Los 12 errores de protección de datos más comunes en los despachos de fincas

Un administrador con treinta años de oficio sabe de cobros, de obras y de juntas difíciles. De protección de datos, lo justo. Y los errores que más se repiten en los despachos no vienen de mala fe, sino de hábitos que durante décadas fueron normales: el listado en el portal, el correo a todos, la carpeta en la mesa.

Estos son doce errores frecuentes. Para cada uno damos qué falla y cómo se corrige. No todos serán un problema en su despacho; los reconocerá por la sensación de «eso lo hacemos».

Los doce errores

1. No tener contrato de encargado con las comunidades

El administrador trata datos por cuenta de la comunidad, y el artículo 28 del RGPD (se abre en una ventana nueva) exige un contrato u otro acto jurídico que lo regule. Cómo se corrige: un contrato firmado con cada comunidad, con el contenido mínimo que marca la norma. Hay un artículo sobre quién es el responsable en una comunidad.

2. Enviar correos con todos los vecinos en copia visible

Es el clásico. Las direcciones de correo son datos personales, y mostrarlas a todos es una comunicación a terceros. Cómo se corrige: copia oculta o envíos individuales, y un hábito de revisar el campo antes de pulsar enviar.

3. Grupos de mensajería para comunicar con los vecinos

Útiles, pero exponen el teléfono de todos a todos y mezclan temas. Cómo se corrige: difusión sin que los participantes se vean entre sí, con el consentimiento de quienes se incorporen y con reglas claras. El consentimiento en el RGPD tiene condiciones concretas.

4. Publicar listas de deudores en el portal o el ascensor

La Ley de Propiedad Horizontal prevé comunicaciones sobre deudas en ciertos trámites, pero eso no autoriza a exponerlas a cualquiera que pase por el portal. Cómo se corrige: limitar la información a quienes deben recibirla, con la finalidad que la ley prevé, y no usar el tablón como medio de presión.

5. Actas con datos de más

Un acta debe reflejar los acuerdos, no convertirse en un volcado de problemas personales, datos de salud o discusiones. Cómo se corrige: minimizar lo que se anota y valorar qué parte se distribuye.

6. No llevar el registro de actividades

Muchos despachos creen que no es para ellos. Cómo se corrige: valorar con asesoramiento si le es exigible (la excepción para entidades pequeñas rara vez aplica, porque estos tratamientos no son ocasionales) y, en todo caso, llevarlo, porque ordena todo lo demás. Tiene una explicación en el registro de actividades del tratamiento.

7. Cámaras sin información ni control

Cartel ausente, grabaciones sin plazo de supresión, acceso libre a las imágenes. La LOPDGDD, en su artículo 22, regula la videovigilancia, incluida la obligación de informar y la supresión de imágenes en un plazo máximo de un mes salvo excepciones. Cómo se corrige: cartel, acuerdo de la comunidad, acceso restringido y borrado en plazo.

8. No atender los derechos de los vecinos en plazo

El plazo general para responder es de un mes desde la solicitud, prorrogable en los casos que la norma prevé. Cómo se corrige: un procedimiento interno y un registro de solicitudes. Los derechos no se atienden de cualquier manera.

9. Documentación en papel sin custodia

Archivadores abiertos, expedientes en el coche, papeles en el buzón. Cómo se corrige: archivo cerrado, control de quién accede y destrucción segura cuando proceda.

10. Sin protocolo para las brechas de seguridad

Un correo mal enviado, un portátil robado o un ataque informático pueden ser una brecha. El artículo 33 del RGPD obliga al responsable a notificarla a la AEPD en un plazo máximo de 72 horas desde que tiene constancia, salvo que sea improbable que entrañe un riesgo; si el despacho actúa como encargado, debe avisar sin dilación a la comunidad. Cómo se corrige: un procedimiento escrito y alguien responsable de activarlo.

11. Contraseñas compartidas y personal sin formar

Un usuario para todos, la clave en un post-it, el empleado nuevo que accede a todo desde el primer día. Cómo se corrige: usuarios individuales, permisos por funciones, compromiso de confidencialidad y una explicación básica al personal.

12. No gestionar el cambio de administrador

Cuando una comunidad cambia de administrador, la documentación y los datos pasan a otras manos, y se queda copia en el despacho antiguo. Cómo se corrige: un procedimiento de entrega, qué se conserva y por cuánto tiempo, y qué se borra.

Casi ningún error de esta lista es un fallo técnico. Son costumbres que nadie se ha parado a revisar.

Cómo priorizar

No lo arregle todo a la vez. Un orden razonable:

• Primero, lo que expone datos a terceros hoy: correos, listas, grupos, cámaras.
• Después, lo que se puede demostrar con un papel: contratos, registro, cláusulas.
• Por último, lo que requiere un hábito: formación, revisiones, protocolos.

Cuando haya cambiado dos o tres cosas de la primera categoría, habrá reducido buena parte del riesgo de una reclamación. Y es justo lo que valora la autoridad si llega a ocurrir.

Cómo comprobar si su despacho los comete

Haga una prueba sencilla: repase con una lista los doce puntos y marque cada uno como «lo hacemos bien», «lo hacemos a medias» o «no lo hacemos». Pida a otra persona del despacho que haga lo mismo por separado y compare. Las diferencias entre ambas listas suelen ser lo más revelador, porque muestran dónde cada uno cree que existe un procedimiento que, en realidad, no está escrito. Guarde la lista con su fecha: dentro de un año servirá de punto de comparación.

En resumen

• Los errores más comunes son hábitos antiguos: copia visible, listas en el portal, grupos, cámaras sin información.
• La falta de contratos de encargado y de registro de actividades son carencias documentales fáciles de corregir.
• Es esencial atender los derechos en plazo y tener un protocolo para brechas (72 horas).
• Empiece por lo que expone datos a terceros y siga con la documentación.

Si reconoce más de tres de estos errores en su despacho, revisar sus comunidades con una lista ordenada le ahorrará más de un disgusto.