1/9 Expediente N.º: EXP202104457 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de octubre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la COOPERATIVA AGRÍCOLA SAN BERNARDO COOP VALENCIANA con NIF F46025037 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante expone que forma parte de la COOPERATIVA AGRÍCOLA SAN BERNARDO COOP V, y que esta, sin recabar previamente el consentimiento de sus miembros, ha facilitado sus datos a una entidad bancaria, CAJA RURAL, que les ha remitido dos tarjetas de crédito a nombre de estos, sin haberlo solicitado. Junto a la notificación se aporta copia de la tarjeta recibida. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación tanto a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, como a la ASOCIACIÓN ESPAÑOLA DE CAJAS RURALES. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), siendo recogidas ambas en fecha 17 de noviembre de 2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 19 de noviembre de 2021 se recibe en esta Agencia escrito de respuesta de la ASOCIACIÓN ESPAÑOLA DE CAJAS RURALES indicando que: “no tienen datos de clientes de sus asociadas cajas rurales, que nos dirijamos a la caja rural que corresponda”. El día 10 de marzo de 2022 se recibe respuesta de la parte reclamada indicando, en síntesis, lo siguiente: “Son una cooperativa agrícola que se encuentra organizada en diferentes secciones […]. Estas secciones son, la sección de crédito, […]. […] en las actividades de la sección de crédito, los servicios que se les prestan a los socios son auténticamente los propios de una entidad financiera, es decir: Cuentas de ahorro, cuentas corrientes o imposiciones a plazo fijo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 Préstamos, generalmente a medio o largo plazo, y créditos anuales. Otras secciones de la Cooperativa (Suministros, Estación de Servicio…) pueden realizar los cargos y abonos a las Cuentas-Sección de los mismos. Para el desarrollo de todos estos servicios la cooperativa y dada la imposibilidad legal de que una sección de crédito acceda a los sistemas de compensación bancarias ya que no es considerada como una entidad de crédito, nos vemos obligados a realizar un convenio con una entidad de crédito para que los socios de la cooperativa tengan los mismos servicios que podrían tener las entidades de crédito, tales como la domiciliación de recibos, la realización de transferencias, utilización de un cajero, etc. ¿Por qué no somos entidad de crédito? Según se establece en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito, las entidades de crédito son las empresas autorizadas cuya actividad consiste en recibir del público depósitos u otros fondos reembolsables y en conceder créditos por cuenta propia. Tienen la consideración de entidades de crédito:
- a)Los bancos.
- b)Las cajas de ahorros.
- c)Las cooperativas de crédito.
- d)El Instituto de Crédito Oficial. No hay que confundir las cooperativas de crédito con una cooperativa agrícola con una sección de crédito ya que lo que prevalece es su carácter de agrícola. Las cooperativas de crédito sí son consideradas como entidades bancarias (por ejemplo, …) mientras que una sección de crédito de una cooperativa no lo es. En la práctica podremos diferenciar quién es y quién no es entidad bancaria si pueden aperturar una cuenta bancaria con su IBAN correspondiente. Esto no lo puede hacer una sección de crédito de una cooperativa agrícola. ¿En qué consiste el convenio de colaboración financiera? La cooperativa tenía suscrito un convenio de colaboración financiera con (…) y que finalizaba el pasado día 15 de septiembre de 2021. Por tanto, para que la cooperativa pueda seguir prestando los servicios que venía prestando a sus socios hasta ese momento se ha suscrito un nuevo convenio de colaboración con la entidad financiera CAIXA RURAL D’ALGEMESÍ S. COOP. V. DE CRÈDIT (en adelante Caixa Rural). Este convenio consiste en que todos aquellos servicios que la sección de crédito de la cooperativa únicamente pueda prestar con el apoyo de una entidad de crédito, se presten a través de la Caixa Rural. Por tanto, dichos acuerdos de colaboración llevan aparejada la asunción, por parte de la entidad bancaria, del papel de encargada del tratamiento de los datos financieros, para poder realizar aquellas actividades que requieren autorización del Banco de España, concretamente para la emisión de la tarjeta de crédito que da lugar a la reclamación, y así poder completar la prestación del servicio financiero que COOP. CARLET presta a sus socios. […] En fecha C/ Jorge Juan, 6 28001 – Madrid 29 de junio de 2021, se constituye ASAMBLEA GENERAL www.aepd.es sedeagpd.gob.es 3/9 EXTRAORDINARIA en cuyos puntos del día se exponía la firma de un nuevo convenio de colaboración con la entidad CAIXA RURAL DE ALGEMESI, debido a la renuncia de la anterior entidad bancaria. Por tanto, con la firma del nuevo convenio y el correspondiente cambio de entidad bancaria lo que persigue la Cooperativa es que los servicios que venía recibiendo el socio se mantengan inalterables, es decir que aquel socio que tenía una tarjeta de crédito para sacar dinero del cajero y realizar pagos en comercios se le sustituye una por otra y el que tuviera domiciliaciones que inevitablemente van ligadas a la apertura de una cuenta bancaria, se sigan atendiendo. ¿Cómo es el proceso de entrega de la nueva tarjeta? Tal y como se había anticipado en la Asamblea General en la que se aprobó el Convenio, a partir del momento en que entra en vigor se insta a través de una comunicación a cada socio a que “acudan a la sección de crédito para firmar el nuevo contrato de ahorro y recoger la nueva tarjeta, en caso de disponer de ella”. Es decir que no hay ninguna comunicación unilateral por parte de la Caixa Rural hacia los socios de la cooperativa, sino que lo que hay es un contrato de apertura de cuenta bancaria y si anteriormente tuviesen tarjeta, una tarjeta de sustitución junto con su contrato, y que el socio ha de pasar por su oficina de la sección de crédito. ¿Qué se encuentra el socio cuando acude a su oficina de la sección de crédito? Tras el aviso recibido por parte de la cooperativa para que se persone el socio en la sección de crédito, el trabajador de la cooperativa le proporciona al socio el contrato de apertura de la cuenta de ahorro en la Caixa Rural d’Algemesí (para que puedan seguir domiciliando tanto pagos como cobros) y si el socio ya mantenía una tarjeta con el anterior convenio, tendrá a su disposición el contrato de tarjeta de crédito para que sea firmado así como la propia tarjeta que se le entregará únicamente si firman el contrato. Hay que hacer notar que este contrato de tarjeta de crédito únicamente se prepara a los que ya tenían la tarjeta de crédito con el convenio anterior, y además en contra de lo que el denunciante dice, no se remite a su domicilio ni el contrato ni las tarjetas, sino que han de pasar a recogerlas por su oficina de la sección de crédito. También nos interesa aclarar que la firma de estos contratos, tanto el de apertura de cuenta como el de tarjeta de crédito, es totalmente voluntaria para el socio y que en todo caso si no los firman van en detrimento de los servicios que les pueda prestar la cooperativa, dada su imposibilidad al no ser entidad financiera. Por último por abundar en el argumento de que la tarjeta ofrecida al socio denunciante se hace en virtud del convenio firmado en ella además del nombre y apellidos aparece la rúbrica de COOPCARLET que es la entidad de la que el denunciante es socio/cliente. ¿Qué relación existe entre la Caixa Rural d’Algemesí y la cooperativa Sant Bernat de Carlet Coop.V., en materia de protección de datos? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 En la medida que Caixa Rural d’Algemesí presta los servicios financieros a la cooperativa Sant Bernat de Carlet necesarios para que esta a su vez siga prestando sus servicios a los socios entendemos que estamos claramente ante una relación entre el responsable del tratamiento, que es la cooperativa que es la entidad con la que el socio tiene la relación, y la Caixa Rural d’Algemesí que presta sus servicios a la cooperativa poniendo a su disposición su infraestructura con la finalidad de que el socio pueda seguir teniendo una tarjeta con la que acceder a un cajero, realizar pagos con la misma y tener la oportunidad de domiciliar tanto ingresos como pagos que sin tener un número de cuenta bancario sería imposible. Por otro lado, la Cooperativa tendrá la obligación de centralizar la gestión de su tesorería, al menos el 80% de su tesorería disponible, a través de la Caixa Rural en la que se aperturará una o varias cuentas de valores a tal efecto, además de traspasar en el plazo de seis meses desde la firma del convenio de colaboración, todas sus inversiones en fondos y valores a dicha cuenta aperturada. Si ha habido una cesión de datos entre la cooperativa y la Caixa Rural lo ha sido únicamente por logística para que la Caixa rural pudiera realizar los contratos tanto de apertura de cuentas para todos los socios como los de las tarjetas de crédito para aquellas personas que ya tuvieran una tarjeta. Esos contratos que los socios voluntariamente firmen ya llevan las cláusulas y la información relativa a la protección de datos correspondientes a la Caixa Rural y desde ese momento que son clientes de pleno derecho. ¿Qué documentación adjunto al presente escrito? - Acta de la Asamblea General Extraordinaria de la Cooperativa Agrícola Sant Bernat Coop. V. en la que se aprobó por unanimidad la firma del nuevo convenio y en la que se encontraba presente el ahora denunciante. De 29/6/21 - Comunicación que se realizó a los socios para informarles de que pasaran por las oficinas de la sección de crédito de la cooperativa para firmar el contrato de apertura de cuenta y en su caso el contrato de tarjeta de crédito y retirada de las tarjetas para poder operar con el nuevo cajero y poder pagar en comercios. De 6/7/2021 - Autorización por parte de las autoridades autonómicas a que se lleve a cabo el convenio con la Caixa Rural d’Algemesí. De 18/6/21”. TERCERO: Con fecha 21 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Realizado requerimiento de información a CAIXA RURAL con fecha de 28 de febrero de 2022 se recibe en esta Agencia escrito de respuesta de 10 de marzo de 2022 aportando: - Copia del convenio de colaboración financiera entre Caixa Rural y la Cooperativa Agrícola Sant Bernat Coop. V. firmado el 1 de julio de 2021. - Registro de Actividad del Tratamiento de Gestión de clientes Y manifestando que: El citado convenio consta de Condiciones de “colaboración en materia de ahorro por el que el presidente de la Cooperativa proporcionará a la Caixa Rural un listado firmado de socios con los datos necesarios para la apertura de las cuentas, previo consentimiento de los socios a la Cooperativa”. En el Anexo I del Convenio se facilita modelo de adhesión como socio a este convenio “para la apertura de las cuentas de pasivo ordinaria, y por el que además autoriza a la Caixa Rural a remitir a la Cooperativa la información de los movimientos habidos en la citada cuenta de pasivo ordinaria. Esta información permite a la Cooperativa generar periódicamente cargos y abonos en la cuenta del socio en la Caixa Rural”. El citado modelo del Anexo I contiene una cláusula 4ª con referencia a “la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal para que los datos de carácter personal referidos a mi persona y que constan en el contrato de cuenta suscrito, así como los que deriven de nuestras relaciones contractuales sean objeto de cesiones que se indican en el contrato suscrito, y específicamente a la Cooperativa. Que ha sido informado del tratamiento que realizará la Cooperativa con los datos cedidos, dentro de la actividad de la misma y con el fin que ésta procede a la consecución de su objeto social, teniendo en cuenta mi condición de socio de la mencionada Cooperativa. Que ha sido informado de los derechos que me corresponden de acceso, rectificación, cancelación y oposición ante el Responsable del Fichero”. Y una cláusula 5ª que indica: “Manifestar que soy perfectamente conocedor de que no existe ninguna relación, entre la cuenta corriente abierta en esa Entidad y la/s cuenta/s que poseo en la Cooperativa antes mencionada, al tratarse de personas jurídicas distintas e independientes”. Aporta copia del registro de actividades del tratamiento gestión de Clientes como responsable de dicho tratamiento, con las siguientes finalidades: - Servicios Económico-financieros y seguros. - Atención de solicitudes de información y contratación. - Análisis de capacidad económica: scoring. - Formalización de contratos de productos o servicios. - Cumplimiento de obligaciones tributarias: comunicación de saldos, posiciones y demás elementos de sus productos y/o servicios que afecten a la fiscalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 - Cumplimiento de órdenes judiciales y administrativas de embargo de saldos o productos, o cumplimentar las solicitudes de información que legalmente nos dirijan administraciones públicas y organismos judiciales. - Firma de operaciones o contratos con tableta digital. - Aplicación de medidas de autenticación reforzada en cumplimiento de la PSD2. - Crear modelos de comportamiento a través de datos seudonimizados y anónimos, con el fin de generar nuevos productos o servicios. - Geolocalización para la prestación de servicios que lo requieran. - Análisis de perfiles. Y las siguientes bases jurídicas: - Ejecución de un contrato o de medidas precontractuales. - Cumplimiento de una obligación legal aplicable al responsable del tratamiento. - Satisfacción de intereses legítimos. - Consentimiento del interesado. CONCLUSIONES La Caixa tiene firmado un convenio de colaboración financiera con la Cooperativa cuando finalizó el convenio con la anterior entidad financiera. La Cooperativa ha cedido los datos de sus socios a la Caixa, previo consentimiento, para proceder a la apertura de las nuevas cuentas corrientes. La Caixa realiza el tratamiento denominado Gestión de Clientes con base jurídica ejecución de un contrato y el consentimiento, entre otras bases. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En el presente expediente, consta copia del Acta de la asamblea extraordinaria en la que se plasma la presencia del ahora reclamante y la aprobación por unanimidad del acuerdo de colaboración financiera con La Caixa, así como, la comunicación de los datos a La Caixa para poder seguir operando como socios de La Cooperativa de manera inalterable.. III Principios relativos al tratamiento La letra
- f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, al haber cedido los datos de sus socios a la Caixa, previo consentimiento y aprobación del mencionado convenio en asamblea general de la cooperativa, contando con el conocimiento y aprobación del ahora reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la COOPERATIVA AGRÍCOLA SAN BERNARDO COOP VALENCIANA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es