Protecció de dades en un club esportiu: guia RGPD per a la junta

Fes primer un inventari. En un club excursionista, de trail, de running o de ciclisme acostumen a aparèixer:

• Socis: nom, DNI o NIE, data de naixement, domicili, correu electrònic, telèfon, IBAN i mandat SEPA (per a la remesa SEPA), número de soci. És el que recull el llibre de socis.
• Activitats: inscripcions, assistència, llicència federativa, contacte d'emergència i, de vegades, dades de salut (al·lèrgies, medicació).
• Imatge: fotos i vídeos de sortides, curses i entrenaments.
• Tercers: no socis que s'inscriuen a una activitat, familiars de menors, proveïdors i patrocinadors.

Per a cada grup, pregunta't: per a què ho necessito?, qui ho veu?, on es guarda? i quant de temps?

Tot tractament necessita una base legal de l'article 6 del RGPD. El consentiment no és l'única, i demanar-lo per a tot és un error habitual: si la dada és imprescindible per ser soci, el consentiment no seria lliure. Les més habituals en un club:

• Relació associativa (executar el que el soci demana en donar-se d'alta): gestionar la modalitat, cobrar la quota, organitzar activitats, tramitar la llicència que sol·licita.
• Obligació legal: portar la relació de socis i la comptabilitat, o atendre requeriments de l'Administració.
• Consentiment: publicar fotos, enviar comunicacions de patrocinadors o tractar dades que no són necessàries.
• Interès legítim: per exemple, enviar als socis informació de les activitats del mateix club, sempre que s'hi puguin oposar fàcilment.

En recollir les dades (al formulari d'alta o d'inscripció) cal informar, com a mínim, de:

• Qui és el responsable (nom del club, NIF i un correu de contacte).
• Per a què es fan servir les dades i amb quina base legal.
• A qui es comuniquen: federació, asseguradora, banc per a les domiciliacions.
• Quant de temps es conserven.
• Com exercir els drets i que es pot presentar una reclamació a l'Agència Espanyola de Protecció de Dades.

La imatge d'una persona és una dada personal. Publicar fotos d'una sortida al web o a les xarxes socials requereix, en general, consentiment, i l'AEPD ha insistit en les seves resolucions que sigui:

• Separat de la resta del formulari i sense caselles premarcades.
• Per finalitat: no és el mateix la galeria privada per a socis que Instagram o un cartell de patrocini.
• Revocable en qualsevol moment: si algú el retira, deixa de publicar-ne fotos i retira les que puguis.

A la pràctica, avisa a l'inici de cada activitat si es faran fotos i respecta qui no vulgui sortir-hi.

• Menors: segons l'article 7 de la Llei orgànica 3/2018, a partir dels 14 anys el menor pot consentir per si mateix; per sota, consenten els qui en tenen la pàtria potestat o la tutela. Extrema la prudència amb les seves fotos.
• DNI: demana'l només si realment el necessites (llicència federativa, assegurança, certificats) i no el posis en llistes d'assistència, al carnet de soci ni en fulls compartits.
• Dades de salut: són una categoria especial (article 9 del RGPD). Recull només l'imprescindible per a la seguretat en una activitat, normalment amb consentiment explícit, i que només ho vegi qui ho necessiti, per exemple el guia responsable.

Quan el club fa servir un programa de gestió, un servei de correu o un emmagatzematge al núvol, aquesta empresa accedeix a les dades per compte del club: és un encarregat del tractament. L'article 28 del RGPD exigeix un contracte o acord que digui què pot fer amb les dades, quines mesures de seguretat aplica i què passa quan s'acaba el servei. Abans de triar una eina, comprova que ofereix aquest acord i on desa les dades.

Qualsevol soci pot demanar l'accés, la rectificació, la supressió, l'oposició, la limitació o la portabilitat de les seves dades. El club ha de respondre sense dilació i com a màxim en un mes, ampliable dos mesos més si la sol·licitud és complexa, avisant-ne l'interessat.

Pel que fa a la conservació: guarda les dades mentre la persona sigui sòcia i, després de la baixa, només el que calgui durant el termini en què en puguin sorgir responsabilitats (per exemple, fiscals o comptables). La Llei orgànica 3/2018 obliga a bloquejar aquestes dades: reservades, sense fer-les servir, només a disposició de jutges i autoritats. Passat aquest termini, s'eliminen.

Si es perd un portàtil amb el llistat de socis, algú accedeix al correu del club o s'envia un fitxer a qui no tocava, hi ha una bretxa de dades. Si suposa un risc per a les persones, s'ha de notificar a l'autoritat de control en 72 hores des que se'n té coneixement. La pàgina de bretxes de l'AEPD explica com fer-ho i ofereix eines per valorar el risc.

• Registre d'activitats de tractament: documenta quines dades tractes, per a què i quant de temps. L'eina gratuïta Facilita RGPD de l'AEPD ajuda a preparar-lo si els teus tractaments són de risc baix (no serveix si tractes dades de salut).
• Delegat de protecció de dades: la Llei orgànica 3/2018 l'exigeix, entre d'altres, a les federacions esportives que tracten dades de menors, però no esmenta els clubs. Un club petit normalment no hi està obligat; si tractes moltes dades sensibles, consulta un assessor.