Limpieza, mantenimiento, ascensores: qué proveedores son encargados y cuáles no

Imagine esta escena. En la última junta alguien propone cambiar de empresa de limpieza y un vecino pregunta: «¿Y tenemos que firmar con ellos algo de protección de datos?». El presidente mira al administrador. Si la respuesta es siempre «sí, con todos los proveedores», se está firmando papel de más. Si es «no, con ninguno», se corre el riesgo de dejar sin contrato a quien sí lo necesita.

La respuesta correcta es depende de si el proveedor trata datos personales por cuenta de la comunidad. Ese es el criterio del RGPD (se abre en una ventana nueva) para definir al encargado del tratamiento (art. 4.8) y, solo en ese caso, hace falta el contrato del art. 28.

La pregunta que decide todo

No importa el tamaño del proveedor ni que trabaje en el edificio todos los días. Lo que importa es qué hace con datos personales. Hágase tres preguntas:

• ¿El proveedor recibe, consulta o gestiona datos de vecinos (nombres, direcciones, teléfonos, cuentas) para prestar su servicio?
• ¿Lo hace siguiendo las instrucciones de la comunidad y para sus fines, no para los suyos?
• ¿Su servicio consiste precisamente en ese tratamiento, o el acceso a datos es solo una posibilidad incidental?

Si las dos primeras respuestas son afirmativas, probablemente es encargado. Si el acceso es incidental, como que un limpiador pueda ver un buzón, no lo es, aunque convenga ponerle por escrito la obligación de confidencialidad.

Proveedores que normalmente son encargados

• El administrador de fincas: lleva listados de propietarios, cobros, convocatorias y actas por cuenta de la comunidad. Tiene su propio tratamiento como encargado
• Empresa de videovigilancia o seguridad con acceso a grabaciones o a la plataforma de gestión
• Servicio de portería externalizado, si lleva registros de visitas o paquetes
• Programa o plataforma en la nube para gestionar la comunidad, comunicarse con los vecinos o reservar zonas comunes
• Imprenta, buzoneo o envío certificado de convocatorias, si recibe listados nominales
• Empresa de control de accesos que administra tarjetas o claves asignadas a personas

En todos estos casos la comunidad debe firmar el contrato o el acuerdo que exige el art. 28.3 del RGPD: objeto y duración, tipo de datos, obligaciones del encargado (instrucciones, confidencialidad, seguridad, subencargados, devolución o supresión al final) y colaboración con la comunidad. Además, el art. 28.1 pide elegir encargados que ofrezcan garantías suficientes; es decir, la comunidad tiene que preguntar, no solo firmar.

Proveedores que normalmente no lo son

• Empresa de limpieza que limpia escaleras, portales y cuartos comunes, sin gestionar datos
• Jardinería y mantenimiento de zonas verdes
• Control de plagas o desatascos
• Mantenimiento de ascensores, salvo que incluya servicios con datos (ver más abajo)

Estos proveedores sí pueden tener acceso físico a lugares donde hay documentación: el cuarto de contadores, el archivo, la portería. Eso no los convierte en encargados, pero sí obliga a la comunidad a proteger lo que guarda. La solución es de seguridad, no de contrato: archivadores cerrados bajo llave, nada de listados a la vista, ordenadores con contraseña.

Aun así, un compromiso de confidencialidad en el contrato de servicios es sencillo y razonable. El proveedor se compromete a no leer, copiar ni difundir ningún documento o dato que vea por casualidad.

La zona gris: cuándo un proveedor «normal» pasa a ser encargado

Un servicio que no suele implicar datos puede implicarlos según cómo se contrate. Son los casos que conviene revisar.

Ascensores con servicio remoto

Un ascensor tradicional con revisiones periódicas no genera datos personales. Pero si el contrato incluye videovigilancia en cabina, un sistema de llamada de emergencia con grabación o una plataforma que registra incidencias con nombres y teléfonos de vecinos, ya hay tratamiento. Pregunte a la empresa qué datos recoge, dónde los guarda y quién puede verlos.

Servicios con el listado de propietarios

Si la comunidad entrega a una empresa de mantenimiento, de reparto o de lectura de contadores un listado con nombres y teléfonos para que cite a cada vecino, esa empresa pasa a tratar datos. Entonces hay que valorar si es encargada o si decide por su cuenta los fines (en cuyo caso sería otra figura). Además, la comunidad debe entregar solo lo necesario: vivienda y un contacto, no el listado completo.

Profesionales liberales

Abogados, procuradores, gestorías o arquitectos pueden ser encargados, o responsables propios de los datos que reciben, según el tipo de servicio y su regulación profesional. Es un punto donde no hay una respuesta única; lo prudente es dejarlo reflejado por escrito en la propuesta de servicios o en el contrato.

Cómo dejarlo ordenado

Un inventario de proveedores es la herramienta más útil. Una tabla sencilla con cuatro columnas basta: proveedor, qué servicio presta, si accede a datos personales y qué documento lo regula (contrato de encargado, cláusula de confidencialidad, nada necesario). Con eso responde a cualquier duda de una junta y alimenta el registro de actividades. Para el contenido del contrato, vea el artículo sobre el contrato de encargado del tratamiento.

El acceso a datos, no el tamaño del proveedor ni lo cerca que trabaje, es lo que convierte a una empresa en encargada.

En resumen

• Un proveedor es encargado solo si trata datos personales por cuenta de la comunidad
• Limpieza, jardinería y mantenimiento convencional no suelen serlo, pero conviene una cláusula de confidencialidad
• Administrador, videovigilancia, plataformas en la nube y reparto con listados nominales suelen requerir contrato del art. 28
• Revise los servicios de zona gris, como ascensores con telegestión o empresas que reciben el listado de vecinos
• Un inventario sencillo de proveedores sirve de prueba y de guía

El siguiente paso es repasar los proveedores de sus comunidades con esta tabla y detectar dónde falta un contrato antes de que lo pregunte alguien más.