Protección de datos en un club deportivo: guía RGPD para la junta

Haz primero un inventario. En un club de montaña, trail, running o ciclismo suelen aparecer:

• Socios: nombre, DNI o NIE, fecha de nacimiento, domicilio, email, teléfono, IBAN y mandato SEPA (para la remesa SEPA), número de socio. Es lo que recoge el libro de socios.
• Actividades: inscripciones, asistencia, licencia federativa, contacto de emergencia y, a veces, datos de salud (alergias, medicación).
• Imagen: fotos y vídeos de salidas, carreras y entrenamientos.
• Terceros: no socios que se inscriben en una actividad, familiares de menores, proveedores y patrocinadores.

Para cada grupo pregúntate: ¿para qué lo necesito?, ¿quién lo ve?, ¿dónde se guarda? y ¿cuánto tiempo?

Todo tratamiento necesita una base legal del artículo 6 del RGPD. El consentimiento no es la única, y pedirlo para todo es un error habitual: si el dato es imprescindible para ser socio, el consentimiento no sería libre. Las más usadas en un club:

• Relación asociativa (ejecución de lo que el socio pide al darse de alta): gestionar la membresía, cobrar la cuota, organizar actividades, tramitar la licencia que solicita.
• Obligación legal: llevar la relación de socios y la contabilidad, o atender requerimientos de la Administración.
• Consentimiento: publicar fotos, enviar comunicaciones de patrocinadores o tratar datos que no son necesarios.
• Interés legítimo: por ejemplo, enviar a los socios información de las actividades del propio club, siempre que puedan oponerse fácilmente.

Al recoger los datos (en el formulario de alta o de inscripción) hay que informar, como mínimo, de:

• Quién es el responsable (nombre del club, NIF y un email de contacto).
• Para qué se usan los datos y con qué base legal.
• A quién se comunican: federación, aseguradora, banco para las domiciliaciones.
• Cuánto tiempo se conservan.
• Cómo ejercer los derechos y que puede reclamar ante la Agencia Española de Protección de Datos.

La imagen de una persona es un dato personal. Publicar fotos de una salida en la web o en redes sociales requiere, en general, consentimiento, y la AEPD ha insistido en sus resoluciones en que sea:

• Separado del resto del formulario y sin casillas premarcadas.
• Por finalidad: no es lo mismo la galería privada para socios que Instagram o un cartel de patrocinio.
• Revocable en cualquier momento: si alguien lo retira, deja de publicar sus fotos y retira las que puedas.

En la práctica, avisa al inicio de cada actividad si se van a hacer fotos y respeta a quien no quiera salir.

• Menores: según el artículo 7 de la Ley Orgánica 3/2018, a partir de los 14 años el menor puede consentir por sí mismo; por debajo, consienten quienes tienen la patria potestad o la tutela. Extrema la prudencia con sus fotos.
• DNI: pídelo solo si lo necesitas de verdad (licencia federativa, seguro, certificados) y no lo pongas en listas de asistencia, en el carnet de socio ni en hojas compartidas.
• Datos de salud: son una categoría especial (artículo 9 del RGPD). Recoge solo lo imprescindible para la seguridad en una actividad, normalmente con consentimiento explícito, y que solo lo vea quien lo necesite, por ejemplo el guía responsable.

Cuando el club usa un programa de gestión, un servicio de email o un almacenamiento en la nube, esa empresa accede a los datos por cuenta del club: es un encargado del tratamiento. El artículo 28 del RGPD exige un contrato o acuerdo que diga qué puede hacer con los datos, qué medidas de seguridad aplica y qué pasa al terminar el servicio. Antes de elegir una herramienta, comprueba que ofrece ese acuerdo y dónde guarda los datos.

Cualquier socio puede pedir acceso, rectificación, supresión, oposición, limitación o portabilidad de sus datos. El club debe responder sin dilación y como máximo en un mes, ampliable en otros dos si la solicitud es compleja, avisando al interesado.

Sobre la conservación: guarda los datos mientras la persona sea socia y, tras la baja, solo lo necesario durante el plazo en que puedan surgir responsabilidades (por ejemplo, fiscales o contables). La Ley Orgánica 3/2018 obliga a bloquear esos datos: reservados, sin usarlos, solo a disposición de jueces y autoridades. Pasado ese plazo, se eliminan.

Si se pierde un portátil con el listado de socios, alguien accede a la cuenta de correo del club o se envía un fichero a quien no debía, hay una brecha de datos. Si supone un riesgo para las personas, hay que notificarla a la AEPD en 72 horas desde que se conoce, por el canal de su sede electrónica. La página de brechas de la AEPD explica cómo hacerlo y ofrece herramientas para valorar el riesgo.

• Registro de actividades de tratamiento: documenta qué datos tratas, para qué y cuánto tiempo. La herramienta gratuita Facilita RGPD de la AEPD ayuda a prepararlo si tus tratamientos son de bajo riesgo (no sirve si tratas datos de salud).
• Delegado de protección de datos: la Ley Orgánica 3/2018 lo exige, entre otros, a las federaciones deportivas que tratan datos de menores, pero no menciona a los clubes. Un club pequeño normalmente no está obligado; si tratas muchos datos sensibles, consulta con un asesor.