30 preguntas rápidas sobre protección de datos en comunidades

Es martes por la mañana y suena el teléfono. Un presidente quiere saber si puede colgar en el portal la lista de la derrama. A la media hora escribe un vecino que pide ver las grabaciones de la cámara del garaje. Ninguno de los dos necesita una conferencia: necesitan una respuesta corta y fiable.

Este artículo reúne treinta de esas respuestas. Son breves a propósito. Donde la solución depende del caso, lo decimos y explicamos de qué depende; donde hay un artículo con más detalle, le enlazamos.

Quién es quién

¿Se aplica el RGPD a una comunidad de propietarios? Sí. La comunidad trata datos de personas físicas (nombres, domicilios, cuentas bancarias, cuotas pendientes) y con eso basta para que se apliquen el RGPD y la LOPDGDD, tenga cuatro vecinos o cuatrocientos.

¿Protege solo a los propietarios? No. Protege a cualquier persona física cuyos datos trate la comunidad: inquilinos, empleados, proveedores autónomos o visitantes que graba una cámara.

¿Quién es el responsable del tratamiento? Por regla general, la propia comunidad, que decide para qué y cómo se usan los datos y actúa a través de su presidente y de su junta.

¿Y el administrador de fincas? Habitualmente es encargado del tratamiento: trata los datos por cuenta de la comunidad y siguiendo sus instrucciones. Aquí explicamos la diferencia.

¿Es obligatorio firmar un contrato con el administrador? Sí. El artículo 28 del RGPD exige que la relación entre responsable y encargado conste en un contrato u otro acto jurídico vinculante, con un contenido mínimo.

¿Necesita la comunidad un delegado de protección de datos? Normalmente no. El artículo 37 lo exige en supuestos como las autoridades públicas, el seguimiento sistemático a gran escala o las categorías especiales de datos a gran escala, y una comunidad corriente no suele encajar. Nombrarlo es voluntario.

¿Hay que llevar un registro de actividades de tratamiento? El artículo 30 prevé una excepción para organizaciones pequeñas, con condiciones que conviene revisar en cada caso. Como el cobro de cuotas o la convocatoria de juntas son tareas habituales y el registro es la forma más sencilla de demostrar lo que se hace, lo prudente es llevarlo.

¿Hace falta el consentimiento de los vecinos? No para lo que la vida comunitaria exige: cobrar cuotas, convocar juntas o levantar actas se apoyan en obligaciones legales, en la relación entre la comunidad y los propietarios o en un interés legítimo. El consentimiento se reserva para lo opcional.

¿Hay que informar a los vecinos de cómo se usan sus datos? Sí, es el deber de información del artículo 13: quién trata los datos, para qué, con qué base, durante cuánto tiempo y qué derechos existen. Una cláusula clara en los documentos habituales suele bastar.

Derechos de los vecinos

¿Qué derechos tiene un vecino? Acceso, rectificación, supresión, limitación, portabilidad y oposición, que el RGPD regula en los artículos 15 a 21. Los repasamos en detalle.

¿En cuánto tiempo hay que responder? En el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses si es compleja o hay muchas, avisando al interesado de la prórroga y de sus motivos (artículo 12.3).

¿Se puede cobrar por atender un derecho? Como regla general no. Solo cabe un canon razonable o negarse a actuar si las solicitudes son manifiestamente infundadas o excesivas.

¿Puede un vecino exigir los datos de otro? No sin una base que lo ampare. Depende de qué dato sea y para qué lo pida; la regla de partida es que la comunidad no entrega datos de terceros.

¿Puede pedir que se borren sus datos de las actas? Depende. La supresión no es absoluta: si hay una obligación legal de conservar el documento, no procede borrar sin más. Lo que sí cabe estudiar es qué datos sobran.

¿Puede un vecino reclamar ante la AEPD? Sí. Todo interesado tiene derecho a presentar una reclamación ante la autoridad de control si considera que se han vulnerado sus derechos.

Cámaras

¿Qué hace falta para instalar cámaras? Que sean proporcionadas a la finalidad (la seguridad) y que se cumpla el artículo 22 de la LOPDGDD. Debe haber acuerdo de la junta; la mayoría exigible la fija la LPH y conviene comprobarla para su caso.

¿Cuánto tiempo se guardan las grabaciones? Como máximo un mes desde su captación, salvo que se conserven para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.

¿Es obligatorio el cartel? Sí. Debe haber un dispositivo informativo en lugar suficientemente visible, que identifique la existencia del tratamiento, al responsable y la posibilidad de ejercer los derechos.

¿Pueden grabar la calle? Solo en la medida imprescindible para la finalidad de seguridad. Captar la vía pública de forma general no está permitido.

¿Qué hacer si la Policía pide unas imágenes? Verificar que el requerimiento procede de una autoridad competente y entregar solo lo solicitado. Ante la duda, consulte antes de entregar nada.

Juntas, actas y comunicaciones

¿Se puede publicar la lista de morosos en el tablón? No de forma abierta. La LPH prevé que la convocatoria recoja esa relación, pero eso no equivale a exponerla a cualquiera que pase por el portal. Lo desarrollamos aquí.

¿Qué datos debe llevar un acta? Los necesarios para documentar los acuerdos. Evite opiniones personales ajenas al orden del día y, sobre todo, datos de salud.

¿Se pueden enviar las actas por correo a todos? Sí a los propietarios, pero si el mismo mensaje va a varias personas, use copia oculta o envíos individuales para no mostrar las direcciones de unos a otros.

¿Y un grupo de WhatsApp? Es posible, pero voluntario: cada vecino decide si entra y debe saber quién ve su número. No debe ser el único canal para comunicaciones con efectos jurídicos.

¿Se puede grabar la junta? Con cautelas: informando antes a los asistentes, con una finalidad concreta y sin conservar la grabación más de lo necesario.

Seguridad y sanciones

¿Qué es una brecha de seguridad? Cualquier incidente que provoque la destrucción, pérdida, alteración o acceso no autorizado a datos personales. Un correo enviado al destinatario equivocado puede serlo.

¿Hay que avisar a la AEPD? Si la brecha puede suponer un riesgo para los derechos de las personas, sí, sin dilación indebida y, de ser posible, en un máximo de 72 horas (artículo 33). Si el riesgo es improbable, no se notifica, pero se documenta. Más sobre el plazo.

¿Cuándo hace falta una evaluación de impacto? Cuando el tratamiento pueda entrañar un alto riesgo (artículo 35). Una comunidad corriente rara vez la necesita; un sistema inusual, como uno biométrico, obliga a valorarlo.

¿Qué medidas de seguridad se exigen? Las que sean apropiadas al riesgo (artículo 32): contraseñas robustas, copias de seguridad, control de accesos y formación básica de quien maneja los datos.

¿Cuánto puede costar una sanción? El artículo 83 fija techos de hasta 10 o 20 millones de euros, o del 2 % o 4 % del volumen de negocio, según la infracción. Son límites máximos, no tarifas: la sanción se gradúa según las circunstancias de cada caso.

En resumen

• La comunidad es la responsable; el administrador suele ser su encargado y necesita contrato.
• Informe a los vecinos, documente lo que hace y no pida consentimiento para lo que la ley ya impone.
• Los derechos se atienden en un mes y las grabaciones se guardan, como regla, un mes.
• Ante una brecha, el reloj de 72 horas corre desde que se tiene conocimiento.

Si quiere comprobar qué responde su despacho a cada una de estas treinta preguntas en las comunidades que lleva, el siguiente paso es revisar su documentación comunidad por comunidad.