| Informe | 2016-0345 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 355036/2016)
La Agencia Española de Protección de Datos (AEPD) analiza en este informe si la comunicación de datos personales de los asociados por parte de una asociación a otros miembros, para fines como solicitar una asamblea extraordinaria, recabar avales electorales o incluir puntos en el orden del día, cumple con la Ley Orgánica 15/1999 (LOPD) y la jurisprudencia comunitaria.
Contexto y marco legal
La cesión de datos entre socios se considera un tratamiento de datos personales que debe ajustarse al artículo 11 de la LOPD, que exige el consentimiento de los afectados o una base legal que lo justifique. Sin embargo, la AEPD recuerda que el Tribunal de Justicia de la Unión Europea (Sentencia de 24 de noviembre de 2011) y el Tribunal Supremo español (Sentencia de 8 de febrero de 2012) han establecido que el tratamiento de datos puede ser lícito si:
Existe un interés legítimo del responsable o del cesionario.
No prevalecen los derechos fundamentales de los afectados (protección de datos, intimidad).
Se cumple el principio de proporcionalidad: la medida debe ser idónea, necesaria y equilibrada.
Análisis de los supuestos
La AEPD considera que, en los tres casos planteados (convocatoria de asamblea, avales electorales e inclusión de puntos en el orden del día), podría existir un interés legítimo en acceder a los datos de los socios, siempre que:
No haya alternativas menos invasivas (ej.: mecanismos internos para recoger firmas sin compartir datos).
La comunicación sea proporcional: solo se compartan los datos necesarios (ej.: dirección de correo, no teléfono o dirección postal si no son esenciales).
Se respete el principio de finalidad: los datos solo se usen para el fin declarado (ej.: no para otros fines asociativos o comerciales).
Requisitos adicionales
Seguridad de los datos: La asociación debe garantizar que los datos no se filtren a terceros no autorizados (ej.: usar copia oculta en correos electrónicos).
Cancelación de datos: Una vez cumplido el fin (ej.: recoger firmas), los datos deben eliminarse.
Estatutos o mecanismos internos: Si la asociación tiene normas que regulen estos procesos (ej.: cómo recabar avales), podrían servir como base para la cesión.
Conclusión
La AEPD concluye que la comunicación de datos sin consentimiento es posible si:
Existe un interés legítimo (ej.: ejercer derechos asociativos).
Se cumple el principio de proporcionalidad.
No hay alternativas menos invasivas.
Se garantiza la seguridad y finalidad de los datos.
Sin embargo, debe evitarse la difusión masiva de datos (ej.: compartir listas completas de socios) y asegurarse de que los cesionarios (los socios que reciben los datos) también cumplan con la LOPD.
Este informe refuerza la idea de que, aunque la LOPD permite ciertos tratamientos sin consentimiento, la proporcionalidad y la finalidad son clave para evitar vulneraciones de derechos fundamentales.