Checklist RGPD para el despacho del administrador de fincas

Un lunes por la mañana llega un correo de un propietario: quiere saber qué datos suyos tiene el despacho, para qué los usa y quién más los ve. Nadie en la oficina sabe dónde empezar a contestar. No es un caso raro. Es lo que pasa cuando la protección de datos se ha ido dejando «para cuando haya tiempo».

La buena noticia es que el cumplimiento de un despacho cabe en una lista corta. Esta es la que le proponemos, ordenada de lo que más pesa a lo que se olvida con más facilidad.

Primero, entienda en qué papel actúa

Un despacho de administración de fincas trata datos en dos papeles distintos, y de ahí cuelga todo lo demás:

• Como encargado del tratamiento, cuando gestiona los datos de los propietarios de cada comunidad: recibos, censo, actas, morosos. El responsable es la comunidad; usted trata los datos por cuenta de ella y siguiendo sus instrucciones.
• Como responsable del tratamiento, cuando trata datos propios del despacho: su plantilla, sus proveedores, los contactos de comunidades que aún no son clientes y los datos de quien le escribe a través de su web.

Los dos papeles generan obligaciones diferentes. Si los mezcla, la documentación sale confusa. La pieza central del papel de encargado es el artículo 28 del RGPD (se abre en una ventana nueva).

La lista, punto por punto

1. Contrato de encargado con cada comunidad

El tratamiento por encargo debe regirse por un contrato u otro acto jurídico vinculante (art. 28 RGPD). Tiene que fijar objeto, duración, tipo de datos, categorías de afectados y las obligaciones de ambas partes. Revise que cada comunidad de su cartera lo tiene firmado. Es una carencia habitual y de las más fáciles de subsanar.

2. Registro de actividades del tratamiento

El artículo 30 del RGPD exige llevar un registro de actividades. Existe una excepción para organizaciones de menos de 250 empleados, pero está tan acotada (no vale si el tratamiento no es ocasional, entre otros supuestos) que en la práctica un despacho debe darla por no aplicable. Lleve uno como responsable y otro como encargado. Aquí le explicamos cómo se elabora el registro de actividades.

3. Información a los afectados

Quien le da sus datos tiene que saber quién es usted, para qué los usa, cuánto tiempo los guarda y a quién los comunica (art. 13 RGPD). En la práctica: una cláusula informativa en el alta de la comunidad, en los formularios de la web y en los contratos de trabajo.

4. Atención de derechos

Acceso, rectificación, supresión, oposición, limitación y portabilidad. Los plazos corren desde que llega la petición, aunque la reciba en el despacho alguien que no se ocupa de contestarla. Defina quién la recibe, quién la contesta y dónde se anota. Repase los derechos en materia de protección de datos y fije un procedimiento de una página.

5. Seguridad proporcionada al riesgo

El artículo 32 pide medidas técnicas y organizativas adecuadas. No hay un catálogo cerrado; depende del riesgo. Lo habitual en un despacho:

• Contraseñas individuales y doble factor en el correo y en el programa de gestión.
• Copias de seguridad probadas, no solo programadas.
• Equipos con cifrado de disco y bloqueo automático.
• Armarios con llave para el papel y una política de mesa limpia.
• Perfiles de acceso: cada empleado ve las comunidades que lleva, no toda la cartera.

6. Personal comprometido y formado

Cada persona que toca datos debe haberse comprometido por escrito a la confidencialidad y saber qué se espera de ella. Tiene un artículo propio: el compromiso de confidencialidad de los empleados.

7. Proveedores bajo control

Su gestoría, su informático, el programa de gestión en la nube y el servicio de copias suelen ser encargados suyos o, cuando tratan datos de las comunidades, subencargados. Cada uno necesita su contrato. Lo desarrollamos en subencargados: quién firma con quién.

8. Procedimiento ante brechas

Si pierde un portátil o envía un listado a la comunidad equivocada, el responsable debe notificar a la AEPD sin dilación indebida y, si es posible, en 72 horas desde que tiene constancia, salvo que sea improbable que haya riesgo para las personas (art. 33 RGPD). Como encargado, usted debe avisar al responsable sin dilación. Tenga escrito quién decide qué y a quién se llama. Si el riesgo para los afectados es alto, también hay que comunicárselo a ellos (art. 34).

9. Delegado de protección de datos: valorar, no dar por hecho

Que su despacho deba nombrar delegado depende de la actividad principal y de la escala del tratamiento (art. 37 RGPD). La LOPDGDD (se abre en una ventana nueva) añade en su artículo 34 una lista de entidades que siempre deben nombrarlo, y los despachos de administración de fincas no figuran en ella. Para un despacho pequeño lo habitual es que no, pero hágase la pregunta y deje por escrito la conclusión y el motivo.

Cómo repartirlo para que se haga

Una lista sin dueño no se cumple. Asigne a una persona la coordinación, aunque sea el propio administrador, y marque una revisión anual en el calendario, junto a la renovación del seguro. Lo que no se puede probar no existe: conserve contratos firmados, registros, constancia de la formación y la anotación de cada petición de derechos.

El RGPD no pide perfección: pide poder demostrar que usted sabe qué datos trata, por qué, con quién y cómo los protege.

En resumen

• El despacho es encargado respecto a las comunidades y responsable respecto a sus propios datos.
• Contrato con cada comunidad, registro de actividades y cláusulas informativas son la base.
• Seguridad, personal comprometido y proveedores con contrato cierran los huecos más habituales.
• Tenga un procedimiento escrito para derechos y para brechas, con plazos y responsables.
• Revise todo una vez al año y guarde la prueba de cada paso.

Si quiere saber en qué punto de esta lista está su despacho, el siguiente paso es una revisión ordenada de su documentación actual.