La Agencia Española de Protección de Datos (AEPD) ha sancionado a la Federación de Colombicultura de Castilla-La Mancha (FCCM) con 600 euros por una infracción de la normativa de protección de datos, tras publicar en abierto el censo electoral de sus miembros en su página web, exponiendo datos personales como nombre, apellidos, DNI, fecha de nacimiento, número de licencia federativa y club de adscripción, sin las debidas medidas de seguridad y sin consentimiento de los afectados[1].
¿Qué ocurrió?
- En junio de 2024, un miembro de la federación denunció ante la AEPD que, con motivo de un proceso electoral, la FCCM había publicado el censo de votantes en su web, accesible a cualquier usuario, incluyendo datos personales sensibles.
- La federación, tras recibir el requerimiento de la AEPD, retiró el censo de la web y adoptó varias medidas correctivas, entre ellas:
- Restringir el acceso al censo, habilitando un área privada solo para federados identificados.
- Ofrecer el censo bajo solicitud vía correo electrónico y en las dependencias federativas.
- Realizar formación interna sobre protección de datos y recordar a los empleados su deber de confidencialidad[1].
¿Por qué es sancionable?
La AEPD considera que la FCCM vulneró el artículo 5.1.f) del RGPD, que exige tratar los datos personales garantizando su seguridad, integridad y confidencialidad, evitando accesos no autorizados. La publicación del censo en abierto supuso una brecha de confidencialidad, ya que permitió el acceso indiscriminado a datos personales de los federados, más allá de lo necesario para la transparencia y el desarrollo del proceso electoral[1].
“En el presente caso, ha quedado constatada una brecha de datos personales materializada de una pérdida de confidencialidad de los datos del reclamante contenidos en el censo publicado por la reclamada, en abierto y sin restricciones.”
- Resolución AEPD
Sanción y atenuantes
- La infracción está tipificada como “muy grave” y puede acarrear multas de hasta 20 millones de euros o el 4% del volumen de negocio anual, pero la AEPD valoró la colaboración de la federación y las medidas adoptadas tras la reclamación.
- La multa inicial propuesta fue de 1.000 euros, pero la FCCM se acogió a la reducción por reconocimiento de responsabilidad y pago voluntario, quedando la sanción final en 600 euros[1].
Medidas recomendadas y adoptadas
La resolución destaca la importancia de:
- Realizar un análisis de riesgos antes de tratar datos personales.
- Adoptar medidas técnicas y organizativas adecuadas para garantizar la confidencialidad.
- Limitar el acceso a datos personales solo a quienes tengan derecho legítimo y necesidad de conocerlos.
- Formar y concienciar al personal sobre protección de datos[1].
Este caso subraya la obligación de las entidades, incluidas las federaciones deportivas, de proteger los datos personales de sus miembros y no exponerlos públicamente sin justificación y sin las debidas garantías. La transparencia electoral debe compatibilizarse siempre con la protección de la privacidad.
Referencia:[1] Resolución AEPD PS-00359-2024, expediente EXP202409064.
