Resolución de la Agencia Española de Protección de Datos PS-00313-2021 de 28 de junio de 2022

Cuestión

1 / 21

Expediente Nº: PS/00313/2021

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes:

ANTECEDENTES

PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 09/04/2021 interpu -

so reclamación...

Contestacion

1/21

? Expediente Nº: PS/00313/2021

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

a los siguientes:

ANTECEDENTES

PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 09/04/2021 interpuso

reclamación ante la Agencia Española de Protección de Datos. La reclamación se

dirige contra FLY FUT, S.L. con CIF B87949400 (en adelante, la parte reclamada). Los

motivos en que basa la reclamación son los siguientes: que su hija, menor de edad,

juega en un equipo municipal ligado al Ayuntamiento de ***LOCALIDAD.1 y federada

en la Federación Madrileña de Fútbol; manifiesta que sin mediar su consentimiento

previo se ha grabado a su hija en partidos disputados por una entidad que tiene un

acuerdo con la Federación Madrileña de Fútbol realizando un tratamiento de datos sin

mediar consentimiento ni informando a los tutores de las afectadas.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de

diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en

adelante LOPDGDD), el 06/05/2021 se dio traslado de dicha reclamación a la parte reclamada

, para que procediese a su análisis e informase a esta Agencia en el plazo de

un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en

la normativa de protección de datos.

Con fecha 06/06/2021 se recibe en esta Agencia escrito de respuesta del reclamado

señalando que en email de 6 de abril trataron de explicarle al reclamante que su actividad

era perfectamente acorde con la normativa de protección de datos en todos sus

puntos; que habían sido contratados para el desarrollo de un servicio de grabación por

la mayoría de los padres del equipo y que trataban los datos en base, entre otras, a la

legitimación en el cumplimiento de un contrato, no en base a obtener el consentimiento

de los padres.

Se aporta copia del Aviso informativo de grabación acordado con la Federación:

?FLY FUT S.L. CON DOMICILIO A ESTOS EFECTOS EN MADRID, CALLE INFANTA

MARIA TERESA 19, 28016 Y LA RFFM LE INFORMAN DE QUE EN ESTE RECINTO

PUEDE LLEVARSE A CABO LA CAPTACIÓN, FIJACIÓN O GRABACIÓN DE IMÁGENES

(FOTOGRAFÍA, AUDIOVISUAL O SIMILARES) POR CUALQUIER MEDIO TÉCNICO

, CON LA FINALIDAD DE ALMACENAR LOS ENCUENTROS EN UNA APP

CON ACCESO RESTRINGIDO PARA PADRES, FAMILIARES DE LOS JUGADORES

Y PERSONAL DEL CLUB QUE LO REQUIERAN. AUNQUE LA FINALIDAD DE ESTA

GRABACIÓN ES LA FILMACIÓN DEL ENCUENTRO EN LAS CONDICIONES ARRIBA

DESCRITAS, CON SU ACCESO AL RECINTO VD. ES CONSCIENTE DE ELLO Y

AUTORIZA LA GRABACIÓN DE SU IMAGEN A LA REAL FEDERACIÓN DE FÚTBOL

DE MADRID Y A FLY-FUT. LE INFORMAMOS DE QUE TALES DATOS PERSONALES

SERÁN TRATADOS POR LA FEDERACIÓN CON LOS FINES ARRIBA DESCRITOS.

PODRÁ EJERCITAR EN CUALQUIER MOMENTO SUS DERECHOS DE ACC

/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/21

CESO, RECTIFICACIÓN, SUPRESIÓN, LIMITACIÓN DEL TRATAMIENTO, OPOSICIÓN

Y PORTABILIDAD DE LOS DATOS DIRIGIÉNDOSE A LA FEDERACIÓN A

TRAVÉS DE CORREO ELECTRÓNICO ***EMAIL.1. ASIMISMO, LE INFORMAMOS

DE QUE, EN CUALQUIER MOMENTO, PODRÁ PRESENTAR RECLAMACIÓN ANTE

LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Y/O REVOCAR EL CONSENTIMIENTO

PRESTADO.?

También acompañan el Aviso informativo que se pone en las entradas de los campos

de futbol, que indica:

?EN CUMPLIMENTO DEL REGLAMENTO (UE) 2016/679 (RGPD) Y DE LA LEY ORGÁNICA

3/2018, INDICARLE QUE TRATAMOS LOS DATOS PERSONALES OBTNEIDAS

DE LA GRABACIÓN CON TODAS LAS GARANTÍAS LEGALES Y TÉCNICAS

INDICADAS EN LA NORMATIVA APLICABLE.

RESPONSABLE: DENOMINACIÓN SOCIAL: FLY-FUT, S.L. (LA ENTIDAD)

PUEDE EJERCITAR SUS DERECHOS DE PROTECCIÓN DEDATOS ANTE: ANTE

EL RESPONSABLE: (I) POR CORREO EN C/ INFANTA MARÍA TERESA 19, 28016

MADRID O (II) VÍA MAIL A ***EMAIL.1 CON LA SOLICITUD ACREDITARÁ SU IDENTIDAD

Y EL DERECHO A EJERCERLOS RECONOCIDO EN LA NORMATIVA. (ACCESO

, RECTIFICACIÓN, SUPRESIÓN, LIMITACIÓN, OPOSICIÓN Y PORTABILIDAD.

)

MÁS INFORMACIÓN SOBRE EL TRATAMIENTO DE SUSDATOS PERSONALES:

FINALIDAD: ATENDER A NUESTROS CLIENTES EN EL SERVICIO DE GRABACIÓN

CONTRATADO. SE INFORMA QUE EN ESTE RECINTO PUEDE LLEVARSE A

CABO LA CAPTACIÓN, FIJACIÓN O GRABACIÓN DE IMÁGENES (FOTOGRAFÍA,

AUDIOVISUAL O SIMILARES) POR CUALQUIER MEDIO TÉCNICO, CON LA FINALIDAD

DE ALMACENAR LOS ENCUENTROS EN UNA APP CON ACCESO RESTRINGIDO

PARA PADRES, FAMILIARES DE LOS JUGADORES Y PERSONAL DEL

CLUB QUE LO SOLICITE. LEGITIMACIÓN: CONSENTIMIENTO DEL INTERESADO:

RGPD: 6.1. A) PARA SER GRABADO A TRAVÉS DEL ALTA DE USUARIO EN EL

APP. EJECUCIÓN DE UN CONTRATO: RGPD: 6.1.B) PARA EL CUMPLIMIENTO

DEL SERVICIO CONTRATADO A LA ENTIDAD DE GRABACIÓN DEL PARTIDO. Y

EL INTERÉS LEGÍTIMO DE LA ENTIDAD. RGPD: 6.1. F) EN PODER DESARROLLAR

UN SERVICIO A TERCEROS. LAS IMÁGENES, OBJETO DEL TRATAMIENTO,

SON OBTENIDOS DIRECTAMENTE DE LA GRABACIÓN. POR LO TANTO, SOLO

SE CAPTA LA IMAGEN. ESTA NO ES SOMETIDA A NINGÚN PROCESO DE MODIFICACIÓN

POSTERIOR. LAS MEDIDAS DE SEGURIDAD APLICADAS ASEGURAN

LA CONFIDENCIALIDAD, DISPONIBILIDAD E INTEGRIDAD DE LAS MISMAS. SUPRESIÓN

: LA DURACIÓN DEL TRATAMIENTO SE EXTENDERÁ A LA DURACIÓN

DE LOS SERVICIOS CONTRATADOS Y DE LOS PLAZOS ESTABLECIDOS POR LA

NORMA APLICABLE. EL DPD ES AUDAT SERIVCES S.L. DATOS DE CONTACTO

(DIRECCIÓN Y MAIL) ARRIBA INDICADOS PARA CUALQUIER CONSULTA O SOLICITUD.

DESTINATARIOS: SOLO SE CEDERÁN LOS DATOS PARA EL CUMPLIMIENTO

DE LA FINALIDAD CONTRATADA Y CUANDO UNA NORMA LO DISPONGA.

ASÍ COMO A PROVEEDORES TECNOLÓGICOS.

ASIMISMO, LE INFORMAMOS DE QUE, EN CUALQUIER MOMENTO, PODRÁ PRESENTAR

RECLAMACIÓN ANTE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE

DATOS Y/O EJERCER CUALQUIER DE LOS DERECHOS ARRIBA ENUNCIADOS.

AÚN MAS INFORMACIÓN EN NUESTRA POLÍTICA DE PRIVACIDAD DE NUESTRA

WEB. ***URL.1.?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/21

TERCERO: Con fecha 08/06/2021 la Directora de la Agencia Española de Protección

de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante.

CUARTO: Con fecha 01/09/2021, la Directora de la Agencia Española de Protección

de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción

del artículo 6.1 del RGPD, sancionada conforme a lo dispuesto en el artículo

83.5.a) del citado RGPD.

QUINTO: Notificado el citado acuerdo de inicio, el reclamado mediante escrito de

08/09/2021 solicito poder ser recibido en la sede de la Agencia por el instructor del

procedimiento.

El 17/09/2021 el reclamado presento escrito de alegaciones reiterando los argumentos

ya expuestos en escritos anteriores aportando nuevamente extensa documentación, e

incorporando más de 30 anexos de documentación probatoria.

SEXTO: Con fecha 14/01/2022, el instructor del procedimiento acordó la apertura de

un período de práctica de pruebas, acordándose las siguientes:

- Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por el reclamante

y su documentación, los documentos obtenidos y generados por los Servicios

de Inspección que forman parte del expediente.

- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas

por el reclamado y la documentación que acompaña.

- Solicitar al reclamado, copia del contrato suscrito con los padres de las jugadoras

para la grabación de los partidos o bien, el consentimiento de los padres de las jugadoras

para la grabación de los partidos.

La habilitación legal con la finalidad de que las imágenes grabadas de los partidos de

futbol, bajo modalidad de dron sean difundidas y poder ser explotadas económicamente

a través de aplicación informática de la empresa.

El consentimiento del reclamante para la grabación de la imagen de su hija con el fin

de ser difundida a través de la aplicación de la entidad.

La autorización, acuerdo, convenio, etc. con los Ayuntamientos de ***LOCALIDAD.2 y

***LOCALIDAD.1 para llevar a cabo tanto en el Polideportivo Municipal ***POLIDEPORTIVO.1 como en el Polideportivo Municipal ***POLIDEPORTIVO.2, lugares donde

se celebran los partidos, las grabaciones de los mismos.

El acuerdo o convenio adoptado con la Federación Madrileña para la transparencia informativa

en relación con la grabación de imágenes de partidos.

Ponderación llevada a cabo por el reclamado para conjugar el interés de la entidad

respecto a los intereses, libertades y derechos fundamentales de los menores que han

sido grabados.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/21

- Solicitar a los Ayuntamientos de ***LOCALIDAD.2 y ***LOCALIDAD.1 la siguiente información

: ¿Si las instalaciones donde se juegan los partidos de futbol de la liga de la

Federación de Fútbol de Madrid, liga femenina, en sus diversas categorías, son de titularidad

municipal? ¿Si han autorizado a la empresa FLY-FUT, S.L. la grabación con

drones los partidos de los equipos que juegan en los campos donde se celebran los

partidos de futbol de la liga de la Federación de Fútbol de Madrid, liga femenina, menores

de edad? ¿Si los Ayuntamientos y la empresa FLY-FUT, S.L. han suscrito algún

tipo de acuerdo, convenio, etc., para la grabación de partidos de futbol, especialmente

los partidos de futbol de la liga femenina, menores de edad? ¿Si los Ayuntamientos

han recibido de la Federación de Fútbol de Madrid email explicativo o cualquier otra

comunicación en el que se presenta el servicio diseñado por la empresa Fly Fut, S.L.

para la grabación de partidos?

- Solicitar a la Real Federación de Futbol de Madrid: Si dentro del paraguas federativo

se encuentran las competiciones de futbol 7 femenino en cuya competición-liga participan

y militan los equipos de los municipios de ***LOCALIDAD.2 y ***LOCALIDAD.1;

email explicativo o cualquier otra comunicación dirigida a los clubes de ***LOCALIDAD.2

y ***LOCALIDAD.1, o bien a los Ayuntamientos respectivos, en los que se presenta

y da a conocer el servicio diseñado por la empresa Fly Fut, S.L.; base legal de

conformidad con el artículo 6.1 del RGPD por el que la Federación sustenta el tratamiento

de los datos de las menores que participan en competiciones federadas mediante

la grabación con drones con la finalidad de obtener a cambio compensación

económica o el consentimiento de los padres o tutores de los menores que participan

en competiciones federadas con la finalidad de que sus imágenes sean grabadas en

los partidos de futbol en los que participan, mediante o bajo la modalidad de dron y

con la finalidad de que la Federación obtenga compensación económica.

En fechas 31/01/2022, 09/02/2022, 23/02/2022, tanto el reclamado, los Ayuntamientos

de ***LOCALIDAD.2 y de ***LOCALIDAD.1 como la Real Federación de Futbol de Madrid

dieron respuesta a las pruebas practicadas cuyo contenido obra en el expediente.

SEPTIMO: El 14/03/2022 fue emitida Propuesta de Resolución en el sentido de que

por la Directora de la AEPD se sancionara al reclamado por infracción del artículo 6.1.

del RGPD, tipificada en el artículo 83.5.a) del RGPD, con multa de 3.000 ? (tres mil euros

).

Transcurrido el plazo señalado el reclamado no presento escrito de alegación alguno.

OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado

acreditados los siguientes:

HECHOS PROBADOS

PRIMERO. El 09/04/2021 tiene entrada en la AEPD escrito del reclamante; la reclamación

se dirige contra el reclamado y los motivos en los que se basa la misma son que

su hija, menor de edad, juega en un equipo municipal ligado al Ayuntamiento de ***LOCALIDAD.1

y federada en la Federación Madrileña de Fútbol; que sin mediar su consentimiento

ni autorización se ha grabado a su hija en partidos disputados por la empresa

FLY FUT que manifiesta tener un acuerdo con la Federación Madrileña de Fútbol

realizando un tratamiento de datos sin mediar consentimiento ni informar a los tutores

de las afectadas.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/21

SEGUNDO. El reclamante ha aportado copia de su DNI.

TERCERO. El reclamante ha aportado copia del documento de inscripción en Cursos

Escuelas y Áreas de Deportes del Club de Fútbol ***LOCALIDAD.1, Ayuntamiento de

***LOCALIDAD.1 así como el documento de inscripción de la menor, ficha federativa,

en la Real Federación de Futbol de Madrid.

Al final de este último documento se incluye Aviso Legal en el que se indica lo siguiente

:

?De acuerdo con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo

y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas

en lo que respecta al tratamiento de datos personales y a la libre circulación de

estos datos, Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales

y garantía de los derechos digitales y otra normativa española vigente, y respecto

a sus datos como federado se le informa que sean tratados para llevar a cabo encargo

solicitado, basándonos en el artículo 6.1.b RGPD (relación contractual). En caso

de menores de 14 años, el firmante, en este acto, declara tener la capacidad suficiente

para consentir este tratamiento de datos, tal como dispone el artículo 7.2 de la LOPDGDD.

Trataremos su imagen y/o voz basándonos en el interés legítimo de la Federación

, según dispone el artículo 36.b) de la Ley 15/1994, de 28 de diciembre del Deporte

de la Comunidad de Madrid. Sus datos serán cedidos siempre que exista una

obligación legal, según lo establecido en el artículo 6.1.e) RGPD (obligación legal) ??

CUARTO. El reclamado en escrito de 06/07/2020 ha manifestado que: ?La entidad desarrolla

servicios profesionales de grabación de partidos a través de tecnología

DRON. Somos una empresa, de muy reciente creación, que ofrece a sus clientes el

servicio de grabación de partidos de futbol, para su visualización, en un espacio privado

, solo para usuarios registrados, a través de un App propiedad de la Entidad?.

QUINTO. La Ley 15/1994, de 28 de diciembre del Deporte de la Comunidad de Madrid

, en su artículo 36 b) señala que ?Las Federaciones Deportivas de la Comunidad

de Madrid, bajo la coordinación y tutela del órgano competente de la Administración

Deportiva de la Comunidad de Madrid, ejercerán las funciones siguientes:

a) Calificar y organizar, en su caso, las actividades y competiciones deportivas oficiales

de la Comunidad de Madrid.

b) Promover, con carácter general, su modalidad o modalidades deportivas en todo el

territorio de la Comunidad de Madrid.

(?)

SEXTO. Consta aportado contrato suscrito por el reclamado con la Real Federación de

Futbol de Madrid, de fecha 26/11/2020, constituyendo su objeto ?la autorización por

parte de la Federación de que el reclamado pueda contactar con los clubes y/o asociaciones

deportivas adscritas a la Federación que participe en las competiciones oficiales

celebradas por la Federación para la venta de sus servicios.

Fly Fut ofrecerá a los clubes y /o asociaciones deportivas adscritas a la Federación un

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/21

servicio de grabación de partidos con dron. Estos partidos se entregarán a los suscriptores

a través de nuestra aplicación móvil en dos formatos:

-Video resumen: ?

-Partido completo??.

La Estipulación Segunda: Obligaciones del reclamado (Producción de grabaciones audiovisuales

con drones)

(?)

2.5 El reclamado se compromete a efectuar los pagos que se detallan en la Cláusula

Cuarta?.

La Estipulación Tercera. Compromisos de la Federación, establece que:

1. La Federación se compromete a validar una autorización expresa para la toma de

imágenes en las sedes federativas.

2. La Federación se compromete a autorizar la grabación de partidos organizados por

ella misma (selecciones, finales de liga, Copas RFFM) y permitirá el acceso a los campos

federativos cuando se desarrollen las actividades propias de la FEDERACION que

sean objeto de este Contrato y las cuales puedan ser objeto de grabación por FLY

FUT.

3. La FEDERACION se compromete a presentar el servicio de FLY FUT a los clubes a

los que vaya a ofrecer el servicio mediante un email explicativo, diseñado por el proveedor

, siempre y cuando ambas partes este de acuerdo con el contenido del mismo.

En la Estipulación Cuarta. Compensación Económica, se establece que:

4.1 Como compensación por la colaboración establecida en este Contrato, FLY FUT

pagara a la FEDERACION conforme a este Contrato, una combinación de cuantías

fijas y variables??

Y en la Octava. Protección de Datos, se establece que:

?8.2 Se hace constar, que, dada la naturaleza del contrato, ninguna de las partes

tendrá la consideración de encargado del tratamiento para la otra parte, toda vez que

cada una de las partes será responsable de sus propios tratamientos de datos y del

cumplimiento que de tal consideración se derive?.

SEPTIMO. Consta aportado documento ACUERDO ADOPTADO PARA LA TOMA DE

IMÁGENES EN SEDES FEDERATIVAS, adoptado por representantes del reclamado y

la RFMF en el que se indica:

?Tras un acuerdo entre la RFMF y el reclamado y con el fin de poder dar un mejor

servicio a las ligas de futbol y a los jugadores participantes en las ligas federativas

organizadas por la RFMF, el reclamado hará grabación audiovisual de los partidos de

futbol, toma de imágenes (foto y video) a través de tecnología drom. En caso de

grabar a alguien que no haya cedido sus derechos previamente, el reclamado se

compromete a pixelar o cortar de dicha grabación y se hace responsable ante

cualquier reclamación de cualquier particular en este ámbito.

La RFMF manifiesta haber sido informado y estar conforme con que la sociedad el

reclamado con domicilio social en ?lleve a cabo las acciones antes mencionadas.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/21

Para lo cual el reclamado declara libera de toda responsabilidad a la instalación y a

sus cargos internos por cualquier hecho o circunstancia que se presente durante el

desarrollo de dicha actividad y que tenga que ver directamente con el desarrollo de la

actividad en sí misma y pueda comprometer la integridad física de los allí presentes, la

responsabilidad civil y/o patrimonial de las instalaciones?.

OCTAVO. No consta aportado por el reclamado documento contractual suscrito con

los padres de las jugadoras para la grabación de los partidos, ni el consentimiento de

los padres de las jugadoras para la finalidad de grabar los partidos, como tampoco

consta el consentimiento del reclamante para la grabación de la imagen de su hija con

el fin de ser difundida a través de la aplicación de la entidad.

NOVENO. El Ayuntamiento de ***LOCALIDAD.1 en escrito de 31/01/2022 ha

informado que no ha autorizado ninguna grabación con drones en el campo de futbol y

que no tiene suscrito acuerdo o convenio alguno con el reclamado para la grabación

de partidos de futbol, si bien, ?la RFFM ha informado en su momento a la concejalía

de deportes del acuerdo con el reclamado para la toma de imágenes en las sedes

federativas de categoría infantil. En el documento de acuerdo entre el reclamado y la

RFFM se descarga de responsabilidad a la instalación deportiva y se especifica que

?en caso de grabar a alguien que no haya cedido sus imágenes previamente, el

reclamado se compromete a pixelar o cortar dicha grabación y se hace responsable

ante cualquier reclamación de cualquier particular en este ámbito?.

DÉCIMO. El Ayuntamiento de ***LOCALIDAD.2 en escrito de 08/02/2022 ha informado

que en ningún momento se ha procedido a autorizar grabaciones de ningún tipo, ni ha

suscrito ningún acuerdo, convenio, etc., con el reclamado y menos para la grabación

de partidos de fútbol, especialmente los partidos de fútbol de la liga femenina,

menores de edad, y que no le consta que la RFFM haya remitido email explicativo o

cualquier otra comunicación en el que se presenta el servicio diseñado por el

reclamado para la grabación de partidos.

FUNDAMENTOS DE DERECHO

I

En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679

(Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada

Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía

de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española

de Protección de Datos es competente para iniciar y resolver este procedimiento.

El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados

por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el

Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias

dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario

, por las normas generales sobre los procedimientos administrativos.».

II

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/21

Hay que señalar que la imagen física de una persona, a tenor del artículo 4.1

del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento.

En el artículo 4.2 del RGPD se define el concepto de ?tratamiento? de datos

personales.

Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen

de las personas físicas) llevado a cabo a través de la grabación en video denunciada

es acorde con lo establecido en el RGPD.

El artículo 5, Principios relativos al tratamiento, del RGPD establece en su

apartado 1 que:

?1. Los datos personales serán:

a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud,

lealtad y transparencia»);

b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente

de manera incompatible con dichos fines; de acuerdo con el artículo 89,

apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés

público, fines de investigación científica e histórica o fines estadísticos no se considerará

incompatible con los fines iniciales («limitación de la finalidad»);

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los

que son tratados («minimización de datos»);

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables

para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos

con respecto a los fines para los que se tratan («exactitud»);

e) mantenidos de forma que se permita la identificación de los interesados durante no

más tiempo del necesario para los fines del tratamiento de los datos personales; los

datos personales podrán conservarse durante períodos más largos siempre que se

traten exclusivamente con fines de archivo en interés público, fines de investigación

científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1,

sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que

impone el presente Reglamento a fin de proteger los derechos y libertades del interesado

(«limitación del plazo de conservación»);

f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales

, incluida la protección contra el tratamiento no autorizado o ilícito y contra su

pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u

organizativas apropiadas («integridad y confidencialidad»)?.

Por su parte, el artículo 6, Licitud del tratamiento, del RGPD establece que:

?1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones

:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales

para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado

es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al

responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/21

persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés

público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos

por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses

no prevalezcan los intereses o los derechos y libertades fundamentales del interesado

que requieran la protección de datos personales, en particular cuando el interesado

sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado

por las autoridades públicas en el ejercicio de sus funciones.

(?)?

También el artículo 7 del RGPD, Condiciones para el consentimiento, establece

que:

?1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable

deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos

personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración

escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará

de tal forma que se distinga claramente de los demás asuntos, de forma inteligible

y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna

parte de la declaración que constituya infracción del presente Reglamento.

(?)

Y el artículo 4 del RGPD, Definiciones, en sus apartados 2 y 11, señala que:

?2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas

sobre datos personales o conjuntos de datos personales, ya sea por procedimientos

automatizados o no, como la recogida, registro, organización, estructuración, conservación

, adaptación o modificación, extracción, consulta, utilización, comunicación por

transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión

, limitación, supresión o destrucción?.

?11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica

, informada e inequívoca por la que el interesado acepta, ya sea mediante una

declaración o una clara acción afirmativa, el tratamiento de datos personales que le

conciernen?.

III

1. El acuerdo de inicio del procedimiento sancionador atribuyó al reclamado

una presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del

RGPD y calificada por la LOPDGDD en su artículo 72.1.a), a efectos de prescripción,

de infracción muy grave.

La conducta presuntamente infractora atribuida al reclamado se concretan en el

tratamiento sin legitimación de menores de edad, jugadoras federadas pertenecientes

a categoría infantil de futbol 7, entre las que se encuentra la hija del reclamante, mediante

la grabación a través de tecnología dron y la visualización posterior por los

usuarios registrados a través de la aplicación propiedad del reclamado de las imáge-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/21

nes sin contar con el consentimiento para su tratamiento ni ninguna otra habilitación

que lo legitime.

La documentación obrante en el expediente evidencia que el reclamado vulneró

el artículo 6.1 del RGPD, puesto que trato los datos personales sin que concurra

ninguna de las condiciones previstas en la norma imprescindibles para que el tratamiento

sea lícito.

Habría que señalar que de conformidad con lo previsto en el artículo 6.1 del

RGPD, el tratamiento de datos requiere la existencia de una base legal que lo legitime,

en particular, cuando el afectado dio su consentimiento explícito para uno o más de los

fines especificados, cuando sea necesario para la ejecución de un contrato en el que

el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales

, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos

por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses

no prevalezcan los intereses o los derechos y libertades fundamentales del afectado

que requieran la protección de tales datos. El tratamiento también se considera lícito

cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable

del tratamiento, para proteger intereses vitales del afectado o de otra persona

física o para el cumplimiento de una misión realizada en interés público o en el ejercicio

de poderes públicos conferidos al responsable del tratamiento.

2. La vinculación de un jugador de fútbol, en el presente caso jugadora, a un

club se realiza mediante la formalización de un compromiso que se conoce como inscripción.

La ficha federativa es el documento oficial expedido por la Federación y que

habilita a un futbolista para practicar este deporte como federado y también para su reglamentaria

alineación en encuentros y torneos tanto oficiales como no oficiales.

El documento de la licencia federativa de la menor fue aportado por el reclamante

y, en el consta la autorización de su progenitora, incluyendo al pie del mismo,

cláusula de protección de datos: ?De acuerdo con lo dispuesto en el Reglamento (UE)

2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la

protección de las personas físicas en lo que respecta al tratamiento de datos personales

y a la libre circulación de estos datos, Ley Orgánica 3/2018, de 5 de diciembre, de

Protección de Datos Personales y garantía de los derechos digitales y otra normativa

española vigente, y respecto a sus datos como federado se le informa que serán tratados

para llevar a cabo el encargo solicitado, basándonos en el artículo 6.1.b RGPD

(relación contractual). En caso de menores de 14 años, el firmante, en este acto, declara

tener la capacidad suficiente para consentir este tratamiento de datos, tal como

dispone el artículo 7.2 de la LOPDGDD. Trataremos su imagen y/o voz basándonos

en el interés legítimo de la Federación, según dispone el artículo 36.b) de la Ley

15/1994, de 28 de diciembre del Deporte de la Comunidad de Madrid. Sus datos serán

cedidos siempre que exista una obligación legal, según lo establecido en el artículo

6.1.e) RGPD (obligación legal) ??.

Además, en el artículo 1.3 del Libro I del R.G. de la RFFM dispone que ?A los

efectos previstos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo

de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que

respecta al tratamiento de datos personales y a la libre circulación de estos datos y

por el que se deroga la Directiva 95/45/CE (Reglamento General de Protección de Da-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/21

tos) y por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de

los derechos digitales, la Real Federación de Fútbol de Madrid respecto de los datos

personales de todas las personas que en calidad de directivos pertenezcan a entidades

deportivas que estén integradas en la Real Federación de Fútbol de Madrid, a

quienes por su actividad deportiva les sea expedida licencia federativa por ésta o cualquier

otra persona que por el motivo que sea se le recojan y para el tratamiento de estos

deberá cumplir con lo dispuesto en el artículo 6 RGPD ?Licitud del tratamiento?.

En primer lugar, de conformidad con la cláusula que se incluye en la ficha federativa

las bases legitimadoras para el tratamiento de los datos de la menor sería el artículo

6.1.b) que establece que el tratamiento es necesario para la ejecución de un

contrato en el que el interesado es parte o para la aplicación a petición de este de medidas

precontractuales; es decir, los datos de la menor como federada deberían ser

tratados para llevar a cabo el encargo solicitado en la ficha federativa.

De esta manera, en la misma ficha se señala que: ?En virtud de lo establecido

en el artículo 43.1 del Reglamento General de la RFMF, y conociendo mi situación actual

de libertad, firmo conjuntamente con el club que se cita, mi Compromiso Reglamentario

de Inscripción, por las temporadas que se indican.?

El artículo 43.1 del Libro III del Reglamento General de la RFMF establece que:

?1. En la misma forma y condiciones que se recogen en el artículo 33 del presente

Libro, cada club podrá inscribir y alinear hasta 4 u 8 futbolistas de las categorías

: ?DB?/?FDB?, ?PB?/?FPB?, ?B?/?FB?, ?AL?/?FAL?, ?I?/?FI? y ?C?/?FC?, dependiendo si la

modalidad es futbol siete o futbol once respectivamente, en competiciones para la

edad inmediatamente superior, aunque carezca de equipo compitiendo en aquellas

categorías, siempre que dichos futbolistas estén en el último año de su licencia. Para

los equipos de la modalidad de futbol siete (masculino), podrán inscribir en acta y alinear

cuatro (4) futbolistas en cada encuentro?.

En segundo lugar, también los datos podrían ser tratados en virtud de lo establecido

en el artículo 6.1.f) que señala que El tratamiento es necesario para la satisfacción

de intereses legítimos perseguidos por el responsable del tratamiento o por un

tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos

y libertades fundamentales del interesado que requieran la protección de datos

personales, en particular cuando el interesado sea un niño, haciendo referencia la citada

clausula al tratamiento de la imagen y/o voz basado en el interés legítimo de la Federación

, en virtud de lo señalado en el artículo 36.b) de la Ley de Deporte de la CAM

dando cumplimiento de esta manera a las funciones que tiene encomendadas, entre

ellas la de organización de competiciones deportivas y promover la modalidad o modalidades

deportivas en su territorio, en este caso del futbol.

Por último, los datos podrían ser cedidos cuando exista una obligación legal de

acuerdo con el artículo 6.1.e) RGPD que establece que ?el tratamiento es necesario

para el cumplimiento de una obligación legal aplicable al responsable del tratamiento?.

Sin embargo, con independencia de lo señalado en la ficha federativa la base

legitimadora de la RFMF para el tratamiento de los datos viene determinada en el artículo

6.1.e) que establece que ?el tratamiento es necesario para el cumplimiento de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/21

una misión realizada en interés público o en el ejercicio de poderes públicos conferidos

al responsable del tratamiento?.

Y en este mismo sentido hay que hacer referencia a la LOPDGDD en su artículo

8, Tratamiento de datos por obligación legal, interés público o ejercicio de poderes

públicos, que establece:

?1. El tratamiento de datos personales solo podrá considerarse fundado en el

cumplimiento de una obligación legal exigible al responsable, en los términos previstos

en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma

de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar

las condiciones generales del tratamiento y los tipos de datos objeto del mismo así

como las cesiones que procedan como consecuencia del cumplimiento de la obligación

legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento

, tales como la adopción de medidas adicionales de seguridad u otras establecidas

en el capítulo IV del Reglamento (UE) 2016/679.

2. El tratamiento de datos personales solo podrá considerarse fundado en el

cumplimiento de una misión realizada en interés público o en el ejercicio de poderes

públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del

Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma

con rango de ley?.

Y la ley 15/1994, de 28 de diciembre, del Deporte de la Comunidad de Madrid,

establece en su artículo 36, Funciones, en su apartado b) lo siguiente:

?Las Federaciones Deportivas de la Comunidad de Madrid, bajo la coordinación

y tutela del órgano competente de la Administración Deportiva de la Comunidad

de Madrid, ejercerán las funciones siguientes:

(?)

b) Promover, con carácter general, su modalidad o modalidades deportivas en

todo el territorio de la Comunidad de Madrid.

(?)?

Por tanto, debe garantizarse que el tratamiento debe tener su base legitimadora

y finalidad en el derecho de la UE o en el de los Estados Miembros.

Y en este sentido el Considerando 45 señala:

?(45) Cuando se realice en cumplimiento de una obligación legal aplicable al

responsable del tratamiento, o si es necesario para el cumplimiento de una misión realizada

en interés público o en el ejercicio de poderes públicos, el tratamiento debe tener

una base en el Derecho de la Unión o de los Estados miembros. El presente Reglamento

no requiere que cada tratamiento individual se rija por una norma específica.

Una norma puede ser suficiente como base para varias operaciones de tratamiento de

datos basadas en una obligación legal aplicable al responsable del tratamiento, o si el

tratamiento es necesario para el cumplimiento de una misión realizada en interés público

o en el ejercicio de poderes públicos. La finalidad del tratamiento también debe

determinase en virtud del Derecho de la Unión o de los Estados miembros. Además,

dicha norma podría especificar las condiciones generales del presente Reglamento

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/21

por las que se rige la licitud del tratamiento de datos personales, establecer especificaciones

para la determinación del responsable del tratamiento, el tipo de datos personales

objeto de tratamiento, los interesados afectados, las entidades a las que se pueden

comunicar los datos personales, las limitaciones de la finalidad, el plazo de conservación

de los datos y otras medidas para garantizar un tratamiento lícito y leal.

Debe determinarse también en virtud del Derecho de la Unión o de los Estados miembros

si el responsable del tratamiento que realiza una misión en interés público o en el

ejercicio de poderes públicos debe ser una autoridad pública u otra persona física o jurídica

de Derecho público, o, cuando se haga en interés público, incluidos fines sanitarios

como la salud pública, la protección social y la gestión de los servicios de sanidad,

de Derecho privado, como una asociación profesional?.

3. No obstante, la RFMF y el reclamado suscribieron el 26/11/2020 un Acuerdo

de Colaboración Audiovisual por el cual aquella autorizaba al reclamado a contactar

con clubs y asociaciones deportivas adscritas a la Federación y que participaban en

sus competiciones para la venta de sus servicios, entre el que se encuentra el de grabación

de partidos mediante la técnica de dron.

La Federación se comprometía a validar autorización expresa para la toma de

imágenes en las sedes federativas, autorizar la grabación de partidos organizados por

ella a través de las competiciones oficiales, permitir el acceso a los campos federativos

cuando se desarrollasen partidos por ella organizadas y presentar el servicio desarrollado

por el reclamado trasladando a los clubes y asociaciones e-mail explicativo diseñado

por el reclamado.

A cambio el reclamado se comprometía a efectuar los pagos pactados por la citada

autorización, una suerte de combinación de cantidades fijas y variables.

Es cierto, que el Ayuntamiento de ***LOCALIDAD.2 a requerimiento de la

Agencia ha señalado que no le consta que la RFFM hubiera remitido email explicativo

o cualquier otra comunicación en el que se presente el servicio del reclamado para la

grabación de partidos; aunque también lo es que el Ayuntamiento de ***LOCALIDAD.1

señalaba lo contrario, que la RFFM informó en su momento a la concejalía de deportes

del acuerdo alcanzado para la toma de imágenes en las sedes federativas de categoría

infantil y que en el acuerdo alcanzado se descargaba de responsabilidad a la instalación

deportiva y que si se grababa a quien no hubiera cedido sus imágenes el reclamado

se comprometía a pixelar o cortar dicha grabación.

Según manifiesta el reclamado a la entrada de los campos donde se van a celebrar

los partidos de la competición es colocado de manera visible el documento explicativo

del acuerdo adoptado y en el que se indica:

?Tras un acuerdo entre la RFMF y el reclamado y con el fin de poder dar un

mejor servicio a las ligas de futbol y a los jugadores participantes en las ligas federativas

organizadas por la RFMF, el reclamado hará grabación audiovisual de los partidos

de futbol, toma de imágenes (foto y video) a través de tecnología drom. En caso de

grabar a alguien que no haya cedido sus derechos previamente, el reclamado se compromete

a pixelar o cortar de dicha grabación y se hace responsable ante cualquier reclamación

de cualquier particular en este ámbito.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/21

La RFMF manifiesta haber sido informado y estar conforme con que la sociedad

el reclamado con domicilio social en ?lleve a cabo las acciones antes mencionadas.

Para lo cual el reclamado declara libera de toda responsabilidad a la instalación

y a sus cargos internos por cualquier hecho o circunstancia que se presente durante

el desarrollo de dicha actividad y que tenga que ver directamente con el desarrollo

de la actividad en sí misma y pueda comprometer la integridad física de los allí presentes

, la responsabilidad civil y/o patrimonial de las instalaciones?.

A la luz de lo señalado en el citado documento parece evidente que el reclamante

no había cedido sus derechos puesto que no había otorgado autorización alguna

para que su hija fuera grabada ni su imagen fotografiada o grabada mediante video.

4. El reclamado como la RFMF ostentan según la cláusula octava contenida en

el contrato la condición de responsable del tratamiento.

Por tanto, en este caso el reclamado es el responsable del tratamiento de los

datos llevado a cabo, puesto que es quien ha decidido sobre el tratamiento de datos

personales de las jugadoras, entre las que se encuentra la hija del reclamante, quien

se encarga de determinar los fines y medios para el tratamiento, así como de establecer

las medidas técnicas y organizativas que garanticen la seguridad de los datos.

Además, debe ser capaz de demostrar el cumplimiento del RGPD y la LOPDGDD

, asegurarse de conservar las evidencias que justifiquen el tratamiento de los

datos para los fines establecidos, siendo responsable de acreditar el consentimiento,

en su caso, o los documentos que acrediten los fines y la licitud del tratamiento; si

quiere contar con la ayuda de un encargado del tratamiento o si decide realizar el tratamiento

de datos por sí mismo, etc.

Trasladando estas consideraciones al caso planteado, habría que señalar que

el tratamiento llevado a cabo por el reclamado no tiene sustento legal en ninguna de

las bases jurídicas alegadas ni contenidas en el artículo 6.1 del RGPD.

El reclamado, tanto en su respuesta a la solicitud de información anterior a al

acuerdo de inicio del procedimiento, como en las alegaciones a dicho acuerdo y la información

aportada en periodo probatorio, ha manifestado que el tratamiento de los

datos de los menores no tiene por qué fundarse únicamente en la existencia del consentimiento

, sino que puede realizarse en base al contrato o al interés legítimo.

En primer lugar, el reclamado no ha acreditado el consentimiento de los progenitores

para el tratamiento de los datos de la menor, ni de ninguno de las menores que

fueron grabadas y sus imágenes difundidas mediante el visionado a través de la aplicación

desarrollada por la entidad mediante el pago de un precio por los clientes registrados.

Hay que señalar que el consentimiento que se preste ha de ser un consentimiento

específico; es decir, no sería valido un consentimiento que se preste con carácter

general sin que se determine la concreta finalidad para la que serán tratados los

datos que se pretenden recoger.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/21

El artículo 6.1.a) del RGPD lo señala cuando otorga al consentimiento el carácter

de base legitimadora del tratamiento si se ha otorgado para uno o varios fines específicos

y conectándolo con el artículo 7 del RGPD se establece que el responsable

deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos

personales y que.para que el consentimiento sea válido y especifico debe ser inteligible

, de manera que se determine claramente que datos van a ser objeto de tratamiento

, cuál será la operación de tratamiento que se va a llevar a cabo y cuál es la finalidad

para la que se pretende realizar esa operación con esos datos, etc.

En segundo lugar, el reclamado ha alegado que: nuestra actividad está perfectamente

acorde, con la normativa de protección de datos, en todos sus puntos. Ya que

hemos sido contratados para el desarrollo de un servicio de grabación por la mayoría

de los padres del equipo. Y que tratamos los datos en base a la legitimación del cumplimiento

de un contrato. No en base a obtener el consentimiento de todos los padres.

Sin embargo, tal manifestación no puede ser aceptada; como consta en los hechos

probados el reclamado, a los efectos de acreditar el consentimiento para la grabación

de los partidos en los que participan las jugadoras menores de edad no ha

aportado prueba alguna que lo acredite.

Y es que una cosa es la autorización o el consentimiento para la grabación de

partidos y toma de fotos y video en las que figuran las imágenes de las menores y otra

muy distinta es el acceso a la aplicación de la entidad, realizado por los padres de las

jugadoras mediante el pago de un precio para su visualización en un espacio privado

como usuarios registrados, de los partidos grabados a través de tecnología DRON,

servicios que son desarrollados de manera profesional por el reclamado. Aplicación o

plataforma en la que la propia madre de la jugadora se dio de alta, aceptado los términos

y condiciones y política de privacidad y que después solicito la baja al no estar de

acuerdo con la misma.

Por último, el reclamado también invoca en sus alegaciones como base jurídica

del tratamiento de los datos de los menores de edad el interés legítimo regulado en el

artículo 6.1.f) y la prevalencia frente a los derechos y libertades fundamentales de los

menores.

Para que el tratamiento de los datos personales del reclamante efectuado por

el reclamado pudiera fundarse en la base jurídica contemplada en el artículo 6.1.f)

RGPD debería cumplir los presupuestos que integran esa disposición.

El primero de ellos, que el tratamiento fuera necesario para satisfacer un interés

legítimo perseguido por el responsable del tratamiento; lo que traslado al supuesto

que nos ocupa implica que el tratamiento de los datos personales efectuado por el reclamado

a través de la grabación de la imagen de la menor persiguiera satisfacer un

beneficio material. En segundo término, que ?los intereses perseguidos no prevalezcan

sobre los intereses o los derechos y libertades fundamentales del interesado que

requieran la protección de datos personales?.

Determinar si el tratamiento que el reclamado hizo de los datos del reclamante

a través de la grabación llevada a cabo es o no ajustado a Derecho exige hacer un jui-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

16/21

cio de ponderación sobre los intereses y derechos en juego para derivar de ello si

debe o no de prevalecer sobre el derecho a obtener un beneficio económico, una ganancia

económica, el derecho del reclamante a su privacidad.

El Considerando 47 del RGPD dice, a propósito del interés legítimo como base

jurídica del tratamiento de datos personales de terceros:

?El interés legítimo de un responsable del tratamiento, incluso el de un responsable

al que se puedan comunicar datos personales, o de un tercero, puede constituir

una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los

derechos y libertades del interesado, teniendo en cuenta las expectativas razonables

de los interesados basadas en su relación con el responsable. Tal interés legítimo podría

darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado

y el responsable, como en situaciones en las que el interesado es cliente o

está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo

requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma

razonable, en el momento y en el contexto de la recogida de datos personales, que

pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos

fundamentales del interesado podrían prevalecer sobre los intereses del responsable

del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias

en las que el interesado no espere razonablemente que se realice un tratamiento

ulterior. Dado que corresponde al legislador establecer por ley la base jurídica

para el tratamiento de datos personales por parte de las autoridades públicas, esta

base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas

en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente

necesario para la prevención del fraude constituye también un interés legítimo

del responsable del tratamiento de que se trate. El tratamiento de datos personales

con fines de mercadotecnia directa puede considerarse realizado por interés legítimo.?

El juicio de ponderación exige además examinar la necesidad e idoneidad o

pertinencia de los datos que fueron tratados por el reclamado respecto a la finalidad

que se persigue, la obtención de un interés económico.

En ese contexto parece contrario al principio de necesidad y al de proporcionalidad

el tratamiento efectuado por el reclamado de los datos de la hija del reclamante.

Además, no puede obviarse que el reclamante no mantiene relación con el reclamado

; que los destinatarios de la grabación son clientes que a cambio de un precio

visionan en privado las imágenes obtenidas, con independencia de que sean o no padres

de las jugadoras; razones para que el tratamiento no debiera de haberse producido.

Por tanto, cabe concluir que el tratamiento de datos concernientes al reclamante

efectuado por el reclamado con ocasión de la grabación de los partidos de competición

en los que participa la hija del reclamante carece de legitimidad para ello y que

atendidas las circunstancias que concurren en la titular de los datos y el contexto en el

que la grabación tiene lugar, se considera prevalente, su derecho a la privacidad frente

a los legítimos intereses del reclamado.

Con independencia de lo anterior, es preciso recordar que independientemente

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

17/21

de las bases legitimadoras aducidas por el reclamado, en los carteles que ubicaba a la

entrada de los campos ,se indicaba que ?En caso de grabar a alguien que no haya cedido

sus derechos previamente, el reclamado se compromete a pixelar o cortar de dicha

grabación y se hace responsable ante cualquier reclamación de cualquier particular

en este ámbito.?, lo que entra en contradicción con la presunta base relativa al interés

legítimo?

En consecuencia, la conducta del reclamado supone la vulneración del artículo

6.1 del RGPD, al tratar los datos personales sin que existiera base legitimadora alguna

que habilitara el citado tratamiento.

IV

La infracción que se le atribuye a la reclamada se encuentra tipificada en el

artículo 83.5 a) del RGPD, que considera que la infracción de ?los principios básicos

para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos

5, 6, 7 y 9? es sancionable, de acuerdo con el apartado 5 del mencionado artículo

83 del citado Reglamento, ?con multas administrativas de 20.000.000? como

máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo

del volumen de negocio total anual global del ejercicio financiero anterior, optándose

por la de mayor cuantía?.

La LOPDGDD en su artículo 71, Infracciones, señala que: ?Constituyen infracciones

los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83

del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley

orgánica?.

Y en su artículo 72, considera a efectos de prescripción, que son: ?Infracciones

consideradas muy graves:

1. En función de lo que establece el artículo 83.5 del Reglamento (UE)

2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que

supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular

, las siguientes:

(?)

b) El tratamiento de datos personales sin que concurra alguna de las condiciones

de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)

2016/679.

(?)

V

A fin de establecer la multa administrativa que procede imponer han de observarse

las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:

?1. Cada autoridad de control garantizará que la imposición de las multas administrativas

con arreglo al presente artículo por las infracciones del presente Reglamento

indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas

y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

18/21

de cada caso individual, a título adicional o sustitutivo de las medidas contempladas

en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa

administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la

naturaleza, alcance o propósito de la operación de tratamiento de que se trate así

como el número de interesados afectados y el nivel de los daños y perjuicios que hayan

sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento

para paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento

, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud

de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento

;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio

a la infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en

particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué

medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas

previamente contra el responsable o el encargado de que se trate en relación

con el mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos

de certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del

caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente

, a través de la infracción?.

En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo

76, ?Sanciones y medidas correctivas?, establece que:

?2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)

2016/679 también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos

de datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la

comisión de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión

de la infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario

, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en

los que existan controversias entre aquellos y cualquier interesado.?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

19/21

De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la

instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer

en el presente caso por la infracción tipificada en el artículo 83.5 del RGPD de la

que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes

los siguientes factores:

Son circunstancias agravantes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza

, alcance o propósito de la operación de tratamiento de que se trate así como

el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido

; no hay que olvidar que la infracción del principio de licitud es de los más graves

contemplados por la legislación en materia de protección de datos; además, hay que

tener en cuenta el número de tratamientos y de personas afectadas por la conducta infractora

, pues aunque es una sola la persona reclamante, el número de afectados por

la grabación de su imagen es numeroso (artículo 83.2,a) del RGPD).

- La intencionalidad o negligencia en la infracción; pues aunque no se tiene

constancia que hubiera actuado con dolo la actuación revela una grave falta de diligencia

(artículo 83.2,b) del RGPD).

- Las categorías de los datos de carácter personal afectados por la infracción,

puesto que estamos ante el tratamiento de datos de carácter personal de menores de

edad (artículo 83.2, g) del RGPD).

- La vinculación de la actividad del infractor con la realización de tratamientos

de datos personales. El desarrollo de la actividad que desempeña el reclamado requiere

un tratamiento de los datos personales tanto de las personas que son objeto de grabación

como de los clientes (artículo 76.2.b) de la LOPDGDD en relación con el artículo

83.2.k).

- Los beneficios obtenidos como consecuencia de la comisión de la infracción,

ya que la grabación de las imágenes es el motivo que provoca el acceso a la aplicación

de la entidad, realizado por los clientes registrados para su visualización mediane

el pago de un precio (artículo 76.2.c) de la LOPDGDD en relación con el artículo

83.2.k)..

Con arreglo a dichos factores se estima adecuado proponer una sanción de

3.000 euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de

graduación de las sanciones cuya existencia ha quedado acreditada,

La Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a FLY FUT, S.L., con CIF B87949400, por una infracción del

artículo 6.1. del RGPD, tipificada en el artículo 83.5.a) del RGPD, una multa de 3.000

euros (3.000 ?).

SEGUNDO: NOTIFICAR la presente resolución a FLY FUT, S.L.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

20/21

TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una

vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el

art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común

de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario

establecido en el art. 68 del Reglamento General de Recaudación, aprobado

por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,

de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número

de procedimiento que figura en el encabezamiento de este documento, en la cuenta

restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española

de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario

, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra

entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el

pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si

se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del

pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la

presente Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art.

48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP

, los interesados podrán interponer, potestativamente, recurso de reposición ante

la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a

contar desde el día siguiente a la notificación de esta resolución o directamente recurso

contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia

Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la

disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción

Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente

a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida

Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el

interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante

escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través

del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb

/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada

Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación

que acredite la interposición efectiva del recurso contencioso-administrativo.

Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo

en el plazo de dos meses desde el día siguiente a la notificación de la

presente resolución, daría por finalizada la suspensión cautelar.

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

21/21

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es