Identifica la base legal de cada tractament

Quotes i gestió ordinària → execució del contracte (art. 6.1.b RGPD). Videovigilància → interès legítim (art. 6.1.f) amb cartell informatiu. Comunicacions comercials del despatx → consentiment (art. 6.1.a). Si no pots anomenar la base legal d'un tractament en una frase, no està correctament justificat.

Tingues llesta la clàusula informativa (art. 13-14 RGPD)

Cada propietari ha de saber, en el moment de facilitar les seves dades, qui les tracta, amb quina finalitat, durant quant de temps i davant de qui pot exercir els seus drets. Revisa que el contracte de gestió i els formularis d'alta la incloguin, no només la web del despatx.

Mantén actualitzat el Registre d'Activitats de Tractament (RoPA)

L'art. 30 RGPD exigeix documentar cada tractament: finalitat, categories de dades i interessats, destinataris, terminis de conservació i mesures de seguretat. Un despatx que gestiona diverses comunitats gairebé sempre està obligat a tenir-lo, amb independència de la mida de cada comunitat individual.

No publiquis dades de morositat als taulells ni actes d'accés general

El deute és una dada personal de contingut econòmic. L'AEPD sanciona reiteradament aquesta pràctica. Pot constar a la documentació interna de la junta, mai exposada a zones comunes.

Videovigilància: màxim 30 dies

L'art. 22 LOPDGDD fixa un termini màxim de conservació de 30 dies per a les imatges de les càmeres de zones comunes, tret que hagin de conservar-se com a prova d'una infracció o il·lícit penal. Verifica la configuració real de l'enregistrador, no només el que diu el contracte amb l'instal·lador.

Actes i comptabilitat: 5-10 anys

Actes i comptes es conserven un mínim de 5 anys per obligacions fiscals i comptables (Llei General Tributària). El RGPD exigeix, a més, no conservar dades personals més temps del necessari per a la finalitat original: defineix per escrit el criteri del teu despatx (habitualment 5-10 anys) i aplica'l de forma consistent.

Dades de propietaris que causen baixa (venda del pis)

No esborris immediatament: pot haver-hi deutes pendents o reclamacions obertes que justifiquin conservar les dades durant els terminis de prescripció aplicables. Documenta el criteri de bloqueig/supressió que aplica el teu despatx per no deixar-lo al criteri ad hoc de cada gestor.

Fes un inventari de tots els teus proveïdors amb accés a dades

Programari de gestió de finques, comptabilitat al núvol, plataforma de comunicació amb propietaris, gestoria de nòmines de porters, servei d'enviament de SMS/email... qualsevol empresa que accedeixi a dades personals de les comunitats que gestiones és, a efectes del RGPD, un encarregat del tractament (art. 28 RGPD).

Verifica que existeix un contracte DPA signat amb cadascun

L'art. 28.3 RGPD exigeix que el contracte amb cada encarregat (o subencarregat) reculli: objecte i durada del tractament, naturalesa i finalitat, tipus de dades i categories d'interessats, i les obligacions i drets del responsable. Si un proveïdor no et pot facilitar el seu DPA, és un senyal d'alerta.

Confirma on s'allotgen les dades

Si algun proveïdor transfereix dades fora de la UE/EEE, ha d'existir una garantia adequada (clàusules contractuals tipus, decisió d'adequació) segons el Capítol V del RGPD. Pregunta explícitament per la ubicació dels servidors, no donis per fet que estan a la UE.

Tingues un procediment escrit de notificació de bretxes

No improvisis el dia de l'incident. Defineix: qui detecta i escala la bretxa internament, qui decideix si hi ha risc per als propietaris, qui redacta i envia la notificació a l'AEPD (art. 33 RGPD) a través de la seu electrònica, i en quins casos cal avisar també directament als propietaris afectats (art. 34 RGPD, quan el risc és alt).

Mantén un registre de bretxes, notificades o no

L'art. 33.5 RGPD obliga a documentar qualsevol violació de seguretat, els seus efectes i les mesures correctores adoptades, encara que hagis conclòs que no calia notificar-la a l'AEPD. Aquest registre és el primer que demanarà un inspector en una auditoria.

Respon sol·licituds d'accés, rectificació i supressió en un mes

Els arts. 12-22 RGPD fixen un termini d'un mes (ampliable dos mesos més si la sol·licitud és complexa, notificant-ne el motiu). La morositat d'un propietari mai és motiu vàlid per negar-li l'accés a les seves pròpies dades. Tingues una plantilla de resposta i un canal d'entrada clar per a aquestes sol·licituds.

Tracta les dades de salut com a categoria especial (art. 9 RGPD)

Quan un propietari sol·licita una adaptació d'accessibilitat (rampa, ascensor adaptat, plaça d'aparcament reservada) per mobilitat reduïda o discapacitat, aquesta sol·licitud pot portar associada informació sobre el seu estat de salut. Les dades de salut estan dins de les categories especials de l'art. 9 RGPD, el tractament de les quals està prohibit per defecte llevat d'excepcions taxades: entre elles, el consentiment explícit de l'interessat (art. 9.2.a) o que sigui necessari per al compliment d'obligacions en matèria d'accessibilitat. A la pràctica: demana la dada mínima imprescindible (no el diagnòstic complet, n'hi ha prou amb la justificació de la necessitat), limita qui dins del despatx la pot veure, i no la barregis amb l'expedient general de morositat o incidències del propietari.

Forma l'equip i revisa la checklist cada any

La rotació de personal administratiu i els canvis normatius fan que una checklist de fa dos anys quedi desfasada. Programa una revisió anual d'aquests 15 punts, especialment després d'incorporar un nou proveïdor SaaS o canviar de sistema de videovigilància.