La Agencia Española de Protección de Datos ha sancionado con 4.000 euros de multa a un club deportivo por incluir en un grupo de WhatsApp a un antiguo usuario de su entidad, sin su consentimiento previo.
Así, la AEPD considera infringidos hasta cuatro preceptos del Reglamento General de Protección de Datos.
Reclamación
El usuario afectado (reclamante) dirige contra un club deportivo (reclamado) una reclamación ante la AEPD. El motivo en que basa su reclamación es que el reclamado ha incluido su número de teléfono móvil en un grupo de WhatsApp sin solicitarle previamente ningún consentimiento o autorización.
Además, informa el reclamante que fue usurario del aludido centro deportivo objeto de esta reclamación, pero hace ya más de diez años que no tiene ninguna relación con el mismo.
Después de dar traslado de dicha reclamación a la entidad deportiva para que procediese a su análisis e informase a la Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, aquella nunca dio respuesta a tal requerimiento.
Procedimiento sancionador
En julio de 2021, la Directora de la AEPD acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción de los arts. 32, 5.1.e) y 6 del RGPD.
En particular, en el presente caso se estima que el reclamado ha tratado datos personales del reclamante (número de teléfono móvil) sin su previo consentimiento y vulnerando con ello el art. 6 del RGPD.
Además, contraviniendo el art. 5.1 e) del RGPD, el centro deportivo conserva sus datos personales pese a que el reclamante no es su cliente desde hace más de diez años. Cabe recordar que dicho precepto indica que los datos no podrán conservarse más que el tiempo necesario para la finalidad para la que fueron tomados.
Por otro lado, el hecho de facilitar el número de teléfono móvil del reclamante a terceros e incluirle en un grupo de WhatsApp supone una vulneración de su confidencialidad. Así, a juicio de la AEPD, las medidas de seguridad del reclamado no son adecuadas a la normativa de protección de datos, suponiendo tales hechos dos infracciones más al contravenir los apartados b) y d) del art. 32 del RGPD.
Sanciones
Pues bien, considerando la Agencia que nos enfrentamos ante una acción negligente no intencional, pero significativa (art. 83.2 b)) del RGPD) ya que, pese a que el reclamante no es cliente desde hace más de diez años, la entidad reclamada aún conserva sus datos personales, la Directora de la AEPD impone al club deportivo las siguientes cuatro sanciones:
- Por la infracción del art. 6 del RGPD, una multa de 1.000 euros;
- Por la infracción del art. 5.1 e) del RGPD, una multa de 1.000 euros;
- Por la infracción del art. 32.1 e) del RGPD, una multa de 1.000 euros;
- Por la infracción del art. 32.1 d) del RGPD, una multa de 1.000 euros.
