El almacenamiento en una caja de cartón de 1.444 carnés, cientos de fichas, fotografías (en muchos casos de menores de edad), que cuentan con datos personales como nombre y apellidos, dirección, número de teléfono etc., y su abandono en la basura, es revelador de la falta de medidas organizativas para garantizar que el tratamiento de los datos sea seguro y confidencial.
El Club de Futbol debería haber extremado las medidas para que nadie de su organización introdujese en una caja de cartón, de tan fácil acceso, documentos mezclados de diferentes tipos, diferentes temporadas, y relativos en muchos de los casos, a menores de edad, sugiere la Agencia en el expediente de inicio del procedimiento sancionador.
El posterior depósito de la caja en un contenedor de basura, reconociendo el gerente que no sabía quién lo había hecho, refuerza la comisión de la infracción de la letra f) del artículo 5.1 del RGPD (LA LEY 6637/2016) que impone que los datos personales sean tratados de tal manera que se garantice una seguridad adecuada incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).
La Agencia afirma que el Club no ha adoptado las medidas técnicas y organizativas apropiadas a fin de preservar la confidencialidad y la integridad de los datos que almacena, porque tras introducirlos de forma poco ordenada en una caja de cartón, "alguien" los consideró como "basura".
El Club de Futbol como responsable del tratamiento de los datos personales de sus usuarios, estaba obligado a controlar que no se burlasen las medidas de seguridad, sin embargo, según manifiesta su gerente alguien debió confundirse y tiró esos documentos a un contenedor de basura. Con esta actuación, se permitió el acceso no autorizado por parte de terceros, a cientos de datos personales como nombre, apellidos, fotografía; de hecho los documentos fueron vistos por el padre de un niño que juega en el Club, y que llamó a la Policía al ver una caja de cartón llena de documentación de jugadores pertenecientes al club de muchas temporadas, la mayor parte de los cuales eran de menores de edad. El hecho de que fuese la actuación negligente de un empleado o tercero no exime al Club de su responsabilidad, en cuanto responsable de la correcta utilización de las medidas de seguridad que deberían haber garantizado que cientos de documentos no acabasen en un contenedor de basura, a disposición de cualquiera que pasase por la vía pública.
El Club ha procedido al pago de la sanción en la cuantía de 600,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio, lo que implica el reconocimiento de la responsabilidad