Los documentos de protección de datos que toda comunidad debería tener

Un vecino presenta una reclamación ante la AEPD porque no sabe quién guarda sus datos. La Agencia pide a la comunidad que acredite cómo cumple la normativa. El presidente llama al administrador: «¿qué papeles tenemos?». Si la respuesta es «ya miraré», el problema no es la reclamación, es que no hay nada que enseñar.

Estos son los documentos que una comunidad debería poder mostrar. No todos son obligatorios en el mismo grado ni para todas las comunidades; para cada uno indicamos para qué sirve y de qué depende. Ninguno exige un formato especial, pero sí que esté actualizado y que refleje lo que se hace de verdad.

Los documentos básicos

1. Registro de actividades de tratamiento

Lista de los tratamientos de datos que realiza la comunidad: finalidad, categorías de datos, destinatarios, plazos de supresión y medidas de seguridad. Está previsto en el artículo 30 del RGPD (se abre en una ventana nueva). Hay una excepción para organizaciones pequeñas, con condiciones que conviene revisar en cada caso; como gestionar cuotas y juntas es un tratamiento habitual y el registro es la mejor prueba de lo que se hace, lo prudente es tenerlo. Cómo se elabora.

2. Contrato de encargado del tratamiento

Si el administrador trata datos por cuenta de la comunidad, el artículo 28 exige un contrato con contenido mínimo. Es el documento que más a menudo falta, porque el encargo de administración se firma, pero sin las cláusulas de protección de datos. Lo mismo vale para otros proveedores con acceso a datos.

3. Cláusulas informativas

El artículo 13 obliga a informar de quién trata los datos, para qué y con qué derechos. Se materializa en textos breves en la convocatoria, en los formularios, en el cartel de cámaras y en la web. Una buena práctica es tener un modelo por cada canal.

Los protocolos

4. Procedimiento para atender los derechos

Una hoja que diga quién recibe las solicitudes de acceso, rectificación, supresión u oposición, cómo se verifica la identidad y qué plazo se aplica: un mes, prorrogable dos más en casos complejos y con aviso. Repase los derechos aquí. Un modelo de respuesta por cada derecho ahorra horas cuando llega la primera solicitud.

5. Protocolo de brechas de seguridad

Qué hacer cuando un correo va al destinatario equivocado o se pierde un portátil: quién decide, cómo se evalúa el riesgo y cuándo se notifica a la AEPD (sin dilación indebida y, de ser posible, en 72 horas). El artículo 33 exige además documentar toda brecha, aunque no se notifique. Un registro de incidencias, aunque esté vacío, demuestra que el sistema existe.

6. Análisis de riesgos y medidas de seguridad

El artículo 32 pide medidas apropiadas al riesgo. Un documento breve que describa los riesgos de cada tratamiento y las medidas adoptadas permite justificar las decisiones. Si algún tratamiento puede suponer un alto riesgo, el artículo 35 exige valorar una evaluación de impacto.

Los documentos que dependen de lo que haga la comunidad

• Videovigilancia: cartel informativo en lugar visible, información ampliada disponible y una política de conservación de las grabaciones, que como regla no pasa de un mes (artículo 22 de la LOPDGDD (se abre en una ventana nueva)).
• Empleados (conserje, limpieza): cláusula informativa, compromiso de confidencialidad y, si hay control de horario o de accesos, la información correspondiente.
• Web o app de la comunidad: aviso legal, política de privacidad y, si hay cookies, política de cookies y consentimiento previo. Requisitos de la web.
• Grupos de mensajería: una nota de funcionamiento que diga que la participación es voluntaria y para qué se usa.
• Transferencias a terceros países: si algún proveedor trata datos fuera del Espacio Económico Europeo, debe constar la garantía aplicada.

Documentos del despacho que respaldan a la comunidad

El administrador, como encargado, debe tener además su propio registro de actividades como encargado, un compromiso de confidencialidad firmado por sus empleados, la relación de subencargados autorizados y sus propias medidas de seguridad. Cuando la comunidad le pide pruebas, estos papeles son la respuesta.

Un ejemplo para ver la diferencia

Imagine dos comunidades con la misma reclamación de un vecino que quiere saber a quién se han cedido sus datos. En la primera, el administrador abre la carpeta: registro, contrato de encargado, lista de proveedores con acceso y respuesta tipo. Contesta en un par de días con un documento ordenado.

En la segunda no hay registro ni contrato, nadie sabe qué proveedor ve qué y la respuesta se improvisa a contrarreloj. La reclamación es la misma; la posición de cada comunidad, no. El documento no evita que alguien reclame, pero cambia mucho cómo se responde y qué se puede demostrar.

Cómo conservarlos

Un documento sin fecha ni versión pierde casi todo su valor. Anote cuándo se aprobó, quién lo hizo y cuándo se revisó. Guarde copia en la carpeta de cada comunidad y entregue una a su presidente. Cuando cambie de administrador, el traspaso de documentación debe incluir esta carpeta.

Un documento que no refleja lo que se hace es peor que ninguno: demuestra que se sabía y no se cumplía.

Qué no hace falta

No es necesario nombrar un delegado de protección de datos en una comunidad corriente, ni pedir el consentimiento de los vecinos para lo que la LPH ya impone, ni redactar un manual de cien páginas. Pocas hojas, claras y al día, pesan más que un tomo que nadie sigue.

En resumen

• Registro de actividades y contrato de encargado son la base documental.
• Cláusulas informativas en cada punto en el que se recogen datos.
• Protocolos escritos para derechos y para brechas, y un análisis de riesgos breve.
• Los documentos opcionales dependen de cámaras, empleados, web o mensajería.
• Todo con fecha, versión y revisión periódica.

Si quiere saber qué le falta en cada una de sus comunidades, el siguiente paso es hacer un inventario de estos documentos y marcar lo que no existe todavía.