RGPD en clubes deportivos con menores: guía 2026.

1 · Por qué el RGPD afecta especialmente a clubes con menores

El Reglamento (UE) 2016/679 (RGPD) y la LOPDGDD 3/2018 establecen un régimen reforzado para el tratamiento de datos de menores de edad. Un club deportivo amateur trata, casi a diario:

• Datos identificativos de menores y sus tutores (nombres, direcciones, DNI).
• Datos médicos básicos (alergias, lesiones, autorizaciones).
• Imágenes y vídeos en partidos, entrenamientos y eventos.
• Datos federativos (licencias, categorías, palmarés).
• Datos económicos (cuotas, recibos, posibles devoluciones).

El cruce de estas categorías —especialmente la combinación de imagen + datos identificativos de un menor— genera obligaciones de tratamiento que muchas directivas amateur ignoran porque "siempre se ha hecho así". La realidad legislativa cambió en 2018 (LOPDGDD) y la inspección de la AEPD se intensificó tras 2023.

2 · Las 7 obligaciones mínimas no negociables

Independientemente del tamaño del club, estas siete obligaciones aplican siempre que se traten datos de menores:

1. Doble consentimiento del tutor legal. El art. 7 LOPDGDD obliga al consentimiento de quienes ejerzan la patria potestad en menores de 14 años. Para datos de imagen, autorizaciones específicas y categorías especiales (médicas), el consentimiento debe ser específico, informado, libre e inequívoco.
2. Cláusula informativa con lenguaje claro. Antes de recabar cualquier dato, el club debe informar de finalidad, base legitimadora, plazo de conservación, destinatarios, derechos del interesado y datos de contacto del responsable. Adaptada al lenguaje del menor cuando aplique.
3. Registro de Actividades de Tratamiento (RAT). Documento interno que enumera todos los tratamientos que realiza el club. Obligatorio incluso para entidades pequeñas si tratan categorías especiales (médicas) o datos de menores a escala (todos los clubes federados, en la práctica).
4. Política de retención de datos. Plazos definidos por categoría (típicamente 2–5 años tras la baja del menor, salvo obligación legal de conservación). Eliminación segura al vencimiento.
5. Medidas técnicas y organizativas. Cifrado, control de accesos por roles, registro de actividad. La AEPD exige que sean "apropiadas al riesgo" — para datos médicos de menores, el listón es alto.
6. Procedimiento documentado de derechos. Cómo se atiende un derecho de acceso, rectificación, supresión, oposición, limitación o portabilidad. Plazo máximo: 30 días.
7. Notificación de violaciones de seguridad. Si hay una brecha (acceso no autorizado, pérdida de información), notificación a la AEPD en menos de 72h y comunicación a los afectados sin dilación indebida.

3 · Cesión de imagen y redes sociales

El error más frecuente de los clubes amateur. Subir una foto del benjamín celebrando un gol al Instagram del club sin autorización específica de los tutores es un tratamiento ilícito. Y sí, la AEPD lo sanciona.

Lo que un club correcto hace:

• Autorización separada para imagen, distinta del consentimiento general de inscripción.
• Granularidad: opciones diferenciadas para web, redes propias, prensa, terceros (federación, marcas).
• Renovación periódica al menos anual: las preferencias cambian.
• Mecanismo de retirada sencillo y sin penalización.
• Difuminado o supresión inmediata del menor cuyo tutor revoca el consentimiento, incluso en publicaciones antiguas.

4 · Datos médicos: la categoría especial

Los datos médicos (alergias, lesiones, condiciones, certificados de aptitud) son categoría especial bajo el art. 9 RGPD. Su tratamiento requiere base legitimadora reforzada y medidas de seguridad superiores. Lo mínimo que un club debe garantizar:

• Acceso restringido a perfiles autorizados (entrenador del equipo concreto, fisio, médico colaborador).
• No almacenar datos médicos en chats de WhatsApp ni en hojas de cálculo compartidas.
• Cifrado en reposo (AES-256) y en tránsito (TLS 1.3).
• Registro inmutable de quién accede, cuándo y a qué dato.
• Plazo de conservación específico (generalmente, mientras el menor permanece como deportista del club + plazos legales).

5 · Sanciones reales aplicadas a clubes en 2024–25

Casos públicos reportados por la AEPD durante 2024–2025 (resoluciones consultables en el portal de la Agencia):

• Club deportivo de fútbol base sancionado con €1.500 por publicar imágenes de menores en redes sociales sin consentimiento documentado de los tutores.
• Asociación deportiva amateur sancionada con €600 por carecer de cláusula informativa en el formulario de inscripción.
• Club federado de baloncesto sancionado con €4.000 por almacenar datos médicos de menores en una hoja de cálculo compartida sin medidas técnicas apropiadas.
• Entidad deportiva semipro sancionada con €60.000 por una brecha de seguridad que expuso datos de 800 menores y no fue notificada a la AEPD en el plazo legal.

Las sanciones aplicadas a clubes amateur tienen importe proporcionado al tamaño y la facturación, pero el daño reputacional —especialmente en relación con familias y patrocinadores— es mucho mayor que la cuantía económica.

6 · Arquitectura técnica de un cumplimiento viable

Un club amateur no necesita un equipo legal a tiempo completo, pero sí necesita una infraestructura que haga cumplir el RGPD por defecto. Los componentes mínimos:

• Sistema único de gestión que sustituya hojas de cálculo, chats y carpetas dispersas.
• Plantillas legales actualizadas de cláusulas informativas y autorizaciones.
• Doble firma electrónica con trazabilidad para tutores legales.
• Roles configurables (presidencia, dirección deportiva, secretaría, entrenadores, familias) con permisos diferenciados.
• Auditoría inmutable de cada acceso y cada modificación.
• Backups cifrados con plan de recuperación documentado.
• Hosting en UE y proveedores con DPA firmado.
• Alertas automáticas de plazos legales (renovación de consentimientos, eliminación tras baja).

Cierre · cumplir es decidir bien una vez

El RGPD no es una carga administrativa sin retorno. Es una arquitectura que protege la entidad de sanciones, demandas y crisis reputacionales. Una directiva que delega esta función en una plataforma adecuada elimina riesgo recurrente con una sola decisión inicial — y libera tiempo que antes se dedicaba a perseguir documentos en papel.