RGPD en clubes deportivos: cómo tratar los datos de los menores

Esta guía es orientativa y está escrita desde la experiencia de construir una plataforma para clubes y colegios. No sustituye al asesoramiento de un delegado de protección de datos o de un profesional. Las normas citadas son el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD).

1. Qué datos trata un club y con qué base legal

Para organizar la actividad deportiva, el club necesita como mínimo el nombre y la fecha de nacimiento del menor, el equipo, y el nombre y contacto de sus tutores. Estos datos se tratan porque son necesarios para prestar el servicio (la relación con el club o la matrícula en la extraescolar): es la base legal de ejecución del contrato, y no hace falta pedir consentimiento para ellos, aunque sí informar.

Otros usos sí requieren consentimiento expreso y separado: publicar fotos, enviar comunicaciones comerciales, ceder datos a un patrocinador. Y algunos datos son de categoría especial, como los de salud, que exigen una base reforzada y muchas más cautelas.

Principio que lo resume todo: minimización. Pide solo lo que necesitas para lo que vas a hacer. Un club no necesita el DNI del niño para convocarlo a un partido.

2. La regla de los 14 años

El artículo 7 de la LOPDGDD fija en 14 años la edad a partir de la cual un menor puede consentir por sí mismo el tratamiento de sus datos. Por debajo, consienten los titulares de la patria potestad o tutela. En la práctica:

• Un menor de 14 no debería tener cuenta propia en la app del club: la tiene su tutor.
• A partir de 14 puede tenerla, pero es razonable que sea el tutor quien la habilite y quien siga viendo la información.
• En categoría cadete conviven las dos situaciones; la regla se aplica por edad del deportista, no por categoría.

3. Cómo recoger el consentimiento de los tutores

El consentimiento tiene que ser informado, específico y demostrable. Eso significa:

• Un texto claro que diga quién es el responsable (el club o el colegio), para qué se usan los datos, quién más los ve (la app que usáis, por ejemplo), cuánto tiempo se guardan y cómo ejercer los derechos.
• Casillas separadas para usos distintos: una para la organización deportiva (si la basas en consentimiento), otra para fotos, otra para comunicaciones. Nunca una única casilla «acepto todo».
• Un registro de quién, cuándo y qué versión del texto aceptó. Si cambias el texto, hay que volver a pedirlo.

El papel firmado en septiembre funciona, pero se pierde. Una herramienta que pida el consentimiento al tutor la primera vez que entra, con fecha y versión, te lo resuelve para siempre. Así lo hace DeDeporte.

4. Fotos y vídeos

La imagen de un menor es un dato personal. Publicar fotos del equipo en redes sociales o en la web del club exige consentimiento expreso de los tutores, por separado del resto, y revocable. Buenas prácticas:

• Pregunta al inicio de temporada y respeta el «no» sin preguntar por qué. Ten una lista clara de quién no ha autorizado.
• Distingue entre usos: foto de equipo en la web del club, redes sociales del club, fotos que las familias comparten entre sí.
• Las fotos que usa el club para identificar a los jugadores (la de la ficha) no deberían ser visibles por otras familias, solo por el cuerpo técnico.
• Evita que el grupo de WhatsApp sea el archivo fotográfico del equipo: nadie controla dónde acaba cada imagen.

5. Grupos de WhatsApp y hojas compartidas

Aquí es donde la mayoría de los clubes incumplen sin saberlo. Un grupo de WhatsApp del equipo:

• Comparte el teléfono de todas las familias con todas las demás sin que nadie lo haya consentido. Es una cesión de datos entre particulares organizada por el club.
• Mezcla información de menores (lesiones, ausencias por motivos médicos, situaciones familiares) delante de treinta personas.
• No tiene control de acceso: un padre que deja el club sigue en el grupo hasta que alguien se acuerda.

Lo mismo pasa con la hoja de cálculo con «todos los datos» compartida por enlace: quien tiene el enlace, tiene los datos de todos, para siempre.

Alternativas que cumplen: listas de difusión (cada familia recibe el mensaje sin ver a las demás), comunicaciones individuales, o una herramienta donde cada familia vea solo lo de sus hijos y los avisos lleguen sin compartir números. Hay una guía específica para hacer la transición.

6. Datos médicos

Alergias, medicaciones, lesiones, informes: son datos de salud, categoría especial. Regla práctica: no los guardes si no los necesitas, y si los necesitas (una alergia grave que el entrenador tiene que conocer), guárdalos aparte, con acceso solo para quien deba tenerlo y con consentimiento explícito. Nunca en el grupo, nunca en la hoja general, nunca en la ficha visible por todos.

7. Qué exigir a las apps y herramientas que usas

Si el club usa una app para organizar equipos, esa empresa es encargada del tratamiento y el club sigue siendo el responsable. Antes de adoptarla, pide:

• Contrato de encargado del tratamiento (artículo 28 del RGPD). Si no te lo dan, mala señal.
• Dónde se alojan los datos. Dentro del Espacio Económico Europeo evita problemas de transferencias internacionales.
• Quién ve qué. Que una familia no pueda ver datos de otra ni los teléfonos de los demás, y que los permisos se apliquen de verdad (no solo se oculten en pantalla).
• Menores de 14 sin cuenta propia y consentimiento de los tutores con registro.
• Baja limpia. Qué pasa con los datos cuando una familia deja el club o el club deja la herramienta; posibilidad de exportar y borrar.
• Sin uso publicitario de los datos de los menores.

8. Derechos de las familias y bajas

Cualquier tutor puede pedir acceso, rectificación, supresión, limitación, oposición o portabilidad de los datos de su hijo. El club tiene un mes para responder. Ten un email de contacto para estas peticiones y un procedimiento sencillo: quién las recibe, quién las atiende, cómo se documenta. Cuando un deportista deja el club, retira su acceso y el de su familia a todas las herramientas ese mismo día, y conserva solo lo que la normativa federativa o contable te obligue a guardar.

9. Lista de comprobación