La Real Federación Española de Tenis de Mesa (RFETM) ha sido sancionada por la AEPD, en el marco del procedimiento sancionador PS-00305-2024, por la publicación de una serie de datos en su página web. En el trabajo diario que llevamos a cabo desde Dataseg, nos encontramos con situaciones muy diversas que ponen de relieve la importancia de cumplir con la normativa vigente en materia de privacidad y seguridad de la información. Uno de los escenarios que pueden darse lo vemos precisamente en este procedimiento, en el que se ejemplifican los riesgos asociados a la gestión de datos personales, en este caso, por parte de las federaciones deportivas.
Antecedentes del procedimiento contra la RFETM
Este procedimiento contra la RFETM se inició a raíz de una denuncia presentada el 11 de junio de 2024 ante la AEPD. El reclamante señalaba que la RFETFM había publicado en su página web documentos completos relacionados con recursos electorales, en los que aparecían datos personales suyos, como nombre, apellidos, DNI, dirección, teléfono y correo electrónico. Lo más preocupante era que estos documentos eran accesibles de manera libre en Internet, generando un riesgo claro de exposición y tratamiento indebido de información personal.
La federación, por su parte, alegó que la publicación de los documentos estaba respaldada por la normativa electoral y por obligaciones de transparencia derivadas de la Orden EFD/42/2024 y de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). Además, indicaron que los datos personales habían sido incluidos voluntariamente por el propio reclamante. Sin embargo, estas alegaciones no fueron suficientes para evitar la intervención de la AEPD.
El procedimiento y las alegaciones de la RFETM
La reclamación fue admitida por la AEPD el 28 de junio de 2024, dando inicio al procedimiento sancionador. La RFETM presentó alegaciones en las que defendía, entre otros puntos, que no actuaba como responsable del tratamiento de los datos, que carecía de ánimo de lucro y que no había incurrido en negligencia. También solicitó la aplicación del artículo 77 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), que limita la imposición de sanciones a determinadas entidades públicas, argumentando que, como federación deportiva, ejercía funciones públicas por delegación.
La AEPD rechazó estos argumentos, aclarando que las federaciones deportivas, aun cuando desarrollen funciones delegadas, son entidades privadas a efectos de la protección de datos y, por tanto, pueden ser sancionadas conforme al Reglamento General de Protección de Datos (RGPD) y la LOPDGDD.
Hechos probados y responsabilidad de la RFETM
La resolución de la AEPD determinó que la RFETM había publicado documentos que contenían datos personales de forma íntegra y accesible públicamente, vulnerando el artículo 5.1.f) del RGPD, que exige garantizar la seguridad de los datos frente a tratamientos no autorizados o ilícitos. No obstante, la federación adoptó medidas correctoras tras la denuncia: ocultó los datos personales en las publicaciones y eliminó los documentos de su página web una vez finalizado el plazo de alegaciones.
Sanción y medidas correctoras
La sanción inicial propuesta por la AEPD fue de 2.000 euros. Gracias al pago voluntario realizado por la RFETM antes de la resolución, se aplicó una reducción del 20%, dejando la multa definitiva en 1.600 euros. Además, la AEPD instruyó a la federación para que, en un plazo de seis meses, notificara las medidas adoptadas para garantizar que la publicación de información personal cumpla con la normativa de protección de datos.
Lecciones prácticas de la sanción a la RFETM
Este caso deja varias enseñanzas clave para cualquier entidad, pública o privada, que maneje datos personales. Y, en especial, para las federaciones deportivas.
- Compatibilizar transparencia y protección de datos: Es obligatorio para las federaciones publicar determinada información en procesos electorales o de gestión pública interna, pero la protección de los datos personales siempre debe estar en el centro. Publicar únicamente lo estrictamente necesario y, cuando sea posible, anonimizar o seudonimizar la información.
- Limitación del acceso: Si es imprescindible incluir datos identificativos en una publicación, es también imprescindible limitar el acceso a partes interesadas debidamente autenticadas y, por lo general, nunca permitir el acceso universal a datos sensibles.
- Revisión regular de procedimientos: Adaptar reglamentos y protocolos internos a la evolución de la normativa. Revisar la publicación de actas, recursos, resoluciones y listas evitando la exposición pública de información innecesaria.
- Diligencia ante incidencias: Actuar rápidamente para subsanar exposiciones indebidas, eliminando datos y notificando a los órganos de control cuando corresponda puede mitigar consecuencias.
Esta resolución viene a subrayar de nuevo la importancia de que cualquier entidad (incluidas las deportivas, que muchas veces cuentan con recursos limitados y complejos marcos normativos internos) respete escrupulosamente la privacidad cuando maneja y publica información personal. La “transparencia” no debe servir nunca como coartada para ignorar el derecho fundamental a la protección de datos.
Como expertos en protección de datos, desde Dataseg te recordamos que la prevención, la formación continua y una asesoría legal especializada son las mejores herramientas para evitar riesgos legales y reputacionales. Si quieres revisar la adecuación de tus procesos de publicación de información, ponte en contacto con nosotros: estaremos encantados de ayudarte a cumplir con todas las garantías.
Puedes consultar el texto completo de la resolución aquí.