La investigación se inició tras la reclamación presentada por una socia del club, quien denunció que desde la llegada de la nueva junta directiva se estaban enviando comunicaciones grupales mostrando las direcciones de correo, nombres y apellidos de todos los destinatarios. La reclamante manifestó sentirse “menos segura” ante la reiteración de estos envíos y el aumento progresivo de destinatarios.
Dos correos, veinte destinatarios y una brecha de confidencialidad
Según la resolución, el club envió dos correos electrónicos —el 30 de agosto y el 9 de septiembre de 2024— a grupos de 12 y 20 personas respectivamente, utilizando el campo “Para” en lugar de “CCO”. Esto provocó que los datos personales de todos los socios incluidos quedaran visibles para el resto.
La AEPD considera acreditado que esta práctica constituye un tratamiento de datos personales y que Unión Atlética San Fernando actuó como responsable del tratamiento, incumpliendo su obligación de garantizar la seguridad y confidencialidad de la información.
El organismo recuerda que el artículo 5.1.f) del RGPD exige que los datos se traten de forma que se garantice su protección frente a accesos no autorizados o divulgaciones indebidas, algo que no ocurrió en este caso.
Falta de respuesta y notificaciones rechazadas
La Agencia también detalla que el club no respondió al traslado de la reclamación, pese a haber sido notificado tanto electrónicamente como por correo postal. Incluso se registró un rechazo de la notificación electrónica por no acceder a ella en el plazo de diez días, lo que, según la AEPD, no impide la continuación del procedimiento.
Apercibimiento y obligación de adoptar medidas
Tras analizar los hechos, la AEPD concluye que la infracción está probada y decide imponer un apercibimiento, una de las medidas correctivas previstas en el RGPD para casos en los que la naturaleza de la infracción no exige una sanción económica.
Además, ordena al club que, en un plazo máximo de dos meses, acredite haber adoptado medidas para garantizar que los envíos de correos electrónicos a múltiples destinatarios se ajustan al RGPD, evitando nuevas revelaciones de datos personales.
La resolución advierte de que no cumplir esta orden podría derivar en un procedimiento sancionador, con multas que pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio anual, según el RGPD.