En este post se tratará de analizar la licitud del tratamiento de datos de carácter personal de deportistas- concretamente, futbolistas de clubs de fútbol federados- basado en un interés legítimo o en alguna otra causa de legitimación distinta del consentimiento, por parte de empresas del sector del juego, tales como las casas de apuestas así como por parte de ojeadores deportivos.
Para ello, hemos de tener en cuenta tres elementos; (i) qué datos personales van a tratar las casas de apuestas y ojeadores, (ii) cuál es el origen de dichos datos, y (iii) qué bases de legitimación existen para que puedan- o no- tratar dichos datos.
Categoría de datos
Conocer qué tipo de dato se va a tratar es esencial para determinar si es lícito o no su tratamiento. Algunos de los datos que se podrían tratar provenientes de futbolistas son:
- Datos identificativos: nombre, apellidos, DNI/NIE/Pasaporte, nacionalidad;
- Datos de características personales: altura, peso, edad;
- Datos relativos a la propia imagen;
- Datos históricos profesionales: anteriores equipos, posición, datos de juego;
- Datos de juego o profesionales: goles, faltas, tarjetas, distancia recorrida, actitud, etcétera.
Origen de los datos
La normativa de protección de datos distingue entre dos orígenes distintos: datos obtenidos directamente del interesado (voluntariamente y con su consentimiento) y datos no obtenidos directamente del interesado.
Dentro de esta última categoría, encontramos los datos que se han obtenido de fuentes de acceso público y aquellos que no. Si se han obtenido de fuentes de acceso público, es legitimo, con carácter general, acceder a dichos datos. Si no se han obtenido de fuentes de acceso público, dicho acceso debería estar legitimado en alguna de las bases de legitimación que mencionaremos a continuación.
De modo que es importante analizar si los datos obtenidos a través de la visualización de partidos de fútbol se consideran obtenidos de una fuente de acceso público. El RGPD y la nueva Ley Orgánica Protección de Datos (LOPDGDD) no definen este concepto, por lo que la AEPD recomienda acudir a la definición que existía con anterioridad al RGPD, considerándose fuente de acceso público:
- El censo promocional.
- Los repertorios telefónicos.
- Las listas de personas pertenecientes a grupos de profesiones (únicamente con los datos necesarios de contacto y profesionales).
- Los diarios y boletines oficiales.
- Los medios de comunicación social.
Interesa esta última fuente- los medios de comunicación social-, ya que es aquella donde más podrían encuadrarse los partidos de fútbol televisados. Estos medios de comunicación social deben ser de acceso enteramente público y quedarían fuera los medios de acceso restringido. En los últimos años, la visualización de muchos partidos de fútbol queda reservada a los asistentes al estadio y a los abonados a las cadenas televisivas titulares de los derechos de retransmisión de los partidos de fútbol, por lo que el acceso a dicha información deja de ser enteramente público.
Sin embargo, muchos de estos partidos son televisados y retransmitidos en lugares donde el acceso es libre y público (por ejemplo, en bares). Puede incluso que la información relativa al partido y, por ende, a los jugadores, sea publicada legítimamente en medios de comunicación social (periódicos, deportivos o no) de acceso público. En estos casos, podemos hablar de tratamiento de datos provenientes de fuentes de acceso público en diferido, y no hay una respuesta clara acerca de la licitud del tratamiento de estos datos.
En cualquier caso, sea o no lícito ese tratamiento de datos de acceso público o semi-público, el responsable del tratamiento deberá informar a los interesados de dicho tratamiento.
Bases de legitimación
El Artículo 6 del RGPD indica que sólo podrán tratarse datos de carácter personal si concurre una o varias de las condiciones siguientes:
1.- el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
Aunque esta base de legitimación es la más garantista de todas, ya que es el propio interesado- el futbolista- el que permite de forma expresa el tratamiento de sus datos, no parece que tenga aplicación al caso analizado, ya que es improbable que las casas de apuestas o los ojeadores vayan a solicitar el consentimiento a los jugadores para tratar dichos datos. Además, más improbable sería que estos últimos dieran el consentimiento para ello.
2.- el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
Se refiere al caso en que el consentimiento no es necesario porque se entiende que se ha otorgado de forma implícita. Un ejemplo claro es el tratamiento de datos personales de un empleado en una relación laboral, en cuyo caso la relación contractual existente entre ambas partes- y consentida por ambas- implica necesariamente conocer datos personales del empleado, tales como el nombre, apellidos, email, teléfono, datos bancarios, curriculum, etcétera.
En este caso, es esencial que exista una relación contractual o precontractual entre ambas partes y, por tanto, esta base de legitimación no es válida para que las casas de apuestas u ojeadores traten datos de carácter personal de futbolistas.
3.- el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
Esta base de legitimación no aplica, ya que ninguna ley ni norma reglamentaria obliga a nadie a tratar datos personales de futbolistas.
4.- el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
No parece que esta base de legitimación aplique a este caso; además, la norma está pensada para casos de urgencias médicas o, muy recientemente, para el caso de pandemias.
5.- el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
Tampoco aplica esta base de legitimación al caso objeto de este estudio por razones evidentes.
6.- el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño”.
Por tanto, sólo queda una base de legitimación a la que se podrían acoger las casas de apuestas u ojeadores para tratar datos personales, como los mencionados anteriormente, de futbolistas: el interés legítimo.
Interés legítimo del responsable
Se trata de llevar a cabo un tratamiento de datos cuando el responsable del tratamiento considera que tiene un interés legítimo en tratarlos (ya sea recabarlos, comunicarlos, analizarlos, agregarlos a otros datos, almacenarlos, modificarlos…) y que ese interés no entre en conflicto con los intereses o los derechos y libertades fundamentales del interesado- o, si entra en conflicto, que ese interés legítimo prevalezca sobre los intereses del interesado.
Por tanto, se trata de un concepto enormemente indeterminado por la infinita casuística. No obstante, podría considerarse que hay interés legítimo cuando:
- existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable;
- existe una previsión y naturalización por parte del interesado de que el tercero va a tratar sus datos personales para unas finalidades concretas.
- se trata de un tratamiento de datos basado en el derecho a la libertad de expresión y el derecho a la información veraz;
- los datos provengan de una fuente de acceso público.
En el caso de los datos obtenidos por casas de apuestas u ojeadores, vemos que (i) no se cumple la condición de relación directa ni indirecta entre las partes, (ii) sí que se da el caso de la previsión y naturalización de que terceros pueden estar accediendo a dicha información para finalidades concretas (hay millones de espectadores en el fútbol, con carácter general), (iii) podría entrar en juego el derecho a la información por tratarse de un partido de fútbol oficial en una liga oficial, lo cual implica que los resultados y las retransmisiones sean públicos, y (iv) no se trata de una fuente de acceso público en sentido estricto.
Hasta ahora se ha analizado el primer elemento de dicha base de legitimación (el interés legítimo del responsable). Sin embargo, hemos de analizar también el interés legítimo y los derechos y libertados de los interesados.
Interés legítimo y derechos y libertades del interesado
En relación con este segundo elemento, el bien jurídico que se pretende proteger con la normativa de protección de datos es la privacidad de las personas. Este derecho fundamental, recogido en el artículo 18 de nuestra Constitución- se desliga en tres derechos concretos: la intimidad, el honor y la propia imagen. Por tanto, un futbolista (el interesado) que tuviera alguna objeción contra el interés legítimo de un tercero para tratar sus datos personales obtenidos a través de la visualización de un partido de fútbol, debiera alegar que dicho tratamiento limita su derecho a la privacidad; que se trata, en definitiva, de un acceso ilegítimo a datos privados, personales y que su titular no ha querido revelar.
Sin embargo, este argumento parece difícil de sostener cuando son los propios futbolistas, junto con los clubs, los que consienten que se retransmitan los partidos y, por tanto, que exista un archivo duradero de vídeo donde se puedan registrar, ver, oír, almacenar, procesar o estructurar multitud de datos personales obtenidos a través de la retransmisión de tales partidos.
Consecuencia del tratamiento de datos personales con base en un interés legítimo
La legitimación de un tratamiento de datos personales en un interés legítimo del responsable no implica que éste esté exento de cumplir con determinadas obligaciones impuestas por la normativa de protección de datos. En este sentido, cuando un responsable trate datos personales no obtenidos directamente del interesado, deberá informar al interesado de dicho tratamiento. Concretamente, el artículo 14 del RGPD indica que deberá facilitarle al interesado:
- la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- los datos de contacto del delegado de protección de datos, en su caso;
- los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
- las categorías de datos personales de que se trate;
- los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- Otros datos.
Por tanto, la regla general es que las casas de apuestas y los ojeadores (o clubs para los cuales éstos trabajen) deben informar a los futbolistas del tratamiento que están haciendo de sus datos personales.
No obstante, existe una excepción a esta obligación que viene regulada en el citado artículo 14 del RGPD. Éste establece que las mencionadas obligaciones no serán aplicables cuando y en la medida en que:
- el interesado ya disponga de la información; o
- la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
- (…)
- (…)
De nuevo, nos encontramos ante una situación donde prima la casuística por encima de la seguridad jurídica. A nuestro juicio, no supone un esfuerzo desproporcionado informar a los interesados (futbolistas) del tratamiento que, tanto las casas de apuestas como los ojeadores, están llevando a cabo sobre sus datos personales. Por tanto, sería recomendable que estos responsables del tratamiento cumplieran con la obligación de informar a los interesados.
Conclusión
De conformidad con lo expuesto, podemos extraer las siguientes conclusiones:
- Los datos personales de futbolistas obtenidos a través de la visualización de partidos de fútbol podrían provenir, según cada caso, de fuentes de acceso público o cuasi-público. En aquel caso, el acceso estaría legitimado.
- El procesamiento, análisis y publicación de dicha información podría estar amparado en un interés legítimo del responsable, ya es público y notorio que los partidos de fútbol y el deporte en general son visualizados- o pueden serlo- por millones de personas y los interesados (futbolistas) consienten que así sea.
- Existe la obligación de informar a los interesados del tratamiento que las casas de apuestas o los ojeadores llevan a cabo sobre los datos personales de aquéllos, aunque existe la posibilidad de que los responsables recurran a la excepción de la obligación de informar del artículo 14 del RGPD.
