1/6
Procedimiento Nº: PS/00285/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
En el procedimiento sancionador PS/00285/2020, instruido por la Agencia Española de
Protección de Datos a la FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE
ASTURIAS, con CIF: G33642083, (en adelante, “la entidad reclamada”), en virtud de
denuncia presentada por en virtud de denuncia presentada por D. A.A.A., (en adelan-
te, “el reclamante”), y teniendo como base los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 28/01/20, tiene entrada en esta Agencia, denuncia presentada
por el reclamante en la que indicaba, entre otras, lo siguiente:
a).- No he podido evidenciar mediante las consultas realizadas en la AEPD que la
Federación Asturiana de Balonmano haya Designado un Delegado de Protección de
Datos ni en la página web de dicha organización ni en los impresos disponibles. Los
enlaces a la web de la federación que evidencian que tratan datos de menores de
edad para justificar porque están aplicados por el articulo 34 apartado o).
b).- En ninguno de los impresos utilizados por la FEDERACIÓN, que figuran en la
página web de dicha organización se solicita la autorización bien de los niños si son
mayores de 14 años o del titular de su patria potestad o tutela para el tratamiento de
los datos ni se acredita la realización de esfuerzos razonables para verificar la validez
del consentimiento se indica nada al respecto.
Es especialmente interesante al respecto es el primero de los impresos ya que en su
pie de página se indica: “En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999,
de 13 de diciembre, de Protección de Datos de Carácter Personal, los arriba
relacionados quedan informados y expresamente consienten la incorporación de sus
datos personales, incluidas las imágenes, a los ficheros automatizados titularidad de la
Federación de Balonmano del Principado de Asturias (…)”.
En relación a la difusión de las imágenes también les adjunto como evidencias de este
punto las imágenes de menores que divulgan en su página web. Añado los enlaces a
la web de la federación que evidencian que tratan datos de menores de edad y la
difusión de su imagen de forma pública.
SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la SG de Inspección de Datos procedió a realizar
actuaciones para su esclarecimiento, al amparo de los poderes de investigación
otorgados en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha
02/06/20 se dirigen requerimiento informativo a la entidad reclamada.
Según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica
Habilitada, el requerimiento enviado a la entidad reclamada el 02/06/20, a través del
servicio de NOTIFIC@, fue rechazado en destino el 13/06/20.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
TERCERO: Con fecha 14/10/20, la Directora de la Agencia Española de Protección de
Datos acordó abrir procedimiento sancionador y notificar dicho acuerdo a la Federa-
ción reclamada para que en el plazo de diez días hábiles presentase las alegaciones
que considerase convenientes.
CUARTO: Notificado el acuerdo de inicio, la federación reclamada, mediante escrito de
fecha 27/10/20, remite a esta Agencia alegaciones, en las cuales, entre otras, indica-
ba:
“Como la propia reclamación describe, es el propio club deportivo, que se inscribe en
la federación, el que certifica y se responsabiliza de que los progenitores o tutores de
los jugadores menores de edad han dado su consentimiento para que los datos perso-
nales del jugador sean tratados con el fin de desarrollar la práctica deportiva del balon-
mano, la Federación por tanto, tiene autorización para el tratamiento de los datos per-
sonales y las imágenes de los jugadores siempre y cuando su fin último esté relacio-
nado con la práctica del deporte del balonmano, no existiendo, por tanto, en este caso
vulneración a lo estipulado en el RGPD.
Desde el mes de noviembre del año 2019 está operativa la nueva página web de la
Federación con idéntica dirección con la anterior pero dentro del dominio .es y no
del .com. Dicha página web tiene la preceptiva política de privacidad, se informa al in-
teresado en los términos previstos en el artículo 13 del RGPD y cumple con todos los
requisitos legales, habiéndose adaptado a la normativa en vigor.
Por motivos técnicos y de operativa ambas páginas han convivido, no siendo elimina-
da la antigua, por error administrativo, generado en parte por la situación de fuerza
mayor generada por el estado de alarma, que afectó a muchas actuaciones en curso
en esta Federación. Por el mismo motivo no fue atendido el requerimiento informativo
previo formulado por la AEPD, al estar las oficinas sin personal.
La página web de dominio.com que es a la que se refiere la denuncia está inactiva y
eliminada actualmente de la red. Se adjuntan como Documento Nº1, enlaces a la nue-
va web y a la documentación acreditativa de lo expuesto. A fecha 16 de Julio de 2020,
procedió esta entidad a dar cumplimiento a su obligación de designar un Delegado de
Protección de Datos”.
QUINTO: Con fecha 15/01/21, por parte de esta Agencia, se accede a la página web
oficial de la Federación: (***URL.1), comprobándose, en su política de privacidad
(***URL.2) que se proporciona información, entre otras, sobre el responsable del trata-
miento de los datos; sobre la finalidad del tratamiento; sobre la legitimación y los desti-
narios; sobre los plazos de conservación de los datos; sobre el tratamiento de imáge-
nes y sobre los derechos que asisten a los usuarios.
Por su parte, en los impresos que se podían descargar de la página web oficial de la
Federación, existía en los mismos el siguiente mensaje:
“FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE ASTURIAS es el Responsa-
ble del tratamiento de los datos personales proporcionados bajo su consentimiento y
le informa de que estos datos serán tratados de conformidad con lo dispuesto en el
Reglamento (UE) 2016/679, de 27 de abril (GDPR), y la Ley Orgánica 3/2018, de 5 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
diciembre (LOPDGDD), con la finalidad de mantener una relación comercial (por inte-
rés legítimo del responsable, art. 6.1.f GDPR) y conservarlos durante no más tiempo
del necesario para mantener el fin del tratamiento o mientras existan prescripciones le-
gales que dictaminen su custodia. No se comunicarán los datos a terceros, salvo obli-
gación legal. Asimismo, se le informa de que puede ejercer los derechos de acceso,
rectificación, portabilidad y supresión de sus datos y los de limitación y oposición a su
tratamiento dirigiéndose a FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE
ASTURIAS en C/ ***DIRECCIÓN.1 (Asturias). E-mail: ***EMAIL.1 y el de reclamación
a www.aepd.es. Datos de contacto del delegado de protección de datos: ***DIREC-
CIÓN.1 - ***EMAIL.1”.
SEXTO: Con fecha 09/02/21, se notifica la Propuesta de Resolución a la entidad recla-
mada en la cual, se proponía que, por la Directora de la Agencia Española de Protec-
ción de Datos se apercibiera a la Federación reclamada, por infracción de los artículos
13 y 37 del RGPD, sin necesidad de medidas correctoras, al haber sido éstas ya aten-
didas por la Federación cuando tuvo conocimiento de la incoación del presente expe-
diente sancionador.
Notificada la propuesta de resolución, a fecha de hoy, no consta que respuesta alguna
se haya dado a la propuesta de resolución dentro del periodo concedido para ello.
De las actuaciones practicadas en el presente procedimiento, de la información y do-
cumentación presentada por las partes, han quedado acreditados los siguientes:
HECHOS PROBADOS
1.- En el presente caso, el reclamante indica en su escrito que la Federación de
Balonmano del Principado de Asturias incumple varios preceptos de del RGPD:
- La Federación no ha designado todavía un Delegado de Protección de Datos,
constatando que dicha organización trata datos personales.
- En ninguno de los impresos utilizados por la Federación, que figuran en su
página web se solicita la autorización para el tratamiento de los datos
personales. Además, en los impresos se hace referencia a la derogada LO
15/1999 (LOPD).
- Existe constancia de la difusión de imágenes de menores sin el consentimiento
expreso de sus padres o tutores.
2º.- Trasladada la incoación del expediente sancionador a la Federación para que
contestara lo que estimase conveniente sobre los aspectos indicados en la misma,
ésta hizo llegar a la Agencia, las siguientes alegaciones:
- Es el propio club deportivo, que se inscribe en la Federación, el que certifica y
se responsabiliza de que los progenitores o tutores de los jugadores menores
de edad han dado su consentimiento para que los datos personales del jugador
sean tratados con el fin de desarrollar la práctica deportiva del balonmano, la
Federación por tanto, tiene autorización para el tratamiento de los datos
personales y las imágenes de los jugadores siempre y cuando su fin último
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
esté relacionado con la práctica del deporte del balonmano, no existiendo, por
tanto, en este caso vulneración a lo estipulado en el RGPD.
- Desde el mes de noviembre del año 2019 está operativa la nueva página web
de la Federación con idéntica dirección con la anterior pero dentro del dominio
(.es) y no del (.com). Dicha página web tiene la preceptiva política de
privacidad, se informa al interesado en los términos previstos en el artículo 13
del RGPD y cumple con todos los requisitos legales, habiéndose adaptado a la
normativa en vigor. Por motivos técnicos y de operativa ambas páginas han
convivido, no siendo eliminada la antigua, por error administrativo, generado en
parte por la situación de fuerza mayor generada por el estado de alarma, que
afectó a muchas actuaciones en curso en esta Federación. La página web de
dominio.com que es a la que se refiere la denuncia está inactiva y eliminada
actualmente de la red.
- A fecha 16 de Julio de 2020, la Federación procedió a dar cumplimiento a su
obligación de designar un Delegado de Protección de Datos. Se adjunta como
documento Nº2, justificante de comunicación de la designación.
3º.- Por parte de esta Agencia se comprobó, después de haber recibido las
alegaciones, lo siguiente:
- En la política de privacidad (***URL.2) de la página web oficial de la
Federación se informa, entre otras, de los siguientes aspectos: sobre los datos
del responsable del tratamiento de los datos; sobre la finalidad del tratamiento
de datos recabados a través de la página web; sobre la legitimación y los
destinarios; sobre los plazos de conservación de sus datos una vez finalizada
la relación; sobre el tratamiento de imágenes o sobre los derechos que asisten
a los usuarios sobre el tratamiento de sus datos personales.
- En los impresos que se pueden descargar de la página web oficial de la
Federación, se puede comprobar que, en los mismos existe información que
hace referencia a la normativa vigente sobre protección de datos.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del Parlamen-
to Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas
en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de es-
tos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los
arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), la Directora de la
Agencia Española de Protección de Datos es competente para iniciar este procedi-
miento.
Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los pode-
res de investigación y correctivos que la autoridad de control puede disponer al efecto,
mencionando en el punto 1.d), el de: “notificar al responsable o encargo del tratamien-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
to las presuntas infracciones del presente Reglamento” y en el 2.i), el de: “imponer una
multa administrativa con arreglo al artículo 83, además o en lugar de las medidas men-
cionadas en el presente apartado, según las circunstancias de cada caso”.
II
En el presente caso, se reclamaba que la Federación de Balonmano del Principado de
Asturias incumplía lo estipulado en la normativa vigente sobre protección de datos de
carácter personal, al carecer de Delegado de Protección de Datos (DPD) y al tratar da-
tos personales de jugadores menores de edad, incluidas sus imágenes, sin el precepti-
vo consentimiento de los padres o tutores.
Tal y como se expuso en el escrito de incoación del expediente, sobre la utilización de
los datos personales de jugadores menores de edad, incluidas las imágenes de los
mismos, sin el consentimiento preceptivo de sus progenitores o tutores, indicar que
una federación deportiva es una organización que tiene como función principal la regu-
lación y organización del deporte correspondiente y la recepción de los datos persona-
les de los jugadores para tramitar su ficha federativa, se realiza a través del club de-
portivo correspondiente, quien debe haber recopilado el consentimiento previo del ju-
gador o en su caso, del progenitor o tutor para que dicho tratamiento sea lícito.
Por lo que se refiere a la segunda parte de la reclamación, se comprobó, por parte de
esta Agencia que, los impresos que existían en la página web de la Federación hacían
referencia a la derogada LOPD, no obstante, una vez incoado el expediente sanciona-
dor y tras recibir las alegaciones oportunas de la Federación se pudo comprobar que,
se habían modificado convenientemente, adaptándolos a la legislación vigente.
Por lo que se refiere a la existencia o no de la política de privacidad de la página web
de la Federación, se comprobó que, en la página oficial de la misma, ***URL.1; existe
un enlace, en la parte inferior, <<política de privacidad>> que redirige a una nueva pá-
gina ***URL.2, en la cual se proporciona información acorde a los estipulado en el artí-
culo 13 del RGPD.
Respecto de la denuncia de que la Federación no había designado un Delegado de
Protección de Datos, indicar al respecto que, en el escrito de alegaciones a la inco-
ación del expediente, la Federación informa a esta Agencia que con fecha 16/07/20
procedió a designar un Delegado de Protección de Datos, adjuntando justificante de
dicha designación.
A la vista de lo expuesto, por parte de la Directoria de la Agencia de Protección de Da-
tos,
RESUELVE
APERCIBIR: a la la FEDERACIÓN DE BALONMANO DEL PRINCIPADO DE
ASTURIAS, con CIF: G33642083, por la infracción del artículo 13) del RGPD, respec-
to a la no adaptación de su política de protección de datos personales a la nueva nor-
mativa vigente y por la infracción del artículo 37) del RGPD, al no haber designación
un Delegado de Protección de Datos, hasta no tuvo conocimiento del presente proce-
dimiento sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
NOTIFICAR: la presente resolución a la FEDERACIÓN DE BALONMANO DEL
PRINCIPADO DE ASTURIAS,
De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Re-
solución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los in-
teresados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde
el día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicio-
nal cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notifica-
ción de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es