¿Necesita una comunidad de propietarios un delegado de protección de datos?

Un presidente llama preocupado: le han dicho en una charla que todas las comunidades tienen que nombrar un delegado de protección de datos, y quiere saber a quién proponer en la próxima junta. Es una de las dudas más repetidas y también de las que más confusión generan, porque se mezclan el delegado, el administrador y el «responsable».

La respuesta corta: una comunidad de propietarios ordinaria no está obligada a nombrar un delegado de protección de datos. Las obligaciones de nombrarlo las fija el RGPD en supuestos concretos que una finca normal no cumple. Pero hay matices que dependen de tamaño y actividad, y conviene saber cuándo dejar de dar por hecho el «no».

Qué es un delegado de protección de datos

El DPD es una figura que asesora a la organización, supervisa el cumplimiento de la normativa y actúa como punto de contacto con la autoridad de control y con los afectados. Debe tener conocimientos especializados en la materia y desempeñar su función con independencia. No es sustituto del responsable: la responsabilidad del cumplimiento sigue siendo de la comunidad.

No es lo mismo que el administrador de fincas, ni que el «encargado del tratamiento», ni que un consultor externo contratado para ayudar. Son figuras distintas que a veces coinciden en la misma persona, aunque no siempre se puede.

Cuándo es obligatorio según el RGPD

El artículo 37 del RGPD (se abre en una ventana nueva) obliga a designar un DPD en tres supuestos:

• cuando el tratamiento lo lleve a cabo una autoridad u organismo público;
• cuando las actividades principales consistan en operaciones de tratamiento que, por su naturaleza o fines, requieran una observación habitual y sistemática de interesados a gran escala;
• cuando las actividades principales consistan en el tratamiento a gran escala de categorías especiales de datos o de datos sobre condenas e infracciones penales.

Además, la LOPDGDD (se abre en una ventana nueva) incluye en su artículo 34 una lista de entidades que deben designarlo, como colegios profesionales, centros docentes o entidades aseguradoras, entre otras. Las comunidades de propietarios no figuran en ese listado.

Por qué una comunidad normal no lo necesita

La actividad principal de una comunidad es gestionar un edificio. Sus datos son los de unas decenas de vecinos o, en urbanizaciones grandes, algunos cientos. Aunque haya una cámara en el portal, no suele considerarse una observación sistemática a gran escala. Y los datos de salud, cuando aparecen, lo hacen de forma puntual.

Por eso, en la inmensa mayoría de fincas, el nombramiento no es obligatorio. Eso no significa que la comunidad quede exenta del resto de obligaciones: registro de actividades, información, base legal, seguridad y contrato con el administrador siguen aplicándose. Puede revisarlas en la guía completa del RGPD para comunidades.

Cuándo conviene mirarlo con más cuidado

«A gran escala» no tiene una cifra legal. Depende del número de personas afectadas, del volumen de datos, de la duración y del alcance geográfico. Hay situaciones en las que conviene hacer el análisis con calma:

• Urbanizaciones muy grandes o complejos con servicios comunes, con cientos de viviendas, control de accesos con registro de entradas y cámaras por todo el recinto.
• Sistemas de seguimiento sistemático de personas, como el registro biométrico de entradas, sobre el que hay más información en sistemas biométricos en el control de presencia.
• Comunidades con servicios sanitarios o residenciales, donde el tratamiento de datos de salud es parte de la actividad.

En esos casos, la decisión de designar o no un DPD debe valorarse y, si se decide no hacerlo, conviene dejar anotada la razón.

Y el administrador de fincas, ¿lo necesita?

Es una pregunta distinta, porque el despacho es una organización con sus propios tratamientos. Ser administrador de fincas no obliga por sí solo a nombrar un DPD. Pero un despacho que gestione muchas comunidades y trate datos de miles de personas puede acercarse al umbral de gran escala, y la respuesta depende del volumen y de la naturaleza de los tratamientos. Es un análisis que debe hacerse por despacho, no con una regla general.

Designarlo voluntariamente

Nada impide nombrar un DPD aunque no sea obligatorio. Tiene ventajas: un criterio profesional para dudas, un contacto claro para los vecinos y la autoridad, y una imagen de seriedad. Pero tiene consecuencias: si se designa, deben cumplirse las reglas que el RGPD marca para esta figura (independencia, recursos, publicación de sus datos de contacto). Si lo que se busca es solo asesoramiento, es más ajustado contratar un servicio de consultoría sin dar a nadie el título de DPD.

Que el delegado no sea obligatorio no significa que la comunidad pueda prescindir de ordenar sus datos.

Qué hacer si le preguntan en la junta

Una respuesta sencilla, útil y veraz es: «La ley no nos obliga a nombrar un delegado, pero sí a cumplir el resto de la normativa: un registro de tratamientos, informar a los vecinos y tener un contrato con el administrador». Si se considera que la comunidad tiene un perfil especial, anótelo en acta y revise el asunto con un especialista.

En resumen

• Una comunidad de propietarios ordinaria no está obligada a nombrar un DPD.
• El RGPD lo exige solo en supuestos concretos (autoridades públicas, observación sistemática o datos especiales, a gran escala).
• En urbanizaciones grandes o con sistemas de seguimiento intensivo, conviene analizarlo.
• El administrador de fincas no está obligado por el mero hecho de serlo, pero depende de su volumen.
• No tener DPD no exime del resto de obligaciones.

Si tiene dudas sobre el perfil de alguna de sus comunidades, lo razonable es revisar ese caso concreto antes de decidir.