Responsabilidad proactiva: demostrar que cumple vale tanto como cumplir

Imagine que en una junta un propietario pregunta si se pueden pasar las cuentas por correo a todos los vecinos y el presidente responde: «Sí, claro, siempre se ha hecho». Semanas después un vecino reclama. Cuando la AEPD pregunta, el administrador contesta con total sinceridad: «Siempre lo hemos hecho bien». Y no hay nada escrito que lo demuestre.

Eso es lo que el RGPD llama responsabilidad proactiva: no basta con cumplir, hay que poder demostrar que se cumple. Está en el artículo 5.2 del RGPD (se abre en una ventana nueva): el responsable del tratamiento debe cumplir los principios y ser «capaz de demostrarlo».

Qué significa en la práctica

No hay un trámite que cumplir y archivar, sino un sistema que mantener. El responsable decide qué medidas aplicar, según los riesgos, y debe poder justificar por qué esas.

Esto tiene dos consecuencias que importan a un administrador de fincas:

• Nadie le dice qué hacer en cada caso. La norma fija principios y usted los aplica a su realidad, que no es la de un banco ni la de un hospital.
• Lo que no está documentado, a efectos prácticos, no existe. Si la Agencia pregunta, la respuesta tiene que ser un papel, un registro, un correo o un contrato.

Dónde aparece este principio

Además del artículo 5.2, otras obligaciones desarrollan la idea:

• El artículo 24 exige al responsable aplicar medidas técnicas y organizativas adecuadas y poder demostrar que el tratamiento se ajusta al reglamento, teniendo en cuenta la naturaleza, el contexto y los riesgos.
• El artículo 25 pide proteger los datos desde el diseño y por defecto: pensar la protección antes de empezar a tratar, no después.
• El artículo 30 regula el registro de actividades de tratamiento.
• El artículo 32 obliga a aplicar medidas de seguridad proporcionadas al riesgo.

Quién tiene que demostrar qué

Aquí conviene distinguir los papeles, porque la respuesta depende del caso.

• La comunidad, como responsable, es quien debe poder demostrar el cumplimiento de los tratamientos de sus propietarios. En la práctica, mucho de esto lo hace el administrador por encargo, y por eso conviene que quede reflejado en el contrato.
• El administrador, como encargado, debe seguir las instrucciones de la comunidad, aplicar medidas de seguridad y colaborar. Tiene que poder demostrar que lo hace.
• El despacho, como responsable de sus propios tratamientos (empleados, clientes, proveedores), responde directamente.

Si la figura no le queda clara, hay otro artículo que explica quién es responsable del tratamiento en una comunidad.

Qué evidencias son útiles

No hace falta una montaña de papel. Hacen falta pocos documentos, pero vivos:

• El registro de actividades, con fecha de última revisión.
• Los contratos de encargado firmados.
• La cláusula informativa entregada o publicada, con constancia de cuándo.
• Un análisis de riesgos sencillo y las medidas que de él salen.
• El protocolo de derechos y un registro de las solicitudes recibidas y las respuestas dadas.
• Un registro de incidentes, aunque sea corto.
• La constancia de la formación o la información que recibe el personal.

Una regla sencilla: cada documento debe contar algo cierto sobre lo que realmente hace el despacho. Un documento perfecto que no se corresponde con la realidad es peor que uno modesto y verdadero.

En protección de datos, hacerlo bien y no poder probarlo se parece mucho, a efectos prácticos, a no haberlo hecho.

Cómo se mantiene sin que sea una carga

La responsabilidad proactiva no es un proyecto con fecha de fin. Es un hábito, y puede ser ligero:

• Revise una vez al año el registro, los contratos y las cláusulas.
• Revise cuando cambie algo: un software nuevo, una cámara, un proveedor, una forma de comunicar con los vecinos.
• Anote las decisiones, sobre todo las que se desvían de lo habitual, con una línea que diga por qué.
• Deje fecha a cada documento y guarde las versiones anteriores.

Piense en un ejemplo. La junta decide poner un grupo de mensajería para avisos. Anotar en un par de líneas qué datos se usan, quién lo administra y qué se avisó a los vecinos tarda diez minutos. Es lo que, dentro de un año, convierte una improvisación en una decisión documentada. Tiene un artículo específico sobre qué hacer para que su web sea legal, que sigue la misma lógica de documentar y revisar.

Lo que no es responsabilidad proactiva

• No es comprar un modelo de documentos y archivarlo.
• No es nombrar a alguien responsable sin darle tiempo ni medios.
• No es tenerlo todo perfecto: es tener un sistema razonable y mejorarlo.

Un ejemplo de documentación que sí sirve

Imagine un despacho que, cada vez que incorpora una comunidad, deja una carpeta con cuatro cosas: el contrato de encargado firmado, la cláusula informativa con la fecha en que se repartió, la ficha de la comunidad en el registro de actividades y una nota con las medidas acordadas (por ejemplo, que las actas se envían en copia oculta). Son cuatro documentos y diez minutos de trabajo. Cuando llega una pregunta, esa carpeta responde por usted. No hace falta nada más sofisticado: hace falta constancia, fecha y coherencia con lo que realmente se hace.

En resumen

• La responsabilidad proactiva (artículo 5.2 del RGPD) exige cumplir y poder demostrarlo.
• Las medidas deben ser adecuadas al riesgo y justificables.
• Pocos documentos, pero ciertos, fechados y revisados, valen más que muchos genéricos.
• Anote las decisiones y revise al menos una vez al año o cuando cambie algo.

Si quiere saber si hoy podría demostrar lo que hace en cada una de sus comunidades, el primer paso es ordenar y fechar lo que ya tiene.