El delegado de protección de datos y las federaciones deportivas

El 25 de mayo de este año, así como los días previos y posteriores, el buzón de mensajes recibidos de nuestros correos electrónicos echaba humo.

Todos esos mensajes tenían su origen en el inicio en esa fecha de la aplicación, en el ámbito territorial de la Unión Europea, del Reglamento general de protección de datos 679/2016, en adelante RGPD, aún cuando había entrado en vigor dos años antes. Durante el impasse los organismos públicos, empresas y profesionales deberían actualizar y adaptar sus protocolos de protección de datos al citado RGPD.

Las entidades deportivas, SAD, Federaciones nacionales y territoriales, Fundaciones y clubes quedan obligados a adaptarse al RGPD ya que en el ejercicio de su actividad solicitan y utilizan datos personales de personas físicas. Se introducen algunas novedades como los nuevos derechos ARCO-POL (Derecho a Acceso, Rectificación, Cancelación, Oposición, Portabilidad, Olvido y Limitación), la introducción de sanciones de hasta 20 millones de euros, la obligación de designar Delegado de Protección de Datos, nuevos principios a adoptar por los encargados y responsables, entre otros.

En aquella fecha se encontraba vigente, y de aplicación en todo lo que no fuera contrario a las normas del Reglamento, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y el RD 1720/2007, encontrándose en tramitación parlamentaria una nueva Ley reguladora, hoy ya aprobada.

En efecto, recientemente ha entrado en vigor la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD) remitiéndose, en gran parte, al contenido del mencionado RGPD y modificando en gran parte el contenido de la LOPD. En este sentido, algunas novedades se han introducido que inciden en gran medida en la actividad habitual de las Federaciones Deportivas. Y es que el artículo 34. O) LOPDGDD establece la obligación de designar un Delegado de Protección de Datos por parte de las Federaciones Deportivas que traten datos de menores de edad o lo que es lo mismo, la práctica totalidad de ellas.

En lo relativo a clubes y demás entidades deportivas, a pesar de no ser un imperativo legal, en la medida que existe el principio de “accountability” o responsabilidad proactiva, es altamente recomendable designar un Delegado de Protección de Datos a fin de evitar posibles consecuencias negativas y promover una práctica correcta y el cumplimiento en materia de Protección de Datos.

En cuanto a la formación de los Delegados de Protección de Datos, será obligatorio que posean una titulación universitaria que acredite sus conocimientos en materia de derecho y protección de datos. Las entidades que cuenten con un DPD tendrán que comunicarlo a la Agencia Española de Protección de Datos y a la autoridad autonómica correspondiente.

Y muchos se preguntarán, ¿Qué hace el Delegado de Protección de Datos (DPD) y qué consecuencias tiene su falta de designación?

Las funciones, cualificación y atribuciones del Delegado de Protección de Datos se encuentran especificadas en el artículo 39 del RGPD y en los artículos 35 a 37 de la LOPDGDD, siendo las principales funciones, el deber de asesorar e informar al responsable o al encargado del tratamiento y a todo aquel trabajador que se ocupe del tratamiento, de las obligaciones del RPGD y la LOPDGDD además de la  normativa aplicable en protección de datos.

Asimismo, también tiene el deber de supervisar el cumplimiento del Reglamento, la LOPDGG y el resto de normativa aplicable en materia de protección de datos en las políticas del responsable o encargado del tratamiento en dicha materia, incluida la asignación de responsabilidades y la formación del personal que participa en el tratamiento de datos.

Otra de las funciones es la de ofrecer asesoramiento relacionado con la evaluación de impacto relativa a la protección de datos y supervisar su aplicación, conforme al artículo 35 del RGPD y lo especificado en la normativa española.

En relación con la autoridad de control, el DPD debe ser el punto de contacto en relación con el tratamiento (Agencia Española de Protección de Datos), realizar las consultas necesarias y, además, cooperar debidamente con ésta.

Y de nuevo nos podemos preguntar ¿Qué sucede si una entidad obligada a la designación de un DPD no lo hace?

Según el artículo 73 LOPDGDD, el incumplimiento de la obligación de designar un DPD cuando sea exigible se considerará como una infracción grave pudiendo acarrear sanciones consistentes, entre otras, en multas administrativas como las recogidas en el artículo 83.4.a) del Reglamento Europeo que prevé “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”

En definitiva, la figura del Delegado de Protección de Datos aparece como una figura esencial para determinadas organizaciones, especialmente las Federaciones Deportivas, y con una enorme importancia en materia de investigación, sanción y reclamaciones en materia de protección de datos. Analizar debidamente la organización y designar un Delegado de Protección de Datos puede evitar algún que otro problema.

Pau Mestre

Área Legal

Land&Law, advocats i consultors

www.landsportlaw.com