entrañar importantes riesgos para los derechos y libertades
fundamentales. Así se especifica en el considerando 51 del RGPD, que enuncia que
merecen especial protección los datos personales que, por su naturaleza, son
particularmente sensibles en relación con los derechos y las libertades fundamentales, ya
que el contexto de su tratamiento podría entrañar importantes riesgos para esos derechos y
libertades.
El Tribunal de Justicia de la UE ha precisado que la finalidad del artículo 9, apartado 1, de
dicho Reglamento consiste en garantizar una mayor protección contra los tratamientos de
datos que, coma debido a la particular sensibilidad de los datos que son objeto de los
mismos, pueden constituir una injerencia especialmente grave en los derechos
fundamentales al respeto de la vida privada y a la protección de los datos de carácter
personal, garantizados por los artículos 7 y 8 de la Carta de los derechos fundamentales,
véase en este sentido, la sentencia de 5/06/2023, Comisión/ Polonia- independencia y vida
privada de los jueces- asunto c/204/21 apartado 345, y jurisprudencia citada
Se puede así, deducir claramente que el reclamado actuó como responsable del
tratamiento, según define el artículo 4.7 del RGPD, al decidir y definir llevar a cabo el
tratamiento de los datos solicitados, siendo el responsable del cumplimiento de los principios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/45
establecidos en forma de obligaciones en el apartado 1 de dicho artículo 5, en virtud del
artículo 5, apartado 2, del RGPD, y debe poder demostrar que se cumplen estos principios.
III
El tratamiento lícito de datos personales exige que se cumplan los principios de protección
de datos previstos en el artículo 5 del RGPD y alguna de las bases de legitimación que
determina el artículo 6 del RGPD.
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.
1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno
o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado
por las autoridades públicas en el ejercicio de sus funciones.
Aparte del consentimiento como base jurídica del tratamiento, del resto de las contempladas
en el 6.1 del RGPD, todas suponen la “necesidad” del tratamiento, término que se contiene
expresamente. En este sentido, el Comité Europeo de Protección de Datos (antiguo Grupo
de Trabajo del artículo 29) en su dictamen sobre “Directrices sobre decisiones individuales
automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679” indica que,
para tratar categorías especiales de datos, debe encontrarse cobertura en el artículo 9.2
RGPD y una vez excepcionada la prohibición general, hay que acudir a los supuestos del
artículo 6 RGPD para dar licitud al tratamiento en cuestión. (…) ”Los responsables del
tratamiento solo pueden tratar datos personales de categoría especial si se cumplen una de
las condiciones previstas en el artículo 9, apartado 2, así como una condición del artículo 6.
(…).”
Pudiera existir una base legitimadora para tratar los datos en general del colectivo de
participantes en la carrera por el hecho de inscribirse y secundar las normas que se
reglamentan, normas en las que, en el apartado 14 del reglamento de la carrera, se indicaba
inicial y exclusivamente, tras el apartado de la inscripción: “recogida de dorsales”, que se
realiza una vez inscrito, del 6 al 10/09/2021: “el participante deberá entregar un documento
de protocolo covid-19 en el que se compromete a haber cumplido las medidas que en él se
estipulan”.-documento del que se desconoce también su contenido.
En este caso, se tratan datos de personas que se refieren a una prueba deportiva y cuyo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/45
reglamento puede ser modificado, de hecho, lo es por requerimientos que se efectúan el 19
y 24/08/2021, una vez finalizado el período de inscripción de la carrera (el 15/08/2021),
basándose, manifiesta el reclamado, en una consulta a organismos públicos que se
desconoce y no aporta. Como resultado añadido, se solicita a los deportistas que se han
inscrito, la aportación de pruebas COVID o certificado de vacunación, que se recogen,
almacenan y conservan (concepto amplio de tratamiento de datos) .
En todo caso, se podría estimar que sí existe base legitimadora del tratamiento en general
del colectivo que se inscribe en la prueba por guardar relación con su celebración y
conectado con su desarrollo.
Como elemento a considerar en el tratamiento llevado a cabo, se ha de valorar si el
reclamado supera además el umbral que conlleva la prohibición del tratamiento de datos de
salud de estos participantes inscritos.
Procede reiterar que, en virtud del artículo 5, apartado 2, del RGPD, el responsable del
tratamiento es responsable del cumplimiento de los principios establecidos en forma de
obligaciones en el apartado 1 de dicho artículo y debe poder demostrar que se cumplen
estos principios. Es decir, la carga de la prueba de que los datos personales se tratan con
arreglo a la norma del RGPD, recae sobre el responsable del tratamiento, en este caso, el
reclamado.
Los «principios», objeto del capítulo II del RGPD, incluyen, entre otros, los artículos 5 y 6 de
dicho Reglamento.
Por otro lado, entre las obligaciones del responsable del tratamiento figura la del artículo 24,
que determina:
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así
como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las
personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas
apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el
presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario.
2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las
medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable
del tratamiento, de las oportunas políticas de protección de datos.”
IV
El referido tratamiento de datos de salud, tal como lo define el RGPD, como cualquier
tratamiento, impone que los datos personales serán (imperativo)
-“recogidos con fines determinados, explícitos y legítimos”, art 5.1.a) del RGPD.
-“adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que
son tratados”, art 5.1.c) del RGPD
Sobre la limitación del tratamiento de datos a lo necesario en relación con los fines para los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/45
que son tratados, se puede sugerir que, si la petición de datos de aportar o no certificados
COVID se dejaba a voluntad de los participantes, pondría en duda tal necesidad del
tratamiento, por cuanto que los objetivos que el reclamado pretende conseguir dejan de ser
necesarios en cuanto se dejan a la voluntad de las personas que van a participar, mostrando
los hechos que menos de la mitad de los participantes no lo aportaron, con lo que la eficacia
de la medida para el objetivo perseguido, no se cumpliría. A sensu contrario, no se
acreditaría la supuesta necesidad o pertinencia de los certificados, junto con la limitación al
derecho de protección de datos de los participantes.
Los datos de salud que el reclamado solicita tienen que contemplar unos fines, siendo una
de sus características, que sean “legítimos”, lo que guarda relación con que la exigencia de
una vacuna a un individuo, por regla general no es obligatoria de acuerdo con la normativa
vigente en España, y tampoco con la normativa que sobre la enfermedad COVID 19
manifiesta el reclamado. Por tanto, su exigencia ha de basarse en alguna razón que permita
y legitime dicho tratamiento, dando el reclamado en alegaciones al acuerdo de inicio, como
razón, se reproduce su literal: “la existencia del consentimiento, informado, libre e
inequívoco de los interesados, recogido en el artículo 9.2.a) del Reglamento, como
circunstancia que levantaría la prohibición del tratamiento de datos de salud”, cuyos rasgos
se analizarán si se cumplen o no.
Es preciso recordar que el artículo 9 del RGPD, entre los que figuran los datos de salud, se
refiere, como indica su título, al «tratamiento de categorías especiales de datos personales»,
también calificados de datos «sensibles» en los considerandos 10 y 51 de este Reglamento.
El artículo 9 del RGPD, “Tratamiento de categorías especiales de datos personales”,
dispone:
“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o
racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical,
y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera
unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o
las orientaciones sexuales de una persona física.
2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos
personales con uno o más de los fines especificados, excepto cuando el Derecho de la
Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado
1 no puede ser levantada por el interesado;
(…)
b) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física, en el supuesto de que el interesado no esté capacitado, física o
jurídicamente, para dar su consentimiento;
(…)
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del
Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo
perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/45
adecuadas y específicas para proteger los intereses y derechos fundamentales del
interesado;
(…)
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud
pública, como la protección frente a amenazas transfronterizas graves para la salud, o para
garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los
medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los
Estados miembros que establezca medidas adecuadas y específicas para proteger los
derechos y libertades del interesado, en particular el secreto profesional,
(…)
4.Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive
limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos
relativos a la salud.”
En relación con las circunstancias recogidas en las letras g), h) e i) del artículo 9.2 del
RGPD, se ha de señalar que la exigencia de ley para restringir derechos fundamentales
viene impuesta en la Constitución Española. En palabras del Tribunal Constitucional, en la
STC de 76/2019, de 22/05/2019, fundamento jurídico 5 “(…) por mandato expreso de la
Constitución, toda injerencia estatal en el ámbito de los derechos fundamentales y las
libertades públicas ora incida directamente sobre su desarrollo (artículo 81.1 CE), ora limite
o condicione su ejercicio (artículo 53.1 CE), precisa una habilitación legal (por todas, STC
49/1999, de 5 de abril, FJ 4). “Así pues, la reserva de Ley es un requisito constitucional”
(…)
La cobertura normativa de las medidas que las autoridades sanitarias consideren urgentes y
necesarias para la salud pública, e impliquen limitación o restricción de derechos
fundamentales, se encuentran en la legislación sanitaria. En concreto, en la Ley Orgánica
3/1986, de 14/04, de Medidas Especiales en Materia de Salud Pública, Ley 14/1986, de
25/04, General de Sanidad, Ley 33/2011, de 4/10, General de Salud Pública.
La Ley 2/2021 Ley 2/2021, de 29/03, de medidas urgentes de prevención, contención y
coordinación para hacer frente a la crisis sanitaria ocasionada por la COVID19, establece
protocolos en los que se contemplen medidas de ventilación, limpieza y desinfección
adecuadas a las características de los centros de trabajo, centros, entidades o titulares de
actividades económicas. Esta Ley señala que la adopción de medidas necesarias para el
cumplimiento de la ley corresponderá a la Administración General del Estado con la
colaboración de las comunidades Autónomas.
Por lo demás, la “realización de pruebas diagnósticas de infección para la detección del
COVID-19 se limita a aquellos casos en los que exista una prescripción previa por un
facultativo y se ajusten a criterios establecidos por la autoridad sanitaria competente.”
(apartado segundo de la Orden SND/344/2020 de 13/04, por la que se establecen medidas
excepcionales para el refuerzo del Sistema Nacional de salud y la contención de la crisis
sanitaria ocasionada por el COVID-19, BOE (14/04/2020). La aprobación de unas normas de
protección sanitaria relacionadas con las competiciones han de efectuarse, de acuerdo con
lo dispuesto en las medidas generales de prevención e higiene frente al COVID-19, por las
autoridades sanitarias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/45
Con tal consideración, merece la pena citar, aunque sea a título de ejemplo, el Auto del
Tribunal Superior de Justicia de Canarias, de Santa Cruz de Tenerife, sala de lo
contencioso-administrativo, sección 2ª, dictó el auto 249/2021 de 29/07/2021. Esta sentencia
analizó la norma que en el ámbito de Canarias aprueba la actualización de las medidas de
prevención establecidas mediante Acuerdo del Gobierno de 19/06/2020, para hacer frente a
la crisis sanitaria ocasionada por el COVID-19, una vez superada la Fase III del Plan para la
transición hacia una nueva normalidad, finalizada la vigencia de las medidas propias del
estado de alarma. Se trataba en concreto de la resolución de 23/07/2021, BOC 26. El auto
declara suspendida la medida de exigir certificado de vacunación completa o prueba test
como medida adicional en los accesos a la hostelería y restauración.
El reclamado ha manifestado además sobre el consentimiento que “puede ser inequívoco y
otorgarse de forma implícita, cuando se deduzca de una acción del interesado, como
ejemplo, al subir esos datos a la plataforma que tenía instaurada.”
El artículo 4.11) del RGPD define el consentimiento del interesado: ”toda manifestación de
voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea
mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales
que le conciernen;
El considerando 32 señala: “El consentimiento debe darse mediante un acto afirmativo claro
que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del
interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como
una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal.
Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros
técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra
declaración o conducta que indique claramente en este contexto que el interesado acepta la
propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya
marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse
para todas las actividades de tratamiento realizadas con el mismo o los mismos fines.
Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si
el consentimiento del interesado se ha de dar a raíz de una solicitud por medios
electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del
servicio para el que se presta.”
Como parte de las condiciones para el consentimiento, el artículo 7.1 y 7.3 del RGPD indica
que “ 1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.”
(…)
“3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La
retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será
informado de ello. Será tan fácil retirar el consentimiento como darlo.
Se debe observar que, en la versión del Reglamento de la carrera, de 20/10/2021, solo se
mencionaba el apartado 14 de “recogida de dorsales”, que se realiza una vez inscrito, del 6
al 10/09/2021, constando que “el participante deberá entregar un documento de protocolo
covid-19 en el que se compromete a haber cumplido las medidas que en él se estipulan”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/45
Por lo que se puede estimar, que fue a raíz de los mensajes enviados a los participantes de
19 y 24/08/2021, como y cuando se instaura la petición de los certificados y datos de salud
COVID, fuera del Reglamento de la carrera.
Analizando el primer envío de 19/08/2021 que el reclamado dirige a los participantes, no se
menciona la voluntariedad ni la necesidad del consentimiento o medidas tendentes a su
obtención para ello, sino “ha decidido solicitar” “tal y como nos recomiendan los diferentes
Organismos Públicos”.
El reclamado no aporta tales recomendaciones, aportando en cambio la respuesta a su
petición de autorización para la celebración de la prueba en la que explica las medidas
preventivas a adoptar, aportando escrito de dicho Servicio de Salud Canario 23/08/2021
(antes, el reclamado había tomado su decisión).
El mensaje enviado por el reclamado a los participantes de la carrera el 24/08/2021, añade
información de la que se puede asumir que los certificados se envíen de forma voluntaria, al
añadir el literal: “En ningún momento hemos remitido la obligatoriedad de o se presenta
documentación o se elimina al participante del evento”, si bien no se contenía información
alguna sobre la información que sobre el tratamiento se iba a llevar a cabo y se animaba a
remitirlo. No había propuesta alguna sobre tratamiento de datos que se iba a llevar a cabo,
con esos participantes que voluntariamente remitirían sus datos de salud. Tampoco mención
alguna a la retirada del consentimiento, que en alegaciones a la propuesta el reclamada
indica.
Así pues, aquellos participantes que decidieron enviarlos, o los que ya lo habían enviado,
pues el plazo para ello comenzó el 23/08/2021, no conocían información alguna sobre el
tratamiento de tales datos y sus garantías y derechos, aunque fuera voluntario en su caso,
aportar los datos, que en nada reduce las obligaciones que el RGPD establece ni los
derechos de los afectados, si se prevé como en este caso su recogida.
En el considerando 42 del RGPD se añade “…Para que el consentimiento sea informado, el
interesado debe conocer como mínimo la identidad del responsable del tratamiento y los
fines del tratamiento a los cuales están destinados los datos personales”. Falla así la nota de
“informado” que implica que toda la información necesaria debe suministrarse en el
momento en que se solicita el consentimiento, y que éste debe abordar los aspectos
sustantivos del tratamiento que el consentimiento se propone legitimar.
En cuanto a que la manifestación de voluntad sea “inequívoca”…”aceptando” “ya sea
mediante una declaración o una clara acción afirmativa”, debe resultar evidente que el
interesado ha dado su consentimiento a una operación concreta de tratamiento de datos. No
puede deducirse del envío de los citados certificados a la plataforma que se les señala por el
reclamado, cuando lo que está claro es lo que se envía, pero no se tiene conciencia de que
se está aceptando alguna propuesta, por no existir ninguna a nivel de protección de datos,
sobre el tratamiento de sus datos.
El consentimiento válido requiere el uso de mecanismos que no dejen ninguna duda de la
intención de consentimiento del interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/45
Tampoco se puede convenir que el consentimiento sea válido por cuando ha de ser
específico. En otras palabras, el consentimiento indiscriminado sin especificar la finalidad
exacta del tratamiento no es admisible. Para ser específico, el consentimiento debe ser
comprensible: referirse de manera clara y precisa al alcance y las consecuencias del
tratamiento de datos.
Por tanto, no se acredita que los participantes dieran su consentimiento explícito para el
tratamiento de dichos datos personales con uno o más de los fines especificados, como
señala el artículo 9.2 a) del RGPD, ni que el reclamado lo obtuviera en virtud de dicha base
legitimadora.
El hecho es que el consentimiento en este supuesto, no se puede derivar de
comportamiento como pueda ser la remisión de los certificados COVID, ya que, si no, no
sería consentimiento, ni explícito. Por otro lado, en ningún escrito (mensaje), política de
privacidad o condiciones de uso de las inscripciones con tercero, se alude a dicho
consentimiento. Por tanto, no puede calificarse de informado, libre e inequívoca la
prestación del consentimiento por los participantes, con independencia de que la aportación
hubiera sido voluntaria, pues cuando se aportaran, y para ello, se debió de haber obtenido
dicho consentimiento que además ha de ser explícito, como rasgo distintivo.
El término explícito se refiere a la forma en que el interesado expresa su consentimiento.
Significa que el interesado debe dar una declaración expresa de consentimiento. Una forma
obvia de asegurarse de que el consentimiento es explícito sería confirmar expresamente el
consentimiento en una declaración escrita. Cuando proceda, el responsable del tratamiento
podría asegurarse de que la declaración escrita sea firmada por el interesado, con el fin de
eliminar todas las dudas posibles y la posible falta de pruebas en el futuro.
Sin embargo, tal declaración firmada no es la única manera de obtener consentimiento
explícito y, no puede decirse que el RGPD prescribe declaraciones escritas y firmadas en
todas las circunstancias que requieran un consentimiento explícito.
De acuerdo con lo alegado por el reclamado, hubo una información inequívoca, libre e
informada. Para ello, se ha de partir de que además este consentimiento que levantaría la
prohibición del tratamiento de datos de salud habría de ser “explícito”, que es lo contrario de
lo implícito, o deducido por un determinado comportamiento. Por ello, subir los certificados
no puede nunca ser calificado como obtención de un consentimiento explícito. Además,
faltarían los términos en que se consiente, esto es, “consentimiento informado, libre y
especifico”.
Se impone a los deportistas en este caso una limitación de su derecho individual y
fundamental de sus datos personales, con una triple opción, todas referidas a la información
de su salud, que puede consistir en proporcionar al reclamado un certificado de vacunación,
“certificado de disponer de la dosis pertinente por haber pasado ya la COVID-19”, que se
trata de haber desarrollado anticuerpos por haber padecido la infección, y acreditación de
haber pruebas diagnósticas de detección PCR o antígeno. El carácter de voluntariedad en la
aportación de los certificados no ha de suponer ignorar los requisitos que el RGPD y la
LOPDGDD exige para sus tratamientos, ni la merma en derechos del que considera ha de
aportarlos, que como se sostiene en este fundamento, no se atiene a la obtención del
consentimiento explícito.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/45
Por tanto, las condiciones que pueden levantar la prohibición de tratar datos de categorías
especiales se recogen en el apartado 2 del referido artículo 9.
Sin embargo, no consta en este caso que concurriera alguna de estas circunstancias en el
tratamiento realizado por el reclamado, que fue lo que motivó el inicio del procedimiento, ni
la particularmente analizada del consentimiento explícito.
Así las cosas, de conformidad con las evidencias de las que se dispone se considera que la
conducta del reclamado constituye una infracción del artículo 9 del RGPD.
V
Otra infracción que se imputa al reclamado es la del artículo 30 del RGPD, por no disponer a
fecha del tratamiento de los datos de salud del registro de actividad de tratamiento y que
precisa:
“1. Cada responsable y, en su caso, su representante llevará un registro de las actividades
de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la
información indicada a continuación:
a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable,
del representante del responsable, y del delegado de protección de datos;
b) los fines del tratamiento;
c) una descripción de las categorías de interesados y de las categorías de datos
personales;
d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos
personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
e) en su caso, las transferencias de datos personales a un tercer país o una organización
internacional, incluida la identificación de dicho tercer país u organización internacional y, en
el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la
documentación de garantías adecuadas;
f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías
de datos;
g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de
seguridad a que se refiere el artículo 32, apartado 1.
(…)
3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en
formato electrónico.
4. El responsable o el encargado del tratamiento y, en su caso, el representante del
responsable o del encargado pondrán el registro a disposición de la autoridad de control que
lo solicite.
5. Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni
organización que emplee a menos de 250 personas, a menos que el tratamiento que realice
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/45
pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea
ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9,
apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere
el artículo 10.”
El artículo 30 del RGPD se encuentra dentro del capítulo IV “responsable del tratamiento y
encargado del tratamiento”, en la sección 1ª “Obligaciones generales”, relativo a los
responsables del tratamiento. El considerando 82 del RGPD, indica: ”Para demostrar la
conformidad con el presente Reglamento, el responsable o el encargado del tratamiento
debe mantener registros de las actividades de tratamiento bajo su responsabilidad. Todos
los responsables y encargados están obligados a cooperar con la autoridad de control y a
poner a su disposición, previa solicitud, dichos registros, de modo que puedan servir para
supervisar las operaciones de tratamiento.”
Este RAT constituye un medio para asegurar el respeto, por parte de esos responsables, de
las garantías previstas por el citado Reglamento para la protección de los derechos y
libertades de los interesados.
Esta obligación general de mantener registros documentados debidamente, incluyendo su
cronología y contenido, se enmarca en el principio del artículo 5.2 del RGPD, que indica
que: “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en
el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” rendición de cuentas
que precisa que los responsables del tratamiento puedan demostrar el cumplimiento de sus
obligaciones en virtud del RGPD.
En este supuesto, es claro el riesgo que supone el tratamiento de datos de salud, calificados
de sensibles, y la afectación a la propia intimidad referida al tratamiento.
Dada la plausible modificación de los registros de actividades de tratamiento, o incluso la
extinción a lo largo del tiempo, al variar estas actividades o desaparecer, deben estar
actualizados y al día. Los RAT aportados por el reclamado en cuanto a las fechas de
vigencia no acreditan fehacientemente que tales versiones en los contenidos que figuran
fueran los existentes al momento de recogerse los datos de salud (24/08/2021), aunque el
reclamado manifestó que está vigente desde 17/08/2021, sin aportar algún elemento ni
indicio del que se induzca a ello. Igualmente, el RAT que se aportó en pruebas, pese a ser
de después de junio 2023, alude todavía a recogida de datos de salud por motivos de
COVID, y a la finalidad de control de la crisis, lo que acredita la falta de actualización en la
llevanza de dichos registros.
De acuerdo con todo ello, queda acreditada la infracción del artículo 30 del RGPD.
VI
El artículo 5 del RGPD, señala entre uno de sus principios”
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/45
El artículo 5.1 a) del RGPD, consagra el principio de transparencia en el tratamiento de los
datos personales, puesto en conexión con las obligaciones derivadas de dicho principio,
establecidas en los artículos 13 y 14 del RGPD, así como las condiciones generales de la
información que debe facilitarse al interesado, contenidas en el artículo 12 del mismo texto
legal. Igualmente, el artículo 5.1 a) del RGPD deberá ponerse en conexión con lo
establecido en el artículo 11 de la Ley Orgánica 3/2018, de 5/12 (“LOPDGDD”).
Este principio de transparencia se materializa según el considerando 39, en la obligación del
responsable del tratamiento de informar a los interesados acerca del tratamiento de sus
datos personales expuesta de forma concisa, fácilmente accesible y fácil de entender
(considerando 58) e informarle sobre la existencia de la operación de tratamiento y sus
fines.
El artículo 13 del RGPD, señala:
“1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del
tratamiento, en el momento en que estos se obtengan, le facilitará toda la información
indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del
tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos
del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer país u
organización internacional y la existencia o ausencia de una decisión de adecuación de la
Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo
49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los
medios para obtener una copia de estas o al hecho de que se hayan prestado.
2.Además de la información mencionada en el apartado 1, el responsable del tratamiento
facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente
información necesaria para garantizar un tratamiento de datos leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible,
los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos
personales relativos al interesado, y su rectificación o supresión, o la limitación de su
tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9,
apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier
momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo
a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito
necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos
personales y está informado de las posibles consecuencias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa
sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/45
tratamiento para el interesado.
3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales
para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con
anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier
información adicional pertinente a tenor del apartado 2.
4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en
que el interesado ya disponga de la información”
El propio RGPD pone de manifiesto la vinculación absoluta existente entre el principio de
transparencia y el deber de información al interesado, cuando rubrica su artículo 12
«Transparencia de la información, comunicación y modalidades de ejercicio de los derechos
del interesado», estableciendo en su apartado 1 lo siguiente: «El responsable del
tratamiento tomará las medidas oportunas para facilitar al interesado toda información
indicada en los artículos 13…”
La LOPDGDD indica en su artículo 11, “Transparencia e información al afectado:
1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento
podrá dar cumplimiento al deber de información establecido en el artículo 13 del
Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el
apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder
de forma sencilla e inmediata a la restante información.
2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
a) La identidad del responsable del tratamiento y de su representante, en su caso.
b) La finalidad del tratamiento.
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a22 del
Reglamento (UE) 2016/679.”
En cuanto a la forma y contenido de cumplir con el derecho de información a los afectados
en la recogida de datos de salud que se produce tras el envío del mensaje 19 y 24/08/2021,
por el que se pasa a exigir la aportación de pruebas o certificados de vacuna, se debe
concretar que la página web de la carrera, en política de privacidad, solo menciona a los
clientes o usuarios que contratan algún servicio, y en función de ello ofrecen varias
legitimaciones.
Sin embargo, no se concreta aspecto alguno de la información de la recogida de datos de
salud que se contienen en el certificado de vacunación o en los informes de las pruebas
diagnósticas necesarios para participar en la carrera.
Hay que diferenciar dos momentos en cuanto a la recogida de datos referidos a la COVID
19. En primer lugar, respecto a los formularios de inscripción en la carrera, se produjeron
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/45
tales inscripciones en el periodo abierto para ello, desde el 14/05/2021 hasta el 15/08/2021,
de acuerdo con lo que señalaba el Reglamento de la carrera. Ni en el Reglamento de la
carrera, ni por lo tanto en ese formulario se acredita que se informara del tratamiento de los
datos de la COVID 19, teniendo en cuenta, además, que dicho tratamiento se decide y
proyecta en los correos de 19 y 24/08/2021. Así pues, no es posible como manifiesta el
reclamado, que, en el formulario de inscripción, estuviera en la web de gomeraparadise o en
la web de gomesport, se contuviera algún elemento que informara de que los datos de salud
de los participantes iban a ser objeto del tratamiento, ni las cuestiones relacionadas con el
mismo (ejercicio de derechos, período de conservación, finalidad del tratamiento,
destinatarios etc). No se ha de confundir el momento del formulario de inscripción, con la
posterior etapa de opción de subir los documentos de salud iniciada el 23/08/2021. Así pues,
cuando se aprueba el reglamento de la carrera no estaba prevista la recogida de los datos
controvertidos, por lo que era imposible informar en su formulario de inscripción, como alega
el reclamado y sostiene en pruebas. Por otro lado, junto a la fragmentación de algunos
aspectos que se ofrecen sobre el tratamiento, genera confusión adicional que se indique en
el Reglamento de la carrera que la página oficial de la misma sea gomeraparadise, en la que
se han de inscribir, y según alega el reclamado, la información se proporcionara desde otra
web, de gomesport, también titularidad del reclamado.
Tampoco se acredita que en el espacio para la subida de los certificados de la web del
reclamado por la que articulaba la participación, gomeraparadise.com, o gomesport, figurase
completa la información que exige el artículo 13, ni siquiera la información básica que señala
el artículo 11.1 y 2 de la LOPDGDD, que se apoyan en la base de complementar la citada
información, hechos que tampoco acredita el reclamado.
Podrían desprenderse trazos de información, pero fragmentarias en distintos elementos: e
mails, página de la carrera, política de privacidad, pero ninguno unitario, desestructurados.
En la política de privacidad de la web incorporada al expediente, 21/10/21, se indicaba al
reclamado para prestación de servicios, sin alusión alguna a los datos de salud, en el e mail
de 24/08/21 se adivinaba el fin de la seguridad de la salud de los participantes, pero ninguna
información completa referida al cumplimiento de las exigencias del artículo 13 del RGPD en
el momento de recogerse los datos, aunque fueran recogidos de manera voluntaria,
elemento que nada tiene que ver para que dicha información se proporcionara.
Así, sobre el tratamiento de datos de salud referidos a la COVID 19, no resulta verosímil la
afirmación hecha por el reclamado en pruebas, punto I, afirmando que la política de
privacidad para que los participantes conocieran el tipo de datos que se iban a recoger, se
contenía en el formulario de inscripción de la carrera, “en la pantalla de inscripción” como
primera capa informativa, remitiendo al “Aviso legal de la propia web” y a la “política de
privacidad de la web gomesporteventos.com, para acceder a la segunda capa informativa”.
Manifiesta, además el reclamado que el “aviso legal”, se refiere al punto “9 POLITICA DE
PRIVACIDAD” que remite con el literal: “El Usuario puede consultar como el reclamado
“utiliza sus datos y las medidas de seguridad implantadas en el enlace de política de
privacidad de esta web, y en la política de privacidad de la web
www.gomesporteventos.com, donde podrán ampliar la información sobre el tratamiento de
los datos de los participantes en nuestros eventos en el siguiente enlace
https://gomesporteventos.com/politica-privacidad”. Ya se ha visto que, en la política de
privacidad de la web de la carrera, versión impresa 21/10/2021 no se contenía información
alguna sobre tratamiento de datos de salud objeto de este procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/45
Además, acude el reclamado a la política de privacidad de Gomesport, ANEXO III que
aportó, web que no es la de la competición, para intentar acreditar que era la cláusula
informativa que constaba en la fecha en que se demandó voluntariamente, 24/08/2021, la
subida de los certificados COVID 19. Este ANEXO III es una parte del ANEXO I, también
aportado en pruebas, también de Gomesport (lleva el logo), y que considera el reclamante
con la que los participantes quedaban informados del tratamiento de los datos de la COVID
19.
Sin embargo, no se puede dar validez a esta afirmación, no solo por no ser la página web
oficial de la competición, o no acreditarse que pudiera figurar en el momento de la
inscripción para el evento, ya cerrado desde el 15/08/2021 a 24/08/2021. Tampoco merece
verosimilitud por varios factores, destacando:
-La acreditación de los hechos o circunstancias del tratamiento, incluyéndose cuándo y
cómo se da la información corresponde al reclamado. El documento no porta fecha alguna
de la versión, o indicación que haga deducir la fecha de aplicación o vigencia.
-Figurando el mismo responsable del tratamiento que en la política de privacidad de la web
oficial imprimida el 21/10/2021, las direcciones para ejercer los derechos son distintas.
-Figura incorporado el DPD en el aportado en pruebas, hecho que no sucede sino hasta
junio 23.
-También se confirma que dicha versión facilitada no era la vigente al momento de la
efectiva recogida de datos de salud, porque en la respuesta del reclamado en pruebas sobre
la información solicitada si tras el correo que indicaba la recogida de datos de salud de
23/08 a 5/09/2021, se había variado la información de la política de privacidad y protección
de datos que figuraba en la versión impresa de 21/10/2021, afirmó el reclamado que “no se
realizó ningún cambio”.
Todo ello teniendo en cuenta que la información a los titulares de los datos se tiene de
proporcionar antes de la recogida de los datos.
El sentido y efectos de proporcionar una información completa y exhaustiva que prevé el
artículo 13, no se cumple con la alusión a que se recogerán datos de modo voluntario o no,
o solicitando la solidaridad de los participantes, pues en cualquier caso y en este en
concreto, el reclamado realizó la recogida de datos y los trató con una finalidad.
El reclamado solo alude a que los participantes suban a la plataforma on line los datos y que
en la misma pueden consultar las instrucciones y unas reseñas sobre el encargado de
tratamiento.
Sin embargo, no fue aportada la cláusula informativa especifica de la recogida de datos de
las pruebas COVID o de antígenos/ certificado de vacunación.
El considerando 60 indica: “Los principios de tratamiento leal y transparente exigen que se
informe al interesado de la existencia de la operación de tratamiento y sus fines. El
responsable del tratamiento debe facilitar al interesado cuanta información complementaria
sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/45
circunstancias y del contexto específicos en que se traten los datos personales”.
El RGPD enumera las categorías de la información que debe facilitarse a un interesado en
relación con el tratamiento de sus datos personales cuando estos se obtengan del
interesado (artículo 13) . Toda la información referida en estos apartados es igualmente
importante y debe facilitarse al interesado.
En principio, los datos de los participantes se recogen con su inscripción, periodo que va de
14/05 a 15/08/2021. El pago del precio de la inscripción se produce en un primer plazo,
desde 14/05 al 14/07/2021.
De acuerdo con lo manifestado por el reclamado, todas las inscripciones y todos los datos
relevantes captados de los participantes, se encuentran alojados en una plataforma online
de inscripciones de eventos deportivos, la cual se rige por “la siguiente Política de
Privacidad, y a través de la cual se vuelca toda la información relevante de todos y cada uno
de los participantes, entrando en ella también tanto el certificado de pauta de vacunación o
test”, dando a conocer las “normas de uso y condiciones aceptadas al realizar una
inscripción”, que informa de que la herramienta tecnológica que permite gestionar la
inscripción es prestada por un encargado del tratamiento, sin aportar información alguna
sobre el tratamiento que se llevaría a cabo.
Junto a ello, el Reglamento de la carrera, señala que, en la página oficial de la carrera,
www.gomeraparadise.com (art 4 del Reglamento de la carrera) se cumplimentará el
formulario publicado en dicha página web, apartado de inscripciones.
En cuanto a las alegaciones del reclamado que manifiestan que en los correos electrónicos
de 19 y 24/08/2021 se informaba de los fines y de la legitimación para el tratamiento de los
datos, se ha de indicar no ser cierto, por cuanto en los mismos se disponía como llevar a
cabo la subida de los certificados a la plataforma y aludía a la difícil situación de la
pandemia, y que en época de alerta sanitaria lo mejor para todos es “garantizarnos el
máximo de seguridad”, manifestaciones que se hallan lejos del contenido mínimo que señala
el artículo 13 del RGPD.
Sobre la manifestación realizada en alegaciones de que la información se contenía en las
“normas de uso y condiciones”, ya se ha relatado su contenido que informaba sobre el
acceso de los datos a la plataforma de un tercero contratada al efecto, como encargado del
tratamiento, considerándose que esta figura trata los datos por cuenta del responsable, sin
que suponga en modo alguno un tratamiento diferenciado o una cesión de datos a un
tercero. El contenido del encargo a un tercero no es preceptivo en la información a
proporcionar a los usuarios. Las remisiones que en esas normas de uso y condiciones se
contenían al “gestor” (según las alegaciones al acuerdo de inicio) que, por cierto, como
GESTOR, no se identifica como el reclamado, no contienen sino manifestaciones generales,
y no tienen ningún link como manifiesta en alegaciones a ninguna página del reclamado. Las
manifestaciones hechas en alegaciones sobre “AIVABOOK Sports hace varias remisiones a
las políticas del GESTOR. Esto es, las políticas de las webs de Gomera Paradise (en la que
se hace remisión a la de GomeSport, para información adicional), y en la de GomeSport (en
la que se proporciona información detallada)” aportando el documento 1 de alegaciones,
resultan pues deducciones de la reclamada sin base alguna, al no verificarse en la página
de la carrera conexión alguna con GOMESPORT, o al menos no ha sido explicada por el
reclamado, pese a que figure en el Reglamento de la carrera como organizador de la misma,
y en la página oficial de esta consta el reclamado como responsable del tratamiento de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/45
datos que se recaban para la misma mediante el formulario de inscripción.
En cuanto al contenido de su alegación de que “con carácter previo al presente
procedimiento se ha corregido e incorporado una cláusula informativa de accesible
entendimiento actualizada para el interesado en la plataforma de AVAIBOOK”, cabe decir
que la aportada en documento 1, referida a su “política de privacidad carrera 2023”, extracto
situado en la web gomesport, desconociéndose la relación o función que cumple con la de la
carrera, resulta que siendo cláusulas referidas al 2023, continúan contemplando la recogida
y tratamiento de datos de salud relacionados con la COVID, pese al transcurso del tiempo, y
aludiendo de nuevo al consentimiento.
Las manifestaciones sin soporte documental probatorio del concreto período en que se
recogen los datos carecen del alcance liberatorio de la obligación exigible a las personas o
entidades que tratan datos personales, acreditándose por parte del reclamado el
incumplimiento del citado artículo 13 del RGPD.
VII
Las conductas infractoras se contemplan tipificadas en el RGPD, artículo 83.5:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de
una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total
anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22.”
Y en el artículo 83.4:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de
una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total
anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39,
42 y 43;”
A este respecto, la LOPDGDD, en su artículo 71, establece que “Constituyen infracciones
los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:
“Infracciones consideradas muy graves.
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/45
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
(…)
“e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del
Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en
dicho precepto y en el artículo 9 de esta ley orgánica.”
(…)
“h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679
y 12 de esta ley orgánica.”
Y el artículo 73 de la LOPDGDD considera a efectos de plazo de prescripción, como
Infracciones graves:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
(…)
“n) No disponer del registro de actividades de tratamiento establecido en el artículo 30 del
Reglamento (UE) 2016/679.”
VIII
Los apartados b, d) e i) del artículo 58.2 del RGPD disponen lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados
a continuación:
(…)
“b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;”
(…)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento
se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado;”
“i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/45
El reclamado asevera además que procedería el apercibimiento puesto que “en otras
resoluciones, con la misma infracción, como el expediente, 202312720 no se sancionó, sino
que se apercibió”. Sobre este particular se ha de significar que los expedientes son
manifiestamente diferentes, porque en el referenciado por el reclamado afecta sólo a un
reclamante y sólo por falta de información, cuando en el supuesto ahora examinado son tres
las infracciones imputadas, referidas al tratamiento de datos de salud no necesarios para la
prestación del servicio y afectando a los 1.350 participantes a los que se les solicitó los
datos de salud sin informarles y sin excepción del art. 9.2 del RGPD que permitiera el
tratamiento de los datos, de los cuales 690 suministraron los datos.
En este caso, dada la categoría de los datos que se recogen y los riesgos de los derechos y
libertades que con ellos resultan comprometidos, se acude al procedimiento sancionador de
multa administrativa. La información en la recogida de los datos, aunque fuera de modo
voluntario, aparece directamente referida al tratamiento de los datos de salud de los
participantes, por lo que no es posible desligar la conexión e importancia de uno respecto
del otro.
No es posible dirigir un apercibimiento como alega el reclamado por ello. Además, por otro
lado, la disposición estructurada del RAT contiene también una garantía del correcto
tratamiento de los datos.
IX
La determinación de las sanciones que procede imponer en el presente caso exige observar
las previsiones de los artículos 83.1) y .2) del RGPD, preceptos que, respectivamente,
disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en
los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su
cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos
25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/45
el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como
los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a
través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: “Sanciones y
medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las
restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE)
2016/679.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las sanciones de
multas a imponer en el presente caso, para la infracción del artículo 9 del RGPD de la que
se responsabiliza al reclamado, se estiman concurrentes en calidad de agravantes los
siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del
reclamado:
-Artículo 83.2.a) RGPD “naturaleza, gravedad y duración de la infracción, teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido;” Si bien se pretendía como finalidad la seguridad de evitar contagios durante la
competición, el dejar a la voluntad de los participantes aportar los datos no quiere decir que
no se habría de contar con la base legitimadora de este tipo de datos. El hecho de dar sus
datos más de la mitad de los participantes, 690 de entre 1350 participantes, supone un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/45
número muy alto de los participantes y no significa que no sea grave, dados los datos en los
que inciden. La naturaleza del daño potencialmente puede implicar que los deportistas se
vean compelidos a vacunarse con el fin de atenerse a las pautas recomendadas para
participar en la prueba si no lo estaban.
Por la infracción del artículo 9 del RGPD, se considera una cuantía de la multa de 8.000
euros.
Para la infracción del artículo 13 del RGPD, se estima concurrente en calidad de agravante
el artículo 83.2. b) “la intencionalidad o negligencia en la infracción”, que revelan una mayor
antijuridicidad y/o culpabilidad en la conducta del reclamado. Este aspecto que relaciona la
ejecución de la acción con el sujeto, en el sentido de, no solo imputabilidad de la infracción a
su responsable, sino el hecho de poder agravar o reducir la sanción, según el grado de
culpabilidad. En cuanto a la imputabilidad al sujeto responsable, el principio de culpabilidad
impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva,
si bien también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este
tipo de infracciones normalmente se cometen por una actuación culposa o negligente lo que
es suficiente para integrar el elemento subjetivo de la culpa. Lo que en este apartado se
valora, es su análisis para la graduación de la sanción (art 40 LRJPAC), observando la
especifica diligencia desplegada en la acción por el responsable, y en este caso concreto, se
produce una destacada negligencia en el reclamado, acreditada en una conducta omisiva de
acatar su deber básico informativo en el tratamiento a los titulares de los derechos que por
el hecho de que se pueda variar el reglamento de la carrera para exigir datos y se hayan de
inscribir en la competición, o su carácter voluntario en proporcionar los datos, no resta a la
falta de la diligencia exigible para cumplir este deber básico.
Por la infracción del artículo 13 del RGPD, se impone una multa de 6.000 euros.
Por la infracción del artículo 30 del RGPD, se considera una cuantía de 1.000 euros.
Sobre las alegaciones del reclamado de que concurre buena fe y el deseo de actuar
conforme a las directrices y criterios de la autoridad sanitaria, con la intención de organizar
el evento deportivo sin riesgo, se ha de indicar que no se ha aportado ninguna directriz o
criterio de autoridad sanitaria que prevea la necesidad de proporcionar certificados de
vacunación, ni siquiera a título voluntario. Necesidad que no se ve ratificada tampoco por la
voluntariedad en la aportación que resultó en que poco menos de la mitad no aportaron tales
certificados.
Sobre la buena fe y la intención, no hacen desaparecer la acción antijuridica y culpabilidad
que se le imputa, no planteándose sin embargo retomar el análisis del tratamiento
proyectado cuando en el correo de 24/08/2021 lo envía para responder a las dudas y
aclaraciones, informando que no se excluirá de la carrera a los que no lo aportasen, lo cual
pone en tela de juicio la necesidad y finalidad el citado tratamiento. Estas alegaciones no
resultan con suficiente alcance para reducir la cuantía de las infracciones, por lo que son
desestimadas.
Sobre la fata de beneficios obtenidos en el tratamiento de los datos objeto de reclamación,
como atenuante, este criterio de graduación se establece en la LOPDGDD, de acuerdo con
lo previsto en el artículo 83.2.k) del RGPD, según el cual las multas administrativas se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/45
impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las
circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas,
directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida
tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto
añadimos que las sanciones deberán ser “en cada caso individual” efectivas,
proporcionadas y disuasorias”, conforme a lo previsto en el artículo 83.1 del RGPD, admitir
la ausencia de beneficios como una atenuante, no solo es contrario a los presupuestos de
hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el
artículo 83.2.k) del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios
como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el
efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al
responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la
sanción que puede llevar a entender que infringir la norma sin obtener beneficios,
financieros o del tipo que fuere, “no le producirá un efecto negativo proporcional a la
gravedad del hecho infractor”. Se ha de sumar, que “En todo caso, las multas
administrativas establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se
imponen en función de las circunstancias de cada caso individual”, y, en el presente, no se
estima que la ausencia de beneficios sea un factor de graduación adecuado y determinante
para valorar la gravedad de la conducta infractora. Solo en el caso de que esta ausencia de
beneficios sea relevante para determinar el grado de antijuricidad y de culpabilidad
presentes en la concreta actuación infractora podrá considerarse como un atenuante, en
aplicación del artículo 83.2.k) del RGPD, que se refiere a “cualquier otro factor agravante o
atenuante aplicable a las circunstancias del caso”. Este párrafo deja una puerta abierta a
aquellos supuestos en que la ausencia de beneficios pueda ser considerado circunstancia
atenuante, mas no a tenor de la interpretación literal y teleológica del legislador conforme a
la previsión del art. 83.2.k) del RGPD. También la Sentencia de la AN, de 05/05/2021, rec.
1437/2020, indica: “Considera, por otro lado, que debe apreciarse como atenuante la no
comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que
debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la
circunstancia "e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el
presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero
no implica ni permite, como pretende la actora, su aplicación como atenuante”; aplicado al
supuesto enjuiciado, la falta del presupuesto para su aplicación respecto del art. 76.2.c) de
la LOPDGDD, esto es, obtener beneficios consecuencia de la infracción, no permite su
aplicación como atenuante.
En cuanto a las medidas puestas en marcha por el reclamado tras el acuerdo de inicio,
algunas no son comprensibles como la de la notificación a intervinientes necesarios de la
brecha de seguridad de datos, y otras son generales de una ordinaria administración de
protección de datos implantadas al inicio del tratamiento.
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, sanciones de multa administrativas por las
infracciones del RGPD de los siguientes artículos:
-9, de conformidad con el artículo 83.5.a) del RGPD y calificada como muy grave a efectos
de prescripción en el artículo 72.1.e) de la LOPDGDD, con una multa de 8.000 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/45
-30, de conformidad con el artículo 83.4.a) del RGPD y calificada como grave a efectos de
prescripción en el artículo 73.n) de la LOPDGDD., con una multa de 1.000 euros
-13 de conformidad con el artículo 83.5.a) del RGPD y calificada como muy grave a efectos
de prescripción en el artículo 72.1.h) de la LOPDGDD, con una multa de 6.000 euros
SEGUNDO: NOTIFICAR la presente resolución a B.B.B..
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de
esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al
sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente
resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la LPACAP,
en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de
Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de
la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la
entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en
período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los
días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será
hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días
16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo
mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución
se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el
plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo
previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/45
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es