PS-00213-2023 | Europaius

1/26  Expediente N.º: EXP202206104 Contenido ANTECEDENTES.......................................................................................................... 2 PRIMERO: Reclamación................................................................................................ 2 SEGUNDO: Traslado de la reclamación........................................................................ 3 TERCERO: Admisión a trámite...................................................................................... 3 CUARTO: Actuaciones previas de investigación............................................................ 3 QUINTO: Nuevo requerimiento de información en el trámite de las actuaciones previas de investigación:............................................................................................................ 7 SEXTO: Acuerdo de inicio............................................................................................ 10 SÉPTIMO: Inicio de período de práctica de pruebas.................................................... 11 OCTAVO: Con fecha 7/6/2024 se emitió propuesta de resolución del literal:...............13 NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes:...13 HECHOS PROBADOS................................................................................................ 13 FUNDAMENTOS DE DERECHO................................................................................. 15 I Competencia....................................................................................................... 15 II Tratamiento de datos personales del reclamante en el ámbito de la Sociedad Cooperativa.......................................................................................................... 15 III Análisis del procedimiento disciplinario e incidencia en el tratamiento de datos realizado............................................................................................................... 18 IV Sobre la comunicación a los socios de la información del procedimiento disciplinario del socio reclamante......................................................................... 19 V Artículo 32 del RGPD........................................................................................ 22 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 ANTECEDENTES PRIMERO: Reclamación A.A.A. (en adelante, la parte reclamante) con fecha 17/05/2022, interpuso reclamación ante la Agencia Española de Protección de Datos que se dirige contra SOCIEDAD COOPERATIVA ANDALUZA AGRARIA B.B.B., en ***DIRECCIÓN.1, con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Por la reclamada se convocó una Asamblea General Ordinaria para el “próximo ***FECHA.1”, incluyendo un orden del día firmado el 3/05/2022, que se comunica a los socios. En su primer punto, figura: “deliberación y votación secreta del expediente sancionador abierto contra el socio (nombre y apellidos del reclamante), por incumplimiento de las obligaciones del socio”. Aporta copia de dicha orden del día, en cuyo encabezamiento consta que la convocatoria se establece a tenor de los establecido en los “artículos 22 a 31 de los Estatutos sociales”, y entrando otros aspectos en el orden del día como la de “informe, presentación y aprobación, en su caso, de la gestión social de las cuentas de la campaña 20/21 y propuesta de distribución de los resultados”. Señala que previamente, la reclamada aceptó su baja voluntaria como socio. Aporta copia de respuesta obtenida que lleva firma de la reclamada de 3/12/2020, de la que destaca: -Responde al escrito de reclamante, de fecha de 2/12/2020,” por el que manifiesta la decisión voluntaria de causar baja en la sociedad cooperativa”, con este detalle: a)-La reclamada “acepta su baja voluntaria en los términos establecidos en el artículo 15.1 y ss. de los Estatutos sociales aprobados en abril 2016”,” considerando su comunicación como preaviso y con efectos a partir de la fecha de recepción del mismo en sede”,” siendo en consecuencia, la efectividad de su baja en esta Sdad. Cooperativa al transcurso de un año desde la recepción de su solicitud de baja”. b)-”En consecuencia esta Ud. en la obligación de cumplir con sus deberes y derechos como socio de esta Sdad. Cooperativa y, en consecuencia, aportar la producción de cosecha de aceituna hasta la fecha efectiva de su baja, ya que Ud. mantiene su condición de socio durante dicho período”. También sobre reembolso de sus aportaciones, liquidación y plazo, le indica: “En todo caso y en cuanto a los demás derechos que pueda Ud. tener, consecuencia de su baja voluntaria de la Sociedad Cooperativa, se determinará conforme a lo regulado en los artículos 15 y 52 de los Estatutos sociales aprobados en abril 2016 y a la Ley de sociedades Cooperativas andaluzas y su desarrollo reglamentario.” SEGUNDO: Traslado de la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 31/05/2022, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos, y más en concreto, de: “a. La decisión adoptada a propósito de esta reclamación. b. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. c. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. d. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. e. Cualquier otra que considere relevante.” El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazado conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 11/06/2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo, se envió una copia por correo postal que fue notificada fehacientemente en fecha 23/06/2022. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Admisión a trámite. Con fecha 16/08/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Actuaciones previas de investigación. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 09/09/2022, se puso a disposición de la parte reclamada en la DEHÚ requerimiento de información, sobre los siguientes extremos: 1. Se reitera la solicitud de la información contenida en el escrito de traslado de la reclamación: Además, se requiere información sobre: 2. ¿Cuál es la base de legitimación en que se fundamenta para llevar a cabo el tratamiento de los datos que conlleva la inclusión en el Orden del Día de la Junta General Ordinaria de la Sociedad Cooperativa, comunicado a los socios de la entidad en fecha 3/05/2022, de la propuesta de deliberación y votación de un expediente sancionador abierto contra el reclamante como socio? 3. ¿Cuáles son los datos del reclamante que posee la Sociedad Cooperativa? ¿Y cuáles de esos datos han sido comunicados al resto de los socios en la comunicación del Orden del día? Y ¿Cuál es la base de legitimación para la comunicación de los datos del reclamante al resto de los socios? 4. ¿Si se posee algún procedimiento para la eliminación y supresión de los datos de las personas que se den de baja en la Cooperativa transcurrido el período de efectividad de la baja? En caso afirmativo, ¿En qué consiste ese procedimiento? Se deberá aportar la documentación acreditativa de la respuesta al presente requerimiento de información, así como cuanta documentación considere oportuna para la defensa de sus intereses y derechos. Entendiéndose rechazada automáticamente la notificación del requerimiento por la parte reclamada, al no haber accedido a la misma en el plazo de diez días desde la puesta de la notificación a su disposición en la DEHÚ. Por lo que con fecha 28/09/2022, se reiteró el requerimiento de información por vía postal, cuya notificación a la parte reclamada tuvo lugar el 06/10/2022. Con fecha 18/02/2023, se recibe contestación a los requerimientos de información en el que la parte reclamada manifiesta en relación con la información solicitada: a)” Con respecto a la decisión adoptada a propósito de la reclamación, la Sociedad Cooperativa procedió al bloqueo de los datos del reclamante en cuanto tuvo conocimiento de la reclamación. Este bloqueo de datos ha consistido en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas para impedir su tratamiento, incluyendo su visualización. Únicamente se han empleado para la reclamación de las responsabilidades que el reclamante tiene pendientes con la Sociedad Cooperativa. b)”A la SOCIEDAD COOPERATIVA B.B.B. no le consta que el reclamante, A.A.A., haya realizado ninguna solicitud de ejercicio de los derechos regulados en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 artículos 15 a 22 del RGPD, es decir, no ha ejercitado ninguno de los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y/o oposición de manera específica.“

c)En cuanto a las causas que han motivado la incidencia que ha originado la reclamación, se informa a esta Subdirección que “el Sr. A.A.A. solicitó la baja voluntaria como socio de la cooperativa conforme a los Estatutos de la Sociedad.” “Dado que los socios tienen una serie de obligaciones y responsabilidades conforme al artículo 11 de los Estatutos, al Sr. A.A.A. le correspondía pagar una cantidad dineraria para hacer frente a una inversión pendiente de abonar a la Cooperativa y, además, en la campaña 2020/2021, no había aportado los kilos de materia prima correspondientes a su condición de socio, razón por la que se abrió un expediente que le fue notificado por todas las vías, sin obtener respuesta alguna. Ante esta situación, la Cooperativa decidió interponer demanda judicial frente al mismo. Para ello, resultaba preceptiva la previa aprobación por mayoría absoluta de la Asamblea General, por lo que se envió a los miembros de la Asamblea el Orden del Día con los asuntos a tratar.”
d)Respecto a las medidas adoptadas por la Cooperativa para evitar que se produzcan este tipo de incidencias, cabe señalar que la empresa cuenta con un protocolo de tratamiento de datos personales que se adjunta al presente escrito como DOCUMENTO Nº3,” tratamiento de datos personales de la Sociedad Cooperativa”. Las personas que integran el área de administración de la cooperativa también realizaron un curso en materia de protección y tratamiento de datos personales. El documento 3, de 16/06/2022, versión 3.0, figura elaborada por una entidad de Consultoría y Gestión. En el índice, se comprenden entre otros apartados, confidencialidad e información, trabajadores, medidas de seguridad/organizativas y técnicas, funciones y designaciones, registro de actividades de tratamiento (RAT). Dentro del documento se desglosan ANEXOS y en el del RAT, no se indica en cual se encuadraría el de socios, tiene: clientes, presupuestos, proveedores, Junta directiva, empleados, control horario, alumnos en prácticas, candidatos, videovigilancia, contactos web, protocolo actuación frente al acoso sexual, También destaca un listado con las funciones y obligaciones de los usuarios con acceso a datos y a los sistemas de información en cuanto a medidas de seguridad de obligado cumplimiento y confidencialidad de la información y uso de correo electrónico. “Tras ser notificados de la presente reclamación ante la Agencia Española de Protección de Datos se ha decidido nombrar a un Delegado/a de Protección de Datos para garantizar el correcto tratamiento de los datos personales que maneja la Cooperativa.” e)” En cuanto a la base de legitimación en la que nos fundamentamos para llevar a cabo el tratamiento de los datos que son objeto de reclamación, es el interés legítimo, regulado en el artículo 6.1.
f)del Reglamento General de Protección de Datos (RGPD), que establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 “El tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño”. Dado que esta parte representa a una Sociedad Cooperativa, cabe señalar que su actividad la realiza de forma responsable y solidaria. Por ello, sus miembros, además de participar en el capital lo hacen también en la actividad societaria prestando su trabajo, satisfaciendo su consumo o valiéndose de sus servicios para añadir valor a su propia actividad empresarial. Por ello, si una de las personas que forman parte de la sociedad no aporta la producción a la que se ha comprometido a la hora de formalizar su incorporación, provoca un perjuicio al resto de miembros de la cooperativa, por lo que resulta necesaria su identificación para que los socios de la cooperativa puedan decidir con plena información al respecto de la incoación de un expediente sancionador. Al no haber aportado la producción en la campaña 2020/2021 en la que el Sr. A.A.A. era socio, esto ha causado un perjuicio al resto de miembros de la cooperativa y generado una deuda, por lo que el resto de los miembros tienen el derecho a conocer esta circunstancia y a tener toda la información relativa a la misma para poder decidir al respecto de la incoación de un expediente sancionador. Sobre este punto, el artículo 16
b)de la Ley 27/1999, de cooperativas reconoce el libre acceso de los socios a los Libros de Registro de socios de la cooperativa, así como al Libro de Actas de la Asamblea General y, si lo solicita, el Consejo Rector deberá proporcionarle copia certificada de los acuerdos adoptados en las Asambleas Generales. En este mismo sentido, el apartado
f)del referido artículo 16 permite a los socios, solicitar la información sobre la marcha de la cooperativa en los términos previstos en los Estatutos y, en particular, sobre la que afecte a sus derechos económicos y sociales. Por lo anteriormente expuesto, esta información en ningún caso puede ser ocultada a los socios de la cooperativa, teniendo todos ellos la posibilidad y el derecho de acceder a ella.” f)” En cuanto a los datos del reclamante que posee la Sociedad Corporativa, únicamente se conservan los siguientes datos relativos a la condición de socio del Sr. A.A.A., con el único motivo de su posible requerimiento para la tramitación del procedimiento judicial en curso entre la cooperativa y el Sr. A.A.A.: - Nombre y apellidos - Número de socio - DNI - Fecha de alta - Domicilio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 - Teléfono móvil - Cuenta de liquidación - Régimen fiscal Asimismo, se hace saber que en la comunicación del Orden del Día se han comunicado al resto de los socios de la cooperativa únicamente el nombre y apellidos del Sr. A.A.A., siendo el medio de comunicación utilizado un correo electrónico enviado en exclusividad a los socios.” g)” En cuanto a la posesión por parte de la cooperativa de algún procedimiento para la eliminación y supresión de los datos de las personas que se den de baja en la Cooperativa transcurrido el período de efectividad de la baja, la Cooperativa dispone de un protocolo de destrucción de datos automatizados y no automatizados y de una destructora de papel”. QUINTO: Nuevo requerimiento de información en el trámite de las actuaciones previas de investigación: Con fecha 01/03/2023, se efectúa un nuevo requerimiento a la parte reclamada para que aporte la siguiente información: “1.- Copia de los Estatutos de la Sociedad Cooperativa. 2.- Documento de alta del reclamante como socio en la Cooperativa.” Este requerimiento es atendido por la parte reclamada el 02/03/2023, presentando:
a)Copia de los Estatutos de la Sociedad Cooperativa y una copia de la declaración de cultivo de olivar de la parte reclamante de fecha 27/04/1987, junto con copia del asiento de registro de socio y copia del DNI del reclamado expedido en 1986. El objeto social de la cooperativa es según su artículo 2 de los Estatutos, por mencionar parte del mismo: “La molturación de la aceituna de los socios y de la Sociedad Cooperativa, almacenamiento, envasado, distribución, comercialización y venta de los aceites de oliva obtenidos y todos los demás productos y subproductos del olivar. La molturación de productos de los socios y de la Sociedad Cooperativa para la obtención de aceites y subproductos generados por cualquier tipo de semillas distintas a la aceituna, almacenamiento, envasado distribución y comercialización, Elaboración, venta, distribución y explotación de productos agrícolas y pecuarios de los socios individuales o de la sociedad cooperativa. Adquirir elaborar producir y fabricar por cualquier procedimiento, para la cooperativa para las explotaciones de los socios, elementos necesarios o convenientes para la producción y fomento agrario, como semillas, abonos, piensos, insecticidas y demás productos para combatir las plagas del campo y enfermedades de la ganadería maquinaria, aperos, servicios de combustibles a los socios, taller de reparaciones, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 adquisición de toda clase de artículos para su posterior venta al por menor a los socios y en general la prestación de cualquier otro suministro o servicio para el mejoramiento de la agricultura y ganadería. Conservar, tipificar, transformar, manipular, transportar, distribuir y comercializar, incluso directamente al consumidor, los productos procedentes de las explotaciones de la sociedad cooperativa y de sus socios adoptando, cuando proceda el Estatuto de organización de productores agrarios. Sacar al mercado la totalidad de la producción a través de la agrupación de productores en la que se integre, poniéndola a disposición de la misma para que sea comercializada en nombre y por cuenta de la Sociedad Cooperativa” El artículo 11 de los Estatutos de la Sociedad Cooperativa, establece las “obligaciones de los socios”, entre los que figura en la letra la letra i)”la obligación de los socios de entregar la totalidad de la producción de los bienes a la Sociedad Cooperativa (principio de exclusividad)”, calificada como esencial y fundamental y susceptible su vulneración, de ser considerada una conducta muy grave y fraudulenta si el socio la incumple (art 11.b). En la letra
k)del apartado 2.3 del artículo 12, se establecen como faltas muy graves, entre otras:” el incumplimiento de las obligaciones económicas contraídas con la cooperativa, el no desembolso, dentro de los plazos previstos, de las aportaciones para integrar el capital social y el impago de las cuotas de ingresos y periódicas cuando la demora en su cumplimiento exceda de más de 60 días”. El apartado cuatro del artículo 12, se contiene el procedimiento disciplinario estableciéndose que “la imposición de cualquiera de las infracciones previstas en el apartado 3 de este artículo es decir las infracciones muy graves, es facultad indelegable del Consejo Rector y se ajustará a las siguientes normas:
a)La sanción será acordada por el Consejo Rector a resultas de expediente disciplinario incoado al efecto con audiencia del socio interesado…
c)El acuerdo motivado de sanción habrá de recaer en plazo máximo de 6 meses, a contar desde el día de la iniciación del expediente disciplinario y tendrá que ser comunicado por escrito al socio sancionado. Transcurrido dicho plazo, sin que hubiera recaído acuerdo se entenderá automáticamente sobreseído el expediente sin perjuicio del derecho de la cooperativa a ejercer cuantas acciones judiciales le puedan asistir en reclamación de las responsabilidades en las que el socio hubiera podido incurrir”. Conforme al apartado 4.1 del artículo 12 de los Estatutos “El expediente disciplinario se incoará con las siguientes fases:
a)Se inicia mediante acuerdo mayoritario de Consejo Rector …
d)El acuerdo del Consejo Rector deberá de ser comunicado por escrito al socio sancionado. El plazo para interponer recurso contra el acuerdo de sanción será de un mes contado desde el día en que se recibió la notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26
e)El recurso de impugnación del acuerdo sancionador, deberá ser presentado ante el Consejo Rector y dirigido ante la Asamblea General, que deberá incluir el asunto como primer punto del orden del día en la primera Asamblea General que se celebre tanto sea ordinaria como extraordinaria. La Asamblea General resolverá en votación secreta y notificará el acuerdo a la persona socia sancionada en el plazo de un mes desde su celebración. El artículo 15 en relación con las bajas voluntarias establece en su apartado primero que:” el socio podrá causar baja voluntariamente en las sociedades cooperativas en cualquier momento mediante preaviso por escrito dirigido al Consejo Rector. El plazo para causar baja voluntaria será de un año, y “se entenderá producida la baja al término del plazo de preaviso”. El artículo 28,”el Consejo Rector naturaleza y competencia” establece en el punto 1, que es el órgano de gobierno, gestión y representación de la Sociedad Cooperativa y está sujeto a la ley de sociedades cooperativas andaluzas, a estos Estatutos, y a las directrices generales fijadas por la asamblea general.”, formando parte del mismo un Presidente, que fue el que convocó la reunión objeto de reclamación. 28.2-”Corresponde al Consejo Rector cuantas facultades no estén reservadas por ley de sociedades cooperativas andaluzas o por estos Estatutos a otros órganos sociales. Se le atribuyen al Consejo Rector las facultades siguientes” … k)”acordar lo que juzgue conveniente sobre el ejercicio de los derechos y acciones judiciales o extrajudiciales que a la cooperativa correspondan, ostentando su representación ante autoridades, organismos y funcionarios, jueces y tribunales de cualquier jurisdicción, tanto ordinarios como especiales, en todos los asuntos en los que la cooperativa se encuentre interesada pudiendo conferir a abogados y procuradores, graduados sociales mandatarios y agentes, poderes generales o especiales, para ante todos y parte de aquellos con las facultades estime oportunas para cada caso, incluidas las de promover, iniciar cómo tramitar cómo reiniciar, avenirse y desistir de conciliaciones, instancias, procedimientos, expedientes, pleitos, causas, reclamaciones, recursos ordinarios extraordinarios, acciones, pretensiones, actuaciones de cualquier clase, ya que para pedir la suspensión o apartarse de todos aquellos en cualquier estado del procedimiento y para cuanto lo demás fue menester, incluso transición judicialmente con toda amplitud”.
r)decidir sobre cualquier asunto de interés para la buena marcha de la Sociedad Cooperativa, aunque no esté expresamente mencionado en los apartados anteriores, de forma tal que en ningún caso y por no enumeración pueda encontrarse dificultad para administrar la cooperativa por falta de expresos poderes para ello”. Además, se trata de una “determinación de atribuciones meramente enunciativa y no limita en forma alguna las amplias facultades que le competen y le sean necesarias para gobernar, dirigir y administrar los negocios e intereses de la Sociedad Cooperativa en todo lo que no esté expresamente reservado por la ley de sociedades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 cooperativas andaluzas o estos Estatutos a otros órganos sociales.”“ Aquellas materias atribuidas al Consejo Rector por la ley o estos Estatutos no podrán ser objeto de decisión por otros órganos de la sociedad” (art 28.2 w Estatutos El artículo 19 de los Estatutos indica:” Asamblea General”, constituida por los socios de la cooperativa,” es el órgano supremo de expresión de la voluntad social en las materias cuyo conocimiento le atribuye la Ley de Sociedades Cooperativas andaluzas y estos Estatutos”. 19.3”La Asamblea General ordinaria convocada por el Consejo Rector, tiene que reunirse anualmente, dentro de los seis meses siguientes al cierre del ejercicio económico anterior, para analizar la gestión social, aprobar si procede las cuentas anuales, y distribuir los resultados positivos o imputar pérdidas. Podrá decidir, además, sobre cualquier otro asunto incluido en su orden del día”. El artículo 8 de los derechos de los socios, enumera entre otros: -Formular propuestas, asistir y participar con voz y voto en la adopción de acuerdos de la Asamblea General y demás órganos sociales de los que formen parte. -Obtener información sobre cualquier aspecto de la marcha de la Sociedad Cooperativa en los términos establecidos legalmente por la ley de Sociedades Cooperativas -Percibir intereses cuando proceda en los términos y en la forma en que se acuerde por la Asamblea General. -Percibir el importe de la liquidación correspondiente a su aportación en los supuestos en términos legalmente establecidos. -Otros previstos en la ley de sociedades cooperativas andaluzas o en estos Estatutos social En cuanto al derecho de información, se indica en el artículo 9 que todos lo pueden ejercer en los términos y condiciones expresamente regulados en el artículo 19.1 d de la ley de sociedades cooperativas andaluzas, artículo 21 del reglamento de sociedades de cooperativas andaluzas y de los que se deriven de los presentes Estatutos o de los acuerdos de la Asamblea General. El artículo 9.2
b)de los Estatutos de la reclamada, indica que en todo caso el socio tendrá derecho a: -examinar el libro de registro de personas socias y de aportaciones al capital social de la Sociedad Cooperativa y el libro de actas de la Asamblea General. -Igualmente el Consejo Rector deberá proporcionar al socio que lo solicite, copia certificada de los acuerdos del Consejo Rector que les afecten individual o particularmente. -También se prevé en el punto 9.2 d que cuando la Asamblea General conforme al orden del día haya que tratar sobre las cuentas del ejercicio económico, serán previamente puestos de manifiesto en el domicilio social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 SEXTO: Acuerdo de inicio Con fecha 13/07/2023, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a SOCIEDAD COOPERATIVA ANDALUZA AGRARIA B.B.B., con NIF ***NIF.1, por la presunta infracción del RGPD en los artículos: -5.1.
f)del RGPD, de conformidad con el artículo 83.5.
a)del RGPD y tipificada a efectos de prescripción como muy grave en el artículo 72.1
a)del RGPD. -32 del RGPD, de conformidad con el artículo 83.4.
a)del RGPD, y a efectos de prescripción, tipificada como grave, según el artículo 73.
f)de la LOPDGDD.” “ QUE a los efectos previstos en el art. 64.2
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, las sanciones que pudieran corresponder serían de multas administrativas con las siguientes cuantías: -artículo 5.1.
f)del RGPD, con una multa administrativa de 2.000 euros. -artículo 32 del RGPD, con una multa administrativa de 2.000 euros.” Frente al acuerdo de inicio, no se reciben alegaciones. SÉPTIMO: Inicio de período de práctica de pruebas Con fecha 1/04/2024 se decide iniciar un periodo de pruebas, practicando las siguientes: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, que forman parte del procedimiento AI/00312/2022. 2.Se solicita a la reclamada, aporte copia del acta de la reunión que se celebró el ***FECHA.1, en el punto en que se discutió el objeto de la reclamación y también si existiera algún otro punto con conexión del mismo. Con fecha 12/04/2024, se recibe respuesta de la reclamada, indicando que aportan documento 1, del acta de Asamblea General Ordinaria convocada por el Presidente y el Consejo Rector, celebrada el ***FECHA.1. En el orden del día, figura en el número 1: “Deliberación y votación secreta del expediente sancionador abierto contra el socio D. A.A.A. por el incumplimiento de las obligaciones del socio”. En ese punto se indica antes de la votación, que el reclamante “ha presentado un escrito que está a disposición de todos los socios ”“Se da paso a la votación, el número de socios presentes y representados es de 37, siendo el resultado de dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 votación de 34 si, 2 no y 1 en blanco. Por tanto, la Asamblea ratifica a este Consejo Rector para continuar con el expediente sancionador al socio”. 3. Se solicita a la reclamada, que informe en qué fecha se le abrió expediente disciplinario al reclamante y que según indicaron, no pudo ser notificado al reclamante, aportando copia de dicho acuerdo que se le remitía al reclamante. Situación administrativa de dicho expediente disciplinario. La reclamada indica que se le incoó el ***FECHA.2 por la Junta Rectora. Aporta “Acta de la Junta Rectora de ***FECHA.2” en documento 2. En el mismo, se contiene el número de socio y el inicio, motivado por “la falta de aportación de cosecha a la presente campaña 20/21””no ha venido a aportar ningún kg”, acompañando una table de los kilos que aportó en las pasadas campañas con objeto de subrayar “vista la evolución de la aportación de dicho socio” Se indica por la reclamada que,” lo que no pudo ser notificado al reclamante fueron dos comunicaciones previas”, una de 30/03 y otra de 2/06/2021, en las que según el texto de la copia que acompaña (modelo de escrito) en documentos 3 a 6, se le pedía explicaciones de porque no había aportado nada de aceituna en la campaña 20/21 y se le advierte de la sanción, con los justificantes de cartas certificadas de envío, sin acreditación del resultado de los intentos de entrega. Sobre la situación del expediente disciplinario, manifiesta que “se encuentra pendiente de resolución judicial”. 4. Se solicita a la reclamada, que informe sobre que disposición estatutaria prevé que la decisión sobre llevar a juicio a un socio por incumplimiento de sus obligaciones le corresponde a la Asamblea General. Manifestó que se halla en el artículo 12.4 de los Estatutos,” que recoge el procedimiento disciplinario y las normas a las que debe ajustarse”. En documento 7, aporta los Estatutos sociales. El artículo 12.4 de dichos Estatutos, sobre “procedimiento disciplinario”, establece el principio de que la “sanción será acordada por el Consejo Rector a resultas de expediente disciplinario incoado al efecto”, que el acuerdo motivado de sanción habrá de recaer en el plazo máximo de seis meses, y que “transcurrido dicho plazo sin que hubiese recaído acuerdo, se entenderá automáticamente sobreseído el expediente, sin perjuicio del derecho de la cooperativa a ejercer cuantas acciones judiciales le puedan asistir en reclamación de las responsabilidades en las que el socio hubiera podido incurrir” El apartado 12.4.1, que precisa las fases del expediente disciplinario, señala en el punto
c)que el Consejo Rector adoptará un acuerdo sobre la infracción cometida y la sanción que ha de aplicarse, y que en caso de “recurso de impugnación del acuerdo sancionador”, deberá presentarse ante el Consejo Rector y dirigido ante la Asamblea General, que deberá de incluir el asunto como primer punto del orden del día en la primera Asamblea General que se celebre, sea ordinaria o extraordinaria. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 Asamblea General resolverá en votación secreta y notificará el acuerdo a la persona socia sancionada en el plazo de un mes desde su celebración”(12.4.1
e)5. Se solicita a la reclamada, que informe sobre el motivo por el que si lo que se pretendía era el inicio de acciones legales judiciales, figuraba en la convocatoria la de “deliberación y votación secreta del expediente sancionador abierto contra el socio reclamante”. Respondió que es así como lo señala el artículo 12.4.1
e)de los Estatutos de la Cooperativa. Dicho artículo refiere al “recurso de impugnación del acuerdo sancionador, que deberá ser presentado ante el consejo Rector y dirigido ante la Asamblea General, que deberá de incluir el asunto como primer orden del día en la primera Asamblea General que se celebre…La Asamblea General resolverá en votación secreta y notificará el acuerdo a la persona socia sancionada…” 6. Se solicita que informe en el plazo de diez días la reclamada, del número de socios, el ámbito territorial que comprende la Cooperativa, y aporte copia del registro de actividades de tratamiento de datos personales referido a los socios cooperativistas. En su respuesta indicó que son 300 aproximadamente, en el ámbito de la provincia de Jaén. La entidad cuenta con un registro de actividades de tratamiento de datos referidos a los “socios cooperativistas”. Aportan documento 8 con el citado RAT, en el que cabe destacar: “Legitimación: Artículo 6.1.
a)del RGPD. El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. Artículo 6.1.
b)del RGPD. Tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales. Artículo 6.1.
c)del RGPD. El tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. • Estatutos” OCTAVO: Con fecha 7/6/2024 se emitió propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE el procedimiento sancionador iniciado a la SOCIEDAD COOPERATIVA ANDALUZA AGRARIA B.B.B., en ***DIRECCIÓN.1, con NIF ***NIF.1, por una infracción del artículo 5.1.
f)del RGPD y otra del artículo 32 del RGPD, tipificadas en los artículos 83.5
a)del RGPD y Artículo 83.4
a)del RGPD.” Frente a la misma no se recibieron alegaciones. NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 HECHOS PROBADOS 1) El reclamante perteneció a la Sociedad cooperativa Andaluza Agraria B.B.B. (reclamada), de la localidad (…), hasta que solicitó su baja el 2/12/2020. La reclamada que tiene como objeto social establecido en el artículo 2 de sus Estatutos sociales aprobados en abril 2016, por mencionar parte del mismo:” La molturación de la aceituna de los socios y de la Sociedad Cooperativa, almacenamiento, envasado, distribución, comercialización y venta de los aceites de oliva obtenidos y todos los demás productos y subproductos del olivar. Elaboración, venta, distribución y explotación de productos agrícolas y pecuarios de los socios individuales o de la sociedad cooperativa. La reclamada manifestó que cuenta con unos 300 socios aproximadamente, en el ámbito de la provincia de Jaén. 2) La reclamada aceptó la petición de baja voluntaria del reclamante en escrito firmado el 3/12/2020, si bien por establecerlo los Estatutos, dicha comunicación tiene consideración de preaviso, con efectividad de un año desde la recepción de solicitud de la baja (artículo 15.1 y ss. de los Estatutos), advirtiendo el escrito de la obligación del socio reclamante, de acuerdo con lo establecido en los Estatutos de cumplir sus obligaciones hasta la fecha efectiva de la baja. Entre otras, la de “aportar la producción de cosecha de aceituna hasta la fecha efectiva de la baja.” El artículo 55 de los Estatutos de la Cooperativa reclamada establece que el ejercicio económico de doce meses de duración se inicia el 1/10 y cierra el 30/09 de cada ejercicio económico. 3) La parte reclamante reclama que el Presidente de la entidad reclamada ha convocado una Asamblea General Ordinaria en fecha ***FECHA.1, incluyendo en el Orden del Día comunicado a los socios de la entidad en fecha 3/05/2022, la propuesta de deliberación y votación en el orden del día, de un expediente sancionador abierto contra la parte reclamante, indicando en dicho orden del día los datos de este. 4) La reclamada informa que la convocatoria del orden del día de la Asamblea General a los socios de la cooperativa se les envió mediante correo electrónico, indicando solo el nombre y apellidos. Los Estatutos de la reclamada prevén dicha comunicación en el artículo 21.2. 5) Se acredita en pruebas, que la Junta Rectora de la reclamada incoó antes de la convocatoria de la Asamblea General un expediente sancionador al reclamante el ***FECHA.2por incumplimiento de la obligación como socio de aportar la cosecha completa del año 20/21 a la Cooperativa, y así figura en el acta de aquella fecha. 6) La reclamada manifestó en actuaciones previas, en cuanto a la incidencia que ha motivado la reclamación, que: - el acuerdo sancionador se le notificó al reclamante y no manifestó nada al respecto, y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 -El socio reclamante adeudaba a la Cooperativa una cantidad, por una inversión pendiente de abonar y la reclamada decidió interponer demanda judicial frente al mismo, indicando que, para ello, resultaba preceptiva la previa aprobación por mayoría absoluta de la Asamblea General, por lo que se envió a los miembros de la Asamblea el Orden del Día con los asuntos a tratar. 7) De acuerdo con el ACTA de la Asamblea General ordinaria celebrada el ***FECHA.1, convocada por el Presidente y el Consejo Rector de la reclamada, se incluía en el primer punto del orden del día, una “deliberación y votación secreta del expediente sancionador abierto contra el reclamante (figuraba su nombre y apellidos),”por incumplimiento de las obligaciones del socio”, sin contener o especificar que aspecto o cuestión se dilucidaba en concreto, votando 34 si, de 37 votos, indicándose en la toma del acuerdo que “la Asamblea ratifica a este Consejo Rector para continuar con el expediente sancionador”. No existe prueba de que lo acordado en la citada convocatoria de ***FECHA.1 con respecto a dicha deliberación hubiese sido impugnado por el reclamante, o de que el acuerdo tomado se hubiera revisado 8) Según la reclamada, la base de legitimación en la que se fundamentan para llevar a cabo el tratamiento de los datos que son objeto de reclamación, es el interés legítimo, regulado en el artículo 6.1.
f)del Reglamento General de Protección de Datos (RGPD), y se conservan por requerirse además para el procedimiento judicial en curso. 9) La reclamada cuenta con un registro de actividades de tratamiento de datos referidos a los “socios cooperativistas”. Con finalidad de “llevar a cabo la realización de las gestiones, funciones y actividades propias de la organización para la gestión de socios.”. En legitimación, figura el artículo 6.1.
a)del RGPD, el artículo 6.1.
c)(Estatutos)FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que:” Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 II Tratamiento de datos personales del reclamante en el ámbito de la Sociedad Cooperativa El artículo 1.2 del RGPD indica que el reglamento protege los derechos y libertades fundamentales de las personas físicas y en particular su derecho a la Protección de Datos personales El artículo 4 del RGPD, en definiciones, indica A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” … 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; … 12) «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos”. El artículo 129 de la Constitución Española ordena a los poderes públicos el fomento mediante la legislación adecuada de las sociedades cooperativas, como necesidad de ofrecer un cauce adecuado que canalice las iniciativas colectivas de los ciudadanos que desarrollen actividades generadoras de riqueza. Los elementos propios de una sociedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 de personas como son las cooperativas pueden vivir en armonía con las exigencias del mercado, siendo el fin último del conjunto de socios la rentabilidad económica. Los valores y principios que animan el cooperativismo se plasmaron por la Alianza Cooperativa Internacional-ACI-, organismo de integración de las cooperativas de todo el mundo en su 31 Congreso, celebrado el 23/09/1995 en Manchester, en la “Declaración sobre identidad Cooperativa”, que prescribe los siguientes valores : -Ayuda mutua -Responsabilidad, -Democracia, -Igualdad, -Equidad, y -Solidaridad Y define cooperativa como:” una asociación autónoma de personas que se ha unido voluntariamente para hacer frente a sus necesidades y aspiraciones económicas, sociales y culturales comunes por medio de una empresa de propiedad conjunta y democráticamente controlada". La regulación en la materia se compone de la Ley 27/1999 de 16/07 de Cooperativas, pero al poder asumir las Comunidades Autónomas la competencia exclusiva, significa en la práctica que el ámbito de aplicación de la citada Ley será al que se acojan las sociedades cooperativas que desarrollen su actividad en el ámbito estatal. La Ley ofrece un marco de flexibilidad donde las propias cooperativas puedan entrar a autorregularse y establece los principios que con carácter general deben ser aplicados en su actuación, fijando la transparencia como inspirador que debe ser expresamente acogido en la normativa cooperativa (exposición de motivos). El Estatuto de Autonomía para Andalucía, en su artículo 58.1.4.º atribuye competencias exclusivas a la Comunidad Autónoma en materia de fomento, ordenación y organización de cooperativas, y más específicamente la regulación y el fomento del cooperativismo. En el ámbito de Andalucía, resulta aplicable la Ley 14/2011 de 23/12, de Sociedades Cooperativas Andaluzas (LSCA) y el Decreto 123/2014 de 2/09 por el que se aprueba el Reglamento de la Ley 4/201. La LSCA contempla como “principios generales que informan la constitución y funcionamiento de las sociedades cooperativas”, entre otros, la “estructura, gestión y control democráticos”, la “participación de los socios y socias en la actividad de la cooperativa, así como en los resultados obtenidos en proporción a dicha actividad”. El artículo 11 de los Estatutos sociales de la reclamada titula:” obligaciones de los socios” y en su apartado b, prevé como obligación esencial de todo socio, la “aportación y entrega de la totalidad de los productos obtenidos en las explotaciones agrarias declaradas e inscritas en la cooperativa”, y “como conducta muy grave y fraudulenta del socio que incumpla esta obligación“, como resulta ser el caso del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 Continua el precepto deduciendo responsabilidades por la citada infracción:“ En aquellos supuestos en el que el socio no haya aportado el producto o parte del mismo o no hubiera utilizado total o parcialmente los servicios cooperativos, estará obligado a abonar a la Cooperativa un canon para amortización y gastos generales, importe que será igual por Kg. de producto dejado de aportar al importe descontado por la misma medida de peso a los restantes socios que aportaran su cosecha. Todo ello con independencia de la calificación de la conducta conforme a lo estableció en el párrafo segundo anterior” En este supuesto, el hecho: no haber aportado ningún kilo de la cosecha a la cooperativa es un hecho que no admite discusión, un hecho que no necesita de constatación jurídica ninguna, que implica la exigencia de las responsabilidades frente al reclamante. Considerando en este caso que pese a la petición de baja el socio, 3/12/2020, de acuerdo con los Estatutos continua durante un año su permanencia como tal, hasta cumplirse con plenos efectos su solicitud, el 3/12/2021 periodo durante el que se le continúa aplicando el régimen de derechos y obligaciones de la Sociedad a la que pertenece, por tanto, se conviene que se podrían continuar tratando los datos del reclamante. Además, subsiste una reclamación que se está dirimiendo en sede judicial. Así, en primera instancia, y con carácter general, la reclamada puede tratar legítimamente los datos del reclamante al amparo del artículo 6.1.
b)del RGPD, que señala: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;” En este caso de acuerdo con los Estatutos sociales de la reclamada que se aplican a todo socio, El reclamante no es socio desde 3/12/2021. Pese a que a la fecha de la convocatoria a la Asamblea para ***FECHA.1, el reclamante figuraría desvinculado con efectos previos, la relación estatutaria entre las partes puede exigir la permanencia del tratamiento de datos por pervivir diversos tipos de efectos y responsabilidades derivados de su pertenencia y aceptación voluntaria en su día de los Estatutos Sociales. Desde el momento en que el socio entra a formar parte de la misma, se prevé el marco de las obligaciones y derechos a cumplir que marcan la ejecución que el status de socio implica, como es el caso del reclamante. III Análisis del procedimiento disciplinario e incidencia en el tratamiento de datos realizado El análisis de los hechos de lo acontecido sobre el procedimiento disciplinario, según la documentación e información recogida en las actuaciones, mostraría el siguiente estado: -Procedimiento disciplinario al reclamante iniciado el ***FECHA.2. -Conforme a los Estatutos de la reclamada - artículo 12.4-”El acuerdo motivado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 sanción habrá de recaer en el plazo máximo de seis meses, a contar desde el día de la iniciación del expediente disciplinario y tendrá que ser comunicado por escrito al socio sancionado”. Continua el citado precepto 12.4
c)de los Estatutos sociales de la reclamada señalando un supuesto distinto de que “Transcurrido dicho plazo sin que hubiera recaído acuerdo se entenderá automáticamente sobreseído el expediente, sin perjuicio del derecho de la Cooperativa a ejercer cuantas acciones judiciales le puedan asistir en reclamación de las responsabilidades en las que el socio hubiera podido incurrir”, lo cual expande el ámbito no solo a la exigencia de responsabilidades disciplinarias. Considerando que las infracciones muy graves prescriben a los doce meses según el artículo 12.2 de los Estatutos y que su artículo 12.3 establece como sanción a imponer, diversas cantidades de multas, para las muy graves, además incluiría la suspensión de derechos y/o exclusión de condición de socio. Además, el incumplimiento de la obligación esencial de aportar la cosecha del año 20/21 a la Cooperativa, podría generar una deuda exigible por esta que podría traducirse en una cantidad liquida exigible. En las cuentas de la Cooperativa podría dar lugar a una deuda que forma parte de la masa pasiva de la reclamada, pudiendo ostentar en tal situación un derecho de crédito frente al reclamante, y poder ser considerado como acreedor de la reclamada. Los Estatutos prevén que “el acuerdo sancionador del Consejo Rector tendrá siempre carácter ejecutivo, sin perjuicio del procedimiento establecido para la impugnación del acuerdo y/ o de las acciones judiciales que puedan corresponder al socio sancionado”, art 12.4.1.
g)de los IV Sobre la comunicación a los socios de la información del procedimiento disciplinario del socio reclamante En este período de permanencia del socio y tras el mismo, con los fines mencionados, el tratamiento de los datos del reclamante no contiene elementos diferenciados de los del resto de los socios, puesto que se trata de obligaciones y derechos que serían aplicables a todos ellos. Así pues, la manera del tratamiento de estos datos ha de ajustarse a los principios rectores de todo tratamiento legítimo (entre ellos la confidencialidad), contemplados en el artículo 5 del RGPD, que supone un requisito acumulativo al de la legitimación para el tratamiento, véase, en este sentido, la sentencia del TJUE 16/01/2019, Deutsche Post, C-496/17, EU:C:2019:26, apartado 57 y jurisprudencia citada. En la práctica puede suponer que incluso un tratamiento de datos personales basado en una causa legitima de tratamiento, no legitimaria la recopilación excesiva de los datos para un fin particular, o el desvío de sus fines determinados con el que han de ser recogidos y tratados ulteriormente. Estos principios permanecen inalterables sea cual sea el tratamiento y los riesgos para los titulares de los datos. Suponen en sentido amplio, distintas obligaciones que incumben a las personas o entidades que efectúen tratamientos. Para ello, conviene reseñar que dicho tratamiento ha de cumplir también el resto de los principios de acuerdo con el artículo 5.1 del RGPD, que señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 “1. Los datos personales serán:
a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Recordemos que se trata de los datos básicos de identidad de un socio de una Sociedad Cooperativa de aproximadamente unos 300 componentes, que se incluyen en el orden del día de la Asamblea General de ***FECHA.1, con el literal: “Deliberación y votación secreta del expediente sancionador abierto contra el socio… por incumplimiento de las obligaciones del socio” Presuntamente para exigirle las responsabilidades que lleva aparejada la infracción (multa), o en su caso, la reclamación líquida por el incumplimiento, y cuya decisión fue que la Asamblea ratificó al Consejo Rector para continuar con el expediente sancionador al socio”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 Se estima que el principio de confidencialidad que contiene el artículo 5.1.
f)del RGPD habría resultado infringido y es el que se imputa a la reclamada como consecuencia de haber sido tratados los datos del reclamante de tal manera que no se habrían garantizado “una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental”,” mediante la aplicación de medidas técnicas u organizativas apropiadas” La infracción del principio de confidencialidad exige un resultado (un tratamiento no autorizado o ilícito), comprendiendo el acceso por terceros, que en este caso serían los socios, divulgación o comunicación de datos, así como la pérdida o destrucción o daño accidental de los datos personales), El principio comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el deber de guardarlos, que los datos no pueden ser conocidos por ninguna persona o entidad ajena, pues en eso consiste precisamente la confidencialidad. Con la confidencialidad se trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Por ello, la vulneración del deber de confidencialidad está tipificada como infracción y los obligados a guardar dicho deber pueden incurrir en una infracción No obstante, se ha de indicar que el deber de confidencialidad no es absoluto, pudiendo haber casos en que los datos puedan ser comunicados a terceros El RGPD distingue en definiciones del artículo 4 del RGPD: “9) «destinatario»: la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. No obstante, no se considerarán destinatarios las autoridades públicas que puedan recibir datos personales en el marco de una investigación concreta de conformidad con el Derecho de la Unión o de los Estados miembros; el tratamiento de tales datos por dichas autoridades públicas será conforme con las normas en materia de protección de datos aplicables a los fines del tratamiento; 10) «tercero»: persona física o jurídica, autoridad pública, servicio u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas autorizadas para tratar los datos personales bajo la autoridad directa del responsable o del encargado; Los Estatutos de la reclamada otorgan a los socios entre otros derechos: -Participar en la actividad económica y social de la Sociedad en los términos establecidos en los Estatutos -Acceder al libro registro de socios, -Obtener información sobre cualquier aspecto de la marcha de la Sociedad en los términos establecidos por la Ley de Sociedades cooperativas El artículo 28 de 2 punto k de los Estatutos, atribuye como competencia del Consejo Rector C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 “acordar lo que se juzgue conveniente sobre el ejercicio de derechos y acciones judiciales que a la cooperativa correspondan” ostentando su representación ante jueces y tribunales, pudiendo conferir abogados mandatarios y agentes, poderes generales o especiales para ante todos y parte de aquellos, con las facultades que estime oportunas en cada caso, incluidas iniciar, reiniciar, tramitar avenirse y desistir en conciliaciones, instancias, procedimientos, expedientes, pleitos, con el añadido de que no podrán ser objeto de decisión por otros órganos de la sociedad según se recoge en el artículo 28.2 punto w de los Estatutos” La LSCA otorga flexibilidad en la regulación normativa de las Cooperativas, indicando expresamente unos mínimos como pueda ser la convocatoria de la Asamblea General para la aprobación anual de las cuentas sociales Para estimarse infringido el deber de confidencialidad de los datos del reclamante por haber comunicado a los socios que se les convocaban en Asamblea, órgano supremo de expresión de la voluntad social en las materias cuyo conocimiento le atribuyen la Ley y los Estatutos (art 27 de la LSCA) cabría concluir si esa información le estaría vedada o no le concierne a los socios que forman la citada Asamblea,, si podría ser un tratamiento lícito o de contrario, si no fuera lícito, se han de imponer las citadas medidas técnicas y organizativas que impidan tal difusión. Si bien no hay un artículo que expresamente atribuya dicha función, de lo hasta ahora explicado, la Asamblea decidiría en caso de recurso contra la resolución de una eventual sanción disciplinaria impuesta por el Consejo Rector (artículo 12.4.1.
e)de los Estatutos sociales de la reclamada) Por otro lado, que no se establezca expresamente, no quiere decir que no pueda ser tomada y discutida la citada decisión, dado que en este caso lo propone el Consejo Rector, y como establece el citado artículo 28.2
k)de los Estatutos puede elevar el asunto a la Asamblea. Asimismo, la marcha de la cooperativa en el cumplimento de las obligaciones que a todos se aplicarían, no resulta desproporcionada ni ilimitada, cuando el conocimiento de los datos se ha ajustado a los mínimos necesarios para obtener la ratificación de continuar la gestión del expediente disciplinario, En tal sentido, para justificar que el tratamiento consistente en la comunicación de los datos a los socios de la cooperativa con la finalidad expuesta, la reclamada indicó el artículo 6.1.
f)del RGPD, que señala: “
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño” Si bien el concepto de interés se relaciona con el de finalidad, que viene a ser la razón especifica por la que se tratan los datos, el objetivo o la intención del tratamiento de datos, en el interés, se contempla una mayor implicación que el responsable del tratamiento pueda tener en el tratamiento. En este caso, el responsable del tratamiento vela por la gestión de los intereses comunes de los socios y de la Sociedad Cooperativa por ellos integrada. Ese interés puede beneficiar tanto a los socios como a la Sociedad. Además, el interés se relaciona con la marcha de la Sociedad Cooperativa de la que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 forman parte los citados valores de la solidaridad, la transparencia y los valores democráticos Los derechos del socio reclamante aparecen limitados en este caso por la aceptación voluntaria y libre de ser asociado a la Cooperativa, y por tanto de la aplicación de los Estatutos de la Sociedad Cooperativa reclamada a la que pertenece y por el mantenimiento y cumplimiento del vínculo jurídico que establece con el resto de los miembros asociados. El impacto que sufren los interés o derechos del reclamante es mínimo quedando circunscrito al ámbito en el que se desarrolla el tratamiento necesario para los fines de la reclamada. La finalidad de la puestea en conocimiento de la información y los datos a los socios se derivan aquí del ejercicio legítimo del órgano de Gobierno de la reclamada y el asunto no era ajeno al ámbito de gestión e intereses de los socios, sin que dentro del círculo en que son tratados los propios datos del socio por el resto y el asunto, pueda hablarse de falta de confidencialidad por darse a conocer a los propios asociados, dada la responsabilidad social de la que todos participan. Así, pues, no se estima un tratamiento no autorizado o ilícito el hecho de que exprofeso se convocara a los socios en Asamblea General con objeto de dirimir cuestiones que precisamente son dirimidas con base a los intereses acreditados, sin que se acredite la meritada infracción, por lo que no cabría entender que se ha vulnerado el citado artículo 5.1.
f)del RGPD. V Artículo 32 del RGPD En el presente caso, consta una comunicación de datos personales en las circunstancias arriba indicadas, a todos los socios de la Cooperativa que son llamados a decidir en la Asamblea. La seguridad del tratamiento de los datos personales viene regulada en el artículo 32 del RGPD, que indica: 1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
a)la seudonimización y el cifrado de datos personales;
b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Cada tratamiento debe estar sujeto a un conjunto de medidas de seguridad decididas en función de la probabilidad y el riesgo para los derechos y libertades de las personas físicas, que debe determinarse con referencia a la naturaleza, carácter, el contexto y los fines del tratamiento de datos y dicho riesgo debe ponderarse sobre la base de una evaluación objetiva. Por tanto, las medidas de seguridad a adoptar dependerán del tratamiento que se realice y los riesgos que presenta, ello refleja el enfoque basado en el riesgo y apunta a que no existe por tanto una solución única para la seguridad. Las que se citan en el artículo 32 del RGPD, son un conjunto no exhaustivo de las que se pueden tomar. En este caso, se imputaba a la reclamada la infracción del artículo 32 del RGPD, al observar que presuntamente carecía de medidas técnicas y organizativas apropiadas, con el fin de garantizar que determinadas actuaciones que afectan a los derechos fundamentales de las personas sean efectuadas de manera adecuada de conformidad con las obligaciones que impone el RGPD. Específicamente se trataba de la comunicación a los socios cooperativistas que se hizo mediante e mail en relación con la celebración de la Asamblea General conteniendo los datos del socio, sujeto a procedimiento disciplinario, para que mediante votación secreta dirimieran que hacer respecto al mismo, al estimar no solo la falta de confidencialidad, sino la falta de medidas de seguridad. Considerando que el Real Decreto 123/2014 de 2/09, por el que se aprueba el Reglamento de la Ley 4/2011, de 23/12, de Sociedades Cooperativas andaluzas, prevé el uso de las nuevas tecnologías tanto en la parte que afecta a los derechos de información que afectan a las personas socias y se recoge en el Capítulo V,” una especial mención al desarrollo de la previsión legal relativa al uso de las nuevas tecnologías de la información y la comunicación en la convocatoria y funcionamiento de las reuniones tanto de la Asamblea General como del Consejo Rector…. …. Se trata de una medida que responde a la exigencia de que el avance social alcanzado en el uso de este tipo de medios tenga su reflejo en las sociedades cooperativas, redundando en una gestión más eficiente de estas empresas”, que se desarrolla expresamente en el artículo 29.5 que indica: “Los Estatutos sociales podrán prever, dentro del régimen de notificación y publicidad de la convocatoria y en sustitución de la notificación personal, la posibilidad de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 utilización de cualquier medio técnico, informático o telemático que permitan las nuevas tecnologías de la información y la comunicación, siempre que, además de cumplir los requisitos exigidos en el artículo 29.3 de la Ley 14/2011, de 23 de diciembre, el uso de estos medios garantice el no repudio de la información recibida. Concretamente, la sociedad cooperativa podrá establecer en sus Estatutos que la convocatoria de la Asamblea General se realice mediante anuncio publicado en la página web de la entidad. La sociedad garantizará la seguridad de la página web, la autenticidad de los documentos publicados en esa página, así como el acceso gratuito a la misma con posibilidad de descarga e impresión de lo insertado en ella.” El artículo 21.3 de los Estatutos de la reclamada prevé la notificación a cada socio de la convocatoria de la Asamblea General por diversos medios, entre otros, por “cualquier medio técnico informático o telemático que permitan las nuevas tecnologías de la información y comunicación, siempre que se observen los protocolos que el uso de estos medios lleva aparejados y garanticen que los socios tendrán efectivo conocimiento de la convocatoria…” Sin embargo, se aprecia que esta imputación no deja de guardar relación con la de resultado que se contenía y ha sido analizada en el punto anterior, contenida en el artículo 5.1.
f)del RGPD mediante la citada remisión y puesta en común a los mismos socios para la discusión en la Asamblea General, no pudiendo deducirse que hubiera fallado medida alguna de seguridad, sino que era el medio instaurado para dicha comunicación adoptado exprofeso por la Comunidad, sin que conste que se hubiera enviado más que la información necesaria y dentro del círculo de los que eran los socios de la cooperativa reclamada. En cuanto al uso de tales medios, no se revela incidencia alguna fuera de lo corriente. Procede pues el archivo de la infracción del artículo 32 del RGPD Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador iniciado a la SOCIEDAD COOPERATIVA ANDALUZA AGRARIA B.B.B., en ***DIRECCIÓN.1, con NIF ***NIF.1, por una infracción del artículo 5.1.
f)del RGPD y otra del artículo 32 del RGPD, tipificadas en los artículos 83.5
a)del RGPD y Artículo 83.4
a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a la SOCIEDAD COOPERATIVA ANDALUZA AGRARIA B.B.B., en ***DIRECCIÓN.1, con NIF ***NIF.1, TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.