1/7 Expediente N.º: EXP202311581 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO; A.A.A. (en adelante, la parte reclamante) con fecha 27 de junio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ADOSO GESTIÓN, S.L. con NIF B50638162 (en adelante ADOSO). Los motivos en que basa la reclamación son los siguientes: En el escrito recibido se informa de lo siguiente: El reclamante manifiesta la recepción de una comunicación por email, de fecha 28 de junio de 2022, remitida desde la dirección ***EMAIL.1 (de la que es titular ADOSO GESTION S.L.) con el título “Informe auditoría y cuentas 2021”. Este correo electrónico ha sido remitido a todos los socios de la Cooperativa sin utilizar la función CCo (copia oculta), por lo que es visible para todos los destinatarios el correo electrónico de los demás socios, junto con su nombre y apellidos. El reclamante considera que su dirección de correo electrónico es un dato personal y que la divulgación por ADOSO de este dato a los otros socios de la cooperativa infringe el RGPD, por lo que solicita la incoación de un expediente sancionador contra ADOSO, una vez realizadas las comprobaciones oportunas. Junto a la notificación se aporta copia la comunicación por email descrita en el párrafo anterior. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ADOSO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 05/09/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 13/09/2023 se recibe en esta Agencia escrito de respuesta de ADOSO, en la que explica que tiene contratada la gestión integral de la cooperativa, entre cuyas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 tareas, se encuentra la convocatoria de Asambleas generales; utilizan para este fin un correo abierto con las direcciones de correo electrónico a todos los socios, como parte de su política de transparencia, con el fin de que los socios puedan ejercer sus derechos sociales al margen del Consejo Rector y la empresa gestora. Manifiestan su incomprensión ante las pretensiones actuales, porque la parte reclamante había solicitado reiteradamente a ADOSO acceso al libro registro de socios de la Cooperativa y a la obtención de copia del mismo; aporta ADOSO copia de la solicitud el acceso de la parte reclamante de 15 de marzo de 2023, así como la contestación de ADOSO, facilitando el acceso de la información solicitada, conforme a la solicitud y con la legislación vigente. Considera ADOSO que, enviando los correos electrónicos con copia visible a todos los socios, cumplen con la solicitud de acceso anual del reclamante de conocer la identidad de los restantes socios, de acuerdo con la legislación vigente. Aporta ADOSO la siguiente documentación: 1. Contrato de gestión de cooperativa de 2 de enero de 2019 entre ADOSO y la Cooperativa ***COOPERATIVA.1(en lo sucesivo la COOPERATIVA), 2. Copia de la solicitud de 15 de marzo de 2023, en que el reclamante solicita a ADOSO acceso al libro registro de socios de la Cooperativa y a la obtención de copia del mismo. La parte reclamante, fundamentaba su petición a ADOSO en el derecho de los socios a convocar una Asamblea Extraordinaria, previsto en artículo 18.2 de los Estatutos de la Cooperativa, cuando lo solicite 20% de los socios, dado que el ejercicio de este derecho de es necesario conocer la identidad de los socios y el domicilio postal. Asimismo, fundamentaba su petición también en el artículo 21 “
- e)del Decreto Legislativo 2/2014, de 29 de agosto, del Gobierno de Aragón, por el que se aprueba el texto refundido de la Ley de Cooperativas de Aragón, según el cual. “Todo socio tiene libre acceso a los libros de registro de socios de la cooperativa”. Argumentaba entonces la parte reclamante, que las limitaciones al ejercicio del derecho de acceso al libro de registro de Socios tienen la calificación de falta grave previsto en el artículo 94 la “
- i)de Decreto Legislativo 2/2014 del Gobierno de Aragón, a saber, “La transgresión generalizada de los derechos de los socios”. Incorporaba también la parte reclamante la contestación de la AEPD a su petición de información para el caso en cuestión; la información de la AEPD tiene carácter orientativo, pero no vinculante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 I. De que el derecho de los socios a obtener la información solicitada podría tener su base legal en el artículo 6.1 del (RGPD), apartado
- b)“porque así estuviera previsto en los Estatutos” ó en el apartado
- c)“derivado del cumplimiento de una obligación legal”. II. El derecho a acceder a la información tendría su fundamento en los derechos que la Ley 27/1999, de 16 de julio, de Cooperativas reconozca a los asociados, así como por el contenido de los propios estatutos de la cooperativa. III. Deberán tener en cuenta los principios relativos al tratamiento de los datos del art. 5 RGPD), en el sentido de que los datos personales a que hubieran accedido los socios serán los estrictamente necesarios para el cumplimiento de una finalidad lícita y no podrán ser utilizados para otras finalidades que aquella para la que les fueron comunicados. TERCERO: Con fecha 27 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Las direcciones de correo electrónico, así como el nombre y apellidos de los socios de la cooperativa son datos de carácter personal, de conformidad con la definición del apartado 1 del artículo 4 del RGPD: “A efectos del presente Reglamento se entenderá por: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); (…)” De conformidad con artículo 6.1. del RGPD sobre la licitud del tratamiento: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: (…)
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;” El Decreto Legislativo 2/2014, de 29 de agosto, del Gobierno de Aragón regula en su territorio las sociedades cooperativas: “Artículo 1. Objeto y ámbito de aplicación. La presente ley tiene por objeto regular y fomentar las sociedades cooperativas que se constituyan y desarrollen sus actividades dentro del territorio aragonés, sin perjuicio de que, para completar y mejorar sus fines, puedan realizar actividades instrumentales y tener relaciones con terceros fuera de Aragón.” El artículo 21 regula el Derecho de información, en su apartado
- e)del siguiente modo: “Los estatutos sociales regularán el derecho de información de los socios, tanto individual como colectivamente, con sujeción a las siguientes reglas: (…)
- e)Todo socio tiene libre acceso a los libros de registro de socios de la cooperativa, así como al libro de actas de la asamblea general, y, si lo solicita, el consejo rector deberá proporcionarle copia certificada de los acuerdos adoptados en las asambleas generales. (…)” III Posible obligación incumplida Artículo 5.1.
- f)RGPD El principio de confidencialidad del tratamiento de datos se recoge en este el artículo 5.1.
- f)del RGPD: 1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Según el contrato aportado de gestión de la Cooperativa, ADOSO es la encargada del tratamiento de datos desde el 02/01/2019. De conformidad con la estipulación Primera apartado b), tiene ADOSO atribuida la siguiente función: (…)
- b)Desarrollo de un sistema de información preciso que mantenga informados a la Cooperativa y al resto de las partes implicadas. (…) El artículo 21 el Decreto Legislativo 2/2014, del Gobierno de Aragón que regula el Derecho de información de los socios de las cooperativas, en su apartado
- e)del siguiente modo: “
- e)Todo socio tiene libre acceso a los libros de registro de socios de la cooperativa, (…)” ADOSO, como responsable del tratamiento, está obligada a facilitar el acceso libre a los socios de la información contenida en el libro de los socios, tanto por cumplimiento la del apartado
- b)de la Estipulación Primera del contrato indicado, como del artículo 21 del Decreto Legislativo 2/2014, del Gobierno de Aragón. Este tratamiento de datos es legítimo según del artículo 6 del RGPD los apartados
- b)y c): “
- b)(…) “necesario para la ejecución de un contrato” (…)
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento” (…) El libro de socios contiene los datos identificativos y de contacto de todos socios. El conocimiento recíproco de esta información es compatible con los principios tratamiento de datos de carácter personal regulado en los apartados
- b)y
- c)del artículo 5.1 del RGPD: 1. Los datos personales serán: “
- b)recogidos con fines determinados, explícitos y legítimos, (…) («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); Los datos personales identificativos de los socios se recogieron también con la finalidad de facilitar la comunicación y el mutuo conocimiento entre los socios de la Cooperativa, facilitando así el ejercicio de sus derechos sociales. La finalidad de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 uso, por parte de los socios, queda limitada a los asuntos relacionadas con la Cooperativa. Además, de conformidad con la Sentencia de la Audiencia Nacional, de 14 de abril de 2008, rec. 379/2006 “resulta legítimo facilitar a los asociados información sobre la gestión de asuntos que son de interés común, siempre que la difusión de los datos personales no exceda el ámbito limitado de dicha relación”, no constando en el supuesto examinado que se haya producido una difusión de los datos personal más allá del ámbito de la cooperativa. Por ello, la remisión de ADOSO del correo electrónico de 28/06/2022 para informar a los socios de las cuentas de la Cooperativa de 2021, sin utilizar la función CCO, es legítima según el artículo 21 de del Decreto Legislativo 2/2014 del Gobierno de Aragón, porque los socios tienen acceso libre a los datos de identificativos de los demás socios, recopilados en el libro de socios; y ADOSO como gestora y responsable del tratamiento, tiene además la obligación contractual de facilitar esta información a los socios. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Por todo lo anteriormente expuesto, y a la vista de la documentación aportada en el presente expediente, ADOSO no infringe el principio de confidencialidad del artículo 5.1.
- f)del RGPD, al enviar un correo electrónico sin utilizar la función CCO (con copia oculta) para comunicar a los socios de la Cooperativa ***COOPERATIVA.1la convocatoria de su próxima Junta General; de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ADOSO GESTIÓN, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es