La Agencia Española de Protección de Datos (AEPD) ha multado con 6.000 euros –reducidos a 3.600 por reconocer los hechos y acogerse al pago voluntario- a la Federación de Deportes para Personas con Discapacidad Intelectual de Castilla-La Mancha (FECAM) por vulnerar dos artículos del Reglamento General de Protección de Datos (RGPD).
Una usuaria interpuso una reclamación contra el citado organismo porque estaba realizando test de antígenos sin comunicar el plazo de conservación de la información de cada paciente y sin haber designado un Delegado de Protección de Datos.
Como prueba, aportó un ‘pantallazo’ impreso de la web de la Federación en la que se indicaba que era obligatorio realizarse el test 48 horas antes de participar en un campeonato.
Asimismo, en dicho documento se recogía que el test se llevaría a cabo en la localidad de origen del participante y que sería un médico o enfermero colegiado el que lo haría y certificaría el resultado por escrito para posteriormente enviar el resultado a FECAM.
FECAM alegó que se informaba y se recaba consentimiento a través de una ficha
Por el contrario, FECAM alegó que “en todo momento se informa y se recaba el consentimiento para el tratamiento de los deportistas adscritos a través de una ficha que es cumplimentada y firmada por ellos». Por lo que entregó a la AEPD también un PDF que se encontraba situado en la web sobre «el protocolo adaptado frente al Covid-19″. Según explicaron, debe ser rellenado por cada club participante en las competiciones deportivas.
Pero según la AEPD, esta ficha no contenía información sobre el tratamiento concreto de datos de salud con respecto a las pruebas Covid en las competiciones a pesar de que sí existía un apartado en el que se solicitaba autorización para que la Federación tratase datos con la finalidad de gestionar un control médico y psicológico para ayudar a los gimnastas.
En cuanto a la recogida y tratamiento de datos sin especificar y el plazo de conservación de los mismos, citados anteriormente, FECAM señaló que recogía el nombre, apellidos, DNI y positivo o negativo para enviarlo por correo a la Federación a través del médico.
Por otro lado, respecto a no disponer de Delegado de Protección de Datos, relató que se había designado a una persona de forma interna pero que no se notificó.
«No ha aportado ningún consentimiento explícito de algún deportista»
La AEPD ha señalado que la reclamada no ha aportado ningún consentimiento explícito de algún deportista con la información sobre lo que se consiente y sus garantías. “Aduciendo que trataría los datos, primero, basándose en la ficha que cumplimentan para pertenecer a la Federación” pero esa ficha no contempla la finalidad específica ni se da la opción de elegir si está de acuerdo o no, puesto que sólo hay una casilla que marcar.
Por ello, la AEPD ha señalado que esto no puede calificarse de “consentimiento libre” al no haber una alternativa y el deportista se quedaría sin competir.
“El consentimiento únicamente puede ser válido si el interesado puede elegir una opción real y no hay ningún riesgo de engaño, intimidación, coerción o consecuencias negativas significativas en caso de que no consienta. Si las consecuencias del consentimiento socavan la libertad de elección de la persona, el consentimiento no es libre”, ha resaltado la resolución.
Tampoco se puede acreditar que, por el hecho de inscribirse en la competición, el deportista “ha sido informado, y ha prestado su consentimiento informado a través de la aceptación de las normas y protocolos sanitarios adoptados”.
La decisión por la que una persona acepta una operación de tratamiento de datos debe estar sujeta a requisitos estrictos, teniendo en cuenta que dicha decisión puede implicar la renuncia a un derecho fundamental.
La AEPD ha destacado que la pertenencia a la Federación reclamada presupone, en su régimen normal, que sus datos sean tratados con la finalidad de su relación asociativa para la promoción y extensión de la actividad deportiva pero no para el supuesto objeto de debate.
Por ello ha sido sancionado por vulnerar el artículo 9.2 a) (4.000 euros) y 13 (2.000) del RGPD de conformidad con el 83.5 a y b). Pero reconoció la responsabilidad y el importe se redujo a 3.600 euros.
