Adaptar una comunidad al RGPD en 7 pasos

El administrador acaba de coger una comunidad nueva. En la carpeta de traspaso hay actas, recibos y un contrato de mantenimiento del ascensor. De protección de datos, ni una hoja. Y mañana un vecino pregunta quién tiene sus datos y para qué.

La buena noticia es que adaptar una comunidad al RGPD no exige un proyecto eterno. Se hace en siete pasos, en este orden, y cada uno deja un papel que puede enseñar si alguien se lo pide. Lo que sigue es el itinerario; el detalle de cada paso tiene su propio artículo.

Paso 1: aclare quién es quién

Antes de redactar nada, decida los papeles. La comunidad suele ser la responsable del tratamiento: decide para qué se usan los datos. El administrador suele ser encargado: los trata por cuenta de la comunidad. Otros proveedores (la empresa de seguridad, el programa de gestión) pueden ser subencargados o encargados directos. Cómo se determina el responsable.

Tenga en cuenta que el papel depende de lo que se hace, no de lo que diga un contrato. Por eso conviene escribirlo y comprobar que coincide con la realidad.

Paso 2: inventaríe los tratamientos

Haga una lista de lo que la comunidad hace con datos de personas. Las más habituales:

• Gestión de propietarios y cuotas.
• Convocatoria de juntas, actas y votaciones.
• Videovigilancia o control de accesos, si existen.
• Contratación de empleados y proveedores.
• Comunicaciones: correo, tablón, grupos de mensajería.

Esa lista es el germen del registro de actividades del artículo 30 del RGPD. Aquí se explica cómo completarlo.

Paso 3: fije la base jurídica y los plazos

Para cada tratamiento anote por qué es lícito (una obligación legal de la LPH, la relación entre comunidad y propietario, un interés legítimo, el consentimiento) y cuánto tiempo se conservan los datos. Esa decisión no se improvisa cuando llega la reclamación: se toma ahora y se escribe.

Un detalle práctico: no pida consentimiento para lo que la comunidad ya puede hacer sin él. Pedirlo donde no hace falta confunde y, además, el consentimiento puede retirarse.

Paso 4: firme los contratos con los encargados

El artículo 28 exige un contrato o acto jurídico vinculante entre responsable y encargado, con un contenido mínimo: objeto, duración, tipo de datos, instrucciones documentadas, confidencialidad, medidas de seguridad, subencargados y devolución o supresión al terminar. Empiece por el del administrador. Qué debe contener.

Revise después el resto de proveedores que acceden a datos: empresa de seguridad, gestoría, mantenimiento con acceso a listados. Si no hay acceso a datos, no hace falta contrato de este tipo.

Paso 5: informe a las personas

El artículo 13 obliga a informar cuando se recogen datos. En una comunidad se resuelve con cláusulas breves en los lugares correctos:

• En la convocatoria de la junta y en los formularios que rellenen los vecinos.
• En el cartel de videovigilancia, con información ampliada disponible.
• En la web o en el aviso de alta de un empleado o proveedor.

Cómo redactar la cláusula informativa.

Paso 6: proteja los datos y prepare los protocolos

El artículo 32 pide medidas técnicas y organizativas apropiadas al riesgo. Para un despacho y sus comunidades, lo razonable es: contraseñas robustas y doble factor, copias de seguridad, accesos limitados a quien los necesita y equipos con cifrado.

Prepare además dos protocolos cortos y claros. Uno para atender los derechos de los vecinos, con su plazo de un mes. Otro para las brechas: quién avisa a quién y cómo se decide si hay que notificar a la AEPD en 72 horas, cuando sea posible.

Paso 7: revise y deje constancia

El RGPD no se «instala» una vez. El principio de responsabilidad proactiva exige poder demostrar que se cumple y mantenerlo al día. Fije una revisión anual y también cada vez que cambie algo importante: nuevo administrador, cámaras, un programa nuevo, un proveedor distinto.

Cumplir es hacer; demostrarlo es tener el papel. Los dos pasos cuentan.

Guarde juntos los documentos: registro, contratos, cláusulas, protocolos y la fecha de la última revisión. Si algún día la AEPD pregunta, esa carpeta es la respuesta.

Un ejemplo de cómo queda

Imagine una comunidad de 24 viviendas con garaje, cámaras en la entrada del garaje y un conserje a media jornada. El inventario del paso 2 saldría con cinco tratamientos: cuotas y propietarios, juntas y actas, nómina y contrato del conserje, videovigilancia y correo con los vecinos.

Para cada uno se anota la base jurídica, el plazo y las medidas. Después se revisan los proveedores: el administrador necesita contrato de encargado; la empresa que mantiene las cámaras, también, si puede ver las imágenes. Se añade el cartel de videovigilancia, la cláusula en la convocatoria y una nota para el conserje. El resultado es una carpeta de pocas hojas, no un tratado.

El tiempo que lleva depende sobre todo de lo ordenada que esté la documentación de partida. Lo que más suele retrasar es localizar los contratos con proveedores y comprobar qué datos ve cada uno.

Lo que depende del caso

No todas las comunidades necesitan lo mismo. Una con cámaras, un conserje y un acceso biométrico tiene más trabajo que otra de ocho vecinos sin empleados. Hay supuestos, como la evaluación de impacto del artículo 35, que solo se activan con tratamientos de riesgo alto. La regla útil es proporcionar el esfuerzo al riesgo y escribir por qué se ha decidido así.

En resumen

• Defina quién es responsable y quién encargado.
• Inventaríe los tratamientos y fije base jurídica y plazos.
• Firme los contratos del artículo 28 e informe a las personas.
• Proteja los datos, prepare los protocolos de derechos y brechas, y revise cada año.

Si lleva varias comunidades, el siguiente paso es empezar por una, completar los siete pasos y convertir esa carpeta en la plantilla de todas las demás.