RGPD en comunidades de propietarios: la guía completa para administradores de fincas

Un jueves por la tarde, una vecina del tercero le escribe: quiere saber qué datos suyos guarda la comunidad y con quién los ha compartido. Usted tiene la lista de propietarios en una hoja de cálculo, los recibos en el programa de gestión y las actas en un archivador. Lo que no tiene a mano es una respuesta ordenada. Es la situación más habitual cuando se empieza a hablar de protección de datos en las fincas.

La respuesta corta a la pregunta de este artículo es esta: el RGPD y la LOPDGDD se aplican a todas las comunidades de propietarios, también a las pequeñas, porque todas tratan datos personales de sus vecinos. Lo que cambia de una a otra es el volumen y el riesgo, no la obligación de cumplir. Esta guía le da el mapa completo y le remite a artículos que desarrollan cada pieza.

Por qué la normativa también va con las comunidades

El RGPD (se abre en una ventana nueva) (Reglamento UE 2016/679) define dato personal como cualquier información sobre una persona identificable. Nombre, NIF, domicilio, correo, teléfono, cuenta bancaria, coeficiente de participación, deuda pendiente o imagen captada por una cámara: todo entra. La comunidad de propietarios no es una empresa, pero tampoco está fuera de la norma. Trata esos datos para cumplir la Ley de Propiedad Horizontal (LPH) y por eso se le aplican las mismas reglas básicas que a cualquier otra entidad.

En España, además del Reglamento europeo rige la Ley Orgánica 3/2018 (LOPDGDD) (se abre en una ventana nueva), que lo completa. La antigua LOPD de 1999 ya no es la norma vigente, y con el RGPD desapareció la obligación de inscribir ficheros en la Agencia Española de Protección de Datos.

Las piezas que hay que tener claras

Cumplir no consiste en un papel único. Son varias piezas que encajan entre sí:

• Reparto de papeles. Saber quién es el responsable del tratamiento y quién el encargado. Lo explicamos en quién es el responsable en una comunidad.
• Contrato con el administrador. Cuando usted trata datos por cuenta de la comunidad, el artículo 28 del RGPD exige un contrato por escrito.
• Registro de actividades. Un inventario de qué datos se tratan, para qué y con qué medidas.
• Base legal. Para cada tratamiento, una razón jurídica que lo permita. Casi nunca es el consentimiento; lo desarrollamos en la base legal del tratamiento en una comunidad.
• Información a los vecinos. Un aviso claro, breve y accesible sobre qué se hace con sus datos.
• Atención de derechos. Un procedimiento para contestar a tiempo cuando alguien pide acceder a sus datos, rectificarlos o suprimirlos.
• Seguridad y brechas. Medidas razonables y un plan por si un correo sale mal o se pierde un dispositivo.

Responsable y encargado: el reparto que ordena todo lo demás

El responsable es quien decide para qué y cómo se tratan los datos. En una finca, esa figura es la propia comunidad, representada por su presidente y asistida por el administrador. El encargado es quien trata datos por cuenta del responsable y siguiendo sus instrucciones: normalmente el administrador de fincas, y también la empresa de mantenimiento del ascensor si accede a datos de vecinos.

Esto tiene consecuencias prácticas. El encargado no puede usar los datos de la comunidad para sus propios fines, necesita autorización para subcontratar y debe devolver o borrar la información al terminar el servicio. Hay un matiz importante: sus propios ficheros (clientes, empleados, proveedores del despacho) los trata usted como responsable. Lo desarrollamos en el administrador como encargado del tratamiento.

El registro de actividades, la herramienta más útil

El artículo 30 del RGPD obliga a llevar un registro de actividades de tratamiento. Contempla una excepción para organizaciones de menos de 250 empleados, pero esa excepción no se aplica si el tratamiento no es ocasional, si implica riesgo para los derechos de las personas o si incluye categorías especiales de datos. Una comunidad trata datos de forma continua, de modo que lo prudente es llevarlo siempre.

Hacerlo bien no exige una semana de trabajo. Se enumeran las actividades (gestión de propietarios, cobro de cuotas, juntas y actas, proveedores, personal, cámaras) y se rellena una ficha breve de cada una. Tiene el paso a paso en cómo hacer el registro de actividades de una comunidad.

Qué cambia cuando hay cámaras, empleados o web

Tres elementos elevan el nivel de exigencia:

• Videovigilancia. Requiere cartel informativo, control de quién accede a las imágenes y un plazo de conservación limitado.
• Personal. Un portero o una limpiadora implican datos laborales y, a veces, datos de salud por bajas médicas.
• Presencia digital. Si la comunidad tiene web, grupo de mensajería o aplicación, aparecen cookies, canales de comunicación y proveedores tecnológicos.

En esos casos conviene revisar el riesgo con más detalle y, en caso de duda, pedir una valoración individual. Ninguna regla general sustituye el análisis de una finca concreta.

Cumplir el RGPD en una comunidad no consiste en acumular papeles, sino en poder explicar qué datos se tratan, por qué y quién responde.

Sobre las sanciones, con proporción

El artículo 83 del RGPD prevé multas administrativas de hasta 10 o 20 millones de euros, o del 2 % o 4 % del volumen de negocio anual, según la infracción. Son los topes que fija el Reglamento para todo tipo de organizaciones. No significa que vayan a aplicarse a una comunidad: la autoridad gradúa la sanción según la gravedad, el número de afectados, la intencionalidad y las medidas que se hubieran adoptado. Precisamente por eso conviene dejar constancia de lo que se hace.

En resumen

• El RGPD y la LOPDGDD se aplican a todas las comunidades, con independencia de su tamaño.
• La comunidad es la responsable y usted, normalmente, su encargado; entre ambos debe haber un contrato escrito.
• El registro de actividades, la información a los vecinos y un procedimiento para atender derechos son las piezas básicas.
• Cámaras, personal y canales digitales aumentan el riesgo y piden más cuidado.
• Documentar lo que se hace es la mejor protección ante cualquier revisión.

El siguiente paso razonable es repasar, comunidad por comunidad, qué documentación existe y cuál falta.