El administrador de fincas como encargado del tratamiento: qué firma y de qué responde

Un administrador recibe un correo del presidente de una de sus comunidades: «El vecino del 2.º B pide copia de todo lo que tenemos de él. ¿Qué hacemos?». La pregunta parece de trámite, pero esconde otra más de fondo: ¿qué papel tiene el administrador en esos datos y hasta dónde llega su responsabilidad?

La respuesta general es que el administrador de fincas actúa, respecto a los datos de la comunidad, como encargado del tratamiento. Trata los datos por cuenta de ella y sigue sus instrucciones. Para ello debe firmar un contrato escrito con el contenido que fija el artículo 28 del RGPD. Y responde, sobre todo, de lo que haga fuera de esas instrucciones o de no aplicar las medidas de seguridad pactadas.

Qué es un encargado del tratamiento

El RGPD (se abre en una ventana nueva) distingue entre quien decide (el responsable) y quien ejecuta (el encargado). La comunidad decide para qué se usan los datos de los propietarios; el administrador convoca juntas, emite recibos, gestiona cobros y custodia documentación siguiendo ese mandato. La figura está pensada para eso: trabajar con los datos de otro, para los fines de otro.

Si quiere repasar el reparto con más detalle, lo explicamos en quién es el responsable del tratamiento en una comunidad.

Lo que firma: el contrato del artículo 28

El encargado no trabaja «de palabra». El RGPD exige un contrato u otro acto jurídico vinculante, por escrito, que puede ser electrónico. Debe recoger, entre otros extremos:

• el objeto, la duración, la naturaleza y la finalidad del tratamiento;
• el tipo de datos y las categorías de personas afectadas;
• el compromiso de tratar los datos solo siguiendo instrucciones documentadas de la comunidad;
• el deber de confidencialidad de las personas que accedan a ellos;
• las medidas de seguridad que se aplicarán;
• las condiciones para contratar a otros proveedores (subencargados);
• la ayuda a la comunidad para atender derechos y cumplir otras obligaciones;
• la devolución o supresión de los datos al terminar el servicio;
• la información y las auditorías que la comunidad pueda solicitar.

Cada punto se desarrolla en el contrato de encargado del tratamiento. Conviene que el contrato se firme con cada comunidad, no uno genérico para todo el despacho.

De qué responde el administrador

Seguir instrucciones

El encargado solo puede tratar los datos conforme a lo que la comunidad le indica. Si usa el listado de propietarios para fines del despacho (ofrecer servicios, mandar publicidad), deja de ser encargado para ese tratamiento y pasa a responder como responsable, con todas las obligaciones que eso conlleva.

Seguridad

Debe aplicar medidas técnicas y organizativas adecuadas al riesgo: control de accesos, copias de seguridad, equipos protegidos, archivos con llave, cuidado al enviar correos. No hay una lista cerrada; depende del tipo de datos y del tamaño de la gestión. Un despacho con cientos de comunidades maneja más riesgo que un administrador con tres.

Comunicar brechas

Si se pierde un portátil, se envía una lista a un destinatario equivocado o hay un acceso indebido, el encargado debe avisar al responsable sin dilación indebida. Después, la comunidad valorará si debe notificar a la AEPD, y en su caso a los afectados.

Asistir en derechos

Cuando un vecino solicita acceso, rectificación o supresión, normalmente se dirige a la comunidad o al administrador. El plazo general para responder es de un mes, prorrogable en casos complejos. El contrato debe decir cómo se coordinan ambas partes para no perder tiempo; tiene más información en los derechos en materia de protección de datos.

Subcontratación

Si el despacho usa una asesoría externa, un programa de gestión en la nube o un servicio informático que accede a los datos, esos proveedores son subencargados. Necesitan autorización de la comunidad, que puede ser general o específica, y un contrato con las mismas obligaciones. El encargado inicial sigue respondiendo ante la comunidad por el cumplimiento del subencargado.

Un ejemplo práctico

Imagine que el despacho cambia de programa de gestión y el nuevo proveedor almacena en la nube los datos de todas las comunidades. Antes de migrar, el administrador debería comprobar que ese proveedor ofrece garantías, firmar con él un contrato de subencargado y avisar a cada comunidad o pedirle autorización, según lo que establezca el contrato de encargado. Si lo hace sin avisar y después hay un incidente, será mucho más difícil demostrar que actuó dentro de las instrucciones recibidas.

La responsabilidad, con matices

El RGPD reconoce el derecho a reclamar a quien sufra daños por un incumplimiento. El encargado responde cuando no cumple las obligaciones que el Reglamento le impone específicamente o cuando actúa al margen de las instrucciones legítimas del responsable. Cómo se reparte en la práctica depende de cada caso, del contrato firmado y de quién incumplió qué. Por eso un contrato claro protege a ambas partes.

El contrato de encargado no es un trámite: es lo que demuestra que usted actuó dentro de las instrucciones de la comunidad.

Sus propios ficheros

Hay una parte de su actividad en la que usted no es encargado sino responsable: los datos de su plantilla, de sus proveedores y de las personas de contacto de cada comunidad. En ese terreno le corresponde tener registro, información y bases legales propias, como cualquier otra empresa.

En resumen

• El administrador es, por regla general, encargado del tratamiento de los datos de la comunidad.
• Necesita un contrato escrito que cumpla el artículo 28 del RGPD, firmado con cada comunidad.
• Responde de seguir las instrucciones, aplicar medidas de seguridad, comunicar brechas y controlar a sus subencargados.
• De sus propios ficheros es responsable.

Un buen punto de partida es comprobar, comunidad por comunidad, si ese contrato existe y está al día.