Glosario RGPD para administradores de fincas: 25 términos sin jerga

Imagine una junta en la que el presidente dice: «el administrador es el encargado, nosotros somos los responsables y el vecino es el interesado». Tres palabras, tres papeles, y a la mitad de la sala le suenan igual. No es culpa de nadie: el RGPD está escrito con un vocabulario propio.

Este glosario explica 25 términos con ejemplos de comunidad. Están agrupados por tema para que pueda leerlos de corrido o consultar solo el que necesite. Las definiciones oficiales están en el artículo 4 del RGPD (se abre en una ventana nueva); aquí las traducimos a la práctica.

Quién es quién

Dato personal. Cualquier información sobre una persona física identificada o identificable: nombre, DNI, piso, teléfono, correo, cuenta bancaria, una imagen en una cámara. Que sea «solo el piso y el importe de la cuota» no lo salva: si se sabe de quién es, es un dato personal.

Tratamiento. Cualquier operación con datos: recogerlos, guardarlos, consultarlos, enviarlos, publicarlos o borrarlos. Pasar la lista de propietarios a una hoja de cálculo ya es tratamiento.

Interesado. La persona a la que se refieren los datos. En una comunidad, los propietarios, pero también inquilinos, empleados, proveedores autónomos o visitantes grabados por una cámara.

Responsable del tratamiento. Quien decide para qué y cómo se tratan los datos. Por regla general, la comunidad de propietarios, representada por su presidente. Responde ante el interesado y ante la autoridad.

Encargado del tratamiento. Quien trata datos por cuenta del responsable y siguiendo sus instrucciones. El administrador de fincas suele serlo respecto a los datos de la comunidad. Aquí desarrollamos esa relación.

Subencargado. Un proveedor al que el encargado recurre para parte del trabajo: la empresa del programa de gestión, la de la nube, la gestoría que prepara las remesas. Requiere autorización del responsable.

Corresponsables. Dos o más sujetos que deciden juntos los fines y medios de un tratamiento (artículo 26). Es una figura poco frecuente en comunidades, pero conviene reconocerla.

Destinatario. Quien recibe datos personales, sea o no un tercero. El banco que cobra los recibos, el seguro o el fontanero que recibe el contacto de un vecino son destinatarios.

Tercero. Persona distinta del interesado, del responsable y del encargado. Un vecino que pide los datos de otro es, respecto a esos datos, un tercero.

Con qué derecho se tratan

Base jurídica. El motivo legal que permite tratar los datos: el consentimiento, un contrato, una obligación legal, un interés vital, una misión de interés público o un interés legítimo (artículo 6). Sin base, no hay tratamiento lícito.

Consentimiento. Una manifestación libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. No vale una casilla premarcada ni condicionar un servicio a algo que no lo necesita. Lo vemos con calma en otro artículo.

Interés legítimo. Base que permite tratar datos cuando el interés del responsable es legítimo y no prevalecen los derechos de la persona. Exige ponderar: no es una puerta abierta para todo.

Categorías especiales de datos. Datos que merecen más protección: salud, origen étnico o racial, opiniones políticas, convicciones religiosas, afiliación sindical, vida sexual, datos genéticos y biométricos para identificar. Su tratamiento está prohibido salvo excepciones (artículo 9).

Principios

Minimización. Tratar solo los datos adecuados, pertinentes y limitados a lo necesario. Si para convocar una junta basta con el nombre y el domicilio, no pida también la profesión.

Limitación de la finalidad. Los datos se recogen para fines concretos y no se usan después para otros incompatibles. El teléfono dado para avisar de una avería no sirve para una campaña comercial.

Limitación del plazo de conservación. Los datos no se guardan más tiempo del necesario para la finalidad. Cuando la finalidad termina y no hay una obligación legal que lo impida, toca suprimir o bloquear.

Seudonimización. Tratar los datos de modo que no puedan atribuirse a una persona sin información adicional, guardada aparte. Sigue siendo dato personal: reduce el riesgo, no lo elimina.

Anonimización. Convertir los datos de forma que ya no sea posible identificar a nadie. Entonces dejan de ser datos personales. Es más difícil de lo que parece: quitar el nombre no basta si el piso permite deducir quién es.

Documentos y deberes

Registro de actividades de tratamiento. Documento que lista qué tratamientos se hacen, con qué fin, con qué datos y durante cuánto tiempo (artículo 30). Cómo se elabora.

Cláusula informativa. El texto con el que se cumple el deber de informar del artículo 13: identidad del responsable, finalidad, base, destinatarios, plazos y derechos. Va en convocatorias, formularios y carteles.

Brecha de seguridad. Incidente que causa destrucción, pérdida, alteración o acceso no autorizado a datos. Se documenta siempre y, si hay riesgo para las personas, se notifica a la autoridad en un máximo de 72 horas cuando sea posible. Qué hacer en esas horas.

Evaluación de impacto (EIPD). Análisis previo que exige el artículo 35 cuando un tratamiento puede entrañar un alto riesgo para los derechos de las personas. En una comunidad corriente es excepcional.

Delegado de protección de datos (DPD). Figura con funciones de asesoramiento y supervisión, obligatoria solo en los supuestos del artículo 37. La comunidad típica no está obligada a nombrarlo.

Responsabilidad proactiva. Principio por el que no basta con cumplir: hay que poder demostrarlo (artículo 5.2). En la práctica, significa tener los papeles y las medidas documentadas.

AEPD. La Agencia Española de Protección de Datos, autoridad de control en España. Atiende reclamaciones, investiga e impone sanciones. Su web es aepd.es (se abre en una ventana nueva).

En resumen

• Responsable es quien decide; encargado es quien trata por cuenta de otro; interesado es la persona cuyos datos se tratan.
• Todo tratamiento necesita una base jurídica, y el consentimiento es solo una de seis.
• Minimizar, limitar la finalidad y limitar el plazo evitan la mayoría de los problemas.
• Registro, cláusulas y protocolo de brechas son los papeles que demuestran que usted cumple.

Si alguno de estos términos le ha hecho dudar de cómo está documentada una de sus comunidades, ese es un buen punto de partida para ordenar la documentación de todas.