Externalizar la protección de datos de sus comunidades: cuándo compensa

Un administrador con cuarenta comunidades y dos empleados abre un lunes la bandeja de entrada: una consulta de un propietario sobre sus datos, un proveedor que pide firmar un contrato de encargado y un cliente nuevo que quiere ver el registro de actividades. Tiene que resolverlo todo entre una junta y una avería.

La protección de datos es un trabajo recurrente, técnico y con una parte legal. Para un despacho pequeño, la pregunta no es si hay que cumplir sino quién lo hace. Hay tres caminos: hacerlo uno mismo, contratar a alguien o externalizarlo. Veamos cuándo compensa cada uno.

Qué se puede delegar y qué no

El RGPD reparte las obligaciones entre responsable y encargado, y el despacho es ambas cosas según el caso (lo explicamos en la revisión general del despacho). Lo importante aquí es que se puede externalizar el trabajo, pero no la responsabilidad. El responsable debe aplicar medidas adecuadas y poder demostrar que el tratamiento es conforme al RGPD (se abre en una ventana nueva) (arts. 5.2 y 24), aunque encargue a un tercero la parte técnica o documental.

Se puede encargar fuera

• La elaboración y actualización del registro de actividades.
• La redacción de contratos con comunidades, empleados y proveedores.
• Las cláusulas informativas y los textos legales de la web.
• El análisis de riesgos y las recomendaciones de seguridad.
• La formación del personal.
• El apoyo en la atención de derechos y en la respuesta a brechas.
• Las auditorías periódicas.
• La figura del delegado de protección de datos, cuando proceda: el RGPD permite que el delegado sea externo, con un contrato de servicios (art. 37.6).

Hay que mantenerlo dentro

• Las decisiones. Qué datos se recogen, quién accede, qué proveedores se contratan.
• El día a día: cerrar el armario, no dejar la pantalla abierta, aplicar las normas internas.
• La relación con las comunidades, que son sus clientes y las responsables de los datos.

Cuándo no compensa

• Despacho unipersonal con pocas comunidades y buena disciplina. Con una guía clara y un par de revisiones al año puede llevarlo usted solo.
• Si no sabe qué quiere conseguir. Contratar sin saber qué se necesita da documentos bonitos que nadie usa.
• Si espera que el proveedor lo haga todo. Nadie puede cumplir por usted las conductas diarias de su equipo.

Cuándo sí compensa

• Cartera grande o creciente: cada comunidad nueva trae contrato, registro y comunicaciones. Los costes de no tener un sistema aumentan con cada alta.
• Equipo con rotación o teletrabajo, donde los riesgos de confidencialidad y seguridad crecen. Vea el compromiso de confidencialidad.
• Muchos proveedores con acceso a datos, con la cadena de contratos de subencargados por ordenar.
• Falta de tiempo y de conocimiento especializado: el tiempo del administrador vale más en la gestión de sus comunidades que en leer guías.
• Comunidades o clientes que piden garantías: un tercero con experiencia da confianza y acelera la contestación a cuestionarios.
• Un incidente ya ocurrido: tras una brecha, tener a alguien que sepa qué hacer es lo primero que se echa en falta.

Cómo elegir al proveedor

1. Que explique qué hace y qué no. Desconfíe de quien promete «cumplimiento garantizado» o de quien lo resuelve todo con una plantilla única.
2. Que se adapte a un despacho de fincas, con su doble papel de encargado y responsable, y conozca la LPH además del RGPD.
3. Contrato claro: alcance, entregables, plazos, precio, confidencialidad y qué ocurre al terminar. Como el proveedor puede ver datos, también debe firmar su propio contrato de encargado.
4. Entregables que usted pueda usar: documentos en formatos editables, que quedan en su poder aunque cambie de proveedor.
5. Acompañamiento tras la entrega: actualizaciones cuando cambie la normativa o su despacho, y respuesta ante incidencias.
6. Referencias de despachos similares y, si es posible, una conversación previa para ver cómo trabaja.
7. Precio comparable por conceptos, no por cifras globales: pida desglose de lo que incluye y de lo que se cobra aparte.

Un reparto razonable

Si decide externalizar, una división habitual funciona así:

• El proveedor hace el diagnóstico inicial, redacta la documentación, forma al equipo y revisa cada año.
• Usted designa a una persona interna como contacto, avisa de cambios (nuevo proveedor, nueva comunidad, nuevo software) y aplica las normas.
• Ambos acuerdan una revisión anual por escrito, con la lista de pendientes.

Un indicio de que va bien: usted puede responder en cinco minutos a la pregunta de una comunidad sobre qué hace con sus datos, porque la documentación existe y está al día. Cómo se estructura el registro que lo sostiene lo tiene en el registro de actividades del tratamiento.

Una pregunta previa que ahorra dinero

Antes de pedir presupuestos, haga una foto de partida: cuántas comunidades lleva, cuántas personas tratan datos, qué proveedores tienen acceso y qué documentación existe ya. Con esa información el proveedor puede ajustar su propuesta y usted puede compararla con otras. Sin ella, cada presupuesto responde a una pregunta distinta y no hay forma de saber cuál es mejor.

En resumen

• Se puede externalizar el trabajo de protección de datos, no la responsabilidad.
• Compensa cuando hay muchas comunidades, equipo cambiante, muchos proveedores o poca disponibilidad de tiempo.
• No compensa si espera que otro cumpla por usted el día a día de su equipo.
• Elija un proveedor que conozca el sector, firme contrato de encargado y le entregue documentos que usted pueda mantener.
• Fije una persona de contacto interna y una revisión anual.

Antes de decidir, haga el ejercicio de contar cuántas horas al mes le dedica hoy a estos temas: esa cifra suele aclarar la decisión.