Resolución de la Agencia Española de Protección de Datos PS-00263-2022 de 17 de julio de 2023

Cuestión

Expediente N.º: EXP202103924

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO : Con fecha 29/09/2021, tuvo entrada escrito de reclamación en la Agencia

Española de Protección...

Contestacion

1/39

? Expediente N.º: EXP202103924

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 29/09/2021, tuvo entrada escrito de reclamación en la Agencia

Española de Protección de Datos, de reclamante 1, y el 18/10/2021 de reclamante 2,

figurando su identidad en el ANEXO GENERAL. Las reclamaciones se dirigen contra

REAL FEDERACIÓN ESPAÑOLA DE BALONMANO con NIF Q2878006B (en adelante

, la parte reclamada. Los motivos en que basa la reclamación son los siguientes:

Reclamante 1 afirma que la reclamada ?está exigiendo a los jugadores la presentación

del certificado de vacunación Covid19 o en su caso test de antígenos negativo, en

contra de lo establecido por los TSJ de Canarias, Andalucía y Galicia ya que supone

la vulneración del derecho a la intimidad (art.18 de la CE) y vulneración de la LOPD. ?

Reclamante 1 aporta copia del ?PROTOCOLO SANITARIO COMPETICIÓN REGULAR-REAL

FEDERACIÓN ESPAÑOLA DE BALONMANO?, que según su introducción

es continuación actualizada del elaborado para la temporada 20/21, titulado: ?Retorno a la Actividad?, que comienza por ?Finalizada la temporada 20-21?

En el mismo, se establecen medidas como el uso de mascarillas, distancia social, lavado

de manos etcétera.

En el apartado 5: ?cuidado de los deportistas control de salud?, se indica que ?todos

los deportistas, técnicos y demás participantes en la competición, están obligados a

realizarse, con la periodicidad y frecuencia que se indique por las autoridades sanitarias

y/o deportivas, las analíticas o test de detección de COVID-19, poniendo los resultados

en conocimiento de la Delegación COVID de la Real Federación Española de

Balonmano en las condiciones que se establezcan.

El seguimiento del deportista implicará, en función de los datos sanitarios, la prescripción

de la repetición de alguna de estas pruebas u otras que se pudieran determinar.

De igual manera, el alcance del control médico y seguimiento de la salud afectará a todos

y cada uno de los estamentos del club en relación directa y continuada con los deportistas

, y en particular a todo el staff técnico como delegados de personal sanitario,

personal colaborador, así como a personas que puedan mantener un contacto estrecho

con los deportistas, como conductores, personal de seguridad y limpieza de las

instalaciones etc.?

En el apartado 7, de obligaciones y seguimiento de la evolución, se indica:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/39

?Cada equipo deberá presentar:

1 Todos los componentes del equipo- deportistas y staff técnico- deberán subir a su

área privada del certificado oficial de vacunación emitido por el servicio público de

salud antes del inicio de la competición.

2 Los/las jugadores/as que no dispongan del certificado de vacunación completa de

naturaleza oficial o no estén en condiciones de poderlo presentar no están autorizados

a participar en ningún partido, para estarlo deberán aportar un test de antígenos con

resultado negativo, de menos de 48 horas antes del inicio de cada jornada.

3 Todos los integrantes de la plantilla deberán presentar un test de antígenos con resultado

negativo de menos de 48 horas con carácter previo al inicio de la competición.

staff técnico.?

Reclamante 2, manifiesta que, a principios de temporada, la reclamada comunicó vía e

mail el protocolo sanitario establecido, y que ?los afectados realizaron test de antígenos

para la primera competición y las posteriores las han estado realizando solo las

personas no vacunadas, entregando los certificados de los test?. Aporta escrito en el

que el 11/09/2021, solicitó a la reclamada la retirada de dichas medidas por vulneración

de derechos de los afectados con respuesta de la reclamada de 6/10/2021 manteniéndolas.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12,

de Protección de Datos Personales y garantía de los derechos digitales (en adelante

LOPDGDD), se dio traslado el 3/11/2021 de dicha reclamación a la parte reclamada,

para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,

de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa

de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de

1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en

adelante, LPACAP), fue recogido en fecha 4/11/2021, como consta en el acuse de recibo

que obra en el expediente.

Con fecha 3/12/2021, manifiesta la reclamada;

1) Cuenta con registro de la actividad del tratamiento RAT, entre los que se encuentra

el de ?Gestión de Afiliaciones?, donde figuran como categorías especiales de datos

personales los certificados de vacunación contra la Covid-19 o en su caso un test de

antígenos negativo, tratamiento para dar cumplimiento al ?PROTOCOLO SANITARIO

COMPETICIÓN REGULAR-REAL FEDERACIÓN ESPAÑOLA DE BALONMANO? aplicable

a las competiciones oficiales a disputar en la temporada 2021/2022.

2) Considera que esos datos que recaba son datos de salud, y que para vencer la

prohibición de tratamiento que presenta el artículo 9.1 del RGD, encuentra que serían

de aplicación para habilitar su tratamiento los artículos del RGPD:

?9.2.c) el tratamiento es necesario para proteger intereses vitales del interesado

o de otra persona física, en el supuesto de que el interesado no esté capacitado, física

o jurídicamente, para dar su consentimiento. ?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/39

?9.2.i) el tratamiento es necesario por razones de interés público en el ámbito

de la salud pública, como la protección frente a amenazas transfronterizas graves para

la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia

sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de

la Unión o de los Estados miembros que establezca medidas adecuadas y específicas

para proteger los derechos y libertades del interesado, en particular el secreto profesional. ?

Las normas de la disposición adicional decimoséptima de la LOPDGDD determinan

entre otras, que las circunstancias del artículo 9.2 i) alegada por la reclamada para tratar

datos de salud encuentran amparo en las normas que señala. Al amparo de algunas

de ellas relacionadas con la salud pública durante la pandemia con el fin de no extender

el contagio se pueden establecer medidas en caso de riesgo para la salud pública

, con una duración que no excederá del tiempo exigido por la situación de riesgo

que las motivó.

Asimismo, menciona para cubrir el campo de tratamientos de salud los de las normas

que se refieren en la disposición adicional decimoséptima de la LOPDGDD, en su

apartado 1 interpretadas conforme señala el Informe del Gabinete Jurídico de la

AEPD 101/2019, que determina que [?] el contenido de la disposición adicional decimoséptima

de la LOPDGDD ha de considerarse que si bien se establece una lista taxativa

, dicha circunstancia no impide que el tratamiento de datos de salud pueda ampararse

en otras normas que no se citen en la misma, siempre y cuando se de alguna

de las circunstancias previstas en el artículo 9.2 del RGPD y la regulación establecida

al efecto tenga rango de ley y cumpla las garantías que el Tribunal Constitucional considera

esenciales cuando estamos ante el tratamiento de categorías especiales de datos.

Además, ?la RFEBM, como responsable del tratamiento, ha determinado la base jurídica

en base al artículo 6.1 RGPD para amparar y legitimar el tratamiento de los certificados

de vacunación contra la Covid-19?, señala DIVERSAS normas y protocolos:

-Ley Orgánica 3/2013, de 20/06, de protección de la salud del deportista y lucha

contra el dopaje en la actividad deportiva, artículos 3.1 y 9. El primero, como conjunto

de acciones que los poderes públicos exigen, impulsan o realizan, según su respectivo

ámbito de competencias para conseguir que la práctica deportiva se realice en

las mejores condiciones para la salud de los deportistas.

-Real Decreto 1835/1991, de 20/12, de Federaciones Deportivas Españolas y

Registro de Asociaciones Deportivas, artículo 3.1, en el que se indica que ?ejercen

bajo la coordinación y tutela del Consejo Superior de Deportes, las siguientes funciones

públicas de carácter administrativo: a) Calificar y organizar, en su caso, las actividades

y competiciones oficiales de ámbito estatal. A estos efectos, la organización de

tales competiciones se entiende referida a la regulación del marco general de las mismas

, según se establezca en la normativa federativa correspondiente.?

-ESTATUTOS DE LA FEDERACIÓN. ?competencias propias y delegadas,? artículos

36 y 37.? ?En el ámbito de sus competencias, la RFEB, ejercerá las siguientes

funciones y actividades: d) La reglamentación del balonmano en su ámbito organizati-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/39

vo, técnico y deportivo y disciplinario.?

-PROTOCOLO DE ACTUACIÓN PARA LA VUELTA DE COMPETICIONES

OFICIALES DE ÁMBITO ESTATAL Y CARÁCTER NO PROFESIONAL (TEMPORADA

2020-2021)? del CSD. (Se adjunta como Documento nº 4), suscrito según la portada,

por: ?todas las Comunidades Autónomas, Federación Española de Municipios y Provincias

, Federaciones Deportivas Españolas, Asociación del Deporte Español, Comité

Paralímpico Español, Comité Olímpico Español y otros interlocutores del deporte y organizadores

de competiciones integrados en el Grupo de Tareas para el Impulso del

Deporte del CSD?. Dicho protocolo establece:

- ?Apartado 4. Procedimiento [?] Cada FDE, podrá disponer de un ?protocolo-propio?

de refuerzo, espejo del actual, en el cual se verán reflejados la totalidad de los puntos

de este Protocolo, así como en su caso las especificaciones o aspectos particulares

de cada disciplina, modalidad o especialidad deportiva. El CSD seguirá validando estos

?protocolos-propios ?de refuerzo de todas las FFDDEE. El CSD deberá validar los

protocolos presentados por las FFDDEE en el plazo máximo de 10 días naturales,

cuando sea posible (en su caso se acreditarán los motivos de lo contrario), desde que

la FDE correspondiente lo presente, entendiéndose aprobado si el CSD no lo valida

dentro de ese plazo.?

- ?Apartado 8?, relativo a ?Reconocimientos médicos previos a toda competición? (página

10 del citado Protocolo), lo siguiente: - ?8. Reconocimientos médicos previos a la

competición. Dada la evolución de la pandemia de COVID 19, el CSD recomienda que

en todas las competiciones, organizadas por las FFDDEE (sin perjuicio de trasladar

esta recomendación al resto de organizadores) al iniciar los entrenamientos pretemporada

o en su defecto 72 horas antes del inicio de las competiciones, se realice una

prueba específica COVID 19, cuya finalidad será conocer la situación de los deportistas

y miembros de los equipos técnicos inscritos, y la eventual detección temprana de

posibles positivos o brotes

Aspectos como el tipo de prueba a realizar, su financiación, la evaluación de su utilidad

y si se debe realizar más veces con posterioridad (incluido a través de un mecanismo

de pruebas aleatorias no anunciadas) serán determinados con criterios sanitarios

, en el marco de los mecanismos existentes de coordinación con las CCAA. Estos

analizarán la evolución de los contagios en estas competiciones deportivas de forma

regular?.

- Como documento 5, aporta el mismo ?Protocolo Sanitario publicado por los Servicios

Médicos de la RFEBM, por la que se establecen medidas preventivas para hacer frente

a la crisis sanitaria ocasionada por el COVID-19? que aportó reclamante 1.

Manifiesta la reclamada, que ?se infiere de la lectura del propio protocolo, la medida

preventiva consistente en la exigencia del ?pasaporte COVID?, o un test de antígenos

negativos tiene como principal finalidad procurar una competición deportiva con las

máximas medidas de seguridad y prevención, y con carácter temporal atendiendo a la

evolución de la situación epidemiológica derivada de la COVID-19 vigente en cada momento.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/39

3) Manifiesta la reclamada que la finalidad del tratamiento figura en el registro de actividades

de tratamiento, (RAT) que aporta como documento 6. Figura en el: ?gestión de

afiliaciones?, que se llevan a cabo con las siguientes finalidades:

?Llevar a cabo todas las gestiones necesarias para gestionar la afiliación de jugadores,

entrenadores, delegados y clubes en la R.F. ESPAÑOLA DE BALONMANO.?

?Dar cumplimiento del ?protocolo de competición regular con las medidas de seguridad

y prevención? que se consideran necesarias en las actuales circunstancias, para posibilitar

la práctica competitiva de nuestro deporte, que exigirán, además, una actualización

constante en función de la evolución de la situación epidemiológica y sanitaria

existente en el trascurso de la temporada 21-22, para lo cual se tratarán determinados

datos de salud. ?

En ?categorías de datos:

- Nombre y apellidos, DNI/CIF/Documento identificativo, número de registro de personal

, número de Seguridad Social/Mutualidad, dirección, firma y teléfono.

-Categorías especiales de datos: datos de salud. Certificados de vacunación COVID-

19 y exhibición de test de antígenos.

- Datos de características personales: Sexo, estado civil, nacionalidad, edad, fecha y

lugar de nacimiento y datos familiares. Datos de circunstancias familiares.

- Datos económico-financieros: Datos económicos de nómina, créditos, préstamos,

avales, deducciones impositivas, baja de haberes correspondiente al puesto de trabajo

anterior (en su caso), retenciones judiciales (en su caso), otras retenciones (en su

caso). Datos bancarios.

-Sistemas utilizados para el tratamiento: sistemas automatizados: gestión de la afiliación

a través de ISQUAD.

-Plazos de supresión, se especifica que para ?Los certificados de vacunación COVID-

19 como consecuencia de la situación actual de riesgo de contagio en la que nos encontramos

se conservaran mientras siga siendo absolutamente necesario el mantenimiento

de medidas de prevención y seguridad sanitaria, y bajo supervisión de los servicios

médicos oficiales de la RFEBM, y aplicable a las competiciones oficiales a disputar

en la temporada 2021/2022?.

4) Manifiesta, en cuanto a las ?GARANTÍAS ADECUADAS IMPLEMENTADAS PARA

LA PROTECCIÓN DE LOS DERECHOS Y LIBERTADES DE LAS PERSONAS?, que

contaba con medidas ?de seguridad asociadas al cumplimiento normativo?, como:

-Asesoramiento en la materia por una empresa externa.

-Información sobre deberes de confidencialidad que se entregan a los empleados

y medidas de seguridad en el desempeño de sus funciones. Aportan documento 7

al respecto que contiene una declaración de los términos de ?información y confidencialidad? para los empleados. (205 y ss.)

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/39

-Cita la ?Delegada COVID?, empleada de la reclamada, ?tiene acceso a los certificados

, a efectos de su validación?, habiendo firmado el acuerdo de confidencialidad,

?comprometiéndose a no revelar a persona alguna ajena a la Federación, sin su consentimiento

, los datos a los que haya tenido acceso en el desempeño de sus funciones

como miembro del equipo COVID 19, excepto en el caso de que sea necesario

para dar debido cumplimiento a obligaciones impuestas por las leyes o normativa que

resulten de aplicación o sea requerido por mandato de la autoridad competente?

-Charlas formativas en materia de protección de datos a empleados.

-ANÁLISIS DE RIESGOS. Aporta documento 8, versión 1, de 29/11/2021, en el

que se indica:

En el apartado de tratamiento ?Gestión afiliaciones? (T05) se transcribe la finalidad

que figura en el RAT, ?en número de sujetos afectados, de 10.000 a 100.000?, en:

?¿Se van a usar específicamente datos de personas con discapacidad o cualquier otro

colectivo en situación de especial vulnerabilidad (p.e.: menores de 14 años, ancianos,

personas con riesgo de exclusión social)??, ?Si?, y en cesiones de datos figura que ?si?,

constando en el grupo global, a ?Administraciones públicas con competencia en la

materia?, en plazos de conservación, hace constar que si hay plazos definidos de conservación

si bien no figura el tiempo, concluyendo:

?Tratamiento T05 se encuadran dentro del supuesto de excepción número 3 en base a

la existencia y para dar cumplimento al Protocolo Sanitario publicado por los Servicios

Médicos de la Federación, a la ORDEN 1244/2021, de 1/10, de la Consejería de Sanidad

de la CCAA de Madrid, por la que se establecen medidas preventivas para hacer

frente a la crisis sanitaria ocasionada por el COVID-19, así como la Ley Orgánica

3/2013, de 20/06, de protección de la salud del deportista y lucha contra el dopaje en

la actividad deportiva.

En el mismo documento figura: ?gestión de riesgos? (49 y ss.) para todos los tratamientos.

?En el apartado legitimación de tratamientos se resuelve que todos los tratamientos se

llevan a cabo con alguna de las bases legitimadoras del artículo 6.

En conclusiones, figura a nivel global de operaciones de tratamiento, no por actividad

de tratamiento.

- ?Información en materia de protección de datos?, que se encuentra redactada de manera

clara, sencilla y transparente. Se adjunta la ?política de privacidad? de la ?plataforma

ISQUAD?, en DOCUMENTO 9 ?que se encuentra en un entorno visible y accesible,

que todo afiliado debe aceptar de forma previa a rellenar el formulario de afiliación?.

?La gestión del tratamiento de Certificados COVID a través de la ?plataforma Isquad?,

se lleva a cabo por una empresa externa 3OES LEADING SOFTWARE, S.L., titular

del software, con la que se ha suscrito el correspondiente contrato de acceso a datos

por cuenta de terceros con clausulado acorde al artículo 28 del RGPD.? Se adjunta

como documento nº 11 copia del contrato.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/39

Aporta documento 20, que certifica que en la plataforma se accede por cada participante

con usuario y contraseña y se guarda el certificado de vacunación y los test de

antígenos con resultado del COVID. ?A la documentación sanitaria, además del interesado

, únicamente tiene autorización de acceso la Delegado-Responsable Federativo

de control de COVID19, que, una vez visualizado el documento y comprobada su idoneidad

, emite una validación que acredita que, cada persona, ha cumplido el requisito

exigido en las condiciones requeridas, pero sin que dicha validación especifique el tipo

de documento aportado por cada persona.?)

Como ?medidas asociadas a la seguridad de la información?, indica ?el modo de identificación

y autenticación en la plataforma ISQUAD:

?Cada deportista accede a su área privada a través de la introducción de un usuario y

una contraseña de tal forma que pueda subir a su área privada el certificado oficial de

vacunación emitido por el Servicio Público de Salud antes del inicio de cada competición

a la que sólo tendrá acceso el deportista que presenta dicha certificación y la delegada

?COVID? de cara a validar y comunicar al representante de comunicación que

se ha cumplido con dicho requisito previo al desarrollo de la competición. En el caso

de menores de edad, el acceso a dicha área privada será a través de sus representantes

legales. De esta forma se impide el acceso a dicha información a terceros no autorizados.

Del DOCUMENTO 9, ?POLÍTICA DE PRIVACIDAD?, versión 29/11/2021, ofrece información

de ?tratamientos de datos recabados a través de la plataforma ISQUAD?, que

contiene formularios con datos obligatorios por cumplimentar, y que la RFEBM puede

recopilar por el uso, la navegación en la plataforma, vía e mail o con motivo de la relación

contractual.

El documento refiere la finalidad, legitimación y destinatarios de (se destacan los relacionados

:

?3. Alta y afiliación de los usuarios pertenecientes a cualquiera de los estamentos federativos

de la RFEBM, en el que se incluye:

- Gestionar su alta como usuario perteneciente a cualquiera de los estamentos federativos

de la RFEBM en la condición que ostente dentro de la misma.

- Una vez tramitada el alta, sus datos serán tratados para la realización de los trámites

que se deriven de la correcta gestión entre usted y la RFEBM.

- Dar cumplimiento del protocolo de competición regular con las medidas de seguridad

y prevención que se consideran necesarias en las actuales circunstancias, para posibilitar

la práctica competitiva de nuestro deporte, durante el trascurso de la temporada

21-22 para lo cual se tratarán determinados datos de salud.?

?Legitimación. La legitimación del tratamiento de sus datos deriva de la ejecución de

un contrato/acto jurídico, consentimiento del interesado, interés legítimo para ambas

partes o en base al cumplimiento de una obligación legal: - Ley 10/1990, de 15/10, del

Deporte. - Protocolo Sanitario publicado por los Servicios Médicos de la RFEBM para

dar cumplimiento a las Ordenes 572/2021 de 7/05, y de la Consejería de Sanidad de la

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/39

CCAA de Madrid, por la que se establecen medidas preventivas para hacer frente a la

crisis sanitaria pasada por el COVID-19, una vez finalizada la prórroga del Estado de

alarma declarado por RD decreto 926/2020 de 25/10, BOCM 8/05/2021, dejada sin

efecto por el apartado septuagésimo quinto de la Orden 1244/2021, 1/10, de la Consejería

de Sanidad, por la que se establecen medidas preventivas para hacer frente a la

crisis sanitaria ocasionada por el COVID-19 («B.O.C.M.» 2/10), entrada en vigor

4/10/2021.

En el punto 5 se contempla el ejercicio de derechos.

En DOCUMENTO 10, aporta la ?cláusula Informativa EN MATERIA DE PROTECCIÓN

DE DATOS? que firman los afiliados ?última versión 29/11/2021? (jugadores, entrenadores

, delegados, clubes, etcétera.)

Informa que la reclamada es la responsable del tratamiento de sus datos de carácter

personal con la finalidad de llevar a cabo todas las gestiones necesarias para gestionar

su afiliación en la RFEB.

?Asimismo le informamos que el tratamiento de sus datos de carácter especial, por

ejemplo, salud se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión

de los servicios médicos oficiales.

?La legitimación del tratamiento de sus datos deriva de la ejecución de un contrato,

consentimiento del interesado, cumplimiento de una obligación legal o en base al interés

legítimo para ambas partes. Los destinatarios de sus datos serán los distintos departamentos

de la Federación, así como los terceros a los que cedamos sus datos,

cuando sea lícito conforme a lo dispuesto en la normativa vigente en materia de protección

de datos o aquellas comunicaciones necesarias para el correcto desempeño

de las funciones de RFEB?.

En el documento 12, se contiene ?protocolo de custodia y conservación de datos?.

En documento 13, aportan copia de ?Protocolo de actuación ante violaciones de seguridad?.

Copia de documento 14, con procedimientos de ?política de contraseñas y control de

accesos?.

Copia de documento 15, ?procedimiento de selección de encargados de tratamiento?.

Procedimiento de actuación ante ejercicio de derechos?, en documento 16.

-Aporta copia de la comunicación de la AEPD a la reclamada de 14/05/2021 con registro

de designación de DPD.

En documento 19, nombramiento del DPD.

5) En cuanto a las categorías de interesados y la información facilitada sobre el tratamiento

de datos, indica que se trata de ?Todos los componentes de los equipos (deportistas

y staff técnico), ?y la información sobre el tratamiento de sus datos figura en

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/39

los documentos 9 y 10.?

En cuanto a la Evaluación de Impacto relativa a la Protección de datos, EIPD, indica:

?El tratamiento ?gestión de afiliaciones? en la medida en que en el mismo están implicados

datos especialmente protegidos como son los datos de salud y datos de sujetos

especialmente vulnerables como son los menores y atendiendo a los criterios de la

AEPD en la medida en que si dan dos o más de los criterios mencionados en las listas

expuestas, en un tratamiento, es más probable que suponga un alto riesgo para los

derechos y las libertades de los interesados, nos lleva a considerar que hay factores

suficientes para determinar la necesidad de llevar a cabo una evaluación de impacto,

en los términos previstos en el RGPD, para la operación de tratamiento descrita ?gestión

de afiliaciones.? No obstante, la AEPD ha establecido determinados supuestos en

los que no resulta necesario realizar una EIPD, aunque se den al menos dos de los

supuestos de estos listados entre el que se encuentra el cumplimiento de una obligación

legal, de tal forma que el Tratamiento T05 ?Gestión de Afiliaciones? se encuadraría

dentro del supuesto de excepción número 3 contemplado en el siguiente listado

elaborado por la AEPD https://www.aepd.es/sites/default/files/2019-12/ListasDPIA-

35.5l.pdf (LISTA ORIENTATIVA DE TIPOS DE TRATAMIENTOS QUE NO REQUIEREN

UNA EVALUACIÓN DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS

SEGÚN EL ARTÍCULO 35.5 RGPD)

?Tratamientos que sean necesarios para el cumplimiento de una obligación legal, cumplimiento

de una misión realizada en interés público o en el ejercicio de poderes públicos

conferidos al responsable, siempre que en el mismo mandato legal no se obligue

a realizar una EIPD, y siempre y cuando ya se haya realizado una EIPD completa.?

Continúa indicando la reclamada que es ?en base a la existencia y para dar cumplimento

al protocolo sanitario publicado por los Servicios Médicos de la Federación, por

la que se establecen medidas preventivas para hacer frente a la crisis sanitaria ocasionada

por el COVID-19. Por todo lo expuesto, se considera que la RFEBM no tiene la

necesidad de realizar una EIPD en profundidad. Nos remitimos en este punto al informe

de análisis de riesgos (adjuntado como documento nº8.?

6) La RFEBM ?ha decidido, salvo pronunciamiento en contra de la Autoridad de Control

continuar con la solicitud de los certificados de vacunación COVID-19, dando así

cumplimiento al Protocolo de Competición regular con las medidas de seguridad y prevención

que se consideran necesarias en las actuales circunstancias, para posibilitar

la práctica competitiva de nuestro deporte, que exigirán, además, una actualización

constante en función de la evolución de la situación epidemiológica y sanitaria existente

, sin que exista una vulneración de la normativa de protección de datos ni los derechos

fundamentales de los participantes en las competiciones oficiales de balonmano

organizadas y tuteladas por la RFEBM.?

- Se adjunta certificado de 23/11/2021, del responsable de los servicios médicos como

documento nº21. En él se exponen los motivos que justifican la necesidad de presentar

dichos certificados Covid-19 ?como medida preventiva y de protección de la salud

de todos los implicados en las competiciones deportivas?.

TERCERO: Con fecha 29/12/2021, por el trascurso de tres meses, continua la tramitación

de acuerdo con lo señalado en el artículo 65. 5 del RGPD.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/39

CUARTO: Con fecha 6/09/2022 se acordó por la Directora de la AEPD:

?INICIAR PROCEDIMIENTO SANCIONADOR a REAL FEDERACIÓN ESPAÑOLA DE

BALONMANO, con NIF Q2878006B, por la presunta infracción del RGPD, artículos:

-6.1, de conformidad con el artículo 83.5.a) del RGPD, tipificada a efectos de

prescripción en el artículo 72 .1. b) de la LOPDGDD.

- 9, de conformidad con el artículo 83.5.a) del RGPD, tipificada a efectos de

prescripción en el artículo 72.1 e) de la LOPDGDD.

- 13, conformidad con el artículo 83.5.b) del RGPD, tipificada a efectos de prescripción

en el artículo 74 a) de la LOPDGDD.?

?a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimiento

Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), se

impone a REAL FEDERACIÓN ESPAÑOLA DE BALONMANO, en aplicación del artículo

58.2.i) tres sanciones de multa administrativa, por la infracción del:

-artículo 6.1 del RGPD, podría imponerse una sanción de multa, por importe de 10.000

euros.

-artículo 9 del RGPD, podría imponerse una sanción de multa, por importe de 20.000

euros.

-artículo 13 del RGPD, podría imponerse una sanción de multa, por importe de 7.000

euros.

Todo ello, sin perjuicio de lo que resulte de la instrucción.?

QUINTO: Con fecha 21/09/2023, la reclamada efectúa las siguientes alegaciones:

1) Solicita valorar tal y como expuso en el escrito de contestación a los requerimientos

, como base de legitimación subsidiara la existencia de un interés vital, como establece

el considerando 46 del RGPD (?) ?cuando el tratamiento no pueda basarse manifiestamente

en una base jurídica diferente? (?), como es el caso aquí expuesto. Reproduce

el artículo 6.1 d) del RGPD como medida preventiva para evitar posibles situaciones

de contagio entre el resto de los participantes en las competiciones deportivas

como es el caso en que nos encontramos y que imposibiliten o dificulten su desarrollo.

2) Respecto de lo expuesto por la Agencia de que ?estos datos médicos no se encuentran

relacionados con la afiliación o con el reconocimiento médico que pueda tener

lugar para obtener la misma?, es necesario aclarar las siguientes cuestiones:

La denominada ?afiliación? no es otra cosa que la adscripción al sistema mediante la

incorporación a la plataforma informática de la R.F.E.BM., trámite que se debe realizar

personalmente por cada usuario, una única vez, y para el que sólo se requiere la aportación

, en el área privada individualizada, del DNI, y, optativamente, de una fotografía.

La adscripción de las personas menores de edad debe ser realizada por los padres,

tutores o representantes legales, que, de forma expresa, deben manifestar su consen-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/39

timiento y autorización. En ningún caso, contrariamente a lo que se indica por parte de

esta Agencia (Fundamento Jurídico II, página 16) la ?afiliación? requiere de la aportación

de ningún tipo de dato médico, sanitario ni personal de cada persona.

La solicitud de ?Licencia Federativa? se produce en cada una de las temporadas deportivas por parte de aquellos ?afiliados? que desean participar en competiciones oficiales

de ámbito estatal de balonmano, inscritos en alguno de los equipos que son titulares

del derecho deportivo en cada una de las diferentes competiciones organizadas

por la reclamada. En el proceso de obtención de la licencia, cada deportista debe

aportar, siempre a través de su área privada, la documentación que se le requiere en

función de la adscripción de su equipo a una categoría de competición determinada.

Entre esa documentación que se requiere a cada deportista se encuentra la certificación

de haber superado el reconocimiento médico y haber sido declarado ?apto ? para

la práctica del balonmano (documento que no incorpora ningún tipo de dato médico o

sanitario de carácter personal, sino que se limita a calificar como ?apto? o ?no apto? al

interesado). Además, durante la temporada 2021/22, y como consecuencia de la pandemia

de COVID19, se requiere a los deportistas la aportación del certificado de vacunación

o, en su defecto, la acreditación de una prueba diagnóstica de COVID19 con

resultado negativo. Ambos documentos médicos son necesarios para la obtención de

la Licencia Federativa por parte de cada deportista, en sentido contrario a lo expuesto

por esta Agencia en los párrafos finales del folio 15 de la Resolución, en el ámbito de

lo expuesto en el Fundamento de Derecho Segundo.

La RFEBM, en sentido contrario a lo manifestado por esta Agencia, no entiende que

haya tratado ?cualquier tipo de datos derivados de la salud cara el futuro?.

Estos datos de gestión de afiliación son los concretos y específicos que se recaban y

se informa de la finalidad y que ha permitido que, en el momento en el que las circunstancias

sanitarias han evolucionado, dichos datos no sean requeridos a ningún participante

en competiciones estatales. En otro orden de cosas, es necesario, también, puntualizar

que, al contrario de lo que parece indicar el párrafo segundo del folio 15 de la

Resolución, la exigencia de la exhibición del certificado de vacunación con pauta completa

contra la COVID19 se produce, en las competiciones deportivas oficiales de ámbito

estatal organizadas por la reclamada, al inicio de la temporada deportiva 2021/22,

?es decir, a partir del 1 de Septiembre de 2022, nueve meses después de que se haya

inoculado la primera vacuna contra la COVID19 en España.?(puede que la reclamada

se refiera a 1/09/2021, dado que la fecha de la primera vacuna contra la COVID fue el

27/12/2020, igualmente la temporada 21/22 suele referir su inicio a la primera fecha.

Finalmente, cabe señalar que, además de las normas legales ya citadas en anteriores

disposiciones, ?la actuación de la R.F.E.BM. se encuentra amparada en lo dispuesto

expresamente en el artículo 3 de la Ley Orgánica 3/1986 de 14/04, de medidas especiales

en materia de salud pública que ha sido desarrollado y ejecutado por las disposiciones

normativas de las Comunidades Autónomas aprobadas expresamente, en el

ámbito de las respectivas competencias constitucionales, en relación con la exigencia

de la documentación sanitaria y la práctica de los deportes de competición.?

En cuanto a la forma y contenido de cumplir con el derecho de información a los afectados

en la recogida de datos en la ?cláusula de información de afiliación?, (artículo 13)

no se ha tenido en cuenta el último párrafo de la cláusula de afiliación que se adjuntó,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/39

en el escrito de contestación a la solicitud de información de esta Agencia con fecha

03/12/2022, como documento número 10 y que reproducen, constando al final:? Tiene

derecho a acceder, rectificar y suprimir los datos, así como otros derechos reconocidos

tal y como se explica en la información adicional que puede encontrar en nuestra

Política de Privacidad en www.rfebm.com. ?

De su lectura de dicha cláusula se puede comprobar que en la misma se informa tal y

como establece el artículo 11 de la LOPDGDD y diversas guías de la propia AEPD

(guía-modelo-clausula informativa; Guía para el Ciudadano), a través de una primera

capa de la información básica, entre otros, de los siguientes extremos:

a) La identidad del responsable del tratamiento y de su representante, en su caso.

b) La finalidad del tratamiento

c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento

(UE) 2016/679.

Y en una segunda capa, el resto de los elementos acudiendo a su política de privacidad

, enlace (rfebm.com) como documento número 9 que aportó), que son:

a) la identidad y los datos de contacto del responsable y, en su caso, de su

representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales y la base

jurídica del tratamiento;

d) derecho a presentar una reclamación ante la autoridad de control;

e) los destinatarios o las categorías de destinatarios de los datos personales,

en su caso;

Respecto de la cláusula de afiliación, atendiendo a lo indicado por esta AEPD en su

escrito de inicio de procedimiento sancionador sobre la ?cláusula de información afiliación? (documento 10) por no definir la finalidad del tratamiento por hacerlo de modo

genérico a ?datos de carácter especial, por ejemplo, se ha procedido a su rectificación.

Atendiendo a lo indicado por esta Agencia, para dar cumplimiento al requisito de descripción

de la finalidad de modo específico y explícito e indicando cual es la base jurídica

que permite el tratamiento de las dos gestiones afiliación y datos de salud de forma

diferenciada. Adjuntan documento número 2, ?cláusula de información de afiliación?

con el detalle

?Finalidad 1: Llevar a cabo todas las gestiones necesarias para gestionar su afiliación

en R.F. ESPAÑOLA DE BALONMANO. Base jurídica que legitima este tratamiento:

ejecución de un contrato.

Finalidad 2: Llevar a cabo los reconocimientos médicos y las pruebas de aptitud que

puedan tener lugar para obtener la licencia federativa, trataremos datos de salud, los

cuales se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión

de los servicios médicos oficiales. Base jurídica que legitima este tratamiento: cumplimento

de una obligación legal.

?

Los destinatarios de sus datos serán los distintos departamentos de la Federación, así

como los terceros a los que cedamos sus datos, cuando sea lícito conforme a lo dis-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/39

puesto en la normativa vigente en materia de protección de datos o aquellas comunicaciones

necesarias para el correcto desempeño de las funciones de R.F. ESPAÑOLA

DE BALONMANO.

Tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos reconocidos

tal y como se explica en la información adicional que puede encontrar en

nuestra Política de Privacidad en www.rfebm.com.?

1) A partir de la finalización de la temporada 2021/22, y para la obtención de las Licencias

Federativas correspondientes a la temporada 2022/23, han cesado en la exigencia

de aportación de ningún tipo de datos relativos ni a la vacunación COVID-19 ni

respecto de los resultados analíticos en ninguna de las competiciones deportivas que

organiza, como consecuencia de la evolución positiva y recomendaciones formuladas

por las autoridades sanitarias

4) Solicita en su caso que se sancione con apercibimiento, atendiendo a la rectificación

de la cláusula, y afirma que está comprometida con los derechos y libertades y el

cumplimiento de la normativa de protección de datos.

5) La R.F.E.BM. discrepa de la consideración, de que la exigencia de la documentación

sanitaria referida produzca ?afectación? de ningún derecho fundamental, expone

como ejemplos diversas sentencias del Tribunal Supremo sobre medidas administrativas

limitativas de derechos derivados del estado de alarma para evitar difusión de contagios.

Se refiera a las de la Sala de lo Contencioso Administrativo del Tribunal Supremo

, en las Sentencias 1112/2021 de 14/09 y 1412/2021 de 14/12 en las que se indica

expresamente que: ?la medida de exhibición de determinada documentación (certificado

de la pauta completa de vacunación, prueba diagnóstica negativa de infección activa

(PDIA) o test de antígenos, y certificado de haberse recuperado de la enfermedad

desde el día 11 al 180), para la entrada en el interior de determinados establecimientos

, examinando la proporcionalidad

6) Solicita la nulidad de pleno derecho, al considerar que no se diferencian las funciones

de ?instrucción? y ?resolución?, al adoptar decisiones respecto de la práctica de

pruebas. (Acuerdo Tercero) cuando se significa la incorporación al expediente sancionador

, a efectos probatorios, de la reclamación interpuesta por la parte reclamante y

su documentación, así como los documentos obtenidos y generados por la Subdirección

General de Inspección de Datos.

Además, se sanciona de plano, sin procedimiento, el indicarse en el dispositivo cuarto,

a los efectos del artículo 64.2.b) que se imponen las sanciones.

SÉPTIMO: Con fecha 7/05/2023, se emitió propuesta de resolución del literal:

?1-Que por la Directora de la Agencia Española de Protección de Datos se sancione

con multa administrativa a REAL FEDERACIÓN ESPAÑOLA DE BALONMANO, con

NIF Q2878006B, por las siguientes infracciones del RGPD:

-una infracción del artículo 9 del RGPD, de conformidad con el artículo 83.5.a),

tipificada como muy grave a efectos de prescripción en el artículo 72.1.e) de la

LOPDGDD, con una multa de 20.000 euros.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/39

-Una infracción del artículo 13 del RGPD, de conformidad con el artículo 83.5.a),

tipificada como leve a efectos de prescripción en el artículo 74.a) de la LOPDGDD,

con una multa de 7.000 euros.

2-Que por la Directora de la Agencia Española de Protección de Datos se archive la

infracción del artículo 6.1 del RGPD por existir base de legitimación para el tratamiento

de datos.?

OCTAVO: Con fecha 22/05/2023, la reclamada efectúa las siguientes alegaciones:

1-Citan la sentencia del TSJ de Madrid, recurso contencioso administrativo 359/2022

en documento 1, en un procedimiento de protección de derechos fundamentales,

también contra la misma reclamada, relacionado con el campeonato oficial de

selecciones territoriales de la RFEBM, celebrado en Murcia, como apoyo en la

habilitación de la excepción del tratamiento de los datos de salud.

Considera que se desprende de la misma:

-Las Federaciones ejercen funciones públicas por delegación de carácter

administrativo, actuando como agentes colaboradores de la Administración Pública,

encontrándose entre ellas, las relativas a calificación, organización de las actividades y

competiciones deportivas oficiales de ámbito estatal, bajo la coordinación y tutela del

Consejo superior de Deportes. La organización de las mismas se entiende referida a la

regulación del marco general de las mismas. ?Siendo muy compleja la organización de

una competición, ha de reservarse a la delegación aquellos extremos de la misma

realmente importantes y transcendentales?.

-Dicho protocolo constituye un marco de referencia para dichas competiciones,

habilitando a las diferentes Federaciones a que puedan elaborar unos protocolos de

refuerzos para competiciones específicas, teniendo que remitirlos al CSD para su

aprobación, que se entenderá efectuada si no se obtiene respuesta expresa del CSD

en el plazo de diez días.

-Las potestades administrativas que justifican la adopción de esas medidas descritas

en el protocolo que conllevan la restricción de derechos fundamentales de los

ciudadanos, se encuentran legitimadas por el artículo 43 de la Constitución Española

en el que, tras reconocer en su apartado primero el derecho a la salud pública, en su

segundo apartado establece que: ?Compete a los poderes públicos organizar y tutelar

la salud pública a través de medidas preventivas y de las prestaciones y servicios

necesarios. La Ley establecerá los derechos y deberes de todos al respecto?. El

desarrollo básico de este principio constitucional rector de la política social del Estado,

se encuentra en la Ley 14/1986, de 25/04, General de Sanidad, en la Ley Orgánica

3/1986, de 14/04, de Medias Especiales en Materia de Salud Pública, dictadas en

virtud de la atribución competencial que en materia de sanidad e higiene efectúa el

artículo 148.1.21 CE a las Comunidades Autónomas, y en La ley 41/2002, de 14/11,

básica reguladora de la autonomía del paciente y de derechos y obligaciones en

materia de información y documentación clínica.

-La sentencia estima que no existe vulneración por parte de este protocolo a la

intimidad personal, en la modalidad de protección de datos, la exigencia de certificado

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/39

de vacunación con pauta completa, supera el filtro de idoneidad, de necesidad y de

proporcionalidad, ?en cuanto a que es una de las medidas menos restrictivas para los

derechos fundamentales de los participantes, y aun cuando hubieran podido

adoptarse otras medidas-test negativos o certificados de superación de la enfermedad

recientemente- la opción no es ilógica ni irracional, y es mínimamente invasiva en la

esfera individual y permite el desarrollo de las competiciones deportivas, que de otra

forma no se hubiesen podido celebrar.?

Consideran que, en base a lo relatado, tiene encaje el protocolo como habilitador en

base a los artículo 9.2 g) y 9.2.i) del RGPD, al venir derivadas las atribuciones de las

Federaciones deportivas por la administración, a través del CSD, en base a lo

establecido en los artículos 30.1 y 33.1.a) de la Ley del deporte, y por tanto amparados

en una norma con rango de ley, entendiéndose que no se impone una obligación , sino

más bien el cumplimiento de unos requisitos para poder acceder-participar en una

actividad privada

2-A efectos de la infracción del artículo 13, no se ?ha tenido en cuenta por esta agencia

ni se ha entrado a valorar la existencia de un error en lo relativo a la información

adicional a la que se remite el último párrafo de la cláusula de afiliación que se adjuntó

en el escrito de contestación a la solicitud de información de esta Agencia con fecha

03/12/2022? que contiene la segunda capa, en www.rfebm.com.

Solicita se tenga en cuenta la rectificación tras el acuerdo de inicio de la concreta descripción

de la finalidad y las bases jurídicas diferenciadas de los datos de salud y de

los de gestión de afiliación. La interpretación de que en el primer nivel se ha de contener

o se recomienda que se incluyan los detalles de los fines del tratamiento, identidad

del responsable y descripción de los derechos del interesado, haciendo hincapié en la

información con mayor repercusión para el interesado y el tratamiento que pudiera resultar

más sorprendente para el afectado, no son obligaciones demandadas por la norma

y consideraciones subjetivas muy complicadas de analizar en cada caso.

Solicitan el archivo o la minoración de la sanción propuesta.

NOVENO: De las actuaciones practicadas en el presente procedimiento y de la

documentación obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

1) La reclamada dispone de un ?PROTOCOLO SANITARIO COMPETICIÓN

REGULAR-REAL FEDERACIÓN ESPAÑOLA DE BALONMANO? (RFEB) para la

temporada 2021-22, sin fecha, que figura también en su web, que contiene medidas

para la lucha contra el COVID 19 para procurar una competición deportiva con

medidas de seguridad y prevención, atendiendo a la situación epidemiológica de cada

momento. En el punto 5, establece, entre otras medidas, la obligación de deportistas,

técnicos y demás participantes en la competición de ámbito estatal, incluyendo

personas que puedan mantener contacto estrecho con los deportistas (staff técnico,

conductores, personal de seguridad y limpieza de instalaciones) de realizarse, con la

periodicidad y la frecuencia que se indique por las autoridades sanitarias y/o

deportivas, las analíticas o test de detección de COVID-19, poniendo los resultados en

conocimiento de la Delegación COVID de la RFEB en las condiciones que se

establezcan. En su punto 7, se prevé la obligación de que todos los componentes de

los equipos, tanto deportistas como staff técnico suban en una plataforma de gestión,

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

16/39

?a su área privada, el certificado oficial de vacunación emitido por el Servicio Público

de salud? antes del inicio de la competición, y los que no dispongan del mismo, o no

están en condiciones de poderlo presentar, deben subir a la plataforma un ?test de

antígenos con resultado negativo de menos de 48 horas antes del inicio de ?cada

jornada?, de lo contrario, no se les autoriza a participar en ningún partido.

En el punto 8, se indica que el protocolo es de obligatorio cumplimiento, pudiendo

acarrear su incumplimiento una infracción disciplinaria sancionable, figurando

tipificadas en el mismo escrito.

El protocolo propio de la reclamada, según manifiesta la reclamada, parte del

PROTOCOLO DE ACTUACIÓN PARA LA VUELTA DE COMPETICIONES

OFICIALES DE ÁMBITO ESTATAL Y CARÁCTER NO PROFESIONAL (TEMPORADA

2020-2021) del Consejo Superior de Deportes, (protocolo del CSD) aprobado, según

nota de prensa en la web de diario EL ESPAÑOL, el 10/09/2020, sin que conste

actualización para la temporada 21/22. Indica que se trata de un marco mínimo, básico

para la sanidad y seguridad en el deporte federado, de obligado cumplimiento con el

fin de reactivar el deporte federado y que se supedita a las eventuales órdenes

ministeriales que emita el Ministerio de Sanidad, estando permanentemente sujeto a

evolución también por los factores medico sanitarios determinado por las autoridades

competentes. ?Cada FDE, podrá disponer de un ?protocolo-propio? de refuerzo, espejo

del actual, en el cual se verán reflejados la totalidad de los puntos de este Protocolo,

así como en su caso las especificaciones o aspectos particulares de cada disciplina,

modalidad o especialidad deportiva?. En su apartado 8, se indica la ?recomendación ?

de reconocimientos médicos previos a la competiciones ( no partidos) organizadas por

las Federaciones (sin perjuicio de trasladar esta recomendación al resto de

organizadores) al iniciar los entrenamientos, pretemporada o, en su defecto 72 horas

antes del inicio de las competiciones, se realice una prueba específica COVID 19,

cuya finalidad será conocer la situación de los deportistas y miembros de los equipos

técnicos inscritos, y la eventual detección temprana de posibles positivos o brotes. Ni

en el protocolo del CSD ni en el de la reclamada figura referida alguna autoridad

sanitaria.

?4-procedimiento: Una vez vigente este Protocolo cada FDE podrá disponer de un

?protocolo-propio? de refuerzo, espejo del actual, en el cual se verán reflejados la totalidad

de los puntos de este Protocolo, así como en su caso las especificaciones o aspectos

particulares de cada disciplina, modalidad o especialidad deportiva. El CSD seguirá

validando estos ?protocolos-propios ?de refuerzo de todas las FFDDEE.

?El CSD deberá validar los protocolos presentados por las FFDDEE en el plazo máximo

de 10 días naturales, cuando sea posible (en su caso se acreditarán los motivos

de lo contrario), desde que la FDE correspondiente lo presente, entendiéndose aprobado

si el CSD no lo valida dentro de ese plazo.?

2) En el REGISTRO ACTIVIDADES DEL TRATAMIENTO (RAT) de la reclamada,

figura ?Gestión de Afiliaciones?, con doble sentido:

a) Gestión de la afiliación de jugadores, entrenadores, delegados y clubes.

a) Cumplimiento de protocolo de competición con medidas de seguridad y

prevención que se consideran necesarias en las actuales circunstancias para

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

17/39

posibilitar la práctica competitiva en la temporada 21/ 22, para lo que se

trataran datos de salud.

Añade la reclamada que los datos se recaban a través de la plataforma ISQUAD,

software titularidad de una tercera empresa con la que tiene un contrato de acceso de

datos. A través de esta ofrece la información al personal de su Federación para la

afiliación, debiendo aceptar de forma previa a rellenar el formulario de afiliación que se

gestiona en la misma plataforma.

1) La reclamada concreta que la prohibición del tratamiento de los datos de salud que

reconoce que trata, lo son para dar cumplimiento a su ?protocolo sanitario?, elaborado

por los Servicios Médicos de la RFEBM, aplicable a las competiciones oficiales

durante la temporada 2021/2022, que tiene por objeto reducir la extensión de la

COVID 19. Manifestó la reclamada que el levantamiento de la prohibición del

tratamiento de datos de salud queda habilitado por aplicación del RGPD en los

artículos 9.2.c) y 9.2.i). y en alegaciones a la propuesta también el artículo 9.2.g) del

RGPD.

Añadió que, como base de legitimación del mismo tratamiento, concurrirían el artículo

6.1.c) y el 6.1.d) del RGPD, indicando sobre el primero que se dan diversas normas

que la facultan para organizar y reglamentar la competición (Ley del Deporte,

Estatutos y Real decreto 1835/1991 de 20/12 de federaciones deportivas y Registro de

asociaciones deportivas, así como la Ley Orgánica 3/2013 de 20/06 de protección de

la salud del deportista y lucha contra el dopaje en la actividad deportiva.

2) A la ?plataforma Isquad?, con la que la reclamada gestiona la reclamada la

?afiliación? de los deportistas acceden los usuarios (jugadores, entrenadores,

delegados, personas de contacto) con usuario y contraseña en el ?área privada?,

donde se sube, y se guarda el certificado de vacunación y los test de antígenos. A esa

documentación, únicamente tiene autorización de acceso la delegado-responsable

Federativo de control de COVID19, de la RFEBAM que, comprobada su idoneidad,

emite una validación que acredita que, cada persona, ha cumplido el requisito exigido

en las condiciones requeridas, pero sin que dicha validación especifique el tipo de

documento aportado por cada persona. -si bien se desprende de su naturaleza, que

los test y las vacunas son de distinta duración en el tiempo en cuanto a efectos

previstos, sin explicar cómo funciona el sistema para no exigir para la próxima

competición a los que aportan la vacunación que la vuelvan a aportar.

3) En cuanto al modo de informar a los afectados de la recogida de sus datos, la reclamada

aporta antes del acuerdo de inicio, documento 10, cláusula de información, última

versión 29/11/2021 en la que figura que la reclamada es responsable ?del tratamiento

de sus datos de carácter personal con la finalidad de llevar a cabo todas las

gestiones necesarias para gestionar su afiliación en R.F. ESPAÑOLA DE BALONMANO.

Asimismo, le informamos que el tratamiento de sus datos de carácter especial,

por ejemplo, salud, se llevarán a cabo exclusivamente cuando sean necesarios y bajo

supervisión de los servicios médicos oficiales.? ?? ?La legitimación del tratamiento de

sus datos deriva de la ejecución de un contrato, consentimiento del interesado, cumplimiento

de una obligación legal o en base al interés legítimo para ambas partes. Los

destinatarios de sus datos serán los distintos departamentos de la Federación, así

como los terceros a los que cedamos sus datos, cuando sea lícito conforme a lo dis-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

18/39

puesto en la normativa vigente en materia de protección de datos o aquellas comunicaciones

necesarias para el correcto desempeño de las funciones de R.F. ESPAÑOLA

DE BALONMANO.

Tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos

reconocidos tal y como se explica en la información adicional que puede encontrar en

nuestra Política de Privacidad en www.rfebm.com.?

Pese a indicarse el responsable, no se indica su contacto

La reclamada manifestó en alegaciones que informó por capas, y la segunda capa se

hallaba en el link que se contenía www.rfebm.com que coincide con el documento 9

?política de privacidad? en el que se contiene entre otros los datos de contacto del

DPD, y el derecho a presentar una reclamación ante una autoridad de control.

Considerando que a partir de la finalización de la temporada 21/22 (en la que sí estuvo

implantado el sistema de aportar datos de salud para la competición) esto es, en

septiembre de 2022 la reclamada ha manifestado que ya no exige ningún tipo de datos

sobre vacunación COVID 19 ni test, que el acuerdo de inicio es de 6/09/2022, en alegaciones

al acuerdo de inicio, el 26/09/2022, ha manifestado la reclamada, que el documento

10 sobre información de la recogida y tratamiento de datos fue modificado

tras recibir el acuerdo de inicio para diferenciar la información de la ?afiliación? Adjuntan

documento número 2, ?cláusula de información de afiliación?, distinguiendo la entidad

diferenciada de los datos de salud COVID y su finalidad:

?Finalidad 1: Llevar a cabo todas las gestiones necesarias para gestionar su afiliación

en R.F. ESPAÑOLA DE BALONMANO. Base jurídica que legitima este tratamiento:

ejecución de un contrato.

Finalidad 2: Llevar a cabo los reconocimientos médicos y las pruebas de aptitud que

puedan tener lugar para obtener la licencia federativa, trataremos datos de salud, los

cuales se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión

de los servicios médicos oficiales. Base jurídica que legitima este tratamiento: cumplimento

de una obligación legal.

4) Reclamante 2, manifiesta que, a principios de temporada 21/22, la reclamada

comunicó vía e mail a los federados el protocolo sanitario establecido, y que ?los

afectados realizaron test de antígenos para la primera competición y las posteriores

las han estado realizando solo las personas no vacunadas, entregando los certificados

de los test?. Aporta escrito en el que el 11/09/2021, solicitó a la reclamada la retirada

de dichas medidas por vulneración de derechos de los afectados con respuesta de la

reclamada de 6/10/2021 manteniéndolas.

También la reclamada manifestó en la respuesta al traslado, 3/12/2021, que continuaría

tratando los datos de salud para cada competición. Tras el acuerdo de inicio firmado

el 6/09/2022, indicó que por la evolución positiva de la pandemia y en función de

las recomendaciones formuladas por las autoridades sanitarias, a partir de la finalización

de la temporada 2021/22, septiembre 2022, había cesado en la exigencia de

aportación de ningún tipo de datos relativos ni a la vacunación COVID-19 ni respecto

de los resultados analíticos en ninguna de las competiciones deportivas que organiza.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

19/39

FUNDAMENTOS DE DERECHO

I

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento

General de Protección de Datos, en adelante RGPD), otorga a cada autoridad

de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley

Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos

digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este

procedimiento la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados

por la Agencia Española de Protección de Datos se regirán por lo dispuesto en

el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias

dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario

, por las normas generales sobre los procedimientos administrativos."

II

Sobre las alegaciones de la nulidad del procedimiento, por contener el acuerdo de

inicio la referencia de incorporación documental, a efectos probatorios, no para la

práctica de prueba que no ha tenido lugar, se ha de comprender que dicha

documentación forma parte del expediente y su cita si bien no parece necesaria por

cuanto forma parte del mismo, resulta meramente aclaratoria, sin que por ello se

produzca algún tipo de confusión entre las fases, que en todo caso la reclamada no

explica más en detalle,

Sobre la sanción de plano que considera se desprende del literal de la parte

dispositiva, sin perjuicio de que la expresión ?se impone? es un error de hecho, y ello

se puede apreciar claramente porque se incardina en la referencia al artículo 64.2.b)

de la LPCCAP-referente al acuerdo de inicio añadiéndose ?todo ello, sin perjuicio de lo

que resulte de la instrucción?, deduciéndose que no se ha impuesto sanción, y menos

sin procedimiento. Por tanto, estas alegaciones no pueden ser estimadas.

III

Sobre los datos recabados por la reclamada a través de certificados de vacunación y

pruebas de antígenos subidos a la plataforma que las gestiona, se incluirían en el concepto

de tratamiento de datos, definido en el artículo 4.2 del RGPD como:

?cualquier operación o conjunto de operaciones realizadas sobre datos personales o

conjuntos de datos personales, ya sea por procedimientos automatizados o no, como

la recogida, registro, organización, estructuración, conservación, adaptación o modificación

, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier

otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

20/39

o destrucción;?

El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento

de datos personales.

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones

:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales

para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado

es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al

responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra

persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés

público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos

por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses

no prevalezcan los intereses o los derechos y libertades fundamentales del interesado

que requieran la protección de datos personales, en particular cuando el interesado

sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado

por las autoridades públicas en el ejercicio de sus funciones

En este caso, se tratan datos de deportistas afiliados que van a participar en la competición

, que, además, por las circunstancias sobrevenidas de la COVID 19, declarada

pandemia global por la OMS el 11/03/2020, con la finalidad de reducir su extensión en

la vuelta de las competiciones. Esta ?vuelta a las competiciones oficiales de ámbito de

carácter estatal y no profesional, temporada 20/21?, aparece aprobada en forma de

protocolo por el CSD el 14/09/2020, haciendo notar que fue antes de la fecha en que

la primera vacuna fuera inoculada en España, que data de 27/12/2020, luego no se

podía referir en tal protocolo a esta medida. En este caso, según indica reclamante 2,

al inicio de la temporada 21/22 se informó del protocolo establecido por su Federación,

y se inició la recogida de datos, ejercitando el derecho de retirada de las medidas el

22/09/2021.

El RGPD define datos de salud, como: ?? datos personales relativos a la salud física

o mental de una persona física, incluida la prestación de servicios de atención sanitaria

, que revelen información sobre su estado de salud;? (art 4.15 RGPD).

En este caso, deben distinguirse la finalidad de la afiliación en cuanto a la licencia

anual para la competición, y sus datos necesarios que cuentan con unas especificidades

en su régimen jurídico, de la finalidad del tratamiento que tienen los datos de salud

que además en la temporada 21 22 se recaban con un fin concreto para, en este caso

evitar el contagio en el seno del desarrollo de las competiciones.

El régimen jurídico de la necesaria base de legitimación de los datos que se recaban

para prevenir la COVID 19 en las competiciones según manifestó la reclamada, es el

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

21/39

de artículo 6.1.c) del RGPD: ?el tratamiento es necesario para el cumplimiento de una

obligación legal aplicable al responsable del tratamiento?, añadiendo que son requisitos

de la organización de la competición para los que ostenta competencia según la

normativa que cita. Al respecto se ha de indicar que dicha competencia puede llegar

hasta la exigencia de la vacunación, siempre que se respete la normativa vigente, sin

que dicha potestad en este caso incluya o apoye la base de tratamiento de cumplimiento

de obligación legal que entiende la reclamada, no solo por no existir en ese

momento norma de alguna autoridad como la sanitaria, que impeliera a la vacunación

de este colectivo del deporte para estos fines, sino porque ni siquiera en el protocolo

del CSD se recomendaba aspecto alguno sobre la vacunación. De hecho, no se mencionaba

, quizás porque el protocolo se aprobó en 9/2020, cuanto menos su obligatoriedad

, ni tampoco de las pruebas PCR, y en definitiva tampoco que se hiciera recogiendo

y almacenando datos, que supone en si ya un tratamiento de datos según las propias

definiciones del RGPD. Lo cierto es que además de no constar la necesidad del

tratamiento para el cumplimiento de una obligación legal no existía, porque no existía

una disposición de tal calado y porque según se desarrollará a lo largo del procedimiento

, el protocolo de la reclamada no puede calificarse de norma legal que impusiera

tal obligación. En cuanto al termino de necesidad, también es cierto que se podría

haber optado por un sistema no intrusivo, como por ejemplo de mera exhibición de los

documentos de salud habilitantes para competir pudiendo suponer otro escenario distinto

de la cuestión.

Recordar, para ello, que el artículo 8 de la LOPDGDD: ?Tratamiento de datos por obligación

legal, interés público o ejercicio de poderes públicos?, dispone:

?1.El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento

de una obligación legal exigible al responsable, en los términos previstos en el

artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho

de la Unión Europea o una norma con rango de ley, que podrá determinar las

condiciones generales del tratamiento y los tipos de datos objeto del mismo así como

las cesiones que procedan como consecuencia del cumplimiento de la obligación legal.Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales

como la adopción de medidas adicionales de seguridad u otras establecidas en el

capítulo IV del Reglamento (UE) 2016/679.

2. El tratamiento de datos personales solo podrá considerarse fundado en el

cumplimiento de una misión realizada en interés público o en el ejercicio de poderes

públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del

Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una

norma con rango de ley.?

Dicha ley debe cumplir todas las condiciones pertinentes para que la obligación sea

válida y vinculante, y debe también acatar la legislación de protección de datos, incluido

el requisito de necesidad, proporcionalidad y limitación de la finalidad. Además, la

propia obligación legal debe estar suficientemente clara en lo que respecta al tratamiento

de los datos personales que se requiere.

Por tanto, el artículo 6.1, letra c), sería aplicable sobre la base de las disposiciones ju-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

22/39

rídicas que hacen referencia explícitamente a la naturaleza y al objeto del tratamiento.

El responsable del tratamiento no deberá tener un grado indebido de discreción sobre

cómo cumplir con dicha obligación jurídica. La legislación puede, en algunos casos,

establecer solo un objetivo general, al tiempo que se imponen obligaciones más específicas

en un nivel diferente, por ejemplo, bien en el Derecho derivado, legislación secundaria

bien en una decisión vinculante de una autoridad pública en un caso concreto.

Esto puede también implicar obligaciones jurídicas en virtud del artículo 6.1 letra c),

siempre que la naturaleza y el objeto del tratamiento estén bien definidos y sujetos a

una base jurídica adecuada. En definitiva, en este caso, no se da dicha obligación legal

y la base de legitimación no se adecua en su licitud a tal artículo

En cuanto a las alegaciones de que existen normas que pueden imponer restricciones

al derecho de la salud, son ciertas, pero el hecho es que para este supuesto no se ha

hallado ninguna en la que se haya concretado tal obligación.

En cuanto a la base jurídica para el tratamiento por interés vital, artículo 6.1.d) del

RGPD: ?necesario para proteger intereses vitales del interesado o de otra persona

física?, el Considerando (46) del RGPD ya reconoce que, en situaciones

excepcionales, como una epidemia, la base jurídica de los tratamientos puede ser

múltiple, basada tanto en el interés público, como en el interés vital del interesado u

otra persona física.

(46) El tratamiento de datos personales también debe considerarse lícito cuando sea

necesario para proteger un interés esencial para la vida del interesado o la de otra

persona física. En principio, los datos personales únicamente deben tratarse sobre la

base del interés vital de otra persona física cuando el tratamiento no pueda basarse

manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden

responder tanto a motivos importantes de interés público como a los intereses vitales

del interesado, como por ejemplo cuando el tratamiento es necesario para fines

humanitarios, incluido el control de epidemias y su propagación, o en situaciones de

emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen

humano.

El artículo 6.1.d) del RGPD considera no solo que el interés vital es suficiente base

jurídica del tratamiento para proteger al ?interesado?, en este caso las personas que

desean disputar la competición sino que dicha base jurídica pueda ser utilizada para

proteger los intereses vitales ?de otra u otras personas físicas?, lo que por extensión

supone que puedan ser tanto personas no identificadas o identificables, involucradas

incluso innominadas, si las hubiere en cuanto a ostentar un interés digno de ser

salvaguardado. Además, no se desprende conforme señala el artículo 6.3 del RGPD

que la necesidad de que la base del tratamiento por razón de interés vital haya de ser

establecida por el derecho de la Unión o el derecho de los Estados Miembros

aplicables al responsable del tratamiento.

Analizada esta base de legitimación, se considera que ampararía el tratamiento

originado por la situación de pandemia en el concreto marco de la lucha contra el

COVID para los deportistas federados con el fin de prevenir la extensión de la

infección en el retorno a las competiciones, por lo que la infracción imputada del

artículo 6.1 del RGPD ha de ser archivada.

IV

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

23/39

El artículo 9 del RGPD, ?Tratamiento de categorías especiales de datos personales?,

dispone:

?1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico

o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación

sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar

de manera unívoca a una persona física, datos relativos a la salud o datos relativos a

la vida sexual o las orientaciones sexuales de una persona física.

2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes

:

a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos

personales con uno o más de los fines especificados, excepto cuando el Derecho de

la Unión o de los Estados miembros establezca que la prohibición mencionada en el

apartado 1 no puede ser levantada por el interesado;

[?]?

c) el tratamiento es necesario para proteger intereses vitales del interesado o de

otra persona física, en el supuesto de que el interesado no esté capacitado, física o

jurídicamente, para dar su consentimiento;

[?]?

g) el tratamiento es necesario por razones de un interés público esencial, sobre la

base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional

al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y

establecer medidas adecuadas y específicas para proteger los intereses y derechos

fundamentales del interesado?;

[?]?

i) el tratamiento es necesario por razones de interés público en el ámbito de la salud

pública, como la protección frente a amenazas transfronterizas graves para la salud, o

para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y

de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o

de los Estados miembros que establezca medidas adecuadas y específicas para

proteger los derechos y libertades del interesado, en particular el secreto profesional?.

[?]?

4.Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive

limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o

datos relativos a la salud.?

Paralelamente, la LOPDGDD precisa en el artículo 9, ?Categorías especiales de datos?

:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

24/39

?2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del

Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados

en una norma con rango de ley, que podrá establecer requisitos adicionales relativos

a su seguridad y confidencialidad.

En principio, en el traslado, la reclamada señaló para vencer la excepción de la prohibición

de los datos de salud, los artículos 9.2 c) y 9.2.i) del RGPD.

En alegaciones a la propuesta, además añade que pudiera existir la circunstancia del

9.2.g) del RGPD, sobre todo con apoyo en una aplicación similar a la realizada en la

sentencia del TSJ de Madrid. En esa sentencia -recurso contencioso-administrativo

interpuesto por el procedimiento especial de protección de los derechos

fundamentales- contra el protocolo sanitario del campeonato oficial de selecciones

territoriales de la RFEB a celebrar en Murcia entre el 8 y 14/04/2022, en lo relativo a la

obligación de presentar un certificado de vacunación COVID 19 con pauta completa.

Además, el certificado era necesario, obligatorio para poder participar en la

competición, y se debía ?subir al área personal de la aplicación informática de la

reclamada?.

Del juego de los artículos 9.2 del RGPD y 9.2 de la LOPDGDD, resulta que, respecto a

las circunstancias descritas en los apartados g), h) e i) del artículo 9.2 del RGPD, se

exige expresamente que la norma interna habilitante tenga rango de ley.

La exigencia de ley para restringir derechos fundamentales viene impuesta en la Constitución

Española. En palabras del Tribunal Constitucional, en la STC de 76/2019, de

22/05/2019, fundamento jurídico 5 ?(?) por mandato expreso de la Constitución, toda

injerencia estatal en el ámbito de los derechos fundamentales y las libertades públicas

ora incida directamente sobre su desarrollo (artículo 81.1 CE), ora limite o condicione

su ejercicio (artículo 53.1 CE), precisa una habilitación legal (por todas, STC 49/1999,

de 5 de abril, FJ 4). ?Así pues, la reserva de Ley es un requisito constitucional?

La reclamada excepciona el tratamiento de datos de salud que obtiene, vinculándolos

a que concurren como excepciones, los artículos:

- ?9.2.c) el tratamiento es necesario para proteger intereses vitales del interesado o de

otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente

, para dar su consentimiento. ?

No se puede apreciar que el artículo 9.2.c) del RGPD excepcione el tratamiento de los

datos de salud, dado que el procedimiento no se basa en el consentimiento, y se aplica

a todos los deportistas, y no aplica el aspecto de que ?el interesado no esté incapacitado

, física o jurídicamente, para dar su consentimiento.?

-?9.2.i) el tratamiento es necesario por razones de interés público en el ámbito de la

salud pública, como la protección frente a amenazas transfronterizas graves para la

salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia

sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de

la Unión o de los Estados miembros que establezca medidas adecuadas y específicas

para proteger los derechos y libertades del interesado, en particular el secreto profesional. ?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

25/39

En cuanto a la mención de una Orden Ministerial de la Consejería de Madrid,

1244/2021 también como excepción a la prohibición, además de poderse celebrar

competiciones fuera de este ámbito territorial por Clubes de otras Comunidades autónomas

, es decir no se explica porque resultaría aplicable esta norma, en la misma no

se contiene extremo alguno sobre vacunación o tes antígenos.

Además, añade que este tratamiento de datos de salud se da en aplicación de la disposición

adicional decimoséptima de la LOPDGDD.

Las normas de la disposición adicional decimoséptima de la LOPDGDD determinan

entre otras, que las circunstancias del artículo 9.2 i) del RGPD alegado por la reclamada

para tratar datos de salud encuentran amparo en las normas que señala. Al amparo

de algunas de ellas relacionadas con la salud pública durante la pandemia con el fin

de no extender el contagio se pueden establecer medidas en caso de riesgo para la

salud pública, con una duración que no excederá del tiempo exigido por la situación de

riesgo que las motivó. Sin embargo, para este caso concreto, no existe ni en ellas ni

en las de desarrollo, especificación alguna que expresa que para el ámbito deportivo

de las competiciones surja la necesidad por razones de interés público en el ámbito de

la salud pública de que se establezca el citado tratamiento de vacunación o test PCR

obligatorio.

Esta especifica obligación se ha de realizar con un amparo normativo con rango de

ley, por afectar a un derecho fundamental.

La cobertura normativa de las medidas que las autoridades sanitarias consideren urgentes

y necesarias para la salud pública, e impliquen limitación o restricción de derechos

fundamentales, se encuentran en la legislación sanitaria. En concreto, en la Ley

Orgánica 3/1986, de 14/04, de Medidas Especiales en Materia de Salud Pública, Ley

14/1986, de 25/04, General de Sanidad, Ley 33/2011, de 4/10, General de Salud Pública.

La Ley 2/2021, de 29/03, de medidas urgentes de prevención, contención y coordinación

para hacer frente a la crisis sanitaria ocasionada por la COVID19, establece protocolos

en los que se contemplen medidas de ventilación, limpieza y desinfección adecuadas

a las características de los centros de trabajo, centros, entidades o titulares de

actividades económicas. Esta Ley señala que la adopción de medidas necesarias para

el cumplimiento de la ley corresponderá a la Administración General del Estado con la

colaboración de las comunidades Autónomas.

Por lo demás, la ?realización de pruebas diagnósticas de infección para la detección

del COVID-19 se limita a aquellos casos en los que exista una prescripción previa por

un facultativo y se ajusten a criterios establecidos por la autoridad sanitaria competente.? (apartado segundo de la Orden SND/344/2020 de 13/04 por la que se establecen

medidas excepcionales para el refuerzo del Sistema Nacional de salud y la contención

de la crisis sanitaria ocasionada por el COVID-19, BOE (14/04/2020). La aprobación

de unas normas de protección sanitaria relacionadas con las competiciones han de

efectuarse, de acuerdo con lo dispuesto en las medidas generales de prevención e higiene

frente al COVID-19, por las autoridades sanitarias.

La reclamada, entidad de ámbito nacional también menciona las sucesivas órdenes

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

26/39

ministeriales de Consejería de Sanidad de la Comunidad de Madrid sobre las medidas

preventivas para hacer frente a la crisis sanitaria causada por el SARS COV 2, que

manifiesta sirven adicionalmente para amparar las medidas impuestas a sus deportistas

, además del marco de los Protocolos que ha señalado. Se trata de disposiciones

que, al hilo de las fluctuaciones del contexto y desarrollo de la extensión y consecuencias

del virus, han ido modificándose. Estas normas se aplican cuando la competición

tiene lugar en la citada CCAA o es organizada por alguna Federación que forma parte

de dicha CCAA, por lo que la aplicación de dicha normativa no se puede extrapolar a

cualquier ámbito territorial más que en la Comunidad de Madrid.

Aun así, se indica que tales disposiciones contemplan medidas que aluden a diversos

sectores y actividades sociales, mencionando entre ellas, la práctica de la actividad

deportiva federada y las competiciones. Se regulan en la orden 572/2021 de 7/05,

BOCM 8/05/2021, entrada en vigor 9/05/2021 modificada por la orden 1177/2021 de

16/09 vigencia 20/09/2021, siendo derogada la primera por la orden 1244/2021 de

1/10 (entrada en vigor el 4/10). Esta última a su vez, modificada por la de 439/2022, de

28/03, BOCM 29/03, y la de 576/2022 del 21/04, BOCM 22/04, vigencia 22 de abril.

Por tanto, se acreditaría que en el tiempo ha habido diferentes redacciones del artículo

que podría referirse a las pruebas diagnósticas de infección activa SARS.COV-2, no

así a la vacunación.

Así, la redacción ahora vigente del citado artículo, a través de la última disposición citada

, señala:

?Cuadragésimo quinto. Práctica de la actividad deportiva federada

?Para la celebración de competiciones, las federaciones deportivas madrileñas deberán

disponer de un protocolo acorde a las medidas preventivas e higiénicas establecidas

con carácter general en esta Orden y en las disposiciones aplicables, en el que se

identifiquen las situaciones potenciales de contagio y en el que se establezcan las medidas

de tratamiento de riesgo de contagio adaptadas a la casuística. Dicho protocolo

será de obligada observancia para el conjunto de los estamentos federativos y deberá

publicarse en la página web de la federación deportiva correspondiente?.

No obstante, hay que acudir a las distintas redacciones y su periodo de vigencia RD

572/2021

?CUADRAGÉSIMO SÉPTIMO práctica de la actividad deportiva federada

?4. En las competiciones oficiales de ámbito estatal y carácter no profesional y las

competiciones internacionales que estén bajo la tutela organizativa de las Federaciones

deportivas españolas que se desarrollen en territorio de la Comunidad de Madrid,

será de aplicación el Protocolo de actuación para la vuelta de competiciones oficiales

de ámbito estatal y carácter no profesional en la temporada 2020/2021, elaborado por

el Consejo Superior de Deportes y suscrito por todas las Comunidades Autónomas,

Federación Española de Municipios y Provincias, Federaciones Deportivas Españolas,

Asociación del Deporte Español, Comité Paralímpico Español, Comité Olímpico Español

y organizadores de competiciones.

Se introduce un nuevo apartado 5 en dicha disposición por la orden 1177/2021 de

16/09 que indica:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

27/39

?5. En caso de que los entrenamientos o competiciones federadas se realicen en instalacionesde interior se podrá exceptuar el uso de la mascarilla exclusivamente para

los deportistas que participan en las mismas y durante el tiempo en que se encuentren

participando, siempre que se adopten medidas de prevención y la realización de una

prueba diagnóstica de infección activa del SARS-CoV-2 con un máximo de cuarenta y

ocho horas previas al entrenamiento o competición?

En la Orden 1244/2021, de 1/10/2021, este apartado 5, no se menciona en el titulo IX

?actividad deportiva, que es de nuevo incorporado en la orden 439/2022 de 28/03, no

obstante haberse modificado por la posterior.

En todo caso, la disyuntiva en las competiciones en interior sería entre mascarilla o

prueba diagnóstica, pero la reclamada, al alegar esta norma de la CCAA de Madrid, no

solo no tiene en cuenta el ámbito territorial de aplicación, sino que en su protocolo se

amplía el ámbito a cualquier competición sin distinción interior, exterior, incluyendo la

vacunación.

El hecho de que el protocolo haya sido publicado o elaborado por los servicios médicos

de la Federación, o que se controle por dicho personal, como manifiesta la reclamada

, no habilita la excepción del tratamiento de los datos de los deportistas, titulares

de un derecho sobre unos datos especiales, estando involucrados entre otros, el derecho

a la integridad física corporal, y a la autodeterminación informativa sobre.

Se impone así a los deportistas en este caso una limitación de su derecho individual y

fundamental de sus datos personales, referidos a la información de su salud, que puede

consistir en proporcionar a la reclamada un certificado de vacunación o reiteradas

pruebas diagnósticas de detección PCR por cada competición en que deseen competir.

Las pruebas o certificados no son exhibidas, sino que se almacenan y se guardan

por un periodo que en principio correspondería por toda la temporada 21/22.

El razonamiento de la reclamada sobre que no se afectan derechos, exponiendo como

ejemplo las sentencias del TS en la cual en alguna se falló que la exhibición del

certificado de vacunación o test no afectaba a la intimidad o a datos personales, tiene

vigencia en dicho asunto, que discute una norma previamente publicada que

supuestamente sirve de soporte para las actuaciones que prescribe y que era

ratificada o confirmada por los órganos jurisdiccionales, mientras que aquí no existe

soporte que legitime lo que se exige a los deportistas, que no consiste en la mera

exhibición de la vacuna o la PCR, sino tratamiento de datos, y conservación de los

mismos fijando la reclamada los medios y fines para su consecución, que llega a la

citada exigencia. También la diferencia entre uno y otro documento y su validez,

mientras la vacuna es gratuita dentro del sistema público de Seguridad Social, en este

caso, las pruebas PCR no consta que sean sufragadas por la peticionaria de las

mismas, sino por el deportista.

Así las cosas, se considera que la conducta de la reclamada constituye una infracción

del artículo 9 del RGPD.

V

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

28/39

Respecto a la alegación de la reclamada en propuesta, sobre la sentencia del TSJ de

Madrid, al señalar que de la misma se desprende la habilitación para el tratamiento de

datos de salud mediante el protocolo que ella había dispuesto, se ha indicar:

- ?el procedimiento especial establecido en los artículos 114 y ss. de la LJCA, destinado única y exclusivamente, a la protección jurisdiccional de los derechos fundamentales

y libertades públicas reconocidos en los artículos 14 a29 y 30.2 de la Constitución.

Quedan, por consiguiente, fuera de esta vía, preferente y sumaria, cuantas cuestiones

afecten a la mera legalidad ordinaria jurídico-administrativa del acto impugnado, en la

medida que no implique, al propio tiempo, vulneración de los precitados derechos. La

Sala habrá de limitar su actuación jurisdiccional a determinar sí el acto impugnado incide

negativamente o vulnera los -citados derechos".

-Como se ha subrayado en hechos probados, en el protocolo del CSD, no se establecía

obligación alguna para deportistas, ni sobre vacunación ni sobre pruebas PCR,

tampoco sobre su tratamiento, toda vez que también la reclamada podría haber elegido

la opción de no recoger, no almacenar, no conservar a través de la aplicación informatica

los documentos, elecciones que toma directamente en su protocolo la reclamada

bajo el pretexto del Protocolo del CSD.

El fundamento de derecho QUINTO de la sentencia recomendaba se realizase una

prueba especifica de la COVID 19 cuya finalidad sería conocer la situación de los deportistas

y miembro de los equipos (apartado octavo), - también añadía que esos protocolos

necesariamente se tenían que ir adecuando a la situación sanitaria de cada

momento. Igualmente se alude a que ?En el Anexo de la resolución de 2 de marzo de

2022 del Director General de Deportes (Murcia) ( que no es una autoridad sanitaria por

otro lado), por la que se establece el protocolo de actuación en la actividad deportiva

la Región de Murcia, publicado en el Boletín oficial de la Región el 4 de marzo de

2022, en el apartado tercero en relación a los participantes en actividades deportivas,

se establece: "se recomienda a todos los deportistas, técnicos y árbitros o jueces, la

pauta completa de vacunación?. También se establece que todas las competiciones

oficiales de ámbito estatal y carácter no profesional que se celebren se regirán por el

protocolo del Consejo Superior de Deportes y de las Federaciones deportivas españolas.

Es decir, se acredita que la Federación reclamada impone como obligatorias la

pauta de vacunación completa o los test negativos, cuando las autoridades administrativas

no mencionaban tal medida.

-La sentencia tras indicar que la reclamada recogía datos, reproduce extractos de sentencias

en las que se indica que la exhibición de los documentos voluntariamente para

acceder a establecimientos de ocio no obliga a proporcionar datos médicos, sin que se

puedan recoger datos ni elaborar un fichero, para en el mismo fundamento de derecho

indicar que ?Sentado, pues, que el derecho fundamental a la protección de datos no

resulta limitado por la medida que se pretende?, sin resaltar que, como en este caso,

no se trata de una mera exhibición de datos, sino que también se subían al área personal

, lo que responde al esquema y función del tratamiento de datos definido en el

RGPD ?

A ello se añade que indica la sentencia:

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

29/39

?Las potestades administrativas que justifican la adopción de esas medidas descritas

en el Protocolo que conllevan la restricción de derechos fundamentales de los ciudadanos

, se encuentran legitimadas, inicialmente, por artículo 43 de la Constitución Española

, en el que, tras reconocer en su apartado primero el derecho a la salud pública,

en su segundo apartado establece que: "Compete a los poderes públicos organizar y

tutelar la salud pública a través de medidas preventivas y de las prestaciones y servicios

necesarios. La Ley establecerá los derechos y deberes de todos al respecto". El

desarrollo básico de este principio constitucional rector de la política social del Estado,

se encuentra en la Ley 14/1986, de 25/04, General de Sanidad, en la Ley Orgánica

3/1986, de 14/04, de Medias Especiales en Materia de Salud Pública, dictadas en virtud

de la atribución competencial que en materia de sanidad e higiene efectúa el artículo

148.1.21 CE a las Comunidades Autónomas, y en La ley 41/2002, de 14/11, básica

reguladora de la autonomía del paciente y de derechos y obligaciones en materia de

información y documentación clínica, que prevé en su art.9.2.a la posibilidad de que se

realicen intervenciones clínicas sin el consentimiento del paciente cuando exista riesgo

para la salud pública ( art. 9.2.a) exigiendo que estas intervenciones, realizadas al amparo

de la LO 3/1986, sean puestas en conocimiento de una autoridad judicial si suponen

un internamiento forzoso en el plazo máximo de 24 horas. En la comprensión de

que los servicios sanitarios resultan imprescindibles para dar respuesta a los problemas

de salud de la colectividad, la Ley 33/2011, de 4 de octubre, General de Salud

Pública, recoge en su Artículo 54: " 1.-Sin perjuicio de las medidas previstas en la Ley

Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública,

con carácter excepcional y cuando así lo requieran motivos de extraordinaria gravedad

o urgencia, la Administración General del Estado y las de las comunidades autónomas

y ciudades de Ceuta y Melilla, en el ámbito de sus respectivas competencias, podrán

adoptar cuantas medidas sean necesarias para asegurar el cumplimiento de la ley. 2.-

En particular, sin perjuicio de lo previsto en la Ley 14/1986, de 25/04, General de Sanidad

, la autoridad competente podrá adoptar, mediante resolución motivada, las siguientes

medidas: c) El cierre preventivo de las instalaciones, establecimientos, servicios

e industrias. d) La suspensión del ejercicio de actividades. f) Cualquier otra medida

ajustada a la legalidad vigente si existen indicios racionales de riesgo para la salud

incluida la suspensión de actuaciones de acuerdo a lo establecido en el Título II de

esta ley. 3.-Las medidas se adoptarán previa audiencia de los interesados, salvo en

caso de riesgo inminente y extraordinario para la salud de la población y su duración

no excederá del tiempo exigido por la situación de riesgo que las motivó. Los gastos

derivados de la adopción de medidas cautelares contempladas en el presente artículo

correrán a cargo de la persona o empresa responsable. Las medidas que se adopten

deberán, en todo caso, respetar el principio de proporcionalidad."

Ahora bien, si la autoridad administrativa CSD solo recomendaba en su protocolo la

realización de pruebas, no mencionaba nada de aportar la vacunación, igual que la autoridad

deportiva de la CA de Murcia, la Federación estima que, si puede recabar en

desarrollo de dicho protocolo la pauta completa de vacunación o prueba PCR, que

además no es que sea exhibida, sino que es recogida, almacenada y conservada durante

la temporada de la competición. Se erige así en responsable de tratamiento de

una medida limitativa de derechos, extra límite de lo que señala el protocolo del CSD,

claramente fuera del límite del citado protocolo, es decir, más que un protocolo ?espejo? supera los umbrales previstas contemplándose como titular de unas potestades

que exceden lo que pueda ser sus facultades de organizar la competición, y sin respetar

como se aprecia en este procedimiento totalmente el derecho de información en la

recogida de esos datos y careciendo de causa habilitadora para recabar, conservar y

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

30/39

almacenar (tratar, no mera exhibición) estos datos de salud en la forma de certificado

o test, imponiendo la reclamada una medida de una entidad con potestad de imponer

restricciones por motivos de salud pública, de la que en este caso carece. Por tanto,

tampoco de la sentencia alegada se deduce la reclamada pueda tener habilitación

para tratar vía protocolo deportivo propio los datos de salud de los deportistas de su

federación.

VI

En cuanto a la forma y contenido de cumplir con el derecho de información a los afectados

en la recogida de datos, referir sobre la ?cláusula de información afiliación? (documento

10) que indica:

- ?Conforme a la normativa vigente en materia de protección de datos de carácter personal

, le informamos de que REAL FEDERACIÓN ESPAÑOLA DE BALONMANO, (en

adelante, R.F. ESPAÑOLA DE BALONMANO) es el responsable del tratamiento de

sus datos de carácter personal con la finalidad de llevar a cabo todas las gestiones necesarias

para gestionar su afiliación en R.F. ESPAÑOLA DE BALONMANO. Asimismo

, le informamos que el tratamiento de sus datos de carácter especial, por ejemplo,

salud, se llevarán a cabo exclusivamente cuando sean necesarios y bajo supervisión

de los servicios médicos oficiales .?

- ?La legitimación del tratamiento de sus datos deriva de la ejecución de un contrato,

consentimiento del interesado, cumplimiento de una obligación legal o en base al interés

legítimo para ambas partes. Los destinatarios de sus datos serán los distintos departamentos

de la Federación, así como los terceros a los que cedamos sus datos,

cuando sea lícito conforme a lo dispuesto en la normativa vigente en materia de protección

de datos o aquellas comunicaciones necesarias para el correcto desempeño

de las funciones de R.F. ESPAÑOLA DE BALONMANO.?

En el primer párrafo, no define la finalidad del tratamiento, por hacerlo de modo genérico

a ?datos de carácter especial, por ejemplo, salud, se llevarán a cabo exclusivamentecuando sean necesarios y bajo supervisión de los servicios médicos oficiales?, sin

que la expresión ?cuando sean necesarios? describa la finalidad de modo especifico y

explicito. Además de la información proporcionada y la operativa explicada por la reclamada

, no se aprecia tal supervisión de servicios médicos oficiales de la Federación,

pues el deportista sube a una plataforma de gestión de la reclamada la vacuna o el

test, que verifica la empleada responsable COVID de la Federación que firmó un compromiso

de confidencialidad. Dicha mención no añadiría nada especifico.

El segundo párrafo no es claro y no distingue ni correlaciona de las dos gestiones: afiliación

, datos de salud, cual es cada una de la base jurídica o legitimación que permite

el tratamiento. La reclamada ha explicado que dentro del tratamiento de ?afiliación?, se

diferencian el acto de afiliación o el alta en la licencia federativa que se produce cada

temporada a instancia del deportista que pertenece a un Club, y además se le suma

en la temporada 21-22, la recogida de datos consecuencia de la pandemia: vacunación

o test diagnóstico. En la legitimación del tratamiento no efectúa tal diferencia, y no

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

31/39

resultaría aplicable en este caso según la información que figura en dicho documento

10 el consentimiento o el interés legítimo para el tratamiento de los datos COVID.

El artículo 4.9 del RGPD, considera destinatario:

?9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo

al que se comuniquen datos personales, se trate o no de un tercero. No obstante

, no se considerarán destinatarios las autoridades públicas que puedan recibir datos

personales en el marco de una investigación concreta de conformidad con el Derecho

de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades

públicas será conforme con las normas en materia de protección de datos aplicables

a los fines del tratamiento;?

En la cláusula, la mención a ?Los destinatarios de sus datos serán los distintos departamentos

de la Federación, así como los terceros a los que cedamos sus datos, cuando

sea lícito conforme a lo dispuesto en la normativa vigente en materia de protección

de datos? parece obvia porque dentro del responsable del tratamiento, no se puede

hablar de destinatarios.

La reclamada, en alegaciones al acuerdo de inicio, cuando ya había cesado el tratamiento

de este tipo de datos (acaba en inicio temporada 22/23) aporta rectificación de

la información en documento 2.

Además, en el acuerdo de inicio se significaba no se contenían diversos elementos

que obliga el artículo 13 del RGPD que indica:

?1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable

del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información

indicada a continuación:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante

;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales y la base jurídica

del tratamiento;

d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos

del responsable o de un tercero;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su

caso;

f) en su caso, la intención del responsable de transferir datos personales a un tercer

país u organización internacional y la existencia o ausencia de una decisión de adecuación

de la Comisión, o, en el caso de las transferencias indicadas en los artículos

46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas

o apropiadas y a los medios para obtener una copia de estas o al hecho de

que se hayan prestado.

2.Además de la información mencionada en el apartado 1, el responsable del tratamiento

facilitará al interesado, en el momento en que se obtengan los datos personales

, la siguiente información necesaria para garantizar un tratamiento de datos leal y

transparente:

a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible

, los criterios utilizados para determinar este plazo;

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

32/39

b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los

datos personales relativos al interesado, y su rectificación o supresión, o la limitación

de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad

de los datos;

c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo

9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier

momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento

previo a su retirada;

d) el derecho a presentar una reclamación ante una autoridad de control;

e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito

necesario para suscribir un contrato, y si el interesado está obligado a facilitar

los datos personales y está informado de las posibles consecuencias de que no facilitar

tales datos;

f) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que

se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa

sobre la lógica aplicada, así como la importancia y las consecuencias previstas

de dicho tratamiento para el interesado.

3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales

para un fin que no sea aquel para el que se recogieron, proporcionará al interesado

, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y

cualquier información adicional pertinente a tenor del apartado 2.

4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida

en que el interesado ya disponga de la información?

El artículo 11 de la LOPDGDD indica:?1. Cuando los datos personales sean obtenidos

del afectado el responsable del tratamiento podrá dar cumplimiento al deber de

información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al

afectado la información básica a la que se refiere el apartado siguiente e indicándole

una dirección electrónica u otro medio que permita acceder de forma sencilla e

inmediata a la restante información.

2. La información básica a la que se refiere el apartado anterior deberá contener, al

menos:

a) La identidad del responsable del tratamiento y de su representante, en su caso.

b) La finalidad del tratamiento.

c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del

Reglamento (UE) 2016/679.?

La reclamada manifestó que informó por capas. En la primera, considerada como

documento 10, cláusula de información afiliación?, de:

a) La identidad del responsable del tratamiento y de su representante, en su caso.

b) La finalidad del tratamiento

c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento

(UE) 2016/679

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

33/39

La segunda capa, como información adicional, se hallaba en el link www.rfebm.com

que llevaba al documento 9: ?política de privacidad?, en la que se contienen entre

otros, los datos de contacto del DPD, y el derecho a presentar una reclamación ante

una autoridad de control.

En cuanto a la primera capa, existía la deficiencia de que las finalidades del tratamiento

de los datos de salud no estaban especificadas, no era explicita y especifica, y sin

especificar su base jurídica, De acuerdo con lo manifestado por la reclamada esta exigencia

lo fue para evitar los contagios en la competición como medida preventiva.

Se ha de señalar que desde la temporada 22/23 no se utiliza la recogida de datos de

vacunación, por lo que no pudieron recogerse datos con la información actualizada.

Existe una tensión inherente en el RGPD entre, por un lado, la obligación de facilitar a

los interesados la información completa necesaria en virtud del RGPD y, por el otro,

hacerlo de una forma concisa, transparente, inteligible y de fácil acceso. La información

en niveles puede ayudar a resolver dicha tensión, estimando que en el primer nivel

, el diseño y la disposición y contenidos serán tales que el interesado obtenga una

visión general clara de la información de que dispone sobre el tratamiento de sus datos

personales. El primer nivel es recomendable que incluya los detalles de los fines

del tratamiento, identidad del responsable y descripción de los derechos del interesado

, haciendo hincapié en la información con mayor repercusión para el interesado y el

tratamiento que podrá resultarle más sorprendente.

Del análisis del contenido de la información proporcionada a los deportistas y resto de

personas del colectivo que debía subir los datos de salud, se acredita que antes del

inicio del acuerdo de inicio, la información que debía proporcionarse en la recogida y

tratamiento de datos infringió el artículo 13 del RGPD y no fue subsanada sino tras la

emisión del acuerdo de inicio de 6/09/2022.

VII

Se considera que los hechos expuestos vulneran lo dispuesto en los artículos: 9, y 13

del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo

que, supone la comisión de las infracciones tipificadas en el artículo 83 apartado 5.a) y

b) del RGPD que bajo la rúbrica ?Condiciones generales para la imposición de multas

administrativas? dispone que:

?Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el

apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose

de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de

negocio total anual global del ejercicio financiero anterior, optándose por la de mayor

cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento

a tenor de los artículos 5, 6, 7 y 9;

b) los derechos de los interesados a tenor de los artículos 12 a 22.?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

34/39

A este respecto, la LOPDGDD, en su artículo 71, establece que ?Constituyen infracciones

los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83

del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley

orgánica?.

A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:

?Infracciones consideradas muy graves.

?1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se

consideran muy graves y prescribirán a los tres años las infracciones que supongan

una vulneración sustancial de los artículos mencionados en aquel y, en particular, las

siguientes:

[?]

e) El tratamiento de datos personales de las categorías a las que se refiere el artículo

9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas

en dicho precepto y en el artículo 9 de esta ley orgánica.

[?]

El artículo 74 de la LOPDGDD indica: ?Se consideran leves y prescribirán al año las

restantes infracciones de carácter meramente formal de los artículos mencionados en

los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las

siguientes:

a) El incumplimiento del principio de transparencia de la información o el derecho de

información del afectado por no facilitar toda la información exigida por los artículos 13

y 14 del Reglamento (UE) 2016/679.

VIII

Los apartados d) e i) del artículo 58.2 del RGPD disponen lo siguiente:

?Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados

a continuación:

(?)

?d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento

se ajusten a las disposiciones del presente Reglamento, cuando proceda, de

una determinada manera y dentro de un plazo especificado;?

?i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de

las medidas mencionadas en el presente apartado, según las circunstancias de cada

caso particular;?

La imposición de medidas de ajuste en el tratamiento es compatible con la sanción

consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

IX

La determinación de las sanciones que procede imponer en el presente caso exige ob-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

35/39

servar las previsiones de los artículos 83.1) y .2) del RGPD, preceptos que, respectivamente

, disponen lo siguiente:

?1. Cada autoridad de control garantizará que la imposición de las multas administrativas

con arreglo al presente artículo por las infracciones del presente Reglamento

indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas

y disuasorias.?

?2. Las multas administrativas se impondrán, en función de las circunstancias de

cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el

artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa

y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza

, alcance o propósito de la operación de tratamiento de que se trate, así como el número

de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar

los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida

cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los

artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la

infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular

si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida

;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas

previamente contra el responsable o el encargado de que se trate en relación con el

mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de

certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,

como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente

, a través de la infracción.?

Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: ?Sanciones

y medidas correctivas?:

?1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento

(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos

en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también

podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de da-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

36/39

tos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión

de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción

, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a

mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que

existan controversias entre aquellos y cualquier interesado.

3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de

las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento

(UE) 2016/679.?

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las sanciones

de multas a imponer en el presente caso, de la que se responsabiliza a la reclamada,

para la infracción del artículo 9 del RGPD, se estiman concurrentes en calidad de

agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad

en la conducta del reclamado:

- Artículo 83.2 g) ?las categorías de los datos de carácter personal afectados por la infracción? se han recabado datos de salud, sensibles por los riesgos que conlleva su

tratamiento.

- Artículo 76.2.a) ?El carácter continuado de la infracción?, desde la implantación del

sistema, inicio temporada 2021/202, sumándose la persistencia no solo cuando reclamante

2 pidió la retirada de los requisitos, lo que debió haber llevado a un análisis detallado

, sino cuando la AEPD le trasladó la reclamación señaló que seguiría tratando

los datos.

Por la infracción del artículo 9 del RGPD se considera una cuantía de la multa de

20.000 euros.

Para la infracción del artículo 13 del RGPD, se estima concurrentes en calidad de

agravante los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad

en la conducta del reclamado:

-Artículo 83.2.a) RGPD, ?naturaleza, gravedad y duración de la infracción, teniendo en

cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate

, así como el número de interesados afectados y el nivel de los daños y perjuicios

que hayan sufrido;? Faltan elementos decisivos en la cláusula informativa de relevancia

significativa como era la base legitimadora y la finalidad cuya importancia no es

desdeñable en virtud del contexto y naturaleza de los datos tratados, como perteneciente

además a su naturaleza de un dato especial que en este caso afectaba a todo

el colectivo, datos novedosos para el retorno a la competición utilizados durante una

temporada y dejados de utilizar

Sobre la toma en consideración del acomodo del literal informativo que se ha realizado

tras el acuerdo de inicio, no se puede considerar para reducir la infracción, ya que

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

37/39

afectaba a un gran número de deportistas y durante un muy amplio periodo de tiempo,

no un tiempo episódico ni mensual. Por la infracción del artículo 13 del RGPD, se sanciona

con una cuantía de 7.000 euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a REAL FEDERACIÓN ESPAÑOLA DE BALONMANO, con

NIF Q2878006B, por una infracción del RGPD en los artículos:

- 9, de conformidad con el artículo 83.5.a), tipificada como muy grave a efectos de

prescripción en el artículo 72.1.e) de la LOPDGDD, una multa de 20.000 euros.

-13, de conformidad con el artículo 83.5.b), tipificada como leve a efectos de

prescripción en el artículo 74.a) de la LOPDGDD, una multa de 7.000 euros.

SEGUNDO: DECLARAR la inexistencia de infracción en relación con la imputación a

la REAL FEDERACIÓN ESPAÑOLA DE BALONMANO de una posible vulneración de

lo establecido en el artículo 6.1 del RGPD.

TERCERO: NOTIFICAR la presente resolución a REAL FEDERACIÓN ESPAÑOLA

DE BALONMANO, adjuntando el ANEXO GENERAL.

CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una

vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el

art. 98.1.b) de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las

Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario

establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real

Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17/12

mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento

que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN:

ES00-0000-0000-0000-0000-0000, abierta a nombre de la Agencia Española de

Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se

procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra

entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago

voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se

encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago

será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente

Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la

LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los

interesados podrán interponer, potestativamente, recurso de reposición ante la

Directora de la Agencia Española de Protección de Datos en el plazo de un mes a

contar desde el día siguiente a la notificación de esta resolución o directamente

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

38/39

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de

la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la

Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la

referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se

podrá suspender cautelarmente la resolución firme en vía administrativa si el

interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante

escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través

del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb

/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la

citada LPCAP. También deberá trasladar a la Agencia la documentación que acredite

la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no

tuviese conocimiento de la interposición del recurso contencioso-administrativo en el

plazo de dos meses desde el día siguiente a la notificación de la presente resolución,

daría por finalizada la suspensión cautelar.

938-181022

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

39/39

ANEXO GENERAL

RECLAMANTE 1 A.A.A.

RECLAMANTE 2 B.B.B.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es