Acerca de operadores lógicos
Última revisión
09/02/2023
Resolución de la Agencia Española de Protección de Datos PS-00368-2021 de 16 de febrero de 2022
GPT Iberley IA
Copiloto jurídico
Relacionados:
Tiempo de lectura: 218 min
Órgano: Agencia Española de Protección de Datos
Fecha: 16/02/2022
Num. Resolución: PS-00368-2021
Cuestión
Sector:1 / 74
Procedimiento PS/00368/2021
- RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Mediante Acuerdo de fecha 30/07/21, se inició el procedimiento sancionador,
PS/0368/2021, instruido por la Agencia Española de Protección de Datos a la REAL
FEDERACION...
Contestacion
1/74
? Procedimiento PS/00368/2021
- RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Mediante Acuerdo de fecha 30/07/21, se inició el procedimiento sancionador,
PS/0368/2021, instruido por la Agencia Española de Protección de Datos a la REAL
FEDERACION ESPAÑOLA DE FUTBOL, (RFEF) con CIF.: Q2878017I, (en adelante,
?la parte reclamada?), en virtud de las reclamaciones presentadas por la ASOCIACIÓN
DE FUTBOLISTAS ESPAÑOLES (AFE) y por la LIGA NACIONAL DE FUTBOL
PROFESIONAL (LNFP), (en adelante, ?las partes reclamantes?), por presunta
infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de
27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y de
la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, (LOPDGDD), y teniendo como base:
HECHOS
PRIMERO: Con fecha 16/04/20, tuvieron entrada en esta Agencia tres escritos de
reclamación, procedentes de la ASOCIACIÓN DE FUTBOLISTAS ESPAÑOLES
(AFE), LA LIGA NACIONAL DE FÚTBOL PROFESIONAL, y de su Director Adjunto a
la Presidencia, indicando, entre otras, los siguiente:
- La REAL FEDERACIÓN ESPAÑOLA DE FÚTBOL (RFEF) grabó, sin
consentimiento de los participantes, entre ellos la representante legal de la
AFE, así como del Director Adjunto de la LNFP, una reunión que celebró el 7
de abril de 2020 con otros entes de carácter deportivo, titulada "Comisión de
Seguimiento COVID 19" y celebrada para tratar la cuestión del impacto de esta
emergencia sanitaria en el mundo del fútbol.
- Indican que, posteriormente, la Federación difundió extractos de los ficheros de
audio entre alguno de los medios de comunicación (primeramente, a la Cadena
SER, y, posteriormente, a la COPE) sin el conocimiento ni consentimiento de
sus participantes, que lo descubrieron cuando dichos ficheros fueron emitidos
en antena, por primera vez el día 8 de abril.
- La mencionada reunión tuvo lugar de forma telemática el día 07/04/20 a través
de la plataforma Zoom, y fue la segunda reunión celebrada sobre la cuestión
del COVID 19. La primera, que tuvo lugar el 12/03/20, fue presencialmente.
- Según indican los reclamantes, muchos de los participantes no formaban parte
del organismo que convocó las reuniones, la RFEF, ni estaban sometidos a sus
normas internas. Tampoco les consta norma alguna que regulara el
funcionamiento y organización de las reuniones de la Comisión COVID 19.
- Los reclamantes denuncian que, en ningún momento se informó a los
participantes a la reunión del 07/04/20 que iba a ser grabada, ni tampoco se les
informó en ningún momento, de los aspectos del tratamiento de los datos
personales, contemplados en el art. 13 RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
2/74
En la documentación aportada junto a los escritos de reclamación se encuentra los
siguientes documentos:
La contestación que hace la RFEF el 10/04/20 dirigida a la AFE, donde consta, entre
otra, lo siguiente:
?[?] Que, al comienzo de la primera reunión, celebrada el día 12 de marzo, se acordó,
sin oposición de ninguno de los intervinientes, grabar las conversaciones de la
comisión para que quedara constancia de ello. En cualquier caso, cuando la comisión
se ha reunido telemáticamente, en las pantallas de cada uno de los intervinientes
aparece en todo momento un piloto rojo que informa que se está produciendo la
grabación de toda la reunión. [?] Que ese Sindicato, tras la reunión celebrada el 7 de
abril, difundió entre los medios de comunicación una nota de prensa en la que se
contenía una versión de lo acaecido contraria a lo que realmente había ocurrido. Que,
con la finalidad de preservar el derecho a recibir una información veraz prevista en la
CE, la RFEF remitió a los medios de comunicación una nota de prensa corrigiendo las
divergencias e inexactitudes con la realidad de lo que había ocurrido en la reunión,
acompañando, al primer medio que nos lo pidió, las grabaciones que así lo
acreditaban [?]? .
Copia de correo electrónico remitido desde la dirección ***EMAIL.1 el 11/04/20 a
?A.A.A.? en el que, entre otras, consta lo siguiente:
?[?] Sabes perfectamente que las reglas de funcionamiento de cualquier órgano o
grupo de trabajo se fijan en la primera sesión y, en tanto no se modifiquen, siguen
rigiendo para las reuniones siguientes. Así nos lo habéis expresado en multitud de
ocasiones en las reuniones de los órganos de la LNFP. Y, en consecuencia, también
sabías perfectamente que todas las reuniones de la Comisión de seguimiento del
COVID-19 estaban siendo grabadas. [?]?
Copia de contestación remitida por la RFEF el 04/05/20, y dirigida al Director Adjunto a
la Presidencia LNFP donde consta:
?En este sentido le informo que el fin del tratamiento de sus datos personales es
realizar el acta, así como tener constancia fehaciente del desarrollo de los temas y del
contenido tratado en la reunión. [?] En el caso que nos ocupa, dichas categorías son
los datos de identificación: la institución a la que pertenece cada uno, la imagen y la
voz. [?] Los datos personales que le conciernen a que se refiere su solicitud, me
informan que fueron igualmente comunicados a la Cadena Ser, único medio de
comunicación que lo solicitó. No obstante, al tratarse de una información de interés
público y con trascendencia social, se podrá facilitar a cuantos medios lo pudieran
solicitar. [?] El plazo de conservación podrá ser indefinido, salvo que deba atenderse
el ejercicio de los derechos de supresión, oposición o rectificación por las partes
interesadas. [?] En el caso que nos ocupa, su solicitud se basa en la letra b) del
apartado 1 del artículo 18 del RGPD. Es decir, considera que el tratamiento de sus
datos que lleva a cabo la RFEF es "ilícito" y por ello solicita la limitación de su
tratamiento. Sin embargo, no justifica de ninguna forma la supuesta ilicitud del
tratamiento ni hay decisión o resolución alguna de la AEPD o de los Tribunales que
así lo establezca. Independientemente de ello, la RFEF se ratifica en los tratamientos
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
3/74
llevados a cabo los cuales están perfectamente ajustados a derecho. En
consecuencia, no se dan las circunstancias para estimar su solicitud de limitación del
tratamiento?.
SEGUNDO: Con fecha 10/06/20, por parte de esta Agencia se dirigió escrito a la RFEF
solicitándola información con respecto a las reclamaciones presentadas, de
conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD.
TERCERO: Con fecha 08/07/20, la RFEF remite a esta Agencia, entre otra, la
siguiente información, con respecto a la solicitud recibida:
?1. Que con fecha 12/03/20 tuvo lugar en la sede de la RFEF reunión de la Comisión
de Seguimiento COVID-19 la cual fue grabada, extremo que fue comunicado por el
Presidente de la RFEF y sobre el que ninguno de los asistentes mostró objeción
alguna.
2. Que con fecha 07/04/20 tuvo lugar a través de la plataforma Zoom una segunda
reunión de la Comisión de Seguimiento COVID-19 al cual fue grabada al igual que la
primera reunión, si bien con la particularidad de que, al celebrarse a través de la
plataforma Zoom, todos los asistentes podían comprobar que la misma estaba siendo
grabada puesto que en todo momento figuraba un piloto rojo situado en la parte
superior izquierda de la pantalla junto a una indicación que informaba ?grabando?,
aspecto sobre el que ningún asistente mostró disconformidad.
3. En cuanto a las cesiones de datos, la RFEF facilitó los ficheros de audio de dicha
reunión a los medios de comunicación que así lo solicitaron, habida cuenta del interés
público y transcendencia social de los temas tratados en la reunión del 7 de abril?.
CUARTO: Con fecha 27/08/20, la Directora de la Agencia Española de Protección de
Datos dicta acuerdo de admisión de trámite de las reclamaciones presentadas, de
conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios
racionales de una vulneración de las normas en el ámbito de las competencias de la
Agencia Española de Protección de Datos.
QUINTO: Con fecha 31/05/21, por parte de esta Agencia se dirigió requerimiento
informativo a la parte reclamada, al amparo de los poderes de investigación otorgados
a las autoridades de control en el art 57.1 del RGPD.
SEXTO: Con fecha 12/06/21, se recibe en esta Agencia, escrito de la RFEF,
contestando al requerimiento realizado, en el cual, entre otras, indica:
1. Que con motivo de la crisis sanitaria COVID-19 resultó imprescindible reorganizar
toda la actividad de la RFEF al objeto de llevarla a cabo de forma telemática.
2. Que también obligó a todo el fútbol a tomar decisiones de enorme relevancia que
requerían acuerdos urgentes adoptados por todos los sectores implicados (clubes,
deportistas, árbitros, entrenadores, ?). Que por ello se creó la Comisión de
Seguimiento del COVID19. Que por ello se convocó la reunión del día 7 de abril. Que
en dicha reunión debían debatirse temas de enorme trascendencia para el Fútbol
profesional y era necesario que se pudiese tener constancia de los temas tratados y
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
4/74
los debates generados, teniendo en cuenta además que el Acta resultante de la
reunión debía ser publicada en la Web de la Federación por motivos de transparencia.
3. Que carácter previo a dicha reunión, se analizó la base de legitimación que podría
utilizarse descartándose el consentimiento por el hecho de que los asistentes a la
reunión son representantes de personas jurídicas sin actuar a título particular y
además la falta de consentimiento podría impedir que se cumpliese la legitima
finalidad del tratamiento, que es tener constancia literal de las intervenciones y la
elaboración del acta. Que el análisis se centró por tanto en los apartados e) y f) del art.
6.1.
4. Que no se llegó a determinar con precisión si debía invocarse el interés público o
interés legítimo.
5. Que al utilizarse la plataforma Zoom, permite visionar un indicador de que la sesión
está siendo grabada. Que los asistentes en cualquier momento pueden desactivar la
cámara por lo que solo quedaría constancia de la voz.
6. Que por tanto no hay constancia de consentimientos.
7. Que tratándose los asistentes a la reunión de representantes de personas jurídicas
quizá podría no ser necesaria la información. Que no es posible acreditar la
información sobre protección de datos facilitada a los asistentes.
8. Que, con posterioridad, para otras reuniones online se elaboró una cláusula
informativa.
Al escrito de contestación al requerimiento, la RFEF aporta la siguiente
documentación:
- Copia de documento con título ?CLÁUSULA INFORMATIVA DE PROTECCIÓN
DE DATOS PARA REUNIONES VIRTUALES? donde consta que ?La base
jurídica del tratamiento de sus datos es su consentimiento. El tratamiento de
sus datos está asimismo legitimado por razones de interés público.?
- Copia de correo electrónico remitido por ?Secretaría RFEF? en fecha 04/12/20
enviado a ?Secretaría RFEF? en relación con la convocatoria de una reunión a
través de Zoom y donde consta como documento adjunto uno con nombre
?Cláusula Informativa Protección de datos.pdf?.
- Copia de la transcripción de la reunión celebrada el 07/04/20 a través de
videoconferencia.
SÉPTIMO: Con fecha 30/07/21, por parte de la Directoria de la Agencia Española de
Protección de Datos, se inicia procedimiento sancionador a la RFEF, al apreciar
indicios razonables de vulneración del RGPD, por las presuntas infracciones:
- Por la presunta infracción del artículo 13 del RGPD, al no informar
convenientemente a los asistentes a las reuniones de los aspectos indicados
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
5/74
en dicho artículo, en relación con los datos personales obtenidos en las
grabaciones con una sanción inicial de 100.000 euros (cien mil euros).
- Por la presunta infracción del artículo 6.1 del RGPD, al realizar un tratamiento
ilícito de los datos personales de los asistentes a las reuniones de la Comisión
del Seguimiento del COVID-19, cuando se cedieron a los medios de
comunicación sin el consentimiento de los implicados, con una sanción inicial
de 100.000 euros (cien mil euros).
OCTAVO: Notificado el acuerdo de inicio a la RFEF, ésta mediante escrito de fecha
23/09/21 formuló, en síntesis, las siguientes alegaciones:
?El Acuerdo de inicio dice claramente que el acuerdo deriva de las actuaciones
practicadas ante la RFEF ?en virtud de denuncia presentada por la AFE y por la LNFP,
que son ?la parte reclamante?. Sin embargo, al determinar los hechos en base a los
que se han llevado a cabo tales actuaciones tiene en cuenta una reclamación
procedente de la AFE y la LNFP, pero también de su Director Adjunto a la
Presidencia, que no consta que sea denunciante en las presentes actuaciones. Es
más, gran parte de los hechos que se recogen en el Acuerdo de esa AEPD (págs. 2 a
4 del Acuerdo) y que son esenciales para la adopción de este, proceden del ejercicio
del derecho de acceso presentado por el Director Adjunto a la Presidencia de la LNFP,
que no es denunciante en estas actuaciones y que por tanto no deberían ser tenidos
en cuenta por la AEPD.
Discrepamos por tanto de los hechos en que se basa la AEPD. No sólo por el motivo
que se acaba de señalar, sino porque en cualquier caso los hechos invocados, no se
sabe si por las entidades denunciantes o por un tercero no denunciante, no se ajustan
a la realidad. Por el contrario, los hechos que deben ser tenidos en cuenta son:
1.- Declaración del estado de alarma y suspensión de las actividades deportivas
relacionadas con el fútbol.
Mediante Real Decreto 463/2020, de 14 de marzo, se declaró el estado de alarma
para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19. El
artículo 10.3 de dicho Real Decreto estableció que ?se suspende la apertura al público
de los museos, archivos, bibliotecas, monumentos, así como de los locales y
establecimientos en los que se desarrollen espectáculos públicos, las actividades
deportivas y de ocio indicados en el anexo del presente real decreto?.
Dicho Anexo recogía la ?Relación de equipamientos y actividades cuya apertura al
público queda suspendida con arreglo a lo dispuesto en el artículo 10? y entre ellos
incluía los ?Campos de fútbol, rugby, béisbol y asimilables?. Es decir, el propio día 14
de marzo, sábado, (fecha en que se publicó el Real Decreto en el BOE) todas las
actividades deportivas relacionadas con el fútbol (en lo que ahora nos interesa) fueron
suspendidas, ya que la Disposición final tercera del repetido Real Decreto disponía
que el mismo ?entrará en vigor en el momento de su publicación en el BOE.
Tal suspensión de las actividades del deporte del futbol produjo un revuelo que no es
preciso ahora describir. El impacto social, económico, mediático y de todo tipo que se
produjo requería una reacción inmediata por parte de las entidades más involucradas
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
6/74
en el mundo del fútbol, y en particular de la Real Federación Española de Fútbol, la
Liga Nacional de Fútbol Profesional o la Asociación de Futbolistas Españoles. Por otra
parte, resultaba imposible celebrar reuniones presenciales entre las entidades que se
acaban de señalar toda vez que el reiterado Real Decreto 463/2020 había restringido,
como es de sobra conocido, la libertad de circulación de las personas, tal como se
establecía en su artículo 7, produciendo una situación de confinamiento que impedía
la celebración de reuniones presenciales. En consecuencia, fue preciso adoptar
medidas urgentísimas para hacer frente a una situación de extraordinaria gravedad.
2.- Constitución de la Comisión de Seguimiento del COVID-19 y celebración de las
reuniones de 12 de marzo y 7 de abril de 2020.
Al objeto de hacer frente a la situación que se acaba de describir y que es bien
conocida, se constituyó la ?Comisión de Seguimiento del COVID-19? integrada por las
siguientes entidades: Real Federación Española de Fútbol, Liga Nacional de Fútbol
Profesional, Asociación de Futbolistas Españoles, Asociaciones de jugadores de fútbol
sala, y Comisiones de clubs de fútbol femenino y de fútbol sala. Dichas entidades
participan, como es obvio, a través de sus respectivos representantes. Incluso antes
de la declaración del estado de alarma y cuando ya había conciencia generalizada y
conocimiento de que se iba a acordar el confinamiento, el Presidente de la RFEF
convocó una reunión de dicha Comisión el 12 de marzo de 2020. Según consta en el
Acta de dicha reunión, que se adjunta como DOCUMENTO Nº 1 al presente escrito y
que en cualquier caso puede consultarse en el portal de transparencia de la RFEF:
(https://www.rfef.es/sites/default/files/pdf/acta_comision_seguimiento_12-3-20.pdf),
El objeto de la reunión y los asistentes fueron los siguientes: En Las Rozas de Madrid,
en la sede social de la Real Federación Española de Fútbol, siendo las 12?00 horas
del día 12 de marzo de 2020, se celebra la primera reunión de la Comisión de
Seguimiento del COVID-19, creada para abordar la situación provocada por la
pandemia del coronavirus, integrada por representantes de distintas áreas de la Real
Federación Española de Fútbol, de la Liga Nacional de Fútbol Profesional, de la
Asociación de Futbolistas Españoles, de las Asociaciones de jugadores y jugadoras
de fútbol sala, de clubs de fútbol femenino y fútbol sala. Orden del Día 1.- Evaluación
del estado de la situación. 2.- Posibles medidas de prevención a adoptar. Asistentes
Por parte de la RFEF y en representación de esta: (?), asistieron 11 personas, de las
que sólo dos representaban a la LNFP y dos a la AFE.
Al comienzo de la reunión ?la primera de la Comisión de Seguimiento del COVID-19-
se informó de que la misma iba a ser grabada, sin que ninguno de los asistentes, entre
los que estaban los representantes de las entidades denunciantes, se opusiera a ello.
Tras la declaración del estado de alarma se celebró la segunda reunión de la citada
Comisión de Seguimiento, que tuvo lugar el día 7 de abril de 2020. Según consta en el
Acta de dicha reunión, que se adjuntó como Documento Nº 3 al escrito de
contestación al requerimiento de información presentado por esta RFEF a esa EAPD,
ref. E/0791/2020, que consta en el presente procedimiento:
(https://www.rfef.es/sites/default/files/pdf/acta_comision_seguimiento_7-4-20.pdf),
El objeto de la reunión y los asistentes fueron los siguientes: Siendo las 12?30 horas
del día 07/04/20, se celebra por videoconferencia reunión de la Comisión de
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
7/74
Seguimiento del COVID-19, integrada por representantes de distintas áreas de la Real
Federación Española de Fútbol, de la Liga Nacional de Fútbol Profesional, de la
Asociación de Futbolistas Españoles, de las Asociaciones de jugadores de fútbol sala,
y de clubs de fútbol femenino y fútbol sala. Orden del Día Análisis del estado de
situación en relación con las competiciones y el COVID. Asistentes Por parte de la
RFEF y en representación de esta (?). A dicha reunión asistieron, por tanto, 26
personas, de las cuales sólo dos lo hacían en representación de la LNFP y tres en
representación de la AFE.
Las dos reuniones se celebraron al objeto de hacer frente al gravísimo impacto en el
futbol de la crisis sanitara como consecuencia del Covid-19 y la declaración del estado
de alarma (como reconocen los reclamantes en sus escritos de reclamación de
16/04/20: en particular la reunión del 7 de abril se celebró ?para tratar la cuestión del
impacto de esta emergencia sanitaria en el mundo del deporte?). Reunión que tenía
una trascendencia capital para el deporte del futbol y que despertó una enorme
expectativa en los medios de comunicación por la importancia de los temas tratados y
por las especiales circunstancias que rodeaban a las tensas relaciones entre las
entidades participantes en la reunión, en particular entre la RFEF, la LNFP y la AFE.
3.- Información sobre la grabación de las reuniones de la Comisión.
La primera de las reuniones de la Comisión tuvo lugar, como ya ha quedado señalado,
el 12 de marzo de 2020. En ella, que tuvo lugar presencialmente en la sede de la
RFEF, el presidente de la RFEF, con carácter previo a su comienzo, informó a los
participantes en la misma de que la reunión iba a ser grabada.
De ello informó expresamente el Presidente de la RFEF, y presidente de la reunión, al
comienzo de esta (al objeto de que ?quede constancia de todo?), tal como queda
demostrado por la grabación y la transcripción de la reunión. Ninguno de los
asistentes se opuso a ello. Antes, al contrario, todos ellos, incluidos los representantes
de las entidades que han presentado la denuncia, antes de intervenir debían pulsar,
de forma totalmente voluntaria, el botón que permitía la grabación. Lo que afirman las
entidades denunciantes (que no se informó de que la reunión iba a ser grabada) no es
acorde a la realidad de los hechos y demuestra, dicho sea, con todo respeto, el ánimo
espurio de las entidades denunciantes, que persiguen falsear unos hechos que no son
acordes con la realidad e instrumentalizar a la propia AEPD.
La prueba de que sí se informó de la grabación se encentra en la propia grabación de
la reunión (que desde este momento se pone a disposición de esa AEPD) y la
transcripción de dicha grabación, que está publicada en el portal de Transparencia de
la RFEF (https://www.rfef.es/sites/default/files/pdf/acta_comision_seguimiento_12-3-
20.pdf) y, como antes se ha señalado, se adjunta como Documento Nº 1. En ella se
lee lo siguiente: LR1 de la Federación:
Gracias por venir. Daos por saludados. Y ? parece que va a ser más breve de lo que
teníamos pensado, porque ya se ha filtrado a los medios, por parte de la Liga parece
que hay disposición de suspender, lo cual, pues nos genera a todos una menor
incertidumbre, ¿no? O sea que ? ahora 1 el Presidente de la RFEF. convocaremos
acto seguido una Comisión, según reza en el Convenio de Coordinación, para dejar
cualquier cuestión zanjada, si os parece bien, ¿no? ya lo haremos, como hay dos
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
8/74
representantes de la Liga, está el Director de Competiciones y también CC, en este
aspecto imagino que vendrás con plenos poderes para dejar por escrito ahora en un
acta cuando termine, ¿no? No hay mucho que deciros, porque era el motivo del
debate. El resto de gente que está aquí, de fútbol sala ya sabéis que está todo
suspendido ? y creo que a partir de ahora lo que vamos a tener es que trabajar en
coordinación para recuperación de calendarios, para, en caso de que no pueda
terminar alguna competición, ver de qué manera, de qué manera se producen
ascensos, descensos, clasificaciones ? y esa es un poco el motivo de esta reunión.
Hemos tenido muchos problemas. Hay algún equipo que ya ha comunicado que su
sección de baloncesto, dos equipos, uno la sección de baloncesto, pero los otros
están en cuarentena y demás ? Nosotros lo estamos hablando con UEFA. La
semana que viene nos vamos a reunir por videoconferencia. Tenemos también un
tremendo riesgo con los árbitros en el VOR, porque al final están en una sala sin
ventilación, todos juntos y demás. Entonces pues, no nos queda más remedio.
Cataluña ha cerrado también colegios, etcétera, y parece que está produciéndose un
efecto dominó, que aconseja que los que estamos aquí, igual que en el resto de los
colectivos o de trabajos, pues tomemos las medidas de teletrabajo, de hacer las cosas
con la mayor responsabilidad. Y en ese aspecto pues no, no hay mucho más que
debatir, porque parece que no va a haber debate con respecto a la suspensión. ¿No
C, es así? Os recuerdo, cuando vayáis a intervenir pulsad aquí.
Estamos grabando la reunión para que quede constancia de todo, ¿vale?, y nada,
pues tienes la palabra tú, C. (02:25) C2 de la Liga: Muchas gracias L. Buenos días a
todos. Yo la verdad es que me he subido en el coche con una idea y he llegado aquí
con otra, eh. Pero bueno, yo creo que, en función de la gravedad de este asunto,
además si nos damos cuenta ya los acontecimientos no se van desarrollando día a
día, sino que prácticamente son cada diez minutos.
Es decir, no sólo informó el Presidente de la RFEF de que la reunión se estaba
grabando, sino que los intervinientes (entre los que se encuentran quienes hacían uso
de la palabra en representación de la LNFP y la AFE) debían pulsar voluntariamente
un botón para proceder a la grabación. Mal puede decirse, por tanto, que no se
informó de la grabación y que la grabación se llevó a cabo sin conocimiento de las
entidades denunciantes, cuando en realidad estas debían pulsar un botón para
proceder a la grabación, como así hicieron.
El Director Adjunto a la Presidencia de la LNFP, presentó una reclamación ante la
AEPD denunciando que no se informó de la grabación de la reunión. Algo que queda
desmentido por el hecho de que fue el primero en hablar en la reunión,
inmediatamente después de la advertencia del Presidente de que la reunión se iba a
grabar y teniendo en cuenta que antes de hablar debió pulsar de forma voluntaria en
el botón de grabación.
El primer interviniente, inmediatamente después del Presidente de la RFEF, es el
representante de la LNFP, entidad ahora denunciante, que afirma, falsamente, que no
se informó de que la reunión estaba siendo grabada. No sólo se informó, como
acabamos de demostrar, sino que se hizo justo antes de la intervención de la LNFP,
sin que su representante se opusiese a ello: inició su exposición con toda normalidad.
Es más, tuvo que pulsar el botón de su micrófono para grabar, como así ocurrió, de
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
9/74
modo que él mismo permitió o consintió voluntariamente la grabación de su
intervención.
En cualquier caso, esta RFEF ya tuvo ocasión de recordar que la sesión se grabó y
que se informó de ello al Director Adjunto a la Presidencia de la LNFP en la
contestación que le trasladó el 10 de abril de 2020 en relación con el ejercicio de
derechos de protección de datos presentada ante esta RFEF, tal como consta en el
expediente.
Es obvio que, como se señala en la citada contestación, la información facilitada en la
primera reunión es aplicable a las sucesivas, teniendo en cuenta además que entre la
primera y la segunda reunión de la Comisión no transcurrió ni un mes. Para demostrar
que los asistentes a las reuniones de la Comisión de Seguimiento COVID-19 eran
conscientes de que las reuniones se grababan y de que la información que se facilitó
en la primera de las reuniones regía también para el resto de las reuniones y en
particular para la reunión del día 7 de abril se propondrá prueba testifical al objeto de
acreditar que en efecto el Presidente de la RFEF informó de tal extremo. Reiteramos
que no es exacto, por tanto, que en ningún momento se informase a los participantes
de que la reunión iba a ser grabada. Pero es que además cuando la Comisión se ha
reunido telemáticamente, en las pantallas de cada uno de los intervinientes aparece
un piloto rojo que informa que se está produciendo la grabación de toda la reunión.
En efecto, al celebrarse la reunión a través de la plataforma Zoom, todos los
asistentes podían comprobar que la misma estaba siendo grabada puesto que en todo
momento figuraba un piloto rojo situado en la parte superior izquierda de la pantalla
junto a una indicación que informaba: ?grabando?, aspecto sobre el que ningún
asistente mostró disconformidad. Y en todo caso, como es de sobra sabido, los
asistentes pueden desactivar su cámara al objeto de evitar que les vean el resto de los
participantes en la reunión y evitar la grabación de su imagen.
En ningún caso se indicó que no se desactivasen las cámaras de los asistentes.
Extremo este, por lo demás, que no ha sido desmentido por los reclamantes. Se
adjunta como DOCUMENTO Nº 2 pantallazo de internet en el que se aprecia cómo
opera el piloto rojo por el que se informa que la reunión está siendo grabada. Por otra
parte, también debe tenerse en cuenta como hecho relevante en las presentes
actuaciones que, con posterioridad a la reunión de 4 de abril de 2020, y para otras
reuniones on-line de los órganos colegiados de la RFEF, se elaboró una cláusula
informativa que se adjunta como DOCUMENTO Nº 3 en la que se detallan todos los
extremos exigidos por el artículo 13 del RGPD y el artículo 11 de la Ley Orgánica
3/2018.
Dicha cláusula se incorpora desde hace ya tiempo a las convocatorias de reuniones
on-line. A tal fin y como evidencia de ello se adjunta como DOCUMENTO Nº 4 copia
de un correo de convocatoria de una reunión on-line en el que se adjunta el
documento ?Reuniones virtuales. Clausula Informativa protección de datos.pdf?.
De tales extremos tiene conocimiento la AEPD pues ya se pusieron de manifiesto en
el escrito de contestación al requerimiento de información presentado por esta RFEF a
esa EAPD, ref. E/0791/2020. Las anteriores medidas son una prueba evidente del
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
10/74
compromiso de la RFEF con la protección de datos y de la aplicación del principio de
responsabilidad proactiva que establece el artículo 24 del RGPD.
En conclusión, los hechos que deben tomarse en consideración en relación con la
información facilitada a los representantes de las entidades convocadas a las
reuniones de 12 de marzo y 7 de abril de 2021 son: a) El Presidente de la RFEF
informó expresamente y con carácter previo de que las reuniones de la Comisión de
Seguimiento Covid-19 iban a ser grabadas con la finalidad de que quede constancia
de todo lo tratado en las mismas; b) En la reunión presencial de 12 de marzo los
intervinientes pulsaban voluntariamente un botón para que se grabase su intervención;
c) En la reunión virtual de 7 de abril de 2021, además, aparecía en todo momento en
las pantallas de los asistentes un piloto rojo que informaba que se estaba produciendo
la grabación de la reunión; d) Los asistentes a las reuniones virtuales pueden
desactivar sus cámaras en cualquier momento; e) La RFEF ha aprobado una cláusula
informativa en la que se detallan todos los extremos exigidos por el art 13 del RGPD y
el artículo 11 de la LO 3/2018. Dicha cláusula se incorpora a las convocatorias de
reuniones on-line.
4.- Publicación por parte de varios medios de comunicación de información referida a
las reuniones de la Comisión de Seguimiento Covid-19.
Ante el impacto social y mediático que produjo la suspensión de las actividades de
fútbol como consecuencia de la declaración del estado de alarma, diversos medios de
comunicación se hicieron eco de las reuniones que mantuvo la Comisión de
Seguimiento Covid-19, en particular la de 7 de abril de 2020. En parte debido a las
informaciones que les facilitaron las entidades denunciantes. En particular, la
ASOCIACIÓN DE FUTBOLISTAS ESPAÑOLES (AFE), una de las entidades ahora
denunciante, hizo de inmediato pública, el mismo día 7, una nota de prensa con el
título Comunicado de AFE para analizar la situación actual de nuestro fútbol, en el que
se hace eco de su percepción de la reunión, tergiversando totalmente lo en ella
tratado, lanzando un mensaje incorrecto a la sociedad y a los medios de comunicación
y confundiendo así los/las futbolistas que participaban en las competiciones oficiales
organizadas por la RFEF. Tal Comunicado, que puede consultarse en:
https://www.afe-futbol.com/afe/comunicado-situacion-actual-futbol/ y que se adjunta
como DOCUMENTO Nº 5, atribuye a la RFEF (que expresa su voluntad y posición a
través de su Presidente, como es obvio) posiciones que no eran acordes a la realidad
y que falseaban lo tratado en la reunión.
Esta situación de confusión generada por al menos una de las entidades denunciantes
incrementó aún más la incertidumbre entre los medios de comunicación, por lo que la
Cadena SER, al objeto de ofrecer a sus oyentes una información contrastada de
acuerdo 9 al artículo 20 de la Constitución Española, pidió a la RFEF que le facilitase
parte de las grabaciones de la reunión. Tengamos en cuenta que se estaba tratando,
nada más y nada menos, que de los efectos en el fútbol (una de las actividades más
mediáticas que existen y con un impacto económico y social que nadie puede poner
en duda) de la declaración del estado de alarma, que implicaba la suspensión de la
celebración de todos los partidos de futbol profesional. Dada la responsabilidad de la
RFEF en la ordenación del futbol de acuerdo a la Ley 10/1990, del Deporte, y a las
funciones públicas de carácter administrativo que le corresponden, así como la
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
11/74
necesidad de aclarar de forma contrastada la verdad en relación con las cuestiones
analizadas en la reunión de 7 de abril de 2020, la RFEF, teniendo en cuenta además
el derecho a la libertad de información y expresión que reconoce, como se ha
señalado, el artículo 20 de la Constitución, emitió una nota de prensa corrigiendo las
inexactitudes y divergencias con la realidad de lo que había ocurrido en la reunión
(que puede consultarse en https://rfef.es/noticias/comunicado-oficial-7 (DOCUMENTO
Nº 6).
Además, un medio de comunicación, al objeto de poder contrastar la realidad de lo
ocurrido, pidió las grabaciones que acreditaban que la RFEF era la que se ajustaba a
la verdad (en relación con un tema, insistimos, de gran trascendencia pública y con un
impacto social y económico indudable). Ante tal situación, la RFEF consideró que la
cesión de los datos que se solicitaban por parte de la Cadena SER estaba amparada
en el interés público de acuerdo con el artículo 6.1.e) del Reglamento (UE) 2016/679
(RGPD) y a la prevalencia en este caso del derecho fundamental a la libertad de
expresión e información sobre el derecho a la protección de datos.
Se tuvo en cuenta además que los datos que se iban a ceder eran datos de
representantes de personas jurídicas, en sus relaciones profesionales y en ningún
caso privadas, y que al menos una de las entidades denunciantes, la Liga Nacional de
Futbol Profesional, es una entidad fuertemente regulada por la Ley 10/1990, de 15 de
octubre, del Deporte (art. 41). La cesión de datos fruto de la petición formulada por la
Cadena SER no ha sido ocultada por la RFEF.
Según se recoge en los Hechos del Acuerdo de Inicio de procedimiento sancionador,
el Director Adjunto a la Presidencia de la LNFP ejerció su derecho de acceso y la
RFEF contestó, entre otros extremos, que las grabaciones de la reunión se habían
remitido al primer medio que lo pidió (Cadena SER) ?por tratarse de una información
de interés público y con trascendencia social?.
Una vez analizados los hechos que deben ser tenidos en cuenta en las presentes
actuaciones, pasamos a formular alegaciones en relación con las dos supuestas
infracciones que se imputan a la RFEF por la AEPD. Antes, sin embargo, es preciso
hacer dos alegaciones previas: por un lado, en relación con la falta de legitimación de
las entidades denunciantes y por otro en relación con la naturaleza de los datos que
habrían sido objeto de tratamiento por parte de la RFEF.
5.-Sobre la falta de legitimación de las entidades denunciantes.
Debe señalarse con carácter previo que la denuncia presentada por la Asociación de
Futbolistas Españoles (AFE) y la Liga Nacional de Fútbol Profesional (LNFP) debería
haber sido inadmitida por la AEPD. Ello se debe a que, tal como establece el artículo
77 del RGPD, quienes tienen derecho a presentar una reclamación ante una autoridad
de control son ?los interesados?, y estos, de acuerdo con lo que establece el artículo
4.1 del citado RGPD, deben en todo caso tener la condición de persona física
identificada o identificable, nunca de persona jurídica.
El artículo 64.2 de la Ley Orgánica 3/2018 dispone que cuando el procedimiento tenga
por objeto la determinación de la posible existencia de una infracción de lo dispuesto
en el RGPD y en la propia Ley Orgánica, se iniciará mediante acuerdo de inicio
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
12/74
adoptado por propia iniciativa o como consecuencia de reclamación, debiendo
entender que esta reclamación es la que se recoge en el reiterado artículo 77 del
Reglamento.
Solo los interesados, es decir personas físicas identificadas o identificables, pueden
presentar reclamación, lo que debería haber dado lugar a la inadmisión, ya solo por
este motivo, de la denuncia presentada por AFE y por la LNFP, ambas personas
jurídicas.
Esta interpretación es la única posible, dada la naturaleza jurídica del RGPD, que, en
cuanto Reglamento de la Unión Europea, tiene un ?alcance general? y es ?obligatorio
en todos sus elementos y directamente aplicable en cada Estado miembro? (art. 288
del Tratado de Funcionamiento de la Unión Europea).
Una prueba de lo que se señala la encontramos en la legislación del resto de los
Estados miembros de la Unión Europea. Así por ejemplo el actual artículo 141 del
vigente Código en materia de protección de datos personales de Italia dispone que es
el interesado, y sólo él, quien puede presentar reclamación en los términos del artículo
77 del RGPD.
Por tanto, debe procederse sin más al archivo del procedimiento. No obstante, y para
el hipotético caso de que la AEPD considere que procede continuar el procedimiento,
se formulan las siguientes alegaciones.
6.- Sobre la naturaleza de los datos objeto de tratamiento.
Según se expresa en el Acuerdo de Inicio de Procedimiento, son dos entidades
quienes han presentado la denuncia: la Asociación de Futbolistas Españoles y la Liga
Nacional de Fútbol Profesional. No consta que el Director Adjunto a la Presidencia de
la Liga Nacional de Fútbol Profesional haya presentado denuncia (sí presentó una
reclamación el 16 de abril de 2020, que no es objeto de las presentes actuaciones).
En su Resolución R/00497/2005, de 15 de julio de 2005, dictada en el procedimiento
sancionador PS/00049/2005, la AEPD afirma claramente: (?) de los artículos 1 y 2.1
de la LOPD se deduce claramente que el ámbito subjetivo de aplicación de la LOPD
no ampara a las personas jurídicas y que tan sólo resulta aplicable al tratamiento de
datos de carácter personal relacionados con personas físicas.
El fundamento de la delimitación de este ámbito de aplicación reside en que, si la
protección de los datos personales se refiere a la intimidad personal y familiar, no
puede entenderse que las empresas gocen de la citada intimidad y, por tanto, no
puede ser aplicable a éstas, aún, cuando la actividad de la empresa en el tráfico
jurídico se deba realizar necesariamente a través de un apoderamiento a favor de una
persona física.
De este modo, quedarán excluidos de las garantías de la LOPD los datos que se
refieran a personas jurídicas, en todos los casos, así como a los profesionales (en
aquellos casos en los que organicen su actividad bajo la forma de empresa,
ostentando, en consecuencia, la condición de comerciante a la que se refieren los
artículos primero y siguientes del Código de Comercio) y a los empresarios
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
13/74
individuales siempre que su actividad comercial o profesional pueda diferenciarse en
cada caso, de manera clara y determinante, de su propio entorno de privacidad como
persona física.
Tanto las personas jurídicas, en todo caso, como los profesionales y los comerciantes
individuales, cuando realizan una actividad que pueda distinguirse sin duda de su
actividad privada, quedarán fuera del ámbito de aplicación subjetivo de la LOPD.
Estos dos últimos sólo en los estrictos términos anteriormente señalados, esto es,
cuando sus datos hayan sido tratados tan sólo en su consideración de empresarios o
profesionales individuales. En sentido contrario, tanto los profesionales como los
comerciantes individuales quedarán bajo el ámbito de aplicación de la LOPD y, por
tanto, amparados por ella, cuando los primeros no tuvieran organizada su actividad
profesional bajo la forma de empresa, no ostentando, en consecuencia, la condición
de comerciante (es el caso de los profesionales liberales), y los segundos cuando no
fuera posible diferenciar en cada caso, clara y terminantemente, su actividad mercantil
del propio entorno de su privacidad como persona física.
En estos dos casos deberán aplicarse siempre las garantías y principios reconocidos
en la LOPD dada la naturaleza fundamental del derecho a proteger. Ello exigirá
analizar cada caso individualizadamente, para determinar si la actuación de que se
trate afecta al derecho fundamental a la protección de datos de los interesados
personas físicas, o, por el contrario, incide tan sólo en la esfera de la actividad
comercial o profesional.
Esta parte es consciente, como ha puesto manifiesto más atrás, de que tanto el RGPD
como la LOPDGDD se aplican también a los datos de personas físicas pese a estar
referidos a su relación con personas jurídicas, pero no es menos cierto que en relación
con este tema cabe hacer las siguientes consideraciones:
La propia LOPDGDD presume, en su artículo 19, que el tratamiento de los llamados
datos de contacto está habilitado por el interés legítimo de los responsables. La
LOPDGDD parte de la base de que es necesario tener presente el verdadero perjuicio
que se produce a los titulares de los datos a la hora de considerar si se ha producido o
no una conducta sancionable. Y en este sentido es evidente que el tratamiento de
datos que ha llevado a cabo la RFEF no ha afectado para nada al ámbito privado o
personal de los denunciantes, sino tan sólo a su ámbito meramente profesional, en
cuanto representantes de las entidades convocadas a la reunión (las entidades, y no
las personas físicas, fueron las convocadas, como reconocen los propios
demandantes. Y las entidades fueron las que expresaban su voluntad u opinión en las
reuniones, si bien a través de quienes actuaban en su representación).
Debe tenerse en cuenta que los denunciantes son la AFE y la LNFP. Si pretenden
denunciar el tratamiento de datos referidos a ellas en cuanto entidades, debe
inadmitirse. Si se refiere al uso de datos personales de sus representantes, carecen
de legitimación por cuanto no son interesadas tal como hemos puesto de manifiesto.
7.- Sobre la supuesta falta de información ofrecida a las personas que asistieron a las
reuniones del Comité de Seguimiento del COVID-19.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
14/74
Como ha quedado acreditado, el Presidente de la RFEF informó a los asistentes a las
reuniones del Comité de Seguimiento COVID-19 de que las sesiones iban a ser
grabadas. En consecuencia, el deber de información que exigen los artículos 13 del
RGPD y 11 de la LOPDGDD fue cumplido por la RFEF.
La información a que se refiere el citado art. 11 fue facilitada, pues al señalar que las
reuniones de la Comisión iban a ser grabadas se estaba informando del responsable
del tratamiento (la RFEF iba a proceder a la grabación) y la finalidad (dejar constancia
del contenido de las reuniones). Además, y en todo caso, la RFEF cuenta desde la
aplicación del RGPD y la entrada en vigor de la LOPDGDD con una política de
privacidad adaptada a la nueva normativa. Así puede constatarse en la URL
https://www.rfef.es/proteccion-datos (DOCUMENTO Nº 7).
En cualquier caso, la propia AEPD ya tuvo ocasión de constatar la política de
protección de datos de la RFEF, y en particular su cumplimiento con el deber de
información, tal como se señala expresamente en su Resolución de Archivo de
Actuaciones dictada en el Expediente Nº: E/02043/2019: Es también relevante que
mediante Diligencia de la Inspección de Datos de la AEPD de fecha 14/02/2019 se
dejó constancia en el expediente administrativo, a través de diversas capturas de
pantalla obtenidas de la página web de la RFEF, que esta entidad dispone de varios
formularios de recogida de datos personales y que su página web ofrece una
información en materia de protección de datos que se adecúa a las exigencias del
artículo 13 del RGPD.
Se dejó constancia de que en la política de privacidad de la página web de la RFEF se
identifica al responsable del tratamiento y se facilitan sus 13 datos de contacto; se
especifica qué tipo de datos serán objeto de tratamiento y la finalidad del tratamiento
que se lleva a cabo; respecto a las transferencias internacionales de datos se indica
que sólo tendrán lugar cuando así lo exija la finalidad perseguida por el tratamiento y
se detalla la base jurídica de los tratamientos de datos personales que lleva a cabo.
También se informa del derecho a retirar el consentimiento al tratamiento en cualquier
momento; de que la RFEF no comunicará datos a terceros salvo que resulte
imprescindible para la finalidad del tratamiento o previo requerimiento Judicial o
Administrativo; del plazo de conservación de los datos y de los derechos de acceso,
rectificación, supresión, oposición y condiciones para su ejercicio y del derecho a
presentar reclamaciones ante la AEPD.
Por lo que continúa la AEPD: Analizados los motivos expuestos por la reclamada y
hechas las comprobaciones pertinentes sobre la adecuación de la política de
privacidad de la página web de la reclamada al RGPD y, en particular, al artículo 13
del RGPD, no se aprecian indicios razonables de una presunta infracción de la
normativa de protección de datos de carácter personal en los hechos que se someten
a la consideración de esta Agencia. Por tanto, no debe entenderse que no se ha
informado a los interesados (todos ellos representantes de personas jurídicas).
Se hizo expresamente en la primera reunión, celebrada el 12 de marzo de 2020, con
alcance general para el resto de las reuniones de la Comisión de Seguimiento COVID-
19, y en particular para la celebrada el día 7 de abril. Los asistentes a las reuniones
eran conscientes de ello y en la segunda reunión ya disponían de la información que
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
15/74
se había facilitado en la primera de las reuniones de la Comisión, de modo que en
todo caso operaría lo dispuesto en el artículo 13.4 del RGPD.
Como se adelantó al exponer los hechos que deben ser tenidos en cuenta en el
presente procedimiento, se propone prueba testifical al objeto de tomar declaración a
los asistentes que en su momento se indicarán para que declaren que en efecto se
informó convenientemente de que las reuniones de la Comisión serian grabadas con
la finalidad de dejar constancia de lo tratado en ellas y de que esa regla era aplicable
a todas las reuniones que la Comisión celebrase.
8.- Sobre el supuesto tratamiento ilícito de los datos personales de los asistentes a las
reuniones. Protección de datos y libertad de información y expresión.
Como se ha señalado en los hechos que se exponen más atrás en el presente escrito
de alegaciones, la cesión de la grabación de parte de la reunión de 7 de abril de 2020
a la Cadena SER se produjo al objeto de garantizar el derecho a la libertad de
información y a recibir una información veraz reconocido en el artículo 20 de la
Constitución.
Fue el medio de comunicación quien, en ejercicio de tal derecho fundamental, pidió a
la RFEF que facilitase esa grabación. Lo que se produjo en un escenario de enorme
confusión generado por la suspensión de toda la actividad del futbol, en el que la AFE
había lanzado 14 un mensaje totalmente falso en cuanto a la posible celebración, en
su caso, de partidos de fútbol, lo que podía afectar, incluso, a la salud de los
futbolistas.
Los medios de comunicación necesitaban esclarecer una situación grave que había
falseado la AFE. Y no siendo suficiente con la Nota de Prensa que emitió la RFEF
(Documento Nº 6) un medio de comunicación, con la finalidad de aclarar unos hechos
de extraordinaria gravedad, pidió a la RFEF la grabación que ya conocemos.
Por tanto, lo que se hizo por parte de la RFEF fue facilitar el correcto ejercicio del
derecho a la libertad de expresión e información y el derecho a recibir una información
veraz. La relación entre el derecho a la protección de datos y el derecho a la libertad
de expresión e información se prevé en el artículo 85 del RGPD. Entre las
excepciones que deben implantar los Estados Miembros se encuentran los principios
(entre otros la licitud del tratamiento) y los derechos de los interesados (por ejemplo, a
ser informado). Pues en definitiva debe conciliarse el derecho a la protección de los
datos personales con la libertad de expresión e información.
En este sentido, el Considerando 153 del RGPD dispone: El Derecho de los Estados
miembros debe conciliar las normas que rigen la libertad de expresión e información,
incluida la expresión periodística, académica, artística o literaria, con el derecho a la
protección de los datos personales con arreglo al presente Reglamento. El tratamiento
de datos personales con fines exclusivamente periodísticos o con fines de expresión
académica, artística o literaria debe estar sujeto a excepciones o exenciones de
determinadas disposiciones del presente Reglamento si así se requiere para conciliar
el derecho a la protección de los datos personales con el derecho a la libertad de
expresión y de información consagrado en el artículo 11 de la Carta.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
16/74
Esto debe aplicarse en particular al tratamiento de datos personales en el ámbito 15
audiovisual y en los archivos de noticias y hemerotecas. Por tanto, los Estados
miembros deben adoptar medidas legislativas que establezcan las exenciones y
excepciones necesarias para equilibrar estos derechos fundamentales.
Los Estados miembros deben adoptar tales exenciones y excepciones con relación a
los principios generales, los derechos del interesado, el responsable y el encargado
del tratamiento, la transferencia de datos personales a terceros países u
organizaciones internacionales, las autoridades de control independientes, la
cooperación y la coherencia, y las situaciones específicas de tratamiento de datos.
Si dichas exenciones o excepciones difieren de un Estado miembro a otro debe regir
el Derecho del Estado miembro que sea aplicable al responsable del tratamiento. A fin
de tener presente la importancia del derecho a la libertad de expresión en toda
sociedad democrática, es necesario que nociones relativas a dicha libertad, como el
periodismo, se interpreten en sentido amplio. La relación entre ambos derechos ya ha
sido analizada por la propia AEPD y por los Tribunales.
Tan sólo a título de ejemplo podemos apuntar lo siguiente. En la Guía sobre el uso de
videocámaras para seguridad y otras finalidades de la AEPD se dice (págs. 48-49):
6.2 Tratamiento de imágenes por los medios de comunicación. La publicación de
imágenes en los medios de comunicación supone un ejercicio del derecho a la libertad
de expresión e información que les confiere el artículo 20 de la Constitución Española.
En el supuesto de que algún particular considerase lesionado sus derechos por la
publicación de imágenes, tendría que acudir a la vía judicial al amparo de lo dispuesto
en la Ley Orgánica 1/1982, de 5 mayo. En todo caso, el RGPD contiene un mandato a
los Estados miembros para que concilien por ley el derecho a la protección de datos
de la norma europea con el derecho a la libertad de expresión y de información,
incluyendo el tratamiento con fines periodísticos y fines de expresión académica,
artística o literaria.
Es evidente que la conclusión a la que llega la Agencia (la publicación de imágenes en
los medios de comunicación supone un ejercicio del derecho a la libertad de expresión
e información que debe ampararse por la vía de la Ley Orgánica 1/1982) es
perfectamente aplicable al caso a que se refiere el presente procedimiento.
Por tanto, procede considerar que no es posible estimar sancionable como infracción
del derecho a la protección de datos la cesión a un medio de comunicación de la
grabación a la que se refiere el presente procedimiento.
La AEPD en su Informe 624/09 estima que «pese a la carencia de regulación
específica en España en lo referido al tratamiento de datos personales con fines
exclusivamente periodísticos o de expresión artística o literaria, como dispone el
artículo 9 de la Directiva, la mejor doctrina entiende que visto el contenido del art. 6.1
de la LORTAD (LOPD), a cuyo tenor «el tratamiento de los datos de carácter personal
requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra
cosa»; la expresión «salvo que la ley disponga otra cosa», permite entender que no es
necesario el consentimiento del afectado cuando el art. 20 de la CE permite el
tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
17/74
Lo que exigirá una ponderación del caso concreto, y desde los principios de
adecuación, pertinencia y congruencia recogidos en el art. 4 de la LORTAD (LOPD)
(...)». Por su parte la AN ha tenido ya la ocasión de pronunciarse en supuestos
concretos, resultando especialmente relevante la sentencia de 09/06/09. En esta
sentencia, la Audiencia Nacional, siguiendo el criterio establecido por el Tribunal
Constitucional, condicionó la prevalencia del derecho fundamental a la libertad de
información sobre el derecho a la protección de datos u otros derechos
fundamentales, a que ésta se refiera a hechos con relevancia pública, en el sentido de
noticiables, y a que dicha información sea veraz.
Especialmente relevante es también la Sentencia de la Audiencia Nacional de 11 de
abril de 2012, recurso 410/2010, en la que se señala lo siguiente: ??será necesario
proceder a una ponderación entre los derechos y fines que amparan al titular de estos
derechos y el derecho a la protección de datos de los afectados. Para realizar esta
ponderación es preciso tomar en consideración las circunstancias concretas de cada
caso, atendiendo al derecho que se ejerce, el tipo de información que se facilita y su
relevancia, la finalidad perseguida, el medio utilizado, el número de destinatarios
posibles y la existencia de intereses generales en la obtención de ese tipo de
información. No debe olvidarse, al tiempo de realizar esta ponderación, que tanto la
libertad de expresión, como también ocurre con la de información, adquieren especial
relevancia cuando "se ejerciten en conexión con asuntos que son de interés general,
por las materias a que se refieren y por las personas que en ellos intervienen y
contribuyan, en consecuencia, a la formación de la opinión pública, alcanzando
entonces su máximo nivel de eficacia justificadora frente al derecho al honor, el cual
se debilita, proporcionalmente, como límite externo de las libertades de expresión e
información, en cuanto sus titulares son personas públicas, ejercen funciones públicas
o resultan implicadas en asuntos de relevancia pública, obligadas por ello a soportar
un cierto riesgo de que sus derecho subjetivos de la personalidad resulten afectados
por opiniones o informaciones de interés general, pues así lo requieren el pluralismo
político, la tolerancia y el espíritu de apertura, sin los cuales no existe sociedad
democrática" ( STC 107/1988, de 8 de junio, FJ 2). ?..
Debe recordarse, en tal sentido, que la Constitución reconoce el derecho a expresar y
difundir libremente los pensamientos, ideas y opiniones mediante la palabra, el escrito
" o cualquier otro medio de reproducción " y el derecho a comunicar o recibir
libremente información veraz "por cualquier medio de difusión". Todo ello, sin perjuicio
de que la protección que dispensan estos derechos en su confrontación con otros
deba entenderse reforzada cuando su ejercicio se produce por los profesionales de la
información o por los medios de comunicación convencionales, pero sin olvidar que la
comunicación, hoy en día, no se circunscribe a los medios de comunicación
tradicionales sino a otros medios muy diversos, propiciados por la actual tecnología,
en los que internet ocupa un papel muy relevante para obtener y difundir información
veraz y para expresar libremente las propias opiniones e ideas.
Por ello la especial posición que ostentan los derechos de libertad de expresión y de
información se predica no solo para proteger un interés individual, sino que, al mismo
tiempo, permiten crear una opinión pública libre en una sociedad plural y
democrática?
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
18/74
La información proporcionada era veraz (o al menos no podía considerarse gratuita o
notoriamente infundada), estaba documentada y tenía interés general y relevancia
pública, afectando a personas que en su condición de funcionarios públicos y con
cargos importantes en la Universidad tiene una clara proyección pública atendiendo al
puesto que ocupaban y al servicio que prestaban.
El ejercicio de la libertad de expresión y de información que amparaba al recurrente
implica el tratamiento de los datos personales de los sujetos objeto de la crítica y de la
información, pues la utilización de sus datos personales, de forma proporcional y
justificada por el fin que se persigue y la libertad que se ejerce, se constituye un
instrumento imprescindible sin el cual la crítica o la información carecería de sentido y
se vaciaría de contenido. Por otra parte, tanto sus nombres, cargos e imágenes eran
de conocimiento público?, por lo que tampoco puede sostenerse que los datos
proporcionados estuviesen fuera del alcance público desvelándose datos personales
que desvinculados de la información no se conociesen anteriormente.
Es por ello por lo que la utilización de los datos de los denunciantes estaba amparada
por el ejercicio de la libertad de expresión e información del recurrente y la falta de
consentimiento de los afectados está justificada de conformidad con lo dispuesto en el
artículo 6.2 de la LOPD, sin que por ello puede entenderse que su conducta constituya
infracción administrativa alguna en materia de protección de datos?.
El Tribunal Supremo, en su Sentencia 27 de septiembre de 2010, rec. 6511/2008, ha
dejado claro que ?si bien la notoriedad de una persona no autoriza a invadir su vida
privada, el interés público que revista fortalece las exigencias de la libertad de
información sobre ella en igual medida en que ese interés se vea afectado, con la
consecuencia de que su intimidad habrá de ceder en los aspectos vinculados a dicho
interés?. Y también es especialmente importante el Informe de la propia AEPD N/REF:
012007/2019 (https://www.aepd.es/es/documento/2019-0044.pdf) que se refiere a la
ponderación entre protección de datos y libertad de expresión e información.
Para ello hace suya la doctrina de la sentencia de la Audiencia Nacional de 22 de
enero de 2019, ?cuyo fundamento de derecho cuarto resume la doctrina constitucional
relativa a la ponderación entre el derecho a la protección de datos y los derechos a la
libertad de información y expresión reconocidos por el artículo 20 de la Constitución,
destacando las diferencias existentes en el caso de que se trate de personas que
ejercen funciones públicas?. Y en particular señala (el subrayado es de la propia AEPD
en su Informe): ?Por ello, se ve debilitada la protección de estos otros derechos
constitucionales que reconoce el artículo 20.4 CE frente a las libertades de expresión
e 18 información, cuando se ejerciten en conexión con asuntos que son de interés
general, por las materias a que se refieren y por las personas que en ellos intervienen
y contribuyan, en consecuencia, a la formación de la opinión pública, como ocurre
cuando afectan a personas públicas, que ejercen funciones públicas o resultan
implicadas en asuntos de relevancia pública, obligadas por ello a soportar un cierto
riesgo de que sus derechos subjetivos de la personalidad resulten afectados por
opiniones o informaciones de interés general (SSTC 107/1988, de 8 de junio, 20/2002,
de 28 de enero, 160/2003, de 15 de septiembre, 151/2004, de 20 de septiembre, y
9/2007, de 15 de enero).
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
19/74
Y tratándose de personas que ejercen funciones públicas, como recuerda la sentencia
del Tribunal Supremo de 11 de enero de 2019, ?la relevancia pública de la
información- según criterio del Tribunal Constitucional viene determinada tanto por la
materia u objeto de esta, como por razón de la condición pública o privada de la
persona a que atañe. Como hemos dicho en reiteradas ocasiones, las autoridades y
funcionarios públicos, así como los personajes públicos o dedicados a actividades que
conllevan notoriedad pública «aceptan voluntariamente el riesgo de que sus derechos
subjetivos de personalidad resulten afectados por críticas, opiniones o revelaciones
adversas y, por tanto, el derecho de información alcanza, en relación con ellos, su
máximo nivel de eficacia legitimadora, en cuanto que su vida y conducta moral
participan del interés general con una mayor intensidad que la de aquellas personas
privadas que, sin vocación de proyección pública, se ven circunstancialmente
involucradas en asuntos de trascendencia pública, a las cuales hay que, por
consiguiente, reconocer un ámbito superior de privacidad, que impide conceder
trascendencia general a hechos o conductas que la tendrían de ser referidos a
personajes públicos» (por todas, STC 172/1990, de 12 de noviembre, FJ 2)?.
Asimismo, el criterio relativo a la participación que tenga el interesado en la vida
pública como límite a su derecho a la protección de datos personales ha sido
frecuentemente utilizado por el Tribunal de Justicia de la Unión Europea, pudiendo
citarse a estos efectos la sentencia de 13 de mayo de 2014 relativa al denominado
?derecho al olvido? que en interpretación de la Directiva 95/46 y la Carta Europea de
Derechos Fundamentales indica que ?ya que el interesado puede, habida cuenta de
sus derechos con arreglo a los artículos 7 y 8 de la Carta, solicitar que la información
de que se trate ya no se ponga a disposición del público en general mediante su
inclusión en tal lista de resultados, es necesario considerar, como se desprende, en
particular, del apartado 81 de la presente sentencia, que estos derechos prevalecen,
en principio, no sólo sobre el interés económico del gestor del motor de búsqueda,
sino también sobre el interés de dicho público en encontrar la mencionada información
en una búsqueda que verse sobre el nombre de esa persona.
Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel
desempeñado por el mencionado interesado en la vida pública, que la injerencia en
sus derechos fundamentales está justificada por el interés preponderante de dicho
público en tener, a raíz de esta inclusión, acceso a la información de que se trate?.
Otro criterio a ponderar es el relativo a la actividad profesional que desarrolle el
afectado, ya que como señala la Sentencia de la Audiencia Nacional de 6 de junio de
2017 ?en el caso de autos, entrando ya en la ponderación de los derechos e intereses
en juego, debe tenerse en cuenta en primer lugar, que se refiere a la vida profesional y
no la vida personal, pues ello es muy relevante para modular la intensidad que ha de
merecer la protección del derecho regulado en el artículo 18.4 de la Constitución,
como ha señalado esta Sala y Sección en la sentencia de 11 de mayo de 2017 (Rec.
30/2016).
En este sentido, conviene hacer referencia a las directrices del Grupo de Trabajo del
29 en materia de derecho al olvido (Guidelines on the implementatión of the Courrt of
Justice of the European Unión Judgmente on ?Google Spain and inc v, AEPD and
Mario Costeja C-131/12), a cuyo tenor: ?Hay una diferencia básica entre la vida
privada de la persona y su vida pública o profesional. La disponibilidad de la
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
20/74
información en los resultados de búsqueda deviene más aceptable cuanta menos
información revele sobre la vida privada de una persona (?) es más probable que la
información tenga relevancia si está relacionada con la vida profesional del interesado,
pero dependerá de la naturaleza del trabajo del interesado y del interés legítimo del
público en tener acceso a esa información a través de una búsqueda por su nombre?.
En el presente caso es evidente que se cumplen sobradamente todas y cada una de
las exigencias que requieren la Audiencia Nacional, el Tribunal Constitucional, el
Tribunal de Justicia de la Unión Europea y la propia AEPD para entender que debe
prevalecer el derecho a la libertad de información sobre el derecho a la protección de
datos.
En efecto: - Estamos ante hechos con relevancia pública, en el sentido de noticiables,
y la información solicitada por los medios de comunicación y hecha pública es veraz. -
Las personas implicadas son, sin duda alguna, personajes con relevancia pública
(directivos muy conocidos de la LNFP y de la AFE). - La información hecha pública se
refiere exclusivamente a la actividad profesional o pública de tales personas, no a su
actividad privada. En conclusión, aplicando los criterios de los más altos Tribunales
que se acaban de apuntar y de la propia AEPD es evidente que en nuestro caso no
cabe sino archivar las actuaciones y no proseguir con el procedimiento a que se
refieren las presentes alegaciones, iniciadas en base a la denuncia presentada por la
LNFP y la AFE, que además carecen totalmente de legitimación para presentar
denuncia alguna en relación con supuestas e inexistentes violaciones del derecho a la
protección de datos.
Más bien parece que tales entidades pretenden instrumentalizar a la AEPD y algo tan
serio como el derecho a la protección de datos de carácter personal (la Audiencia
Nacional en más de una ocasión, como es sabido, ha cerrado la puerta a la defensa
del derecho al honor y a la intimidad mediante la instrumentalización de la Ley de
Protección de Datos y se ha pronunciado a favor de la libertad de información en
casos en que estaban implicadas personas de relevancia pública, como es el caso a
que se refiere el presente procedimiento).
9.- Aplicación de los criterios agravantes por parte de la AEPD.
Si pese a las anteriores alegaciones la AEPD considerase que procede continuar la
tramitación del procedimiento, debemos formular las siguientes alegaciones en
relación con la que consideramos incorrecta aplicación de los criterios agravantes que
en el Acuerdo de Inicio de Procedimiento Sancionador se recogen.
La AEPD dispone en dicho Acuerdo que se considera que procede graduar las
sanciones a imponer (tanto por la supuesta violación del art. 13 del RGPD como de la
supuesta violación del art. 6.1) de acuerdo con los siguientes criterios agravantes que
establece el artículo 83.2 del RGPD: - El alcance o propósito de las operaciones de
tratamiento de datos, así como el número de interesados afectados y el nivel de los
daños y perjuicios que hayan sufrido (apartado a). - La intencionalidad en la infracción,
por parte de la entidad (apartado b). - La forma en que la autoridad de control tuvo
conocimiento de la infracción, ya que la AEPD tuvo conocimiento de la infracción a
través de la reclamación de los interesados (apartado h).
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
21/74
Asimismo, añade que, por su parte, el artículo 76.2 de la LOPDGDD, establece que,
de acuerdo con lo previsto en el artículo 83.2.k) del RGPD, se tendrá en cuenta, como
factores agravantes de la sanción, los siguientes: - La vinculación de la actividad del
infractor con la realización de tratamientos de datos personales, (apartado b). Pues
bien, esta RFEF considera que ninguno de los criterios anteriores es aplicable. Más
bien todo lo contrario, pues deberían actuar como atenuantes.
Veamos. Alcance o propósito de las operaciones de tratamiento de datos, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(apartado a). Alcance o propósito de las operaciones de tratamiento: tal criterio no
debe aplicarse a la supuesta falta de información (la falta de información no es una
operación de tratamiento y por tanto no cabe aplicar tal criterio) y en cuanto a su
aplicación a la supuesta cesión ilícita de las grabaciones a un medio de comunicación,
lo cierto es que dicha cesión se mueve en el ámbito del ejercicio de un derecho
fundamental, el derecho a la libertad de expresión e información, que debe ponerse en
relación con el derecho a la protección de datos, derecho que en numerosas
ocasiones se ha señalado que debe ceder ante el primero.
Más en el caso objeto del presente procedimiento, referido al tratamiento de datos de
representantes de personas jurídicas. Por otra parte, esta RFEF no puede admitir bajo
ningún concepto el juicio que hace la AEPD en el sentido de considerar que ?se
escuda? en la gravedad de la situación para ceder ilícitamente datos personales. Debe
tenerse en cuenta que entre otros asuntos se estaba tratando en la reunión del día 7
de abril el gravísimo tema de la salud de los futbolistas. Ningún propósito ilícito en el
tratamiento, por tanto. Más bien todo lo contrario. Sin olvidar, además, que quizá lo
que sí esconde la denuncia de las LNFP y de la AFE es un intento de ocultar el
verdadero alcance de la situación y de instrumentalizar la protección de datos, así
como de utilizar torticeramente a la AEPD para desviar la atención de lo que fue el
verdadero problema que entonces se planteó: adoptar medidas frente al COVID-19
que tuviesen en cuenta, como pretendía la RFEF, la salud de los futbolistas, y no sólo
intereses económicos.
Número mínimo de afectados: los representantes de las entidades denunciantes son
tan sólo dos por parte de la LNFP y tres por parte de AFE. Es decir, sólo cinco
personas. Sin perjuicio de la falta de legitimación de las entidades denunciantes y de
que no consta a esta parte que declaren actuar en nombre y representación de
ninguno, uno o más posibles afectados, lo cierto es que en cualquier caso no puede
bajo ningún concepto considerarse que el resto de asistentes a las reuniones puedan
considerarse afectados, pues la falta de denuncia por su parte (lógica por lo demás
dada la correcta actuación de la RFEF) debe entenderse en el sentido de que
consideran que fueron informados correctamente del tratamiento de sus datos y de
que consideran que la comunicación a un medio de comunicación está amparada por
la legislación de protección de datos y por el artículo 20 de la Constitución.
Entenderlo de otro modo iría en contra de la presunción de inocencia que la
Constitución establece y supondría considerar una conducta como infractora sin
evidencia alguna, lo que es propio de un régimen inquisitorial y no contradictorio.
La intencionalidad en la infracción, por parte de la entidad (apartado b). La aplicación
de este criterio agravante carece de toda motivación en el acuerdo de inicio. Es más,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
22/74
lo cierto es que en ningún caso ha habido intención por parte de la RFEF de infringir la
legislación de protección de datos de carácter personal. Ya se ha puesto de manifiesto
en el presente escrito de alegaciones que, por un lado, la RFEF informó a los
asistentes a la reunión de que ésta iba a ser grabada y que, en cualquier caso, ya se
pusieron en marcha medidas más eficaces por parte de la RFEF para potenciar el
deber de información. Y por otro lado, en cuanto a la cesión de las grabaciones a un
medio de comunicación ya se ha puesto de manifiesto que ante la Nota de Prensa de
la AFE conteniendo una interpretación claramente falsa del resultado de la reunión de
7 de abril de 2020, la RFEF publicó primero una Nota de prensa para fijar la verdad de
los hechos y sólo después entregó parte de la grabación cuando un medio de
comunicación solicitó su entrega, para garantizar el derecho a la libertad de
información y a recibir información veraz. En consecuencia, no puede apreciarse
intencionalidad en la infracción por parte de la RFEF y por tanto no puede estimarse
que concurre tal criterio agravante.
La forma en que la autoridad de control tuvo conocimiento de la infracción, ya que la
AEPD tuvo conocimiento de la infracción a través de la reclamación de los interesados
(apartado h). En el presente escrito de alegaciones ya se ha puesto de manifiesto que
la AEPD no ha tenido conocimiento de las presuntas infracciones a través de la
reclamación de los interesados, pues no han sido personas físicas, sino que han sido
las entidades LNFP y AFE las que han presentado la denuncia. Dada su condición de
personas jurídicas no es posible apreciar en ellas la condición de interesados y por
ello no es posible apreciar el criterio agravante esgrimido por la AEPD.
La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales, (apartado b). Por último, tampoco debe aplicarse este criterio agravante.
En efecto la actividad que desarrolla la RFEF implica tratamiento de datos personales,
pero su actividad no está vinculada a la realización de tratamientos. La actividad que
se imputa a la RFEF (no informar a los interesados y ceder unas grabaciones a
medios de comunicación) no implican que se trate de actividades vinculadas a la
realización de tratamientos, como podrían ser los que lleven a cabo empresas del
sector del marketing, o la prestación de servicios de cloud, o redes sociales.
Si se interpretase de otro el criterio a que nos referimos, el mismo se aplicaría a todos
los responsables de tratamiento y haría de tal criterio un criterio de aplicación
universal, convirtiéndolo en un agravante de aplicación general a cualquier actividad
de tratamiento, lo cual no es lo querido por el legislador de protección de datos.
En conclusión, no es posible apreciar ninguno de los criterios agravantes que invoca la
AEPD. Más bien al contrario, deberían aplicarse como atenuantes el ínfimo número de
afectados, la falta de intencionalidad de la RFEF, el hecho de que la AEPD no ha
tenido conocimiento de los hechos por denuncia de los interesados y la no vinculación
de la actividad de la RFEF con la realización de tratamientos de datos.
10.- Proposición de Prueba.
De acuerdo con lo que señala el Acuerdo de Inicio de Procedimiento Sancionador al
que se formulan las presentes alegaciones y a lo que establece el artículo 77 de la Ley
39/2015, de 1 de octubre, reguladora del Procedimiento Administrativo Común, se
proponen los siguientes medios de prueba: - Documental. Consistente en: o Los
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
23/74
documentos que se adjuntaron por esta parte en su escrito de contestación al
requerimiento de información en el asunto de Referencia E/0791/2020, que obran ya
en poder de esa AEPD. o Los documentos que se aportan junto con el presente
escrito de alegaciones. - Testifical. Consistente en la toma de declaración a los
representantes (que en el momento oportuno se especificarán) de las entidades
convocadas a las reuniones de la Comisión de Seguimiento Covid-19 celebradas los
días 12 de marzo y 7 de abril de 2020 al objeto de que testifiquen en relación con las
siguientes cuestiones: o Acerca de si el Presidente de la RFEF informó a los
asistentes a las reuniones de 12 de marzo y 7 de abril de 2020 de que las reuniones
iban a ser grabadas. o Acerca de si consideraban que las reglas referentes a la
grabación de las reuniones de la Comisión de Seguimiento Covid-19 eran aplicables a
todas las reuniones celebradas por la misma.
Consideración de las entidades denunciantes desde el punto de vista de la legislación
de procedimiento administrativo Como se ha puesto de manifiesto, no son las
personas físicas presuntamente afectadas las que han presentado la denuncia, sino la
LNFP y la AFE. Por tanto, no tienen la condición de interesados en el procedimiento.
Se SOLICITA: 1.- Tenga por presentadas en tiempo y forma ALEGACIONES contra el
Acuerdo de Inicio de Procedimiento Sancionador contra la Real Federación Española
de Fútbol en el Procedimiento Nº: PS/00368/2021. 2.- Dicte resolución por la que
acuerde el archivo de las actuaciones. 3.- En cualquier caso, tenga por presentadas
las pruebas documentales que acompañan al presente escrito y por propuesta prueba
testifical, en los términos fijados en el presente escrito, y acuerde la práctica de la
citada prueba testifical. 4.- No considere interesados en el procedimiento, a ningún
efecto, a la LNFP y a la AFE?.
NOVENO: Con fecha 08/11/21, se inició el período de práctica de pruebas,
acordándose en el mismo: a).- dar por reproducidos a efectos probatorios la denuncia
interpuesta por la denunciante y su documentación, los documentos obtenidos y
generados que forman parte del expediente E/03735/2020 y b).- dar por reproducido a
efectos probatorios, las alegaciones al acuerdo de inicio del PS/00368/2021,
presentadas.
DÉCIMO: Con fecha 29/11/21, se da traslado a la RFEF de la propuesta de resolución,
en la cual, se propone que, por parte de la Directora de la Agencia Española de
Protección de Datos se la sancionase por las siguientes infracciones:
- Por la infracción del artículo 13 del RGPD, al no informar convenientemente a
los asistentes a las reuniones de los preceptos establecidos en dicho artículo,
con una sanción de 100.000 euros (cien mil euros).
- Por la infracción del artículo 6.1 del RGPD, al realizar un tratamiento ilícito de
los datos personales de las personales asistentes a las reuniones de la
Comisión del Seguimiento del COVID-19, cuando se cedieron a los medios de
comunicación sin el consentimiento expreso de los implicados, con una sanción
de 100.000 euros (cien mil euros).
UNDÉCIMO: Notificado la propuesta de resolución a la parte reclamada, ésta, con
fecha 13/12/21, presenta escrito de alegaciones, indicado, entre otras, lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
24/74
?PRIMERA. Reiteración de las alegaciones presentadas al escrito de inicio de
procedimiento.
Se reiteran y tienen por reproducidas las alegaciones que en su momento se
presentaron al escrito de inicio de procedimiento sancionador, sin perjuicio de reiterar
mediante el presente escrito y desarrollar, en su caso, alegaciones adicionales o que
completan las anteriores. Asimismo, se insiste en la proposición y práctica, para esta
RFEF imprescindible, de la prueba testifical entonces propuesta. Su no admisión
produce una clara indefensión para esta RFEF.
SEGUNDA. Sobre los hechos declarados probados.
En cuanto a los Hechos Probados (págs. 25 y ss. de la Propuesta), se reitera la
narración de estos que ya hicimos en nuestro escrito de alegaciones al acuerdo de
inicio. Además, debemos poner de manifiesto lo siguiente:
2 - Se reitera la indefensión que ha producido a esta parte la inadmisión de la prueba
testifical propuesta. Con todo respeto debe señalarse que los hechos quedan
tergiversados al basarse tan sólo en ?la valoración conjunta de la prueba documental
obrante en el procedimiento? (pág. 27 de la Propuesta de resolución). - La AEPD a la
que nos dirigimos, en la propuesta de resolución del Instructor del Procedimiento (pág.
25), considera que debe tenerse en cuenta que a la primera reunión (de 12 de marzo
de 2020) asistieron 11 personas y que a la segunda (de 7 de abril de 2020) asistieron
26, 15 personas más que en la primera. Esta circunstancia se considera relevante por
el Instructor a efectos, parece, de la comunicación a los asistentes de que la sesión
estaba siendo grabada. Reiteramos que todos los asistentes a la segunda reunión
eran conscientes de que, al igual que la primera, la sesión estaba siendo grabada,
como habría quedado demostrado de modo indudable en caso de haber admitido la
prueba testifical propuesta.
En este sentido, además, debe señalarse que de las 15 personas más que asistieron
a la segunda reunión, 13 pertenecen a la RFEF y por tanto eran conocedoras
perfectamente de las reglas por las que se rigen las reuniones (como se habría puesto
de manifiesto en la prueba testifical propuesta por esta RFEF).
Por parte de la LNFP asistieron las mismas personas a ambas reuniones y por tanto la
información facilitada en la primera ya era conocida por ellos. Y por parte de la AFE
asistieron también las mismas personas a ambas reuniones, si bien a la segunda
también asistió una persona de los Servicios Jurídicos, que no es afectado por el
presente procedimiento (que, según la propia denuncia de las entidades denunciantes,
alcanza a la representación legal de la AFE y al Director Adjunto de la LNFP, como se
expone en el primero de los Hechos que se recoge en la pág. 1 de la P. de
Resolución.
En la Propuesta de Resolución (pág. 26) indica, erróneamente, que esta RFEF
?asume implícitamente que las alegaciones anteriores para intentar justificar el
cumplimiento del RGPD, en lo que respecta al artículo 13 no se sustenta (sic)
convenientemente y que, después de la segunda reunión han procedido a ajustar su
protocolo a lo mandatado en el RGPD y en la LOPDGDD?. Con todo respeto
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
25/74
consideramos que ha debido producirse un error en el modo en que el Instructor ha
interpretado la actuación de esta RFEF. En ningún caso asumimos, ni implícita ni
explícitamente, que no se informase a los asistentes a las reuniones. Lo que esta
RFEF señaló en sus alegaciones al acuerdo de inicio fue que lo que hizo fue
precisamente aplicar el principio de responsabilidad proactiva que establece el artículo
24 del RGPD y que con razón la LOPDGDD considera el más importante cambio que
trae consigo el Reglamento.
Así lo ha puesto de manifiesto también, de forma reiterada, la propia AEPD, por
ejemplo en su Informe 0089/2020, al afirmar que ?Este Gabinete Jurídico viene
destacando reiteradamente, en los distintas consulta sometidas a su informe, el
cambio de paradigma que ha supuesto la plena aplicación del Reglamento (UE)
2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la
protección de las personas físicas en lo que respecta al tratamiento de sus datos
personales y a la libre circulación de estos datos, en cuanto basado en el principio de
?accountability? o responsabilidad proactiva, tal y como se recoge en la Exposición de
motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales: ?la mayor 3 novedad que presenta el
Reglamento (UE) 2016/679 es la evolución de un modelo basado, fundamentalmente,
en el control del cumplimiento a otro que descansa en el principio de responsabilidad
activa, lo que exige una previa valoración por el responsable o por el encargado del
tratamiento del riesgo que pudiera generar el tratamiento de los datos de carácter
personal para, a partir de dicha valoración, adoptar las medidas que procedan?.
Pues bien, esta RFEF, no porque no se cumpliese con el deber de informar de
acuerdo con el artículo 13 del RGPD sino como prueba de la intención de constante
mejora en materia de protección de datos con la que está comprometida la RFEF,
elaboró una cláusula informativa específica para las reuniones on-line (algo que, como
sin duda le consta a la AEPD, no es usual) y que por tanto, como decimos, lo que
realmente demuestra es el compromiso de buenas prácticas de la RFEF (compromiso
que ya fue constatado por la propia AEPD en su resolución de archivo de actuaciones
dictada en el Expediente Nº: E/02043/2019, en la que, se dejó constancia de que la
RFEF cumplía perfectamente con las obligaciones de información requeridas por el
art. 13 del RGPD).
La RFEF recibió de la Cadena SER la solicitud de que se le facilitase parte de la
grabación de la reunión de 7 de abril de 2020 dada la enorme confusión generada por
la declaración de confinamiento producida por la pandemia y la suspensión de las
actividades de futbol. Y se reitera que lo que estaba en juego era el pleno respeto al
derecho fundamental a la libertad de expresión e información. En relación con una
situación que nunca en la historia se había producido. En los hechos probados,
además, la AEPD debe indicar que los datos que vieron la luz en ningún caso se
referían a actividades privadas sino a actividades profesionales de representantes de
personas jurídicas. Se trata de un hecho probado que las propias reclamantes
reconocen, al señalar en sus denuncias que los datos se referían a ?la representación
legal de la AFE, así como del Director Adjunto de la LNFP?. Tal circunstancia debe
incluirse en la relación de hechos probados que han quedado acreditados, pues se
trata de algo de enorme relevancia a la hora de determinar la legitimidad del
tratamiento desde el punto de vista de la legislación de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
26/74
Además, debe considerarse que no se facilitó el texto íntegro de la sesión de la
reunión, sino solo parte de la grabación. En la página 41 de la propuesta de resolución
se dice expresamente que difundieron ?extractos de los ficheros de audio?.
TERCERA. Sobre la grabación de las reuniones de la Comisión de
Seguimiento del COVID19.
Se reitera lo ya expuesto en nuestras alegaciones al acuerdo de inicio. Además,
debemos señalar que en nuestra opinión el Instructor lleva a cabo una interpretación
errónea del artículo 18 de la Ley 40/2015 (LRJSP). Yerra la propuesta de resolución al
señalar (pág. 28) que según dicho artículo 18 ?solamente tendrán acceso a la
grabación [de las actas] los miembros del órgano colegiado?. En ningún momento, la
norma posibilita el acceso a la grabación de personas ajena (sic) al órgano colegiado?.
Y esto no es así porque, por ejemplo y sin ir más lejos, la Ley 19/2013, de
transparencia y buen gobierno permite y aún exige la publicación de las actas, por
mucho que estén reguladas por el artículo 18 de la LRJSP. En este sentido, por
ejemplo, la Resolución del 4 Consejo de Transparencia y Buen Gobierno R/0482/2018
de 12/11/18, que se dictó en el siguiente caso (transcribimos el resumen que el propio
Consejo hace en su página web:
https://www.consejodetransparencia.es/ct_Home/Actividad/recursos_jurisprudencia/
Re cursos_AGE/2019/119_CRTVE_16.html
Un periodista presentó solicitud de acceso a la información dirigida a la Corporación
de RTVE para ver las convocatorias, actas y órdenes del día de las reuniones de su
Consejo de Administración, desde el año 2014. La Corporación RTVE denegó la
información por entender que lo solicitado afecta a la confidencialidad y al secreto en
la toma de decisiones y que se trata de una información auxiliar o de apoyo.
Presentada reclamación, el Consejo de Transparencia y Buen Gobierno la estimó, al
considerar que no se aplicaban los argumentos de la Corporación RTVE, puesto que
no se trata de información auxiliar por la propia esencia de sus contenidos, ya que se
toman decisiones importantes en ese Órgano y porque no se puede perjudicar la
confidencialidad de reuniones y deliberaciones que ya han tenido lugar y cuyo
conocimiento público sirve para responder ante la ciudadanía, como establece la Ley.
Debe destacarse que la citada Resolución fue confirmada en lo esencial por Sentencia
del Juzgado Central de lo Contencioso-Administrativo Nº 4, de 22/07/19 (sent. Nº
81/2019, dictada en el procedimiento ordinario Nº 4/2019). Fue confirmada en lo
esencial porque estimó parcialmente el recurso interpuesto por RTVE y falló que debía
?excluir del derecho de acceso a las actas, las intervenciones a título particular?.
Es decir, cualquier intervención que no se hiciese a título particular debía facilitarse al
periodista que solicitó las actas (todas las actas desde 2014, recordemos, no una o
dos actas). Por tanto, no es exacto decir que nadie ajeno al órgano colegiado puede
tener acceso a la grabación de las actas.
Por otra parte, insiste la propuesta de resolución en que en la segunda reunión
participaron 15 personas que no asistieron a la primera, lo que interpreta en el sentido
de que podían no tener conocimiento de que, como la primera reunión, también la
segunda iba a ser grabada. Ya hemos señalado que de ellas 13 forman parte de la
propia RFEF y conocían perfectamente que la sesión iba a ser grabada, así como, la
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
27/74
finalidad de la grabación y que otra persona era una persona de los Servicios
Jurídicos de la AFE. Por tanto, debemos rechazar la conclusión de que había 15
personas que desconocían que la reunión iba a ser grabada y la finalidad de la
grabación. Además, tampoco podemos estar de acuerdo con la siguiente afirmación
del Instructor (pág. 31): ?como la ambigüedad de la información que proporciona el
representante de la RFEF sobre los fines a los que iba a destinar los datos personales
obtenidos de las grabaciones es tan evidente, obliga a plantear la posibilidad de que el
fin al que iban a destinar las grabaciones era otro diferente al marcado legalmente.
En este caso, hubiera sido necesario recopilar de todos y cada uno de los asistentes a
las reuniones su consentimiento, pues no tendría cabida (sic) en ningún otro tipo de
legitimación, excepto el ?consentimiento?. Y ello porque el instructor, en nuestra
opinión, parte de una mera hipótesis, de una ?posibilidad?, como en la propuesta se
señala; y parte de que solo el consentimiento sería título habilitante para la
comunicación de la grabación de la reunión a un prestigioso medio de comunicación.
Cuando en realidad tanto el derecho fundamental a la libertad de información y
expresión y la existencia de un interés público evidente legitiman tal comunicación.
CUARTA. Sobre la publicación por parte de varios medios de comunicación de
información referida a las reuniones de la Comisión de Seguimiento COVID-19
Ante todo, reiteramos que en nuestra opinión no es exacto afirmar, como hace la
propuesta de resolución (pág. 31), que legalmente sólo con la autorización previa de
los implicados mediante su consentimiento expreso puede utilizarse la grabación de
una reunión de un órgano colegiado para algo distinto que dar soporte a la
autenticidad del acta de la sesión. Ya hemos visto que la Ley 19/2013 permite y aún
obliga a hacer públicas las actas de órganos colegiados, en particular cuando ?se
toman decisiones importantes en ese órgano y porque no se puede perjudicar la
confidencialidad de reuniones y deliberaciones que ya han tenido lugar y cuyo
conocimiento público sirve para responder ante la ciudadanía?.
Eso es lo que cabalmente ha ocurrido en el caso que nos ocupa. Y el propio
Considerando 50 del RGPD que menciona la propuesta de resolución se refiere a la
existencia de usos compatibles lícitos, lo que también debe ponerse en relación con el
considerando 153 y el artículo 85, ambos del RGPD.
En cualquier caso y dicho sea con todos los respetos, debe considerarse cuando
menos poco adecuado considerar que el artículo 20 de la Constitución es un artículo
?socorrido?, como se afirma en la pág. 33 de la propuesta de resolución. Dicho artículo
es uno de los fundamentos de nuestro modelo constitucional y esta RFEF considera
que en todo su alcance y trascendencia es plenamente aplicable al caso que ahora se
analiza. Y fue analizado con detalle, y no de forma socorrida por esta RFEF a la hora
de considerar la ponderación entre el derecho fundamental a la protección de datos y
el derecho fundamental a la libertad de información y expresión. No es necesario
recordar ahora el carácter normativo de la Constitución y por tanto la posibilidad de
que el artículo 20 legitime por sí mismo, sin necesidad de norma ulterior o intermedia,
el tratamiento de datos personales en ejercicio del derecho ?a comunicar o recibir
libremente información veraz por cualquier medio de difusión?.
QUINTA. Sobre la falta de legitimación de las entidades denunciantes.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
28/74
Reiteramos aquí de nuevo lo que ya apuntamos en nuestras alegaciones al acuerdo
de inicio de procedimiento sancionador, que damos por reproducido. No obstante,
debemos añadir o recordar lo siguiente. Por un lado, la propuesta de resolución no cita
para nada el artículo que aquí es clave: el artículo 77 del RGPD, cuyo texto es el
siguiente: 1. Sin perjuicio de cualquier otro recurso administrativo o acción judicial,
todo interesado tendrá derecho a presentar una reclamación ante una autoridad de 6
control, en particular en el Estado miembro en el que tenga su residencia habitual,
lugar de trabajo o lugar de la supuesta infracción, si considera que el tratamiento de
datos personales que le conciernen infringe el presente Reglamento. 2. La autoridad
de control ante la que se haya presentado la reclamación informará al reclamante
sobre el curso y el resultado de la reclamación, inclusive sobre la posibilidad de
acceder a la tutela judicial en virtud del artículo 78. Este artículo hace que la Ley
39/2015 no sea del todo aplicable a los procedimientos tramitados por la AEPD con
ocasión de una infracción del derecho a la protección de datos.
De entrada, ya no es posible la iniciación de un procedimiento a solicitud del
interesado, sino sólo de oficio, y debe hacerse previa reclamación del interesado,
como señala el art. 77 del RGPD. Por tanto, sólo los interesados pueden instar,
mediante reclamación, el inicio de un procedimiento sancionador. Así lo establece
claramente el art. 64 de la LOPDGDD, que, en particular, en su párrafo 2 dispone
?cuando el procedimiento tenga por objeto la determinación de la posible existencia de
una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley
orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como
consecuencia de reclamación?.
La denuncia de un tercero no interesado no tiene hoy cabida en el procedimiento
sancionador en materia de protección de datos, pese a que sí esté prevista, para otros
casos, en el artículo 58 de la LPACAP. Por ello, y con razón, el artículo 3.3 del Real
Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia
Española de Protección de Datos, dispone 3. Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de
2016, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales
y garantía de los derechos digitales, por las disposiciones reglamentarias dictadas en
su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas
generales sobre los procedimientos administrativos
No podemos estar de acuerdo con la afirmación que hace la propuesta de resolución
al decir (pág. 35) que ?no existe en ningún cuerpo normativo referente a la protección
de datos de carácter personal? la diferenciación entre el tratamiento de datos
personales de personas físicas que afecten a su vida privada que el de datos que
afecten a su vida profesional. Basta con citar -como ya hicimos en nuestras
alegaciones al acuerdo de inicio de procedimiento sancionador- el artículo 19 de la
LOPDGDD que diferencia claramente el tratamiento de datos con fines privados que
con fines profesionales.
SEXTA. Sobre la naturaleza de los datos objeto de tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
29/74
Esta RFEF reitera totalmente lo que ya mantuvo en las alegaciones que presentó al
acuerdo de inicio de procedimiento sancionador. En particular, el hecho de que
quienes estaban convocadas a las reuniones, y por tanto quienes participaron en
ellas, eran las entidades LNFP y AFE, que evidentemente debieron expresar sus
respectivas posiciones a través de sus representantes. Los datos que se cedieron
eran los de tales entidades a través de sus representantes. Debiendo ser tenido en
cuenta que existen datos personales que afectan a la vida privada y datos que son de
naturaleza profesional. De hecho, la propuesta de resolución así lo reconoce
expresamente, al indicar (pág. 37) que ?en las intervenciones grabadas existen datos
u opiniones exclusivamente personales?.
Si eso es así, es necesario concluir que también hay datos u opiniones no
exclusivamente personales. Si bien, no señala la propuesta a qué datos
exclusivamente personales se refiere. En la transcripción de las reuniones, que se ha
adjuntado por esta RFEF y que ha sido admitida como prueba documental, no figura
ninguna opinión exclusivamente personal de los representantes de la LNFP y de la
AFE, sino opiniones profesionales vertidas en su calidad de representantes de tales
entidades.
SEPTIMA. Sobre la supuesta falta de información ofrecida a las personas que
asistieron a las reuniones del Comité de Seguimiento del COVID-19.
Reiteramos aquí también lo ya apuntado en nuestras alegaciones al escrito de inicio
de procedimiento sancionador, en el sentido de que sí se informó a los asistentes a las
reuniones. Señala ahora el Instructor de la AEPD que no se informó de los extremos
que recoge el artículo 13 del RGPD y que la política de privacidad de la Web de la
RFEF no estaba a disposición de los participantes en las reuniones. Asimismo, se
señala que la RFEF reconoce implícitamente que no informó pues posteriormente
elaboró una cláusula informativa que se incorpora a las convocatorias de las
reuniones.
En relación con tales cuestiones debemos formular las siguientes alegaciones: - En
cuanto a la primera, debe tenerse en cuenta que no sólo es aplicable el art. 13 del
RGPD, sino asimismo el art. 11 de la LOPDGDD, que permite una información básica
menos extensa que la que la propuesta de resolución recoge en su pág. 38. Además,
según el artículo 13.4 del RGPD sus apartados 1 a 3 no se aplican en la medida en
que los interesados ya dispongan de la información.
Esa información ya está a disposición de los interesados en la página web de la
RFEF, como apunta la propia propuesta de resolución, con la salvedad, quizá, de la
finalidad del tratamiento. Pero esta información ya se facilitó expresamente por el
Presidente de la RFEF al señalar que la grabación tenía como finalidad dejar
constancia de lo tratado en las reuniones.
Por tanto, se cumplió con el deber de informar. - Señala la propuesta de resolución
que ?los asistentes a la reunión no estaban conectados en ningún momento a la
página web de la Federación, ni siquiera consta que tuvieran equipos informativos
(sic) que pudieran conectarse a internet para acceder a la página de la Federación?.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
30/74
En relación con la primera afirmación, no se sustenta en ninguna evidencia, por lo que
es una mera apreciación del Instructor que no puede en ningún caso demostrarse. Y
en relación con la segunda, queremos entender que se trata de un error de la
Propuesta de resolución, pues es evidente que al tratarse de la celebración de
reuniones on-line vía Zoom (hecho no cuestionado y probado) todos y cada uno de los
asistentes debían estar conectados a internet y utilizar equipos informáticos que les
permitiesen asistir a las mismas. Teniendo en cuenta que como es sabido la
asistencia telemática por internet a una reunión vía Zoom permite abrir otras páginas
web. En cuanto a la tercera, nos remitimos a lo que ya hemos apuntado en la
alegación segunda en este escrito.
OCTAVA. Sobre el supuesto tratamiento ilícito de los datos personales de los
asistentes a las reuniones. Protección de datos y libertad de información y
expresión.
En este momento debemos reiterar todo lo que ya apuntamos en nuestras
alegaciones al acuerdo de inicio de procedimiento sancionador. Dada la trascendencia
de la relación entre dos derechos fundamentales creemos oportuno transcribir gran
parte de lo que en su momento alegamos, completándolo a la vista de la propuesta de
resolución. La cesión de la grabación de una parte de la reunión de 7 de abril de 2020
a la Cadena SER se produjo al objeto de garantizar el derecho a la libertad de
información y a recibir una información veraz reconocido en el artículo 20 de la
Constitución.
Debemos ahora insistir en que no se cedió la grabación de toda la reunión, sino sólo
de una parte, precisamente la que se consideraba imprescindible para poder
garantizar el derecho a recibir una información veraz. La propia propuesta de
resolución reconoce que sólo se difundieron ?extractos de los ficheros de audio? (pág.
41). Tal cesión se produjo en un escenario de enorme confusión generado por la
suspensión de toda la actividad del futbol, en el que la AFE había lanzado un mensaje
totalmente falso en cuanto a la posible celebración, en su caso, de partidos de fútbol,
lo que podía afectar, incluso, a la salud de los y las futbolistas.
Los medios de comunicación necesitaban esclarecer una situación grave que había
falseado la AFE. Y no siendo suficiente con la Nota de Prensa que emitió la RFEF un
medio de comunicación, repetimos que, con la finalidad de aclarar unos hechos de
extraordinaria gravedad, pidió a la RFEF la grabación que ya conocemos. Por tanto, lo
que se hizo por parte de la RFEF fue facilitar el correcto ejercicio del derecho a la
libertad de expresión e información y el derecho a recibir una información veraz. No
podemos compartir la afirmación que se hace en la propuesta de resolución (pág. 39)
de que la emisión de una nota de prensa constituye ya por sí sólo el ejercicio del
derecho a la libertad de información y a comunicar información veraz y que
proporcionar la grabación a un prestigioso medio de comunicación ?no es ya ejercicio
de un derecho fundamental pues el ejercicio del derecho ya está realizado con
anterioridad cuando envía a los medios de comunicación una nota de prensa?.
Tampoco podemos aceptar que el derecho fundamental se haya ejercido con el envío
de la nota de prensa y que el envío de la grabación parcial de la reunión ?sobrepase
con creces? los límites del RGPD. Por el contrario, es evidente que el envío del
contenido de la reunión era necesario para ejercer plenamente tal derecho, pues no
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
31/74
podemos olvidar que la AFE ya había emitido un mensaje con falsedades y que los
medios de comunicación querían conocer la verdad de lo tratado en la reunión: en
definitiva, querían recibir información veraz y la RFEF tenía el derecho a emitir esa
información.
Tampoco, con todo respeto, podemos admitir que, como señala sin pruebas la
propuesta de resolución, la RFEF proporcionase ?sin ningún tipo de reparo? (pág. 39
de la propuesta) la grabación de parte de la reunión. Ese juicio de valor da a entender
que la RFEF actuó de forma premeditada, lo cual no es en absoluto cierto. Lo que hizo
fue ejercer un derecho fundamental. Tampoco podemos compartir la opinión que
recoge la propuesta de resolución (pág. 40) en el sentido de que la convocatoria de
una rueda de prensa bastaría para ejercer el derecho a la libertad de información. Y
tampoco podemos compartir la idea de que la libertad de información sólo puede
ejercerse mediante el tratamiento de datos que se hayan obtenido con fines
exclusivamente periodísticos, como pretende la propuesta (pág. 40).
Lo que el considerando 153 y el artículo 85 del RGPD observan es el tratamiento de
datos con fines periodísticos, pero sin exigir que el tratamiento de estos sea en todo
caso con fines periodísticos. De otro modo no sería posible, por ejemplo, tratar con
fines periodísticos datos de una conducta de una persona de relevancia pública o los
datos derivados de una sentencia, que evidentemente no se tratan inicialmente ?con
fines exclusivamente periodísticos?. Dicho lo anterior, y pese a que ya lo expusimos en
nuestras alegaciones al acuerdo de inicio, debemos reiterar ahora lo que dijimos.
La relación entre el derecho a la protección de datos y el derecho a la libertad de
expresión e información se prevé en el artículo 85 del RGPD, cuyo texto, como es
sabido, dispone: Artículo 85 Tratamiento y libertad de expresión y de información 1.
Los Estados miembros conciliarán por ley el derecho a la protección de los datos
personales en virtud del presente Reglamento con el derecho a la libertad de
expresión y de información, incluido el tratamiento con fines periodísticos y fines de
expresión académica, artística o literaria. 2. Para el tratamiento realizado con fines
periodísticos o con fines de expresión académica, artística o literaria, los Estados
miembros establecerán exenciones o excepciones de lo dispuesto en los capítulos II
(principios), III (derechos del interesado), IV (responsable y encargado del
tratamiento), V (transferencia de datos personales a terceros países u organizaciones
internacionales), VI (autoridades de control independientes), VII (cooperación y
coherencia) y IX (disposiciones relativas a situaciones específicas de tratamiento de
datos), si son necesarias para conciliar el derecho a la protección de los datos
personales con la libertad de expresión e información. 3. Cada Estado miembro
notificará a la Comisión las disposiciones legislativas que adopte de conformidad con
el apartado 2 y, sin dilación, cualquier modificación posterior, legislativa u otra, de las
mismas. Entre las excepciones que deben implantar los Estados Miembros se
encuentran los principios (entre otros la licitud del tratamiento) y los derechos de los
interesados (por ejemplo, a ser informado). Pues en definitiva debe conciliarse el
derecho a la protección de los datos personales con la libertad de expresión e
información.
En este sentido, el Considerando 153 del RGPD dispone (los subrayados son
nuestros): El Derecho de los Estados miembros debe conciliar las normas que rigen la
libertad de expresión e información, incluida la expresión periodística, académica,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
32/74
artística o literaria, con el derecho a la protección de los datos personales con arreglo
al presente Reglamento. El tratamiento de datos personales con fines exclusivamente
periodísticos o con fines de expresión académica, artística o literaria debe estar sujeto
a excepciones o exenciones de determinadas disposiciones del presente Reglamento
si así se requiere para conciliar el derecho a la protección de los datos personales con
el derecho a la libertad de expresión y de información consagrado en el artículo 11 de
la Carta.
Esto debe aplicarse en particular al tratamiento de datos personales en el ámbito
audiovisual y en los archivos de noticias y hemerotecas. Por tanto, los Estados
miembros deben adoptar medidas legislativas que establezcan las exenciones y
excepciones necesarias para equilibrar estos derechos fundamentales. Los Estados
miembros deben adoptar tales exenciones y excepciones con relación a los principios
generales, los derechos del interesado, el responsable y el encargado del tratamiento,
la transferencia de datos personales a terceros países u organizaciones
internacionales, las autoridades de control independientes, la cooperación y la
coherencia, y las situaciones específicas de tratamiento de datos. Si dichas
exenciones o excepciones difieren de un Estado miembro a otro debe regir el Derecho
del Estado miembro que sea aplicable al responsable del tratamiento.
A fin de tener presente la importancia del derecho a la libertad de expresión en toda
sociedad democrática, es necesario que nociones relativas a dicha libertad, como el
periodismo, se interpreten en sentido amplio. La relación entre ambos derechos ya ha
sido analizada por la propia AEPD y por los Tribunales. Tan sólo a título de ejemplo
podemos apuntar lo siguiente. En la Guía sobre el uso de videocámaras para
seguridad y otras finalidades de la AEPD (https://www.aepd.es/sites/default/files/2019-
12/guia-videovigilancia.pdf) se dice expresamente (págs. 48-49): 6.2 Tratamiento de
imágenes por los medios de comunicación.
La publicación de imágenes en los medios de comunicación supone un ejercicio del
derecho a la libertad de expresión e información que les confiere el artículo 20 de la
Constitución Española.
En el supuesto de que algún particular considerase lesionado sus derechos por la
publicación de imágenes, tendría que acudir a la vía judicial al amparo de lo dispuesto
en la Ley Orgánica 1/1982, de 5 mayo. En todo caso, el RGPD contiene un mandato a
los Estados miembros para que concilien por ley el derecho a la protección de datos
de la norma europea con el derecho a la libertad de expresión y de información,
incluyendo el tratamiento con fines periodísticos y fines de expresión académica,
artística o literaria.
Es evidente que la conclusión a la que llega la Agencia (la publicación de imágenes en
los medios de comunicación supone un ejercicio del derecho a la libertad de expresión
e información que debe ampararse por la vía de la Ley Orgánica 1/1982) es
perfectamente aplicable al caso a que se refiere el presente procedimiento.
Por tanto, procede considerar que no es posible estimar sancionable como infracción
del derecho a la protección de datos la cesión a un medio de comunicación de la
grabación a la que se refiere el presente procedimiento. Por otra parte, la AEPD en su
Informe 624/2009 estima que «pese a la carencia de regulación específica en España
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
33/74
en lo referido al tratamiento de datos personales con fines exclusivamente
periodísticos o de expresión artística o literaria, como dispone el artículo 9 de la
Directiva, la mejor doctrina entiende que visto el contenido del art. 6.1 de la LORTAD
(LOPD), a cuyo tenor «el tratamiento de los datos de carácter personal requerirá el
consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa»; la
expresión «salvo que la ley disponga otra cosa», permite entender que no es
necesario el consentimiento del afectado cuando el art. 20 de la CE permite el
tratamiento.
Lo que exigirá una ponderación del caso concreto, y desde los principios de
adecuación, pertinencia y congruencia recogidos en el art. 4 de la LORTAD (LOPD)
(...)». Por su parte la Audiencia Nacional ha tenido ya la ocasión de pronunciarse en
supuestos concretos, resultando especialmente relevante la sentencia de 9 de julio de
2009. En esta sentencia, la Audiencia Nacional, siguiendo el criterio establecido por el
Tribunal Constitucional, condicionó la prevalencia del derecho fundamental a la
libertad de información sobre el derecho a la protección de datos u otros derechos
fundamentales, a que ésta se refiera a hechos con relevancia pública, en el sentido de
noticiables, y a que dicha información sea veraz.
Especialmente relevante es también la Sentencia de la Audiencia Nacional de 11 de
abril de 2012, recurso 410/2010, en la que se señala lo siguiente: ??será necesario
proceder a una ponderación entre los derechos y fines que amparan al titular de estos
derechos y el derecho a la protección de datos de los afectados. Para realizar esta
ponderación es preciso tomar en consideración las circunstancias concretas de cada
caso, atendiendo al derecho que se ejerce, el tipo de información que se facilita y su
relevancia, la finalidad perseguida, el medio utilizado, el número de destinatarios
posibles y la existencia de intereses generales en la obtención de ese tipo de
información. No debe olvidarse, al tiempo de realizar esta ponderación, que tanto la
libertad de expresión, como también ocurre con la de información, adquieren especial
relevancia cuando "se ejerciten en conexión con asuntos que son de interés general,
por las materias a que se refieren y por las personas que en ellos intervienen y
contribuyan, en consecuencia, a la formación de la opinión pública, alcanzando
entonces su máximo nivel de eficacia justificadora frente al derecho al honor, el cual
se debilita, proporcionalmente, como límite externo de las libertades de expresión e
información, en cuanto sus titulares son personas públicas, ejercen funciones públicas
o resultan implicadas en asuntos de relevancia pública, obligadas por ello a soportar
un cierto riesgo de que sus derecho subjetivos de la personalidad resulten afectados
por opiniones o informaciones de interés general, pues así lo requieren el pluralismo
político, la tolerancia y el espíritu de apertura, sin los cuales no existe sociedad
democrática" ( STC 107/1988, de 8 de junio, FJ 2). ?..
Debe recordarse, en tal sentido, que la Constitución reconoce el derecho a expresar y
difundir libremente los pensamientos, ideas y opiniones mediante la palabra, el escrito
" o cualquier otro medio de reproducción " y el derecho a comunicar o recibir
libremente información veraz "por cualquier medio de difusión". Todo ello, sin perjuicio
de que la protección que dispensan estos derechos en su confrontación con otros
deba entenderse reforzada cuando su ejercicio se produce por los profesionales de la
información o por los medios de comunicación convencionales, pero sin olvidar que la
comunicación, hoy en día, no se circunscribe a los medios de comunicación
tradicionales sino a otros medios muy diversos, propiciados por la actual tecnología,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
34/74
en los que internet ocupa un papel muy relevante para obtener y difundir información
veraz y para expresar libremente las propias opiniones e ideas.
Por ello la especial posición que ostentan los derechos de libertad de expresión y de
información se predica no solo para proteger un interés individual, sino que, al mismo
tiempo, permiten crear una opinión pública libre en una sociedad plural y
democrática? La información proporcionada era veraz (o al menos no podía
considerarse gratuita o notoriamente infundada), estaba documentada y tenía interés
general y relevancia pública, afectando a personas que en su condición de
funcionarios públicos y con cargos importantes en la Universidad tiene una clara
proyección pública atendiendo al puesto que ocupaban y al servicio que prestaban.
El ejercicio de la libertad de expresión y de información que amparaba al recurrente
implica el tratamiento de los datos personales de los sujetos objeto de la crítica y de la
información, pues la utilización de sus datos personales, de forma proporcional y
justificada por el fin que se persigue y la libertad que se ejerce, se constituye un
instrumento imprescindible sin el cual la crítica o la información carecería de sentido y
se vaciaría de contenido. Por otra parte, tanto sus nombres, cargos e imágenes eran
de conocimiento público ??, por lo que tampoco puede sostenerse que los datos
proporcionados estuviesen fuera del alcance público desvelándose datos personales
que desvinculados de la información no se conociesen anteriormente.
Es por ello por lo que la utilización de los datos de los denunciantes estaba amparada
por el ejercicio de la libertad de expresión e información del recurrente y la falta de
consentimiento de los afectados está justificada de conformidad con lo dispuesto en el
artículo 6.2 de la LOPD, sin que por ello puede entenderse que su conducta constituya
infracción administrativa alguna en materia de protección de datos?. El Tribunal
Supremo, en su Sentencia 27 de septiembre de 2010, rec. 6511/2008, ha dejado claro
que ?si bien la notoriedad de una persona no autoriza a invadir su vida privada, el
interés público que revista fortalece las exigencias de la libertad de información sobre
ella en igual medida en que ese interés se vea afectado, con la consecuencia de que
su intimidad habrá de ceder en los aspectos vinculados a dicho interés?. Y también es
especialmente importante el Informe de la propia AEPD N/REF: 012007/2019 (https://
www.aepd.es/es/documento/2019-0044.pdf) que se refiere a la ponderación entre
protección de datos y libertad de expresión e información.
Para ello hace suya la doctrina de la sentencia de la Audiencia Nacional de 22 de
enero de 2019, ?cuyo fundamento de derecho cuarto resume la doctrina constitucional
relativa a la ponderación entre el derecho a la protección de datos y los derechos a la
libertad de información reconocido por el artículo 20 de la CE, destacando las
diferencias existentes en el caso de que se trate de personas que ejercen funciones
públicas?.
Y en particular señala (el subrayado es de la propia AEPD en su Informe): ?Por ello, se
ve debilitada la protección de estos otros derechos constitucionales que reconoce el
artículo 20.4 CE frente a las libertades de expresión e información, cuando se ejerciten
en conexión con asuntos que son de interés general, por las materias a que se
refieren y por las personas que en ellos intervienen y contribuyan, en consecuencia, a
la formación de la opinión pública, como ocurre cuando afectan a personas públicas,
que ejercen funciones públicas o resultan implicadas en asuntos de relevancia pública,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
35/74
obligadas por ello a soportar un cierto riesgo de que sus derechos subjetivos de la
personalidad resulten afectados por opiniones o informaciones de interés general
(SSTC 107/1988, de 8 de junio, 20/2002, de 28 de enero, 160/2003, de 15 de
septiembre, 151/2004, de 20 de septiembre, y 9/2007, de 15 de enero).
Y tratándose de personas que ejercen funciones públicas, como recuerda la sentencia
del Tribunal Supremo de 11 de enero de 2019, ?la relevancia pública de la
información- según criterio del Tribunal Constitucional viene determinada tanto por la
materia u objeto de esta, como por razón de la condición pública o privada de la
persona a que atañe. Como hemos dicho en reiteradas ocasiones, las autoridades y
funcionarios públicos, así como los personajes públicos o dedicados a actividades que
conllevan notoriedad pública «aceptan voluntariamente el riesgo de que sus derechos
subjetivos de personalidad resulten afectados por críticas, opiniones o revelaciones
adversas y, por tanto, el derecho de información alcanza, en relación con ellos, su
máximo nivel de eficacia legitimadora, en cuanto que su vida y conducta moral
participan del interés general con una mayor intensidad que la de aquellas personas
privadas que, sin vocación de proyección pública, se ven circunstancialmente
involucradas en asuntos de trascendencia pública, a las cuales hay que, por
consiguiente, reconocer un ámbito superior de privacidad, que impide conceder
trascendencia general a hechos o conductas que la tendrían de ser referidos a
personajes públicos» (por todas, STC 172/1990, de 12 de noviembre, FJ 2)?.
Asimismo, el criterio relativo a la participación que tenga el interesado en la vida
pública como límite a su derecho a la protección de datos personales ha sido
frecuentemente utilizado por el Tribunal de Justicia de la Unión Europea, pudiendo
citarse a estos efectos la sentencia de 13 de mayo de 2014 relativa al denominado
?derecho al olvido? que en interpretación de la Directiva 95/46 y la Carta Europea de
Derechos Fundamentales indica que ?ya que el interesado puede, habida cuenta de
sus derechos con arreglo a los artículos 7 y 8 de la Carta, solicitar que la información
de que se trate ya no se ponga a disposición del público en general mediante su
inclusión en tal lista de resultados, es necesario considerar, como se desprende, en
particular, del apartado 81 de la presente sentencia, que estos derechos prevalecen,
en principio, no sólo sobre el interés económico del gestor del motor de búsqueda,
sino también sobre el interés de dicho público en encontrar la mencionada información
en una búsqueda que verse sobre el nombre de esa persona.
Sin embargo, tal no sería el caso si resultara, por razones concretas, como el papel
desempeñado por el mencionado interesado en la vida pública, que la injerencia en
sus derechos fundamentales está justificada por el interés preponderante de dicho
público en tener, a raíz de esta inclusión, acceso a la información de que se trate?.
Por otro lado, otro criterio a ponderar es el relativo a la actividad profesional que
desarrolle el afectado, ya que como señala la Sentencia de la Audiencia Nacional de 6
de junio de 2017 ?en el caso de autos, entrando ya en la ponderación de los derechos
e intereses en juego, debe tenerse en cuenta en primer lugar, que se refiere a la vida
profesional y no la vida personal, pues ello es muy relevante para modular la
intensidad que ha de merecer la protección del derecho regulado en el artículo 18.4 de
la Constitución, como ha señalado esta Sala y Sección en la sentencia de 11 de mayo
de 2017 (Rec. 30/2016). En este sentido, conviene hacer referencia a las directrices
del Grupo de Trabajo del 29 en materia de derecho al olvido (Guidelines on the
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
36/74
implementatión of the Courrt of Justice of the European Unión Judgmente on ?Google
Spain and inc v, AEPD and Mario Costeja C-131/12), a cuyo tenor: ?Hay una diferencia
básica entre la vida privada de la persona y su vida pública o profesional.
La disponibilidad de la información en los resultados de búsqueda deviene más
aceptable cuanta menos información revele sobre la vida privada de una persona (?)
es más probable que la información tenga relevancia si está relacionada con la vida
profesional del interesado, pero dependerá de la naturaleza del trabajo del interesado
y del interés legítimo del público en tener acceso a esa información a través de una
búsqueda por su nombre?.
En el presente caso es evidente que se cumplen sobradamente todas y cada una de
las exigencias que requieren la Audiencia Nacional, el Tribunal Constitucional, el
Tribunal de Justicia de la Unión Europea y la propia AEPD para entender que debe
prevalecer el derecho a la libertad de información sobre el derecho a la protección de
datos. En efecto:
Estamos ante hechos con relevancia pública, en el sentido de noticiables, y la
información solicitada por los medios de comunicación y hecha pública es veraz. - Las
personas implicadas son, sin duda alguna, personajes con relevancia pública
(directivos muy conocidos de la LNFP y de la AFE). - La información hecha pública se
refiere exclusivamente a la actividad profesional o pública de tales personas, no a su
actividad privada. En conclusión, aplicando los criterios de los más altos Tribunales
que se acaban de apuntar y de la propia AEPD es evidente que en nuestro caso no
cabe sino archivar las actuaciones iniciadas en base a la denuncia presentada por la
LNFP y la AFE, que además carecen totalmente de legitimación para presentar
denuncia alguna en relación con supuestas e inexistentes violaciones del derecho
fundamental a la protección de datos. Más bien parece que tales entidades pretenden
instrumentalizar a la AEPD y algo tan serio como el derecho a la protección de datos
de carácter personal (la Audiencia Nacional en más de una ocasión, como es sabido,
ha cerrado la puerta a la defensa del derecho al honor y a la intimidad mediante la
instrumentalización de la Ley de Protección de Datos y se ha pronunciado a favor de
la libertad de información en casos en que estaban 15 implicadas personas de
relevancia pública, como es el caso a que se refiere el presente procedimiento).
Hemos recordado y reiterado las anteriores consideraciones, además, porque no han
merecido atención alguna en la propuesta de resolución y entendemos que son
esenciales para ponderar la relación entre el derecho a la protección de datos y el
derecho a la libertad de expresión e información.
NOVENA. Aplicación de los criterios agravantes.
No comprendemos la afirmación del Instructor (que con todo respeto consideramos
que va en contra del respeto que a su vez debe tener hacia las personas, aunque
sean entidades denunciadas ante la AERPD) cuando afirma que ?se queda solamente
la entidad reclamada? en que la falta de información no es una operación de
tratamiento y no considera otros factores, que no es necesario ahora transcribir pues
se recogen en la página 41 de la propuesta.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
37/74
Para demostrar que la entidad reclamada, la RFEF, no ?se queda solamente? en lo
que señala el Instructor reiteramos ahora, de nuevo, lo que ya apuntamos con detalle
en nuestro escrito de alegaciones al acuerdo de inicio, en el que llevamos a cabo un
análisis, creemos que detallado, de las circunstancias que establecen el RGPD y la
LOPDGDD. Dijimos entonces y reiteramos ahora, que en el caso de que la AEPD
considerase que procede continuar la tramitación del procedimiento, debemos
formular las siguientes alegaciones en relación con la que consideramos incorrecta
aplicación de los criterios agravantes que en el Acuerdo de Inicio de Procedimiento se
recogen.
La AEPD disponía en dicho Acuerdo de inicio que se considera que procede graduar
las sanciones a imponer (tanto por la supuesta violación del art. 13 del RGPD como de
la supuesta violación del art. 6.1) de acuerdo con los siguientes criterios agravantes
que establece el artículo 83.2 del RGPD: - El alcance o propósito de las operaciones
de tratamiento de datos, así como el número de interesados afectados y el nivel de los
daños y perjuicios que hayan sufrido (apartado a). - La intencionalidad en la infracción,
por parte de la entidad (apartado b). - La forma en que la autoridad de control tuvo
conocimiento de la infracción, ya que la AEPD tuvo conocimiento de la infracción a
través de la reclamación de los interesados (apartado h). Asimismo, añade que, por su
parte, el artículo 76.2 de la LOPDGDD, establece que, de acuerdo con lo previsto en
el artículo 83.2.k) del RGPD, se tendrá en cuenta, como factores agravantes de la
sanción, los siguientes: - La vinculación de la actividad del infractor con la realización
de tratamientos de datos personales, (apartado b).
Pues bien, esta RFEF ya dijo que consideraba, y ahora lo reitera, que ninguno de los
criterios anteriores es aplicable. Más bien todo lo contrario, pues deberían actuar como
atenuantes.
Alcance o propósito de las operaciones de tratamiento de datos, así como el número
de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido
(apartado a).
Alcance o propósito de las operaciones de tratamiento: tal criterio no debe aplicarse a
la supuesta falta de información. Reiteramos ahora que la falta de información no es
una operación de tratamiento y por tanto no cabe aplicar tal criterio. Sostiene la
propuesta de resolución que ?la falta de información sí es una operación de
tratamiento pues la información o la ausencia de información sobre el tratamiento de
los datos personales del interesado genera consecuencias por el propio tratamiento de
los datos? (sic). Con todo respeto, no acertamos a comprender el alcance de la
afirmación de la propuesta de resolución. Pues en realidad, la mera información no es
ninguna operación de tratamiento de datos, y no encaja en la definición de tratamiento
que recoge el art 4.2 del RGPD.
Por tanto, aquella circunstancia agravante no puede aplicarse a la supuesta falta de
información pues esta no es una operación de tratamiento. Y en cuanto a su
aplicación a la supuesta cesión ilícita de las grabaciones a un medio de comunicación,
lo cierto es que dicha cesión se mueve en el ámbito del ejercicio de un derecho
fundamental, el derecho a la libertad de expresión e información, que debe ponerse en
relación con el derecho a la protección de datos, derecho que en numerosas
ocasiones se ha señalado que debe ceder ante el primero. Más en el caso objeto del
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
38/74
presente procedimiento, referido al tratamiento de datos de representantes de
personas jurídicas.
Por otra parte, esta RFEF reitera que no puede admitir bajo ningún concepto el juicio
que hace la AEPD en el sentido de considerar que ?se escuda? en la gravedad de la
situación para ceder ilícitamente datos personales. Como ya dijimos en nuestras
alegaciones al acuerdo de inicio de procedimiento sancionador, debe tenerse en
cuenta que entre otros asuntos se estaba tratando en la reunión del día 7 de abril el
gravísimo tema de la salud de los futbolistas. Ningún propósito ilícito en el tratamiento,
por tanto. Más bien todo lo contrario.
Sin olvidar, además, que quizá lo que sí esconde la denuncia de las LNFP y de la AFE
es un intento de ocultar el verdadero alcance de la situación y de instrumentalizar la
protección de datos, así como de utilizar torticeramente a la AEPD para desviar la
atención de lo que fue el verdadero problema que entonces se planteó: adoptar
medidas frente al COVID-19 que tuviesen en cuenta, como pretendía la RFEF, la
salud de los futbolistas, y no sólo y meramente intereses económicos. Número mínimo
de afectados: los representantes de las entidades denunciantes son tan sólo dos por
parte de la LNFP y tres por parte de AFE.
Es decir, sólo cinco personas. Sin perjuicio de la falta de legitimación de las entidades
denunciantes y de que no consta a esta parte que declaren actuar en nombre y
representación de ninguno, uno o más posibles afectados, lo cierto es que en
cualquier caso no puede bajo ningún concepto considerarse que el resto de asistentes
a las reuniones puedan considerarse afectados, pues la falta de denuncia por su parte
(lógica por lo demás dada la correcta actuación de la RFEF) debe entenderse en el
sentido de que consideran que fueron informados correctamente del tratamiento de
sus datos y de que consideran que la comunicación a un medio de comunicación está
amparada por la legislación de protección de datos y por el artículo 20 de la
Constitución.
Entenderlo de otro modo iría en contra de la presunción de inocencia 17 que la
Constitución establece y supondría considerar una conducta como infractora sin
evidencia alguna, lo que es propio de un régimen inquisitorial y no contradictorio.
Sostiene el Instructor en su propuesta de resolución que lo que debe tenerse en
cuenta no es el número de afectados, sino el hecho de que ?es público y notorio que la
actividad de la RFEF está vinculada al tratamiento masivo de datos personales?. Pues
bien, ese criterio no es el que deriva del RGPD. En efecto, no podemos compartir la
interpretación que hace la Agencia del criterio agravante del número de interesados
afectados. Es evidente que el RGPD se refiere al hecho de que haya un número
elevado de interesados afectados por la posible infracción, no a que el responsable
trate con carácter general un número elevado o ?masivo? de datos personales.
Esta interpretación viene corroborada por el Comité Europeo de Protección de Datos,
que hizo suyo y por tanto asumió el contenido de las Directrices sobre la aplicación y
la fijación de multas administrativas a efectos del Reglamento 2016/679 adoptadas por
el Grupo de Trabajo del Artículo 29 el 3 de octubre de 2017, que con claridad
disponen que los factores que prevé el artículo 83.2 del RGPD deben evaluarse de
manera combinada, es decir, en lo que ahora nos interesa, el número de interesados
junto con el posible impacto sobre ellos. Y añade: El número de interesados debe
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
39/74
evaluarse para determinar si se trata de un hecho aislado o sintomático de una
violación más sistemática o de una falta de rutinas adecuadas. Esto no quiere decir
que los hechos aislados no deban sancionarse, ya que un hecho aislado podría
afectar a muchos interesados. Y es evidente que no nos encontramos ante un hecho
sintomático o rutinario y que no afecta a muchos interesados, sino exclusivamente a
como mucho cinco personas.
En el mismo sentido el Considerando 75 del RGPD, que para determinar el grado de
daños y perjuicios que pueda producir una posible infracción en materia de protección
de datos debe tenerse en cuenta, entre otros aspectos ?que el tratamiento implique
una gran cantidad de datos personales y afecte a un gran número de interesados?.
Es decir, en contra de la interpretación que hace la propuesta de resolución, la
agravante sólo debe aplicarse si la infracción afecta a muchos interesados.
Lo que en absoluto se da en nuestro caso (sin perjuicio de que esta RFEF entiende
que en ningún caso ha cometido infracción alguna)
La intencionalidad en la infracción, por parte de la entidad (apartado b).
La aplicación de este criterio agravante carecía de toda motivación en el acuerdo de
inicio y tampoco se sustenta en la propuesta de resolución. Es más, lo cierto es que
en ningún caso ha habido intención por parte de la RFEF de infringir la legislación de
protección de datos de carácter personal.
No podemos compartir el juicio de valor que sustenta el Instructor al afirmar en su
propuesta (pág. 41) que la RFEF actuó ?a sabiendas? del perjuicio que podía causar. Y
por otro lado, en cuanto a la cesión de las grabaciones a un medio de comunicación
ya se puso de manifiesto y reiteramos ahora que ante la Nota de Prensa de la AFE
conteniendo una interpretación claramente falsa del resultado de la reunión de 7 de
abril 18 de 2020, la RFEF publicó primero una Nota de prensa para fijar la verdad de
los hechos y sólo después entregó parte de la grabación cuando un medio de
comunicación solicitó su entrega, para garantizar el derecho a la libertad de
información y a recibir información veraz. Reiteramos que no puede apreciarse
intencionalidad en la infracción por parte de la RFEF y por tanto no puede estimarse
que concurre tal criterio agravante.
La forma en que la autoridad de control tuvo conocimiento de la infracción, ya que la
AEPD tuvo conocimiento de la infracción a través de la reclamación de los interesados
(ap. h).
En el escrito de alegaciones al acuerdo de inicio ya se puso de manifiesto que la
AEPD no ha tenido conocimiento de las presuntas infracciones a través de la
reclamación de los interesados, pues no han sido éstos, sino las entidades LNFP y
AFE las que han presentado la denuncia. Dada su condición de personas jurídicas no
es posible apreciar en ellas la condición de interesados y por ello no es posible
apreciar el criterio agravante esgrimido por la AEPD. Que la LNFP y la AFE tengan
capacidad de obrar (pág. 41 de la propuesta de resolución) no afecta a la anterior
conclusión, más bien la refuerza, pues se reconoce que fue a través de tales
entidades, y no de los interesados, por las que la AEPD tuvo conocimiento de las
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
40/74
presuntas infracciones. La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales, (apartado b). Por último, como ya expusimos en
nuestras alegaciones al acuerdo de inicio, tampoco debe aplicarse este criterio
agravante.
En efecto la actividad que desarrolla la RFEF implica tratamiento de datos personales,
pero su actividad no está vinculada a la realización de tratamientos. La actividad que
se imputa a la RFEF (no informar a los interesados y ceder unas grabaciones a
medios de comunicación) no implica que se trate de actividades vinculadas a la
realización de tratamientos, como podrían ser los que lleven a cabo empresas del
sector del marketing, o la prestación de servicios de cloud, o redes sociales. Si se
interpretase de otro modo el criterio a que nos referimos, el mismo se aplicaría a todos
los responsables de tratamiento y haría de tal criterio un criterio de aplicación
universal, convirtiéndolo en un agravante de aplicación general a cualquier actividad
de tratamiento, lo cual no es lo querido por el legislador de protección de datos. En
conclusión, como ya dijimos en su momento y ahora reiteramos, no es posible
apreciar ninguno de los criterios agravantes que invoca la AEPD.
Más bien al contrario, deberían aplicarse como atenuantes el ínfimo número de
afectados, la falta de intencionalidad de la RFEF, el hecho de que la AEPD no ha
tenido conocimiento de los hechos por denuncia de los interesados y la no vinculación
de la actividad de la RFEF con la realización de tratamientos de datos.
DECIMA. Respecto a la prueba testifical solicitada.
Como ya se ha señalado reiteradamente en el presente escrito de alegaciones, esta
parte considera que la prueba testifical es imprescindible para demostrar que los
asistentes a la reunión eran conocedores de que la misma se estaba grabando y de la
información que 19 exigen el RGPD y la Ley Orgánica. Nos remitimos una vez más a
lo señalado en nuestro escrito de alegaciones al acuerdo de inicio de procedimiento
sancionador al objeto de considerar la necesidad de practicar dicha prueba.
El no hacerlo, y el que el instructor reitere que la prueba testifical no es necesaria,
produce indefensión a esta parte, pues impide probar una circunstancia esencial para
la resolución del procedimiento del que estas alegaciones forman parte. En
consecuencia, esta RFEF reitera la prueba testifical propuesta, solicitando una vez
más su práctica, pues de otro modo, como señalamos, se está produciendo una clara
indefensión a la RFEF. Lo que implica una clara violación del artículo 24 de la
Constitución. En virtud de todo lo anterior,
Se SOLICITA: 1.- Tenga por presentadas en tiempo y forma ALEGACIONES contra la
Propuesta de Resolución dictada contra la Real Federación Española de Fútbol en el
Procedimiento Nº: PS/00368/2021. 2.- Dicte resolución por la que acuerde el archivo
de las actuaciones
De las actuaciones practicadas en el presente procedimiento, de la información y
documentación presentada por las partes, han quedado acreditados lo siguiente:
HECHOS PROBADOS
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
41/74
1º.- La reclamación presentada por la ASOCIACIÓN DE FUTBOLISTAS ESPAÑOLES
(AFE), por la LIGA NACIONAL DE FÚTBOL PROFESIONAL (LNFP), y de su Director
Adjunto a la Presidencia contra la REAL FEDERACIÓN ESPAÑOLA DE FUTBOL
(RFEF), versa sobre los siguientes aspectos:
- Que La RFEF grabó, sin consentimiento de los participantes, entre ellos
representantes de la AFE, de la LNFP y de otros entes de carácter deportivo,
una reunión que se celebró on-line, el 07/04/20, a través de la plataforma
Zoom, titulada: "Comisión de Seguimiento COVID 19" y celebrada para tratar la
cuestión del impacto de esta emergencia sanitaria en el mundo del fútbol.
Además de la falta de información sobre el hecho de que la reunión iba a ser
grabada, por supuesto, tampoco se les informó del tratamiento de los datos
personales que iban a ser obtenidos a través de la grabación.
- Que posteriormente, la RFEF difundió a través de los medios de comunicación
radiofónicos (Cadena SER, y, posteriormente, a la COPE), extractos de las
intervenciones que se habían producido durante la reunión, sin el
conocimiento previo de los intervinientes y por supuesto, sin su consentimiento,
que lo descubrieron cuando sus intervenciones fueron emitidas en antena el
08/04/20.
- Que previamente a esta reunión que había sido difundida a través de los
medios de comunicación, había habido una primera, celebrada de forma
presencial el 12/03/20, en la sede de la RFEF. En esta primera reunión del
Comité de Seguimiento del Covid-19, sí se había indicado a los participantes
que la sesión iba a ser grabada pero no se les indicó nada más sobre el
tratamiento de los datos personales que se iban a obtener a través de la
grabación
2º.- De la documentación aportada junto con los escritos de reclamación, se
encuentran los siguientes documentos:
a).- Copia de la contestación que hace la RFEF el 10/04/20 a la AFE, en relación con
el escrito de fecha 09/04/20, en el que ésta solicita información a la RFEF, acerca de
las grabaciones efectuadas en las reuniones de la Comisión de Seguimiento del
Covid-19, donde se destacan las siguientes explicaciones que ofrece la RFEF:
- ?[?] Que, al comienzo de la primera reunión, celebrada el día 12 de marzo, se
acordó, sin oposición de ninguno de los intervinientes, grabar las
conversaciones de la comisión para que quedara constancia de ello. En
cualquier caso, cuando la comisión se ha reunido telemáticamente, en las
pantallas de cada uno de los intervinientes aparece en todo momento un piloto
rojo que informa que se está produciendo la grabación de toda la reunión.
- [?] Que ese Sindicato, tras la reunión celebrada el 7 de abril, difundió entre los
medios de comunicación una nota de prensa en la que se contenía una versión
de lo acaecido contraria a lo que realmente había ocurrido. Que, con la
finalidad de preservar el derecho a recibir una información veraz prevista en la
CE, la RFEF remitió a los medios de comunicación una nota de prensa
corrigiendo las divergencias e inexactitudes con la realidad de lo que había
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
42/74
ocurrido en la reunión, acompañando, al primer medio que nos lo pidió, las
grabaciones que así lo acreditaban [?]? .
b).- Copia de correo electrónico remitido desde la dirección ***EMAIL.1 el 11/04/20 a
la dirección: ***EMAIL.2 donde se destaca lo siguiente:
- ?(?) Sabes perfectamente que las reglas de funcionamiento de cualquier
órgano o grupo de trabajo se fijan en la primera sesión y, en tanto no se
modifiquen, siguen rigiendo para las reuniones siguientes. Así nos lo habéis
expresado en multitud de ocasiones en las reuniones de los órganos de la
LNFP. Y, en consecuencia, también sabías perfectamente que todas las
reuniones de la Comisión de seguimiento del COVID-19 estaban siendo
grabadas (?)?
c).- Copia de contestación remitida por la RFEF el 04/05/20, y dirigida al Director
Adjunto a la Presidencia LNFP, como consecuencia de la solicitud que realiza éste a la
RFEF , en relación con el tratamiento de sus datos personales y donde destaca las
siguientes afirmaciones:
- ?(?) En este sentido le informo que el fin del tratamiento de sus datos
personales es realizar el acta, así como tener constancia fehaciente del
desarrollo de los temas y del contenido tratado en la reunión.
- (?) En el caso que nos ocupa, dichas categorías son los datos de
identificación: la institución a la que pertenece cada uno, la imagen y la voz.
- (?) Los datos personales que le conciernen a que se refiere su solicitud, me
informan que fueron igualmente comunicados a la Cadena Ser, único medio de
comunicación que lo solicitó. No obstante, al tratarse de una información de
interés público y con trascendencia social, se podrá facilitar a cuantos medios
lo pudieran solicitar.
- (?) El plazo de conservación podrá ser indefinido, salvo que deba atenderse el
ejercicio de los derechos de supresión, oposición o rectificación por las partes
interesadas.
- (?) En el caso que nos ocupa, su solicitud se basa en la letra b) del apartado 1
del artículo 18 del RGPD. Es decir, considera que el tratamiento de sus datos
que lleva a cabo la RFEF es "ilícito" y por ello solicita la limitación de su
tratamiento. Sin embargo, no justifica de ninguna forma la supuesta ilicitud del
tratamiento ni hay decisión o resolución alguna de la AEPD o de los Tribunales
que así lo establezca. Independientemente de ello, la RFEF se ratifica en los
tratamientos llevados a cabo los cuales están perfectamente ajustados a
derecho. En consecuencia, no se dan las circunstancias para estimar su
solicitud de limitación del tratamiento?.
3.- De las afirmaciones hechas por la RFEF, en los diferentes escritos remitidos a esta
Agencia como consecuencia de los requerimientos hechos por este Organismos,
destacar las siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
43/74
- Que la primera reunión, el 12/03/20, celebrada presencialmente en la que
asistieron 11 personas, fue grabada con el conocimiento de los asistentes,
pues así fue comunicado por el Presidente de la RFEF al principio de la
reunión y sobre el que ninguno de los asistentes mostró objeción alguna. Con
respecto a esto, se presenta grabación y transcripción de dicha parte de la
reunión donde se puede leer: ?(?) Estamos grabando la reunión para que
quede constancia de todo, ¿vale?, y nada, pues tienes la palabra tú, C. (02:25)
C2 de la Liga: Muchas gracias L. Buenos días a todos (?).
- Que la segunda reunión, celebrada de fecha 07/04/20, fue realizada on-line, a
través de la plataforma Zoom, donde se conectaron 26 personas y que también
fue grabada, pero que no se comunicó a los asistentes este hecho por qué,
según la propia federación: ?(?)Es obvio que, como se señala en la citada
contestación, la información facilitada en la primera reunión es aplicable a las
sucesivas, teniendo en cuenta además que entre la primera y la segunda
reunión de la Comisión no transcurrió ni un mes (?).
Hay que destacar que, según los datos aportados por la RFEF, en la primera reunión
asistieron 11 personas y en la segunda se conectaron 26, (15 personas más que en la
primera). No obstante, según la RFEF, los asistentes a la segunda reunión que se
conectaron on-line, podían comprobar que la sesión de videoconferencia estaba
siendo grabada puesto que aparecía un piloto rojo encendido, situado en la parte
superior izquierda de la pantalla de los ordenadores, junto a una indicación que
informaba ?grabando?, e indica que ninguno de las personas conectadas a la reunión
mostró disconformidad sobre este aspecto.
4º.- Sobre el hecho de que la RFEF no informara a los asistentes a las reuniones de la
gestión que se iba a realizar sobre los datos personales obtenidos, la RFEF afirmó
que:
- a).- Como se informó a los asistentes de que las sesiones iban a ser grabadas.
En consecuencia, el deber de información que exigen los artículos 13 del
RGPD y 11 de la LOPDGDD fue cumplido.
- b).- que se informó del fin del tratamiento de los datos personales diciendo al
comienzo de la primera reunión que se iba a grabar la reunión: ?(?) para dejar
constancia de todo (?)?.
- c) Que la RFEF cuenta con una ?política de privacidad? en la URL:
https://www.rfef.es/proteccion-datos donde se puede obtener toda la
información con respecto a este asunto.
5º.- La RFEF reconoce que solamente después de la segunda reunión elaboró un
documento con los extremos exigidos en el artículo 13 del RGPD que proporciona a
los asistentes a las reuniones on-line: ?(?) con posterioridad a la reunión de 4 de abril
de 2020, y para otras reuniones on-line de los órganos colegiados de la RFEF, se
elaboró una cláusula informativa que se adjunta como DOCUMENTO Nº 3 en la que
se detallan todos los extremos exigidos por el art. 13 del RGPD y el art 11 de la
LOPDGDD (?)?.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
44/74
6º.- Con respecto la cesión de la grabación de la reunión del 07/04/20, hecha por la
RFEF a los medios de comunicación y donde, por tanto, se cedían datos personales
de los intervinientes en la misma, se debe destacar las siguientes afirmaciones hechas
por la RFEF:
- Que tras la reunión del 07/04/20, la AFE hizo de inmediato pública una nota de
prensa con lo que, a su parecer, había ocurrido en la reunión.
- Que la RFEF al entender que la nota de prensa de la AFE tergiversaba
totalmente lo en la reunión se había tratado, y que lanzaba mensajes
incorrectos, emitió una nota de prensa desmintiendo las afirmaciones que la
AFE había transmitido a la sociedad.
- Que, según la RFEF, esta situación de confusión generada hizo que la Cadena
SER, pidiera a la RFEF las grabaciones de la reunión para corroborar las
afirmaciones que defendía ésta.
- Que la RFEF accedió a entregar a la Cadena Ser la grabación de la reunión
teniendo en cuenta que se estaba tratando, nada más y nada menos, que de
los efectos en el fútbol (una de las actividades más mediáticas que existen y
con un impacto económico y social que nadie puede poner en duda); - la
declaración del estado de alarma, que implicaba la suspensión de la
celebración de todos los partidos de futbol profesional? y por ?la necesidad de
aclarar de forma contrastada la verdad en relación con las cuestiones
analizadas en la reunión?.
- Que, la cesión de la grabación y, por tanto, de los datos personales de los
asistentes a la reunión, a la Cadena Ser, fue acogiéndose al derecho de
información veraz recogido en el artículo 20 de la CE y en base a la
legitimación que le proporcionaba el artículo 6.1.e) del RGPD.
FUNDAMENTOS DE DERECHO
I.- Competencia:
Es competente para resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en
el art. 47 de LOPDGDD.
II.- Contestación a las alegaciones presentadas por la RFEF a la Propuesta de
Resolución:
A).- Contestación a las alegaciones presentadas en el punto SEGUNDO:
?Sobre los hechos declarados probados?.
Debemos empezar recordando las afirmaciones realizadas por la RFEF en este
sentido:
a).- (?) todos los asistentes a la segunda reunión eran conscientes de que, al igual
que la primera, la sesión estaba siendo grabada (?)?.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
45/74
b.- ?(?) que de las 15 personas más que asistieron a la segunda reunión, 13
pertenecen a la RFEF y por tanto eran conocedoras perfectamente de las reglas por
las que se rigen las reuniones (?)?
c).- (?) por parte de la AFE asistieron también las mismas personas a ambas
reuniones, si bien a la segunda también asistió una persona de los Servicios Jurídicos,
que no es afectado por el presente procedimiento (?)?.
d).- (?) cuando la Comisión se ha reunido telemáticamente, en las pantallas de cada
uno de los intervinientes aparece un piloto rojo que informa que se está produciendo la
grabación de toda la reunión (?)?, (afirmación hecha en el escrito de alegaciones a la
incoación del expediente el 23/09/21).
Además de lo anterior, se debe apuntar que, en la segunda reunión, la celebrada en
07/04/21, asistió una persona más, en representación de la Comisión de Clubes de
fútbol femenino de Primera y Segunda División, que no ha sido tenida en
consideración por la Federación formar sus alegaciones.
Conviene igualmente señalar que, la única prueba que aporta la Federación para
intentar corroborar las anteriores afirmaciones es el documento al que se le designa
como ?Documento Nº 1? presentado ante esta Agencia el 23/09/21, donde se
transcribe la reunión del 12/03/20. De dicha transcripción debemos destacar lo dicho
por el representante de la RFEF al comienzo de la reunión: ?(?) Os recuerdo, cuando
vayáis a intervenir pulsad aquí, estamos grabando la reunión para que quede
constancia de todo, ¿vale?, y nada, pues tienes la palabra tú, C. (02:25) (?).
No existe, aparte de lo indicado en el párrafo anterior, ninguna otra prueba que
corrobore las afirmaciones realizadas por la RFEF, cuando afirma que todos los
asistentes a las dos reuniones (la del 12/03/20 y la del 07/04/20), conocían que iban a
ser grabadas,
Pero sobre todo y más importante aún para dilucidar la resolución de este
procedimiento es que en ningún momento, la RFEF aporta prueba que pueda
corroborar que los asistentes a ambas reuniones conocían los extremos que marca la
norma sobre la gestión de los datos personales obtenidos por el responsable. Esto es,
que fueran informados de los aspectos indicados en el artículo 13 del RGPD, en
relación con los datos personales obtenidos de las grabaciones hechas por la RFEF.
Pues bien, en este sentido, hay que indicar que RGPD no se limita a situar la
responsabilidad sobre un responsable pasivo, que deberá hacer frente a las
consecuencias de posibles infracciones en materia de protección de datos, sino que
adopta un enfoque proactivo, exigiendo que el responsable adopte medidas
preventivas dirigidas a eliminar los riesgos de su incumplimiento y, además, que esté
en condiciones de demostrar que ha implantado esas medidas y que las mismas son
las adecuadas.
Así tenemos como, por una parte, el considerando 74 del RGPD indica que: ?Debe
quedar establecida la responsabilidad del responsable del tratamiento por cualquier
tratamiento de datos personales realizado por él mismo o por su cuenta. En particular,
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
46/74
el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de
poder demostrar la conformidad de las actividades de tratamiento con el presente
Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en
cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como, el
riesgo para los derechos y libertades de las personas físicas.
Por otra parte, tenemos lo establecido en el artículo 5.2 del RGPD, cuando establece
que: ?el responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo?, lo cual le obliga a que: ?teniendo
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los
riesgos de diversa probabilidad y gravedad para los derechos y libertades de las
personas físicas, el responsable del tratamiento aplicará medidas técnicas y
organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es
conforme con el Reglamento?.
Pues bien, de todo lo expuesto anteriormente, podemos destacar los siguientes
puntos:
En primer lugar, en la reunión del 12/03/20, de la frase que el responsable de la RFEF
dice al comienzo de la reunión, (recordar que es la única referencia que existe a que
las reuniones iban a ser grabadas): ?(?) Estamos grabando la reunión para que
quede constancia de todo, ¿vale?, y nada, pues tienes la palabra tú??, no se
desprende en ningún momento que los asistentes a dicha reunión fueran informados
de que las reuniones posteriores también iban a ser grabadas. Por tanto, la afirmación
que hace la RFEF en el sentido, ?(?) Reiteramos que todos los asistentes a la
segunda reunión eran conscientes de que, al igual que la primera, la sesión estaba
siendo grabada (?)?, no puede ser tomada en consideración.
En segundo lugar, en la reunión de 07/04/20, asistieron 15 personas que no asistieron
a la primera reunión, y, por tanto, no tenía por qué conocer lo que se dijo en la primera
reunión, incluido que el hecho de que se grabara.
En tercer lugar, la RFEF se limita a afirmar que, ?(?) de las 15 personas más que
asistieron a la segunda reunión, 13 pertenecen a la RFEF y por tanto eran
conocedoras perfectamente de las reglas por las que se rigen las reuniones (?), sin
aportar la más mínima prueba que pudiera corroborar afirmación.
En cuarto y último lugar, hay que recordar que, además de las 13 personas que
asistieron a la segunda reunión y que pertenecían a la RFEF, asistieron 2 personas
más, pertenecientes a la AFE y a la Comisión de Clubes de fútbol femenino de
Primera y Segunda División, respectivamente, que no tenían por qué tener
conocimiento de que la reunión iba a ser grabada ni del contenido de la primera
reunión
Al margen de los puntos anteriores, donde se ha constatado que, existieron al menos
13 personas, (los asistentes a la segunda reunión) que no fueron informados
convenientemente de que su reunión iba a ser grabada, lo que no ha quedado
demostrado en ningún caso, es que la RFEF informara a los asistentes de que las
reuniones de los extremos que marca el artículo 13 del RGPD, respecto a la gestión
iba a realizar de los datos personales obtenidos en las dos grabaciones efectuadas.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
47/74
Esto es, lo que ha quedado constatado en todo este proceso es que la RFEF no
informó en ningún momento a los asistentes a las reuniones de los siguientes puntos
que marca el artículo 13 del RGPD: a) la identidad y los datos de contacto del
responsable y, en su caso, de su representante; b) los datos de contacto del delegado
de protección de datos, en su caso; c) de los fines del tratamiento a que se destinan
los datos personales y la base jurídica del tratamiento; d) los destinatarios o las
categorías de destinatarios de los datos personales, en su caso; e) en su caso, la
intención del responsable de transferir datos personales a un tercer país u
organización internacional; f) el plazo durante el cual se conservarán los datos
personales o, cuando no sea posible, los criterios utilizados para determinar este
plazo; g) la existencia del derecho a solicitar al responsable del tratamiento el acceso a
los datos personales relativos al interesado, y su rectificación o supresión, o la
limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la
portabilidad de los datos; y h) el derecho a presentar una reclamación ante una
autoridad de control.
Tampoco se informó a los asistentes a la reunión del 07/04/20, de que la grabación iba
a ser cedida a los medios de comunicación tal y como establece el artículo 13.3 del
RGPD: ?Cuando el responsable del tratamiento proyecte el tratamiento ulterior de
datos personales para un fin que no sea aquel para el que se recogieron,
proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información
sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2?.
El artículo 18 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP), posibilita que las reuniones de un órgano colegiado pueden ser
grabadas a efectos de acompañar al acta de la sesión y darle prueba de legitimidad e
integridad y así se marca en dicho artículo: ?(?) El fichero resultante de la grabación,
junto con la certificación expedida por el Secretario de la autenticidad e integridad del
mismo, y cuantos documentos en soporte electrónico se utilizasen como documentos
de la sesión, podrán acompañar al acta de las sesiones (?)?.
De acuerdo con lo anterior, la RFEF sí tenía la legitimación necesaria para grabar las
sesiones de la ?Comisión de Seguimiento del COVID-19?, pero solo para dar soporte al
acta de la reunión y en este sentido se debería haber informado a los asistentes según
marca el artículo 13 del RGPD: ?1.Cuando se obtengan de un interesado datos
personales relativos a él, el responsable del tratamiento, en el momento en que estos
se obtengan, le facilitará toda la información indicada a continuación: (?)?, entre la
que se encuentra en el punto c): ?los fines del tratamiento a que se destinan los datos
personales y la base jurídica del tratamiento?.
Pues bien, en el presente caso, el responsable del tratamiento de los datos, esto es, la
RFEF, tenía la obligación de informar a los asistentes a las reuniones del fin al que
iban a destinar los datos persones obtenidos de las grabaciones y la base jurídica que
lo sustentaba, además de los otros aspectos indicados en el citado artículo 13 del
RGPD. No obstante, el representante de la RFEF solo informó en la primera reunión
de que ésta iba a ser grabada: ?(?) Estamos grabando la reunión para que quede
constancia de todo, ¿vale?, y nada, pues tienes la palabra tú?? pero sin ofrecer
ningún tipo de información adicional.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
48/74
Con esta escueta y genérica información sobre la finalidad a la que se destinarían los
datos recogidos en la grabación: ? (?) para que quede constancia de todo, ¿vale?
(?), no identifica, en absoluto ningún fin específico del tratamiento ni por supuesto,
tampoco informa de la ?base jurídica? que lo sustenta. Recordemos además que, en la
reunión del 07/04/20, celebrada por videoconferencia (vía Zoom), ni siquiera se les
recordó a los asistentes conectados que sus intervenciones iban a ser grabadas.
Para terminar este punto, hay que recordar que la propia RFEF confirma, en su escrito
de fecha 23/09/21 que, después de haber tenido la segunda reunión se elaboró una
cláusula informativa en la que se detallan los extremos recogidos en el artículo 13 del
RGPD, de lo cual, se desprende que, antes de las reuniones del 12/03/20 y del
07/04/20, no existía ningún tipo de documento en la RFEF que informase sobre estos
extremos a los asistentes a las reuniones.
En estos extremos se indicaba por parte de la RFEF: ?Por otra parte, también debe
tenerse en cuenta como hecho relevante en las presentes actuaciones que, con
posterioridad a la reunión de 4 de abril de 2020, y para otras reuniones on line de los
órganos colegiados de la RFEF, se elaboró una cláusula informativa que se adjunta
como DOCUMENTO Nº 3 en la que se detallan todos los extremos exigidos por el
artículo 13 del RGPD y el artículo 11 de la Ley Orgánica 3/2018. Dicha cláusula se
incorpora desde hace ya tiempo a las convocatorias de reuniones on line. A tal fin y
como evidencia de ello se adjunta como DOCUMENTO Nº 4 copia de un correo de
convocatoria de una reunión on line en el que se adjunta el documento ?Reuniones
virtuales. Clausula Informativa protección de datos.pdf?.
En otro apartado del punto segundo, la RFEF alega que facilitó la grabación de la
reunión del día 07/04/20 a un medio de comunicación, (la Cadena Ser), en base al
?interés público? y reitera que, ?(?) lo que estaba en juego era el pleno respeto al
derecho fundamental a la libertad de expresión e información (?)?.
Pues bien, debemos iniciar este apartado recordando lo que indica el considerando 50
del RGPD, cuando dice que :
?El tratamiento de datos personales con fines distintos de aquellos para los que hayan
sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines
de su recogida inicial. En tal caso, no se requiere una base jurídica aparte, distinta de
la que permitió la obtención de los datos personales.
Si el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento,
los cometidos y los fines para los cuales se debe considerar compatible y lícito el
tratamiento ulterior se pueden determinar y especificar de acuerdo con el Derecho de
la Unión o de los Estados miembros. Las operaciones de tratamiento ulterior con fines
de archivo en interés público, fines de investigación científica e histórica o fines
estadísticos deben considerarse operaciones de tratamiento lícitas compatibles.
La base jurídica establecida en el Derecho de la Unión o de los Estados miembros
para el tratamiento de datos personales también puede servir de base jurídica para el
tratamiento ulterior.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
49/74
Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la
recogida inicial de los datos personales, el responsable del tratamiento, tras haber
cumplido todos los requisitos para la licitud del tratamiento original, debe tener en
cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del
tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en
particular las expectativas razonables del interesado basadas en su relación con el
responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las
consecuencias para los interesados del tratamiento ulterior previsto y la existencia de
garantías adecuadas tanto en la operación de tratamiento original como en la
operación de tratamiento ulterior
Si el interesado dio su consentimiento o el tratamiento se basa en el Derecho de la
Unión o de los Estados miembros que constituye una medida necesaria y
proporcionada en una sociedad democrática para salvaguardar, en particular,
objetivos importantes de interés público general, el responsable debe estar facultado
para el tratamiento ulterior de los datos personales, con independencia de la
compatibilidad de los fines.
Se debe garantizar la aplicación de los principios establecidos por el presente
Reglamento y, en particular, la información del interesado sobre esos otros fines y
sobre sus derechos, incluido el derecho de oposición. La indicación de posibles actos
delictivos o amenazas para la seguridad pública por parte del responsable del
tratamiento y la transmisión a la autoridad competente de los datos respecto de casos
individuales o casos diversos relacionados con un mismo acto delictivo o amenaza
para la seguridad pública debe considerarse que es en interés legítimo del
responsable. Con todo, debe prohibirse esa transmisión en interés legítimo del
responsable o el tratamiento ulterior de datos personales si el tratamiento no es
compatible con una obligación de secreto legal, profesional o vinculante por otro
concepto?.
También debemos recordar lo que dice el considerando 45 del RGPD:
?Cuando se realice en cumplimiento de una obligación legal aplicable al responsable
del tratamiento, o si es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos, el tratamiento debe tener una
base en el Derecho de la Unión o de los Estados miembros.
El presente Reglamento no requiere que cada tratamiento individual se rija por una
norma específica. Una norma puede ser suficiente como base para varias operaciones
de tratamiento de datos basadas en una obligación legal aplicable al responsable del
tratamiento, o si el tratamiento es necesario para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos.
La finalidad del tratamiento también debe determinase en virtud del Derecho de la
Unión o de los Estados. Además, dicha norma podría especificar las condiciones
generales del presente Reglamento por las que se rige la licitud del tratamiento de
datos personales, establecer especificaciones para la determinación del responsable
del tratamiento, el tipo de datos personales objeto de tratamiento, los interesados
afectados, las entidades a las que se pueden comunicar los datos personales, las
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
50/74
limitaciones de la finalidad, el plazo de conservación de los datos y otras medidas para
garantizar un tratamiento lícito y leal.
Debe determinarse también en virtud del Derecho de la Unión o de los Estados
miembros si el responsable del tratamiento que realiza una misión en interés público o
en el ejercicio de poderes públicos debe ser una autoridad pública u otra persona
física o jurídica de Derecho público, o, cuando se haga en interés público, incluidos
fines sanitarios como la salud pública, la protección social y la gestión de los servicios
de sanidad, de Derecho privado, como una asociación profesional.
Por tanto, para que el tratamiento de los datos personales pueda ser legitimado por
?interés público? antes que, por el consentimiento del afectado, debe haberse
conferido un poder oficial bien al responsable del tratamiento, bien a la tercera parte a
la que este comunica los datos y el tratamiento de datos debe ser necesario para el
ejercicio de dicha potestad. Pero este ?poder oficial o misión de interés público?
deberán conferirse o atribuirse mediante ley u otra normativa jurídica. Ahora bien, si el
tratamiento conlleva una invasión de la privacidad o si este se exige de otro modo en
virtud de la legislación nacional, para garantizar la protección de las personas
afectadas, la base jurídica deberá ser lo suficientemente específica y precisa a la hora
de definir el tipo de tratamiento de datos que puede permitirse?.
Pues bien, la RFEF, para ceder los datos personales recogidos en las grabaciones de
las reuniones a los medios de comunicación, se acoge al derecho reconocido en el
artículo 20 de la CE, y en los siguientes puntos:
- Que ante el impacto social y mediático que produjo la suspensión de las
actividades de fútbol como consecuencia de la declaración del estado de
alarma; Que diversos medios de comunicación se hicieron eco de las
reuniones que mantuvo la Comisión de Seguimiento Covid-19.
- Que debido a que la AFE, una de las entidades presentes en las reuniones,
hizo de inmediato pública, el mismo día de la reunión, una nota de prensa, en
el que se hacía eco de su percepción de la reunión, tergiversando totalmente lo
en ella tratado, lanzando un mensaje incorrecto a la sociedad y a los medios de
comunicación.
- Que esta situación de confusión hizo que la Cadena SER, pidiera a la RFEF
que le facilitase parte de las grabaciones de la reunión.
- Que debido a que se estaba tratando, nada más y nada menos, que de los
efectos en el fútbol (una de las actividades más mediáticas que existen y con
un impacto económico y social que nadie puede poner en duda) y dada la
responsabilidad de la RFEF y dada la necesidad de aclarar de forma
contrastada la verdad en relación con las cuestiones analizadas en la reunión.
- Que teniendo en cuenta además el derecho a la libertad de información y
expresión que reconoce el artículo 20 de la Constitución, emitió una nota de
prensa corrigiendo las inexactitudes y divergencias con la realidad de lo que
había ocurrido en la reunión.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
51/74
- Que un medio de comunicación pidió las grabaciones que acreditaban que la
RFEF era la que se ajustaba a la verdad. Ante tal situación, la RFEF consideró
que la cesión de los datos que se solicitaban por parte de la Cadena SER
estaba amparada en el interés público de acuerdo con el artículo 6.1.e) del
RGPD.
- Que se tuvo en cuenta además que los datos que se iban a ceder eran datos
de representantes de personas jurídicas, en sus relaciones profesionales y en
ningún caso privadas.
De los puntos indicados, en lo que se basa la RFEF para ceder los datos personales
incluidos en las grabaciones realizadas a los medios de comunicación, se desprende
que uno de los motivos más importantes para ello, sino el único, fue corroborar y dar
validez al comunicado de prensa que había enviado previamente, donde contradecía
lo expresado en el comunicado de prensa enviado por la AFE,
Hay que recordar que, la RFEF ya había ejercido su derecho a expresar y difundir
libremente sus opiniones a través de un comunicado de prensa, haciendo uso, como
indica la propia Federación del derecho reconocido en el artículo 20 de la CE.
Para terminar, con respecto a la afirmación que realiza la RFEF cuando indica que
solamente se cedieron a los medios de comunicación opiniones oficiales de los
organismos que estaban convocados por boca de sus representantes, indicar en este
punto que, la cesión de la grabación de la reunión por parte de la RFEF a los medios
de comunicación y su posterior divulgación por estos a toda España puso también en
conocimiento de la opinión pública, opiniones personales o comentarios que no tenían
nada que ver con el tema que se trataba en la reunión, como por ejemplo, una muestra
obtenida de la transcripción de la grabación cedida a los medios de comunicación,
aportada junto con los escritos de reclamación: "(?) Te pido que llegue eso desde
AFE. Nos han llegado noticias de que están llegando otras cosas. A mí me han
llamado jugadores con los que habéis hablado. Les habéis dicho, que me lo han dicho,
que no les estamos defendiendo, que nosotros somos unos (...)?
B).- Contestación a alegaciones presentadas en el punto TERCERO: ?Sobre la
grabación de las reuniones de la Comisión de Seguimiento del COVID19?
Sobre la posibilidad o no de acceso a las actas de un órgano colegiado y si estás son
públicas o no, indicar que, no se debe confundir conceptos tan diferentes como son, el
acta de una reunión de un órgano colegiado, definido en el artículo 18.1 de la LRJSP,
párrafo 1º, con la posible grabación de la reunión y su finalidad, definida en el artículo
18.1 de la LRJSP, párrafo 2º. El hecho de que exista el derecho de acceso al acta de
una reunión de un órgano colegiado de carácter público, en base a lo estipulado en la
Ley 19/2013, de Transparencia y Buen Gobierno, no implica que se pueda acceder
también a la grabación de la reunión, pues no tienen el mismo contenido ni finalidad:
Según se establece en el artículo 18.1 de la LRJSP (primer párrafo): 1. De cada sesión
que celebre el órgano colegiado se levantará acta por el Secretario, que especificará
necesariamente: - los asistentes, - el orden del día de la reunión, - las circunstancias
del lugar y tiempo en que se ha celebrado, - los puntos principales de las
deliberaciones, - así como el contenido de los acuerdos adoptados.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
52/74
Por su parte, el punto 5 del artículo 19 de la citada Ley LRJS: ?En el acta figurará, a
solicitud de los respectivos miembros del órgano, el voto contrario al acuerdo
adoptado, su abstención y los motivos que la justifiquen o el sentido de su voto
favorable. Asimismo, cualquier miembro tiene derecho a solicitar la transcripción
íntegra de su intervención o propuesta, siempre que, en ausencia de grabación de la
reunión aneja al acta, aporte en el acto, o en el plazo que señale el Presidente, el
texto que se corresponda fielmente con su intervención, haciéndose así constar en el
acta o uniéndose copia a la misma.
Esto último quiere decir que, en las actas de las reuniones de los órganos colegiados
se incluye ?los puntos principales de las deliberaciones? y no se incluye la transcripción
íntegra de la intervención o propuesta o las opiniones o comentarios personales de los
intervinientes, a no ser que, expresamente así lo indiquen.
Por tanto, no es lo mismo una grabación de la reunión de un órgano colegiado que el
acta de la sesión, pues en las grabaciones, como ha quedado demostrado en el caso
que nos ocupa, además de constar datos personales de los asistentes, como es la voz
de interviniente o su identificación con nombre y apellidos, también existe grabación de
opiniones, comentarios personales o pensamientos que no tienen nada que ver con el
asunto tratado en la reunión.
Por otra parte, la afirmación que hace la RFEF al asegurar que, ?(?) de las 15
personas que asistieron a la segunda reunión, que de ellas 13 forman parte de la
propia RFEF y conocían perfectamente que la sesión iba a ser grabada así como la
finalidad de la grabación y que otra persona era una persona de los Servicios
Jurídicos de la AFE (?)?, sin aportar, como marca la norma, la más mínima prueba o
documento con el que se pueda corroborar que las personas que asistieron a las
reuniones conocían que las reuniones iban a ser grabadas y los extremos recogidos
en el artículo 13 del RGPD, he intentado atribuir a esta Agencia la carga de la prueba
cuando la norma establece todo lo contrario: a) Considerando 74: ?(?) responsable
debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar
la conformidad de las actividades de tratamiento con el presente Reglamento, incluida
la eficacia de las medidas (?)? y b) artículo 5.2 del RGPD: ?el responsable del
tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y
capaz de demostrarlo?, según el cual ?teniendo en cuenta la naturaleza, el ámbito, el
contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y
gravedad para los derechos y libertades de las personas físicas, el responsable del
tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar que el tratamiento es conforme con el presente Reglamento?.
La única prueba que aporta la RFEF donde intenta demostrar que el tratamiento de los
datos personales realizados por la Federación se ajusta la RGPD es el documento que
elaboró después de haber celebrado las dos reuniones con las: ?cláusulas
informativas en la que se detallan los extremos recogidos en el artículo 13 del RGPD?,
según confirma la propia Federación en su escrito de 23/09/21: ?(?) también debe
tenerse en cuenta como hecho relevante en las presentes actuaciones que con
posterioridad a la reunión de 4 de abril de 2020, y para otras reuniones on line de los
órganos colegiados de la RFEF, se elaboró una cláusula informativa que se adjunta
como DOCUMENTO Nº 3 en la que se detallan todos los extremos exigidos por el
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
53/74
artículo 13 del RGPD y el artículo 11 de la Ley Orgánica 3/2018. Dicha cláusula se
incorpora desde hace ya tiempo a las convocatorias de reuniones on-line. A tal fin y
como evidencia de ello se adjunta como DOCUMENTO Nº 4 copia de un correo de
convocatoria de una reunión on line en el que se adjunta el documento ?Reuniones
virtuales. Clausula Informativa protección de datos.pdf (?)?.
Por tanto, no se ha constatado que exista prueba que corrobore que el responsable
del tratamiento de los datos, esto es, la RFEF, informara a los asistentes a las
reuniones del 20/03/20 y 07/04/20, de que, en primer lugar, las reuniones iban a ser
grabadas y en segundo lugar, y más importante aún, de los extremos exigidos en el
artículo 13 del RGPD pues solamente aporta, como documento Nº 3, una hoja
informativa, elaborada después de haber celebrado las dos reuniones y que servirá
para proporcionar a los asistentes a las reuniones ?on-line? a celebrar con
posterioridad, la información preceptiva marcada en el RGPD.
C).- Contestación a las alegaciones que se realizan en el punto CUARTO:
?Sobre la publicación por parte de varios medios de comunicación de
información referida a las reuniones de la Comisión de Seguimiento COVID-
19?.
Sobre las alegaciones hechas en el sentido de que, ?(?) Ley 19/2013 permite y aún
obliga a hacer públicas las actas de órganos colegiados (?)?, se debe iniciar este
punto recordando una vez más, la diferencia entre el acta redactada de la reunión de
un órgano colegiado, (definida en el artículo 18.1 de la LRJSP, párrafo 1º), según el
cual, constará de, la relación de asistentes a la misma, el orden del día de la reunión,
las circunstancias del lugar y tiempo en que se ha celebrado, los puntos principales de
las deliberaciones, así como el contenido de los acuerdos adoptados, diferenciándolo
con la posible grabación de la reunión y su finalidad, (definido en el artículo 18.1 de la
LRJSP, párrafo 2º), según el cual, dicha grabación junto con la certificación expedida
por el Secretario de la autenticidad e integridad del acta, y cuantos documentos en
soporte electrónico se utilizasen como documentos de la sesión, podrán acompañar al
acta de la sesión.
Respecto a las alegaciones presentada en este punto, respecto del derecho
fundamental reconocido en el artículo 20 de la Constitución, reiterar lo expuesto en el
apartado A).- de contestación a las alegaciones presentadas en el punto SEGUNDO.
D).- Contestación a las alegaciones presentadas en el punto QUINTO: ?Sobre
la falta de legitimación de las entidades denunciantes?.
Debemos iniciar este apartado recordando lo que, con respecto a la incoación de un
procedimiento administrativo, establece la LPACAP:
El artículo 54, sobre las clases de iniciación indica que: ?Los procedimientos podrán
iniciarse de oficio o a solicitud del interesado?.
El artículo 63, sobre las especialidades en el inicio de los procedimientos
sancionadores, establece: ?1. Los procedimientos de naturaleza sancionadora se
iniciarán siempre de oficio por acuerdo del órgano competente (?)?
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
54/74
El artículo 58, sobre la iniciación de oficio, establece que: ?Los procedimientos se
iniciarán de oficio por acuerdo del órgano competente, bien por propia iniciativa o
como consecuencia de orden superior, a petición razonada de otros órganos o por
denuncia.?
El artículo 62.1 define la denuncia como: ?1. el acto por el que cualquier persona, en
cumplimiento o no de una obligación legal, pone en conocimiento de un órgano
administrativo la existencia de un determinado hecho que pudiera justificar la iniciación
de oficio de un procedimiento administrativo?.
Por último, el Artículo 59. Sobre el Inicio del procedimiento sancionador por propia
iniciativa, define este concepto como: ?la actuación derivada del conocimiento directo
o indirecto de las circunstancias, conductas o hechos objeto del procedimiento por el
órgano que tiene atribuida la competencia de iniciación?.
Pues bien, el artículo 77 del RGPD, establece el derecho que tienen los interesados a
presentar una reclamación ante la autoridad de control: ?1. Sin perjuicio de cualquier
otro recurso administrativo o acción judicial, todo interesado tendrá derecho a
presentar una reclamación ante una autoridad de control, en particular en el Estado
miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la
supuesta infracción, si considera que el tratamiento de datos personales que le
conciernen infringe el presente Reglamento (?)?. Entendiendo por interesado, según
estable el artículo 4.1.a) de la LPACAP a: ?Quienes lo promuevan como titulares de
derechos o intereses legítimos individuales o colectivos?.
Además de la posibilidad de que cualquier interesado presente una reclamación ante
la autoridad de control, esto es ante la AEPD, existe la posibilidad de que este
Organismo inicie un procedimiento sancionador por propia iniciativa, de acuerdo con lo
establecido en el Artículo 64.2 de la LOPDGDD: ?2. Cuando el procedimiento tenga
por objeto la determinación de la posible existencia de una infracción de lo dispuesto
en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante
acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación?.
En el caso que nos ocupa, tanto la AFE, como la LNFP se personaron ante esta
Agencia, el 16/04/20, presentando una reclamación que, entre otras cosa, indicaba
que, La RFEF había grabado las reuniones de la Comisión anti Covid-19, celebradas
el 12/03/20 y 07/04/20, y con ello, datos personales de los que asistieron a las misma,
sin el consentimiento preceptivo de los participantes y que posteriormente, había
difundido extractos de los ficheros de audio entre alguno de los medios de
comunicación, como la cadena SER o la COPE, sin que los afectados por la grabación
hubieran tenido conocimiento de ello y por tanto no tuvieron ocasión de oponerse a
que sus datos personales fueran difundidos a través de los medios de comunicación.
Ante esta reclamación, con fecha 10/06/20, la AEPD envió un escrito a la RFEF
solicitando información con respecto a las reclamaciones presentadas, de conformidad
con lo estipulado en el artículo 65.4 de la Ley LOPDGDD: ?4. Antes de resolver sobre
la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos
podrá remitir la misma al delegado de protección de datos que hubiera, en su caso,
designado el responsable o encargado del tratamiento o al organismo de supervisión
establecido para la aplicación de los códigos de conducta a los efectos previstos en
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
55/74
los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de
Datos podrá igualmente remitir la reclamación al responsable o encargado del
tratamiento cuando no se hubiera designado un delegado de protección de datos ni
estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo
caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo
de un mes?.
Con fecha 27/08/20, la Directora de la Agencia Española de Protección de Datos dictó
acuerdo de admisión de trámite de las reclamaciones presentadas, de conformidad
con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una
vulneración de las normas en el ámbito de las competencias de la Agencia Española
de Protección de Datos.
Y con fecha 30/07/21, la Directoria de la Agencia Española de Protección de Datos,
dictó acuerdo de incoación de expediente sancionador a la RFEF, al apreciar indicios
razonables de vulneración del RGPD, según lo establecido en el artículo 63 y 58 de la
LPACAP : ?1. Los procedimientos de naturaleza sancionadora se iniciarán siempre de
oficio por acuerdo del órgano competente (?)?, por propia iniciativa (artículo 58
LPACAP), y al tener conocimiento de la existencia de un determinado hecho que
pudiera justificar la iniciación de oficio de un procedimiento administrativo, (artículo
62.1 de la LPACAP).
Sobre la otra parte de las alegaciones, donde la RFEF indica la necesidad de
diferenciar ?(?) el tratamiento de datos personales de personas físicas que afecten a
su vida privada que el de datos que exclusivamente afecten a su vida profesional en
cuanto integrantes de una persona jurídica (?)?, volver a recordar los siguientes
aspectos ya explicados con anterioridad:
- El objeto del RGPD, establecido en su artículo 1 es: ? 1.- Establecer las normas
relativas a la protección de las personas físicas en lo que respecta al
tratamiento de los datos personales y las normas relativas a la libre circulación.
2. El Reglamento protege los derechos y libertades fundamentales de las
personas físicas y, en particular, su derecho a la protección de los datos
personales.
- El RGPD se aplicará, según se establece en su artículo 2: ?al tratamiento total
o parcialmente automatizado de datos personales, así como al tratamiento no
automatizado de datos contenidos o destinados a ser incluidos en un fichero?.
- El RGPD define, en su artículo 4, el ?dato personal? como: ?toda información
sobre una persona física identificada o identificable («el interesado»); se
considerará persona física identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador,
como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la
identidad física, fisiológica, genética, psíquica, económica, cultural o social de
dicha persona?.
- Y define el ?tratamiento de los datos personales? como: ?cualquier operación o
conjunto de operaciones realizadas sobre datos personales o conjuntos de
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
56/74
datos personales, ya sea por procedimientos automatizados o no, como la
recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión,
difusión o cualquier otra forma de habilitación de acceso, cotejo o
interconexión, limitación, supresión o destrucción?;
Por tanto, el RGPD no diferencia categoría o clases datos personales, en el sentido de
diferenciar un dato personal que afecte o defina su vida privada de una dato personal
que le afecte o le defina desde el ángulo de su vida profesional o laboral, pues según
define el RGPD el ?dato personal? (art. 4 del RGPD): ?toda información sobre una
persona física identificada o identificable («el interesado»)?; considerándose como
?persona física identificable? a toda persona cuya identidad pueda determinarse,
directa o indirectamente, mediante un identificador, como por ejemplo un nombre, un
número de identificación, unos datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.
Pues bien, tomando como base la definición establecida en el RGPD sobre lo que es
un dato personal, un ejemplo podría ser: el identificador, ?Presidente de ??. Este
identificador hace referencia e identifica a una sola persona física, que puede ser
diferenciada de cualquier otra persona, pues solamente una sola persona física podrá
tener dicha categoría. Por tanto, el tratamiento que se pudiera hacer con dicho
identificador, (Presidente de ?), está íntegramente regulado en el RGPD y en la
LOPDGDD.
No obstante, lo anterior, dejar claro que, aunque el RGPD, no diferencia categorías o
clases de datos personales en función de si son datos que afecten a la vida privada
(como por ejemplo, el nombre), o son datos de carácter profesional o laboral (como
por ejemplo, ?Presidente de ??), sí existe una determinada diferenciación de datos, en
los denominados por el RGPD, como: ?datos de categorías especiales?, pero solo a los
efectos de estar especialmente protegidos frente a los demás datos de carácter
personal. Estos datos están definidos en su artículo 9 y son los que pueden revelar el
origen étnico o racial de la persona, sus opiniones políticas, convicciones religiosas o
filosóficas o su afiliación sindical; también sus datos genéticos, biométricos o datos
relativos a la salud, a la vida u orientación sexuales.
Por otra parte, hace referencia la RFEF al artículo 19 de la LOPDGDD indicando que,
?(?) diferencia claramente el tratamiento de datos con fines privados que con fines
profesionales (?)?.
Pues bien, hay que aclarar que el citado artículo 19 de la LOPDGDD hace referencia
al tratamiento de datos de contacto de empresarios individuales y de profesionales
liberales y así lo indica:
1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo
6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su
caso los relativos a la función o puesto desempeñado de las personas físicas que
presten servicios en una persona jurídica siempre que se cumplan los siguientes
requisitos:
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
57/74
a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
b) Que la finalidad del tratamiento sea únicamente mantener relaciones de
cualquier índole con la persona jurídica en la que el afectado preste sus
servicios.
2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a ellos
únicamente en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas.
3. Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1
de esta ley orgánica podrán también tratar los datos mencionados en los dos
apartados anteriores cuando ello se derive de una obligación legal o sea necesario
para el ejercicio de sus competencias
Según se establece en el apartado primero del citado artículo 19, el tratamiento de los
datos personales referentes a los datos de contacto o los relativos a la función o
puesto desempeñado en una organización o empresa, será lícito si es necesario para
la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o
por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los
derechos y libertades fundamentales del interesado y que requieran la protección de
datos personales, en particular cuando el interesado sea un niño (art. 6.1.f) del
RGPD), y siempre que el tratamiento se refiera únicamente y exclusivamente a los
necesarios para su localización profesional y que la finalidad del tratamiento sea
únicamente para mantener las relaciones con la persona jurídica en la que el afectado
preste sus servicios, (art. 19.1 de la LOPDGDD).
En el caso que nos ocupa, las grabaciones efectuadas en las reuniones celebradas en
la RFEF contenían datos personales que identificaban a las personas que asistieron a
la misma, como era la voz grabada y los datos de identificación (nombre y/o apellidos)
cuando se les nombraba junto con el cargo que ocupaban en la entidad a la que
representaban. Estos datos fueron cedidos después a los medios de comunicación y
difundidos a toda la sociedad española. Este tratamiento de datos, en nada tiene que
ver con lo estipulado en el artículo 19.1 de la LOPDGDD, esto es, en nada tiene que
ver con: ?(?) que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional y que la finalidad del tratamiento sea únicamente mantener
relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus
servicios (?)?.
No obstante, respecto a este artículo 19, se matiza en el apartado V, del Preámbulo de
la LOPDGDD lo siguiente: ?(?) En el Título IV se recogen «Disposiciones aplicables a
tratamientos concretos», incorporando una serie de supuestos que en ningún caso
debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe
apreciar, en primer lugar, aquellos respecto de los que el legislador establece una
presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando
se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de
tratamientos cuando no se cumplen estrictamente las condiciones previstas en el
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
58/74
texto, si bien en este caso el responsable deberá llevar a cabo la ponderación
legalmente exigible, al no presumirse la prevalencia de su interés legítimo.
Junto a estos supuestos se recogen otros, tales como la videovigilancia, los ficheros
de exclusión publicitaria o los sistemas de denuncias internas en que la licitud del
tratamiento proviene de la existencia de un interés público, en los términos
establecidos en el artículo 6.1.e) del Reglamento (UE) 2016/679. Finalmente, se hace
referencia en este Título a la licitud de otros tratamientos regulados en el Capítulo IX
del reglamento, como los relacionados con la función estadística o con fines de
archivo de interés general. En todo caso, el hecho de que el legislador se refiera a la
licitud de los tratamientos no enerva la obligación de los responsables de adoptar
todas las medidas de responsabilidad activa establecidas en el Capítulo IV del
reglamento europeo y en el Título V de esta ley orgánica (?)?.
Pues bien, aun cuando no prevaleciera la presunción establecida en el art. 19 del
LOPDGDD, pues cuando la RFEF cede los datos personales contenidos en la
grabación a los medios de comunicación para, según ellos, corroborar las afirmaciones
hechas en la nota de prensa enviada con anterioridad, estaba claro que no estaba
realizando un tratamiento, ?profesional con la única finalidad de mantener relaciones
de cualquier índole con la persona jurídica en la que el afectado prestase sus
servicios?.
Pero es que tampoco existe otra base jurídica que legitimase el tratamiento de los
datos personales hecho por la RFEF al cederlos a los medios de comunicación para
su difusión nacional, pues como ha quedado constatado a lo largo de este
procedimiento, la única legitimación que tenía la RFEF para el tratamiento de los datos
personales obtenidos en las grabaciones efectuadas en las reuniones era
exclusivamente para dar cobertura al acta de las sesiones celebradas. Cualquier otro
tratamiento de datos fuera de dicho contesto debería de haber tenido previamente el
conocimiento y por supuesto, el consentimiento libre y voluntario de las personas,
cuyas voces y datos personales, estaban incluidos en las grabaciones. Esto no ocurrió
y, por tanto, la RFEF no tenía la legitimación necesaria para ceder dichos datos a los
medios de comunicación.
E).- contestación a las alegaciones presentadas en el punto SEXTO: ?Sobre la
naturaleza de los datos objeto de tratamiento?.
Afirma la RFEF en este punto que: ?(?) el hecho de que quienes estaban convocadas
a las reuniones, y por tanto quienes participaron en ellas, eran las entidades LNFP y
AFE, que evidentemente debieron expresar sus respectivas posiciones a través de
sus representantes. Los datos que se cedieron eran los de tales entidades a través de
sus representantes(?)?.
Se debe volver a recordar cómo define el RGPD, en su artículo 4, los datos
personales: ?(?) toda información sobre una persona física identificada o identificable
(?)?;
En nuestro caso, la grabación de la voz y la identificación (nombre y apellidos) de las
personas que participaron en las reuniones, con independencia de que lo que estaban
diciendo fuera en nombre propio o en nombre de un tercero (persona jurídica), son
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
59/74
datos de carácter personales que identifican a la persona física que está interviniendo
en la reunión.
El RGPD considera ?persona física identificable? a toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un
identificador en línea o uno o varios elementos propios de la identidad física,
fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
Pues bien, en el caso que nos ocupa, las personas que intervinieron en las reuniones
estaban totalmente identificadas mediante varios identificadores, como era su voz
grabada mientras intervenían, y el nombre, apellidos y el cargo que ocupaban cuando
eran nombrados. Datos estos últimos también grabados.
Por otra parte, El RGPD, define en su artículo 4, el tratamiento de los datos personales
de una persona física como: ?(?) cualquier operación o conjunto de operaciones
realizadas sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción (?) ;
Por tanto, en el RGPD no se diferencia el modo o manera, o en base a qué, o en
representación de quien, el interesado proporciona sus datos personales al
responsable. La única referencia que hace el RGPD es al destino o fin al que
destinaran los datos personales obtenidos de las personas física.
Aparte de todo lo expuesto, en nuestro caso, lo que ha quedado constatado es que, en
las reuniones convocadas por la RFEF, los días 12/03/20 y 07/04/20, se produjo una
grabación de las intervenciones de los asistentes, junto con los datos de identificación
de las personas intervinientes, y esos datos personales (la identificación del
interviniente y su voz), fueron puestos a disposición de los medios de comunicación
sin el conocimiento de los afectados, y, por tanto, sin su consentimiento.
F).- Contestación a las alegaciones presentadas en el punto SEPTIMO: ?Sobre
la supuesta falta de información ofrecida a las personas que asistieron a las
reuniones del Comité de Seguimiento del COVID-19?.
Sobre la afirmación que hace la RFEF al indicar que todos los asistentes a las
reuniones eran conocedores de que las sesiones estaban siendo grabadas, indicar lo
siguiente:
Según consta en la transcripción de la primera reunión celebrada el 12/03/20 en la
sede de la RFEF, existe un momento donde el representante de la RFEF dice
textualmente lo siguiente: ?(?) Estamos grabando la reunión para que quede
constancia de todo, ¿vale?, y nada, pues tienes la palabra tú, C. (02:25)(?)?.
Sin entrar por ahora a valorar que, en la segunda reunión, ni siquiera se les informó a
los asistentes de que la reunión iba a ser grabada, no existe, aparte de lo indicado en
el párrafo anterior, ninguna otra prueba que corrobore las afirmaciones realizadas por
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
60/74
la RFEF, en el sentido de que todos los asistentes, tanto a la primera reunión (la del
12/03/20) como a la segunda (la del 07/04/20), eran conscientes de que sus
intervenciones y, por tanto, sus datos personales estaban sido grabados.
Sobre las alegaciones de la RFEF, sobre el conocimiento de los asistentes a las
reuniones en lo que se refiere al tratamiento de sus datos personales, cuando dice
que: ?(?) Esa información está a disposición de los interesados en la página web de
la RFEF, como apunta la propia propuesta de resolución, con la salvedad, quizá, de la
finalidad del tratamiento. Pero esta información ya se facilitó expresamente por el
Presidente de la RFEF al señalar que la grabación tenía como finalidad dejar
constancia de lo tratado en las reuniones (?).
Hay que indicar que, la RFEF no aporta prueba que pueda corroborar que los
asistentes a ambas reuniones conocían los extremos que marca la norma sobre
protección de datos, esto es, que fueran informados de aspectos indicados en el
artículo 13 del RGPD, en relación la gestión que se iba a hacer de los datos
personales obtenidos de las grabaciones por parte de la RFEF. Como hemos indicado
en varias ocasiones a lo largo de este procedimiento, el RGPD no se limita a situar la
responsabilidad sobre un responsable pasivo, sino que adopta un enfoque proactivo,
exigiendo que el responsable adopte medidas preventivas dirigidas a eliminar los
riesgos de su incumplimiento y, además, que esté en condiciones de demostrar que ha
implantado esas medidas y que las mismas son las adecuadas para lograr la finalidad
perseguida. Este principio, como hemos tenido ocasión de indicar más arriba, está
recogido, entre otros, en el considerando 74 del RGPD y en el artículo 5.2 del RGPD.
Por todo ello, de lo anteriormente expuesto debe destacarse los siguientes puntos:
En la reunión del 12/03/20, de la frase que el responsable de la RFEF dice al
comienzo de esta, dejando señalado que es la única referencia que existe a que las
reuniones iban a ser grabadas: ?(?) Estamos grabando la reunión para que quede
constancia de todo, ¿vale?, y nada, pues tienes la palabra tú??, no se desprende en
ningún momento que los asistentes a la reunión del 12/03/20, fueran informados
además de los aspectos incluidos en el artículo 13 del RGPD, como marca la norma.
Igual ocurre con los asistentes a la segunda reunión, con el agravante si cabe de que,
en ésta, ni siquiera se les informó de que iba a ser también grabada.
Por tanto, ha quedado constatado que la RFEF no informó en ningún momento a los
asistentes a las reuniones de los aspectos indicados en el artículo 13 del RGPD. Esto
es, no informo de: a) la identidad y los datos de contacto del responsable y, en su
caso, de su representante; b) los datos de contacto del delegado de protección de
datos, en su caso; c) de los fines del tratamiento a que se destinan los datos
personales y la base jurídica del tratamiento; d) los destinatarios o las categorías de
destinatarios de los datos personales, en su caso; e) en su caso, la intención del
responsable de transferir datos personales a un tercer país u organización
internacional; f) el plazo durante el cual se conservarán los datos personales o, cuando
no sea posible, los criterios utilizados para determinar este plazo; g) la existencia del
derecho a solicitar al responsable del tratamiento el acceso a los datos personales
relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento,
o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; y h) el
derecho a presentar una reclamación ante una autoridad de control.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
61/74
Además, tampoco se informó a los asistentes a la reunión del 07/04/20, de que la
grabación iba a ser cedida a los medios de comunicación tal y como establece el
artículo 13.3 del RGPD: ?Cuando el responsable del tratamiento proyecte el
tratamiento ulterior de datos personales para un fin que no sea aquel para el que se
recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior,
información sobre ese otro fin y cualquier información adicional pertinente a tenor del
apartado 2?.
Alega la RFEF que, ?(?) existe la constancia de que en la política de privacidad de la
página web de la RFEF se identifica al responsable del tratamiento y se facilita toda la
demás información requerida(?)?.
Pues bien, indicar en este punto que el artículo 13 del RGPD establece que: ?1.-
Cuando se obtengan de un interesado datos personales relativos a él, el responsable
del tratamiento, en el momento en que estos se obtengan, le facilitará (?)?, y según
consta, esto no llegó a ocurrir nunca, pues los asistentes a la primera reunión,
celebrada presencialmente, no tenían por qué estar conectados en ningún momento a
la página web de la Federación, ni siquiera consta que tuvieran equipos informativos
en su poder para conectarse, ni siquiera se les informó de la existencia de página web
de la Federación donde podrían consultar su ?Política de Privacidad?.
Además, conviene señalar que, la información que se proporciona en la ?Política de
Privacidad? de una página web es con respecto al tratamiento de los datos personales
que se puedan obtener de los usuarios de esta y no sobre el tratamiento de los datos
personales que se obtienen por otros medios o en otros lugares, como ocurre en el
caso que nos ocupa, cuando se obtienen de las grabaciones efectuadas en las
reuniones celebradas presenciales o a través de videoconferencia.
Es más, si accedemos a la ?Política de Privacidad? de la página web de la RFEF, cuyo
enlace se encuentra en la parte inferior de la misma, denominada datos>> la web redirige a una nueva página, https://www.rfef.es/proteccion-datos
donde se puede leer, en el apartado ?DATOS PERSONALES QUE TRATAREMOS?, lo
siguiente: ?En virtud de su relación con la Real Federación Española de Futbol
podremos tratar las siguientes categorías de datos personales: 1. Datos identificativos
como, nombre y apellidos, NIF/Pasaporte/NIE. 2. Datos de contacto: domicilio,
teléfono, dirección (incluida dirección postal y electrónica), etc. 3. Datos de sus
características personales, como estado civil, sexo, fecha y lugar de nacimiento, edad,
nacionalidad o profesión. 4. Categorías especiales de datos cuando sean
estrictamente necesarios, como los datos de salud. 5. Datos de navegación por la
Web de la RFEF?.
Y en el apartado ?FINALIDADES PARA LAS QUE TRATAMOS SUS DATOS? se
puede leer: ?La recopilación de datos personales puede tener como finalidad la gestión
de solicitudes de acreditaciones de prensa, entradas de partidos y cursos,
cumplimentar y tramitar formularios en general así como enviar comunicaciones sobre
actividades, productos o servicios que ofrezca la RFEF?, que por supuesto, no tiene
nada que ver con las finalidades para las que se recogieron los datos personales de
las personas que asistieron a las dos reuniones y cuyos datos personales fueron
grabados.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
62/74
Por último, debemos recordar que, según reconoce la propia RFEF, solamente
después de haber celebrado las dos reuniones indicadas, esto es, la del 12/03/20 y la
del 07/04/20, elaboró un documento con cláusulas informativas para proporcionar a los
asistentes y solo a las reuniones ?on-line?, los extremos exigidos en el artículo 13 del
RGPD: ?(?)debe tenerse en cuenta como hecho relevante en las presentes
actuaciones que, con posterioridad a la reunión de 4 de abril de 2020, y para otras
reuniones on-line de los órganos colegiados de la RFEF, se elaboró una cláusula
informativa que se adjunta como DOCUMENTO Nº 3 en la que se detallan todos los
extremos exigidos por el artículo 13 del RGPD y el artículo 11 de la Ley Orgánica
3/2018. Dicha cláusula se incorpora desde hace ya tiempo a las convocatorias de
reuniones on-line. A tal fin y como evidencia de ello se adjunta como DOCUMENTO
Nº 4 copia de un correo de convocatoria de una reunión on-line en el que se adjunta el
documento ?Reuniones virtuales. Clausula Informativa protección de datos.pdf (?)?.
G).- Contestación a las alegaciones presentadas en el punto OCTAVO: ?Sobre
el supuesto tratamiento ilícito de los datos personales de los asistentes a las
reuniones. Protección de datos y libertad de información y expresión?.
Alega la RFEF en este punto que: ?(?) la cesión de la grabación de parte de la
reunión de 7 de abril de 2020 a la Cadena SER se produjo al objeto de garantizar el
derecho a la libertad de información y a recibir una información veraz reconocido en el
artículo 20 de la Constitución?, y que: ?(?) Fue el medio de comunicación quien, en
ejercicio de tal derecho fundamental, pidió a la RFEF que facilitase esa grabación (?)?
Reconoce la RFEF, en otro punto de sus alegaciones que, en uso de ese derecho
emitió una nota de prensa que envió a los medios de comunicación, según ella para:
?(?) corregir las inexactitudes y divergencias con la realidad de lo que había ocurrido
en la reunión (?). Por tanto, en ningún momento se le coartó a la RFEF, el derecho a
comunicar información veraz por cualquier medio de comunicación.
Otra cosa muy diferente es que el medio de comunicación, para, según ellos,
?corroborar lo dicho en la nota de prensa enviada por la RFEF?, les pidiese las
grabaciones de las reuniones y que ésta para demostrar que decía la verdad y
contradecir con ello las afirmaciones hechas por la AFE en su nota de prensa, se las
proporcione sin tener en cuenta de que en dicha grabación existían datos personales
de los intervinientes amparados por el RGPD.
El ejercicio del derecho al que se acoge la RFEF ya fue obtenido cuando la RFEF
envía a los medios de comunicación una nota de prensa con la información que
consideró oportuna. El hecho de que después proporcionara la grabación con los
datos personales de los intervinientes obedece, según reconoce la propia RFEF a,
?demostrar que decían la verdad y contradecir las afirmaciones vertidas por la AFE en
su nota de prensa?.
Aparte de todo lo anterior, se debe tener en cuenta, cuando se hace uso del derecho
reconocido en el artículo 20 de la CE, que también este artículo manifiesta, en su
punto 4 lo siguiente: ?Estas libertades tienen su límite en el respeto a los derechos
reconocidos en este Título, en los preceptos de las leyes que lo desarrollen y,
especialmente, en el derecho al honor, a la intimidad, a la propia imagen y a la
protección de la juventud y de la infancia?.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
63/74
Debemos tener también presente lo indicado en el considerando 153) del RGPD,
cuando indica que: ?El Derecho de los Estados miembros debe conciliar las normas
que rigen la libertad de expresión e información, incluida la expresión periodística,
académica, artística o literaria, con el derecho a la protección de los datos personales
con arreglo al presente Reglamento. El tratamiento de datos personales con fines
exclusivamente periodísticos o con fines de expresión académica, artística o literaria
debe estar sujeto a excepciones o exenciones de determinadas disposiciones del
presente Reglamento si así se requiere para conciliar el derecho a la protección de los
datos personales con el derecho a la libertad de expresión y de información
consagrado en el artículo 11 de la Carta?.
Y lo estipulado en el artículo 85 del RGPD, cuando establece que:
?1.Los Estados miembros conciliarán por ley el derecho a la protección de los datos
personales en virtud del presente Reglamento con el derecho a la libertad de
expresión y de información, incluido el tratamiento con fines periodísticos y fines de
expresión académica, artística o literaria.
2.Para el tratamiento realizado con fines periodísticos o con fines de expresión
académica, artística o literaria, los Estados miembros establecerán exenciones o
excepciones de lo dispuesto en los capítulos II (principios), III (derechos del
interesado), IV (responsable y encargado del tratamiento), V (transferencia de datos
personales a terceros países u organizaciones internacionales), VI (autoridades de
control independientes), VII (cooperación y coherencia) y IX (disposiciones relativas a
situaciones específicas de tratamiento de datos), si son necesarias para conciliar el
derecho a la protección de los datos personales con la libertad de expresión e
información. 3.Cada Estado miembro notificará a la Comisión las disposiciones
legislativas que adopte de conformidad con el apartado 2 y, sin dilación, cualquier
modificación posterior, legislativa u otra, de las mismas?.
Por tanto, el RGPD recoge expresamente la necesidad de que los Estados miembros
deberán conciliar por ley el derecho a la protección de datos personales con el
derecho a la libertad de expresión y de información, incluido el tratamiento con fines
periodísticos y fines de expresión académica, artística o literaria y añade en su artículo
85.2 que para el tratamiento realizado con fines mencionados, los Estados Miembros
deben establecer exenciones o excepciones respeto, entre otros, de los dispuesto en
diferentes capítulos del Reglamento donde se regulan los principios, derechos del
interesado, responsable y encargado de tratamiento, transferencia de datos
personales etcétera, siempre que sean necesarias para conciliar el derecho a la
protección de los datos personales con la libertad de expresión e información. Por
tanto, el derecho a la libertad de expresión e información frente al derecho
fundamental a la protección de datos no puede entenderse de forma absoluta.
En el caso que nos ocupa, los datos personales obtenidos por la RFEF, a través de las
grabaciones realizadas de las reuniones celebradas, tenía la finalidad, según la propia
Federación, para: ?(?) que quede constancia de todo (?)?. Ni siquiera contenía la
más mínima referencia a los aspectos establecidos en el artículo 13 del RGPD. Pues
bien, estos datos fueron cedidos después a los medios de comunicación, para
corroborar, según la propia Federación, las afirmaciones que ella misma había
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
64/74
realizado previamente a través de una de prensa enviada a los medios de
comunicación, haciendo uso, por tanto, del citado derecho fundamental de expresión e
información, con el envío de la nota de prensa.
El hecho de que después de enviar la nota de prensa cediera los datos personales
obtenidos en las grabaciones a los medios de comunicación extralimita los principios
recogidos en el artículo 5.1, en los apartados b y c) donde se establece que los datos
personales serán:
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en
interés público, fines de investigación científica e histórica o fines estadísticos no se
considerará incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados («minimización de datos»);
H).- Contestación a las alegaciones presentadas en el punto NOVENO:
Aplicación de los criterios agravantes
a).- Sobre el agravante aplicado con respecto al artículo 76.2.b) de la
LOPDGDD: ?b) La vinculación de la actividad del infractor con la realización de
tratamientos de datos personales?.
El artículo 4 de la Resolución de 24 de enero de 2011, de la Presidencia del Consejo
Superior de Deportes, por la que se publican los Estatutos de la Real Federación
Española de Fútbol, establece como Competencias de la RFEF las siguientes:
?El gobierno, administración, gestión, organización y reglamentación del fútbol, en
todas sus especialidades. En su virtud, es propio de ella: a) Ejercer la potestad de
ordenanza. b) Controlar las competiciones oficiales de ámbito estatal, sin perjuicio de
las competencias propias de la Liga Nacional de Fútbol Profesional. c) Ostentar la
representación de la FIFA y de la UEFA en España, así como la de España en las
actividades y competiciones de carácter internacional celebradas dentro y fuera del
territorio del Estado. A tal efecto es competencia de la RFEF la selección de los
futbolistas que hayan de integrar cualquiera de los equipos nacionales. d) Autorizar la
venta o cesión, fuera del territorio nacional, de los derechos de transmisión televisada
de las competiciones oficiales de carácter profesional, y, asimismo, cualesquiera otras
de ámbito estatal. e) Formar, titular y calificar, en el ámbito de sus competencias, a los
árbitros, así como a los entrenadores, o personal que desarrollen labores técnicas de
dirección o auxiliares, cuya titulación se imponga a los clubes que participan en
competiciones nacionales o internacionales. f) Velar por el cumplimiento de las
disposiciones por las que se rige. g) Tutelar, controlar y supervisar a sus asociados,
funciones que serán extensivas, excepto tratándose de clubs adscritos a la Liga
Nacional de Fútbol Profesional, a la actividad económica de los mismos. h) Promover
y organizar las actividades deportivas dirigidas al público. i) Emitir el informe sobre los
Estatutos y reglamentos de la Liga Nacional de Fútbol Profesional que, como requisito
previo a su aprobación por el Consejo Superior de Deportes, prevé el artículo 41.3 de
la Ley del Deporte. j) Contratar al personal necesario para el cumplimiento de sus
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
65/74
funciones y la prestación de sus servicios. k) Cumplir y hacer cumplir los estatutos,
reglamentos, directrices y decisiones de la FIFA, de la UEFA y los suyos propios, así
como las reglas de juego. l) Elaborar las normas y disposiciones que conforman su
ordenamiento jurídico. m) Llevar a cabo las relaciones deportivas internacionales. n)
Velar por la pureza de los partidos y competiciones. o) En general, cuantas
actividades no se opongan, menoscaben y destruyan su objeto social.
Se aplica este agravante, por tanto, por la alta vinculación de la actividad de la RFEF
con la realización de tratamientos de datos personales, considerando el nivel de
implantación de la entidad y la actividad que desarrolla, en la que se ven implicados
datos personales de miles de interesados, jugadores, árbitros, entrenadores, directivos
y en general todas las personas físicas que integran la RFEF. Esta circunstancia
determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de
responsabilidad de la Federación en relación con el tratamiento de los datos.
b).- Sobre el agravante aplicado con respecto al artículo 83.2.a) del RGPD: ?El
alcance o propósito de la operación de tratamiento de datos, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido?
El número de interesados afectados, por las dos grabaciones fue de 37 personas,
respecto a los cuales se realizó un tratamiento de datos personales sin haberles
informado convenientemente de los aspectos establecidos en el artículo 13 del RGPD
y un tratamiento de datos posterior de manera ilícita al ceder la grabación de la
segunda reunión, donde asistieron 26 personas, a los medios de comunicación sin que
se les notificara previamente este hecho ni se les pidiera el consentimiento preceptivo
que marca el artículo 6.1.a) del RGPD.
Respecto a la gravedad y nivel de daños y perjuicios sufridos por los interesados, es
notorio que la cesión a los medios de comunicación de cobertura nacional, de los
datos personales grabados y su posterior difusión a toda la sociedad condiciona y
perjudica gravemente su intimidad y privacidad.
En cuanto a perjuicios causados por la falta de información debida, es claro y notorio
el perjuicio causado a los interesados pues les privó de la posibilidad de ejercer los derechos
recogidos en los artículos 15 a 22 del RGPD.
c).- Sobre el agravante aplicado con respecto al artículo 83.2.b) del RGPD: ?la
intencionalidad o negligencia en la infracción".
Negar la concurrencia de una actuación negligente por parte de la RFEF en este caso,
equivaldría a reconocer que su conducta -por acción u omisión- ha sido diligente.
Obviamente, no compartimos esta perspectiva de los hechos, puesto que ha quedado
acreditada la falta de diligencia debida en su actuación.
Resulta muy ilustrativa, la SAN de 17 de octubre de 2007 (rec. 63/2006), partiendo de
que se trata de una entidad cuya actividad lleva aparejado un continuo tratamiento de
datos como ha quedado constatado en el punto anterior, indica que ??el Tribunal
Supremo viene entendiendo que existe imprudencia siempre que se desatiende un
deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
66/74
profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado,
cuando la actividad de la recurrente es de constante y abundante manejo de datos de
carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto".
Igualmente, el hecho de que la RFEF haya implementado posteriormente a las
reuniones del 12/03/20 y 07/04/20, modificaciones en la gestión del tratamiento de los
datos. publicando una guía con los aspectos incluidos en el artículo 13, corrobora el
hecho de que anteriormente no realizaba una gestión diligente en el tratamiento de los
datos que gestionaba.
Pues bien, las sanciones se imponen por la falta de diligencia debida a la hora de
obtener los datos personales de los asistentes a las reuniones, donde ha quedado
demostrado que no obtuvieron la información pertinente que marca el RGPD en su
artículo 13 y por la utilización posterior de dichos datos, de manera ilícita, cuando
fueron cedidos a los medios de comunicación sin el consentimiento previo de los
afectados. El hecho infractor consiste en que la RFEF, como responsable del
tratamiento de los datos personales obtenidos en las grabaciones, no ha sido capaz de
demostrar de forma fehaciente que en dicho tratamiento ha cumplido los principios de
protección de datos recogidos en el RGPD, al no haber adoptado las medidas
adecuadas para la protección de los datos objeto del tratamiento. Máxime cuando tal y
como hemos señalado en la SAN de 17 de octubre de 2007 (rec. 63/2006) precitada: ?
(?) cuando la actividad de la recurrente es de constante y abundante manejo de
datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por
ajustarse a las prevenciones legales al respecto (?)".
La negligencia como agravante se conecta entonces, no con el tipo infractor mismo
(que incluye mucho más que la diligencia debida), sino con hechos circundantes a
este, puesto que nos encontramos con una entidad que realiza tratamientos de datos
personales a gran escala, de manera sistemática y continua y que debe extremar el
cuidado en el cumplimiento de sus obligaciones en materia de protección de datos, tal
y como establece la jurisprudencia. Máxime cuando dispone de medios de toda índole
más que suficientes para cumplir adecuadamente. No es lo mismo si la infracción es
cometida por la RFEF que por una persona física o por una pequeña empresa. En el
primer caso es más reprobable el incumplimiento. Así se infiere del considerando 148
del RGPD que impone estar a las circunstancias concurrentes para calificar una
infracción como grave o leve a los efectos del RGPD.
Los incumplimientos tienen grados, resultando este más gravoso por las
circunstancias descritas, entrando de lleno en el campo de la negligencia.
d).- Sobre el agravante aplicado con respecto al artículo 83.2.h): ?La forma en
que la autoridad de control tuvo conocimiento de la infracción, en particular si el
responsable o el encargado notificó la infracción y, en tal caso, en qué
medida?:
De todo el proceso, ha quedado constatado que la RFEF no tiene implantados
procedimientos adecuados de actuación en la recogida y tratamiento de los datos de
carácter personal, de modo que la infracción no es consecuencia de una anomalía
puntual en el funcionamiento de dichos procedimientos, sino un defecto del sistema de
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
67/74
gestión de los datos personales por parte del responsable, que la autoridad de control,
en este caso, la AEPD, ha tenido conocimiento a partir de la reclamaciones
presentada por la AFE y por la LNEF. Se tiene en cuenta, además, el alto grado de
difusión que ha tenido la grabación a través de los medios de comunicación y, por
ende, la amplia difusión que han tenido los datos personales incluidos en las mismas.
I).- Sobre la solicitud hecha en el punto DÉCIMO. Respecto a la prueba
testifical solicitada.
La instrucción consideró que la información y la documentación aportada al
procedimiento era suficiente para poder dilucidar si existía o no infracción a la
normativa vigente en materia de protección de datos. Esto es así porque el presente
procedimiento administrativo sancionador se incoa tras haber realizado la AEPD una
intensa labor inspectora, que ha quedado documentalmente incorporada al expediente
y que constituye suficiente prueba para esta resolución.
En el presente caso, se asume como cierta la información aportada por las partes. No
obstante, lo anterior, según establece el artículo 24.2 de la CE, aplicable también en
este caso, reconoce el derecho de la entidad reclamada, ?a utilizar todos los medios
de prueba pertinentes para su defensa?, dejando a su criterio poder presentar cuantos
medios de prueba estime pertinentes a lo largo del procedimiento.
En el caso que nos ocupa, la RFEF no ha presentado en ningún momento del
procedimiento ningún documento o prueba que corroborase que los asistentes a las
reuniones eran conscientes de que las mismas iban a ser grabadas. Tampoco se ha
aportado prueba alguna en el sentido de demostrar que se había informado
convenientemente a los asistentes a las reuniones de los aspectos indicados en el
artículo 13 del RGPD.
Por tanto, las pruebas testificales solicitadas por la RFEF se consideran que no son
necesarias en este caso, en aplicación del principio de ?economía procesal? al estar ya
suficientemente acreditados los hechos imputables a la reclamada, y, por tanto, se
debe rechazar la solicitud de la práctica de prueba por innecesaria, al amparo de lo
previsto en el artículo 77.3 de la LPACAP.
III.- Sobre la infracción del artículo 13 del RGPD cometida por la falta de información
ofrecida a los asistentes a las reuniones del Comité de Seguimiento del COVID-19.
En el presente caso, ha quedado constatado que los asistentes a la segunda reunión,
celebrada el 07/04/20, no fueron informados de que iba a ser grabada. Aparte de ello,
ha quedado constatado que nadie de los que asistieron a las dos reuniones, la del
12/03/20 y la del 07/04/20, fue informado convenientemente de la gestión que se
realizaría sobre sus datos personales como marca la norma
En este sentido, el artículo 13 del RGPD, establece la información que se debe
proporcionar al interesado en el momento de obtener sus datos personales:
?1.Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
68/74
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante; b) los datos de contacto del delegado de protección de datos, en su
caso; c) los fines del tratamiento a que se destinan los datos personales y la base
jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1,
letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o
las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la
intención del responsable de transferir datos personales a un tercer país u
organización internacional y la existencia o ausencia de una decisión de adecuación
de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o
el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o
apropiadas y a los medios para obtener una copia de estas o al hecho de que se
hayan prestado.
2.Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente: a) el plazo durante el cual se conservarán los datos personales o,
cuando no sea posible, los criterios utilizados para determinar este plazo; b) la
existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos
personales relativos al interesado, y su rectificación o supresión, o la limitación de su
tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los
datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante
una autoridad de control; e) si la comunicación de datos personales es un requisito
legal o contractual, o un requisito necesario para suscribir un contrato, y si el
interesado está obligado a facilitar los datos personales y está informado de las
posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones
automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22,
apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica
aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento
para el interesado?.
Por tanto, los hechos conocidos son constitutivos de una infracción, imputable al
reclamado, por vulneración del artículo 13 del RGPD, al no informar
convenientemente, a los asistentes a las dos reuniones, de los preceptos recogidos en
dicho artículo.
El artículo 72.1.h) de la LOPDGDD, considera ?muy grave?, a efectos de prescripción,
?la omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD?
Esta infracción puede ser sancionada con multa de 20.000.000 ? como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
69/74
De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a
imponer, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios agravantes que establece el artículo 83.2 del RGPD:
- El alcance o propósito de la operación de tratamiento de datos, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido, (apartado a), pues el número de interesados afectados, por las dos
grabaciones fue de 37 personas, respecto a los cuales se realizó un
tratamiento de datos personales sin haberles informado convenientemente de
los aspectos establecidos en el artículo 13 del RGPD y un tratamiento de datos
posterior de manera ilícita al ceder la grabación de la segunda reunión, donde
asistieron 26 personas, a los medios de comunicación sin que se les notificara
previamente este hecho ni se les pidiera el consentimiento preceptivo.
- La intencionalidad o negligencia de la infracción, por parte de la entidad,
(apartado b), partiendo de que se trata de una entidad cuya actividad lleva
aparejado un continuo tratamiento de datos personales de, jugadores,
entrenadores, árbitros, técnicos y demás personal a su servicio, así como, en
nuestro caso, personal ajeno a dicho organismo, se considera de especial
importancia recordar en este punto, la SAN de 17 de octubre de 2007 (rec.
63/2006), donde se indica que lo siguiente: ??el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal
de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el
caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y el
exquisito cuidado por ajustarse a las prevenciones legales al respecto". Por
tanto, si nos atenemos a la jurisprudencia del TS, podríamos considerar incluso
este apartada como agravante cualificado, al constatarse la falta de diligencia
debía demostrada por la RFEF en este caso, con respecto a la gestión de los
datos personales incluidos en las grabaciones efectuadas.
- La forma en que la autoridad de control tuvo conocimiento de la infracción, ya
que la AEPD tuvo conocimiento de la infracción a través de la reclamación de
los interesados, (apartado h), pues de todo el proceso, ha quedado constatado
que la RFEF no tenía implantados procedimientos adecuados de actuación
proactiva en la recogida y tratamiento de los datos de carácter personal, de
modo que la infracción no es consecuencia de una anomalía puntual en el
funcionamiento de dichos procedimientos, sino un defecto del sistema de
gestión de los datos personales por parte del responsable, que la autoridad de
control, en este caso, la AEPD, ha tenido conocimiento a partir de la
reclamaciones presentadas por la AFE y por la LNEF.
Se considera además que, procede graduar la sanción a imponer de acuerdo con los
siguientes criterios agravantes, que establece el artículo 76.2 de la LOPDGDD:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b), considerando el nivel de implantación de la
entidad y la actividad que desarrolla, en la que se ven implicados datos
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
70/74
personales de miles de interesados: jugadores, árbitros, entrenadores,
directivos y en general todas las personas físicas que integran la RFEF, según
se puede observar en el artículo 4 de la Resolución de 24 de enero de 2011, de
la Presidencia del Consejo Superior de Deportes, por la que se publican los
Estatutos de la Real Federación Española de Fútbol. Esta circunstancia
determina un mayor grado de exigencia y profesionalidad y,
consiguientemente, de responsabilidad de la Federación en relación con el
tratamiento de los datos
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD,
permite fijar una sanción de 100.000 euros (cien mil euros).
IV.- Sobre la infracción del artículo 6.1 del RGPD cometida al no solicitar el
consentimiento necesario de los implicados en la grabación del 07/04/20 antes de
proceder a ceder la misma a los medios de comunicación.
El RGPD se ocupa, en su artículo 5.1, de los principios que han de regir el tratamiento
de los datos personales por parte del responsable de estos, y menciona entre ellos los
siguientes: ?Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en
interés público, fines de investigación científica e histórica o fines estadísticos no se
considerará incompatible con los fines iniciales («limitación de la finalidad»);
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados («minimización de datos»); (?)
A su vez en el apartado 2 se señala que: 2. El responsable del tratamiento será
responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo
(«responsabilidad proactiva»).
A su vez el artículo 6.1 del RGPD, establece lo siguiente sobre la licitud del tratamiento
de datos personales:
?El tratamiento de los datos personales será licito si, cumple una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
71/74
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de
aplicación al tratamiento realizado por las autoridades en el ejercicio de sus funciones.
(?)
En el presente caso, ha quedado constatado a lo largo del procedimiento que, el
tratamiento de los datos personales obtenidos por la RFEF en las dos reuniones
convocadas para tratar la emergencia sanitaria del COVID-19, en el ámbito del Futbol,
podían estar legitimadas amparado en el artículo 6.1.c) del RGPD, donde se establece
que, el tratamiento de los datos personales será licito si ?es necesario para el
cumplimiento de una obligación legal aplicable al responsable del tratamiento?. Esto
es, para confeccionar el acta de la reunión, y así fue confirmado, en un principio por la
propia Federación: ?(?) La finalidad de la grabación era realizar el acta, así como
tener constancia fehaciente del desarrollo de los temas y del contenido tratado en la
reunión?.
No obstante, el artículo 5.1.b) del RGPD establece que, los datos personales serán
tratados única y exclusivamente para: ?unos fines determinados, explícitos y legítimos,
y no serán tratados ulteriormente de manera incompatible con dichos fines?.
En el presente caso, los datos personales de los asistentes a la segunda reunión
obtenidos por la RFEF a través de la grabación efectuada fueron cedidos después a
los medios de comunicación, sin el conocimiento y consentimiento de los afectados.
Por tanto, la cesión los datos personales de los asistentes a la segunda reunión a los
medios de comunicación debió ser precedida del correspondiente consentimiento de
los afectado, tal y como establece el artículo 6.1.a) del RGPD, ?el tratamiento de los
datos personales será lícito sí, el interesado dio su consentimiento para el tratamiento
de sus datos personales para uno o varios fines específicos?. Situación que, en este
caso, no se produjo.
Los hechos expuestos suponen por parte de la RFEF la comisión de la infracción del
artículo 6.1 del RGPD, al realizar un tratamiento ilícito de los datos personales de las
personales que asistieron a la segunda reunión de la Comisión del Seguimiento del
COVID-19, cuando se cedieron a los medios de comunicación sin el consentimiento
expreso de los implicados.
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
72/74
El artículo 72.1.b) de la LOPDGDD, considera ?muy grave?, a efectos de prescripción,
?El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento?.
Esta infracción puede ser sancionada con multa de 20.000.000 ? como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.
De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a
imponer, se considera que procede graduar la sanción de acuerdo con los siguientes
criterios agravantes que establece el art 83.2:
- El alcance o propósito de la operación de tratamiento de datos, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido, (apartado a), pues el número de interesados afectados, por las dos
grabaciones fue de 37 personas, respecto a los cuales se realizó un
tratamiento de datos personales sin haberles informado convenientemente de
los aspectos establecidos en el artículo 13 del RGPD y un tratamiento de datos
posterior de manera ilícita al ceder la grabación de la segunda reunión, donde
asistieron 26 personas, a los medios de comunicación sin que se les notificara
previamente este hecho ni se les pidiera el consentimiento preceptivo.
- La intencionalidad o negligencia de la infracción, por parte de la entidad,
(apartado b), partiendo de que se trata de una entidad cuya actividad lleva
aparejado un continuo tratamiento de datos personales de, jugadores,
entrenadores, árbitros, técnicos y demás personal a su servicio, así como, en
nuestro caso, personal ajeno a dicho organismo, se considera de especial
importancia recordar en este punto, la SAN de 17 de octubre de 2007 (rec.
63/2006), donde se indica que lo siguiente: ??el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal
de cuidado, es decir, cuando el infractor no se comporta con la diligencia
exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el
caso ahora examinado, cuando la actividad de la recurrente es de constante y
abundante manejo de datos de carácter personal ha de insistirse en el rigor y
el exquisito cuidado por ajustarse a las prevenciones legales al respecto". Por
tanto, si nos atenemos a la jurisprudencia del TS, podríamos considerar incluso
este apartada como agravante cualificado, al constatarse la falta de diligencia
debía demostrada por la RFEF en este caso, con respecto a la gestión de los
datos personales incluidos en las grabaciones efectuadas.
- La forma en que la autoridad de control tuvo conocimiento de la infracción, ya
que la AEPD tuvo conocimiento de la infracción a través de la reclamación de
los interesados, (apartado h), pues de todo el proceso, ha quedado constatado
que la RFEF no tenía implantados procedimientos adecuados de actuación
proactiva en la recogida y tratamiento de los datos de carácter personal, de
modo que la infracción no es consecuencia de una anomalía puntual en el
funcionamiento de dichos procedimientos, sino un defecto del sistema de
gestión de los datos personales por parte del responsable, que la autoridad de
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
73/74
control, en este caso, la AEPD, ha tenido conocimiento a partir de la
reclamaciones presentada por la AFE y por la LNEF.
Se considera además que, procede graduar la sanción a imponer de acuerdo con los
siguientes criterios agravantes, que establece el artículo 76.2 de la LOPDGDD:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b), considerando el nivel de implantación de la
entidad y la actividad que desarrolla, en la que se ven implicados datos
personales de miles de interesados: jugadores, árbitros, entrenadores,
directivos y en general todas las personas físicas que integran la RFEF, según
se puede observar en el artículo 4 de la Resolución de 24 de enero de 2011, de
la Presidencia del Consejo Superior de Deportes, por la que se publican los
Estatutos de la Real Federación Española de Fútbol. Esta circunstancia
determina un mayor grado de exigencia y profesionalidad y,
consiguientemente, de responsabilidad de la Federación en relación con el
tratamiento de los datos
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del
RGPD, permite fijar una sanción de 100.000 euros (cien mil euros).
V.- Sanción Total Final.
El balance de las circunstancias contempladas anteriormente, con respecto a la
infracción cometida al vulnerar lo establecido en los artículos 13 y 6.1 del RGPD,
permite fijar una sanción total de 200.000 euros (doscientos mil euros); 100.000 euros
por la infracción del art. 13 del RGPD y 100.000 euros por la infracción del art. 6.1 del
RGPD.
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
RESUELVE:
PRIMERO: IMPONER, a la REAL FEDERACION ESPAÑOLA DE FUTBOL, (RFEF)
con CIF.: Q2878017I, una sanción total de 200.000 euros (doscientos mil euros):
100.000 euros por la infracción del artículo 13 del RGPD y 100.000 euros por la
infracción del artículo 6.1 del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a REAL FEDERACION ESPAÑOLA
DE FUTBOL, (RFEF) y a los reclamantes sobre el resultado de la reclamación.
Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea
ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el
artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto
939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000
0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es
74/74
Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en
período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de
diciembre, de medidas fiscales, administrativas y del orden social, la presente
Resolución se hará pública, una vez haya sido notificada a los interesados. La
publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de
diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus
Resoluciones.
Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo
establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán
interponer, potestativamente, recurso de reposición ante la Directora de la Agencia
Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución, o, directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición
adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción
Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente
a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto
legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo
en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 ? Madrid sedeagpd.gob.es