RGPD per a Administradors de Finques: Obligacions i Riscos 2026

L'administrador de finques tracta dades personals cada dia: nom i DNI dels propietaris, IBANs per a la domiciliació de quotes, dades de deute i morositat, imatges de les càmeres de seguretat. Tota aquesta informació cau sota el RGPD (Reglament (UE) 2016/679). Si no compleixes les obligacions, l'AEPD pot multar fins a €20M o el 4% de la facturació global.

Quines dades personals tracta l'administrador de finques?

• Dades identificatives de propietaris (nom, cognoms, DNI/NIF, adreça, telèfon, email)
• Dades bancàries per a domiciliació de quotes (IBAN)
• Dades de deute i morositat (dades econòmiques sensibles en el context comunitari)
• Imatges de càmeres de seguretat de zones comunes (dades d'imatge / biomètriques potencials)
• Dades d'inquilins (en comunitats que els registren formalment)
• Dades d'empleats de la comunitat (porters, conserges): relació laboral completa

Quines obligacions concretes imposa el RGPD a l'administrador?

1. Registre d'Activitats de Tractament (RoPA): documentar tots els tractaments de dades amb finalitat, base legal, destinataris i terminis de conservació (art. 30 RGPD). La llei l'eximeix si teniu menys de 250 empleats I el tractament no és habitual, però la pràctica recomanada és sempre tenir-lo.
2. Clàusula informativa als propietaris: en el moment de recollir les dades (contracte de gestió, formularis) cal informar de qui tracta les dades, per a quina finalitat i durant quant temps (art. 13-14 RGPD).
3. Base legal per a cada tractament: les quotes s'ememparen en l'execució del contracte (art. 6.1.b); la videovigilància en l'interès legítim (art. 6.1.f) + cartell obligatori a l'entrada.
4. Drets dels propietaris: has de respondre sol·licituds d'accés, rectificació i supressió en un mes (art. 12-22 RGPD). La morositat no és base per negar el dret d'accés.
5. Notificació de bretxes de seguretat: en 72 hores a l'AEPD si la bretxa pot suposar un risc per als drets dels propietaris (art. 33 RGPD).
6. Contractes DPA amb proveïdors: qualsevol empresa SaaS (programari de gestió, serveis al núvol) que accedeixi a les dades és un encarregat del tractament. Has de tenir un DPA (Data Processing Agreement) signat amb cadascun.

La videovigilància a les zones comunes: tres requisits específics

Les càmeres de seguretat en portals, aparcaments i zones comunes requereixen mesures específiques sota el RGPD i la LOPDGDD:

1. Cartell informatiu a la zona vigilada, visible i amb les dades del responsable del tractament.
2. Termini de conservació màxim de 30 dies (art. 22 LOPDGDD), excepte si les imatges proven una infracció o il·lícit penal.
3. Acord de junta previ per instal·lar o ampliar el sistema. No es pot instal·lar unilateralment per decisió de l'administrador.

Quins riscos concrets hi ha si no compleixo?

L'AEPD (Agència Espanyola de Protecció de Dades) és activa en la inspecció de comunitats de propietaris. Els incompliments més sancionats en el sector de finques:

• Publicació d'informació de morosos als taulells d'anuncis de la comunitat (exposició pública de dades financeres)
• Videovigilància sense cartell informatiu o amb retenció superior a 30 dies
• Cessió de dades de propietaris a tercers (proveïdors, agències de cobrament) sense DPA ni informació prèvia
• No respondre sol·licituds d'accés o supressió en el termini d'un mes

Preguntes freqüents

Puc publicar al tauler d'anuncis de la comunitat la llista de propietaris morosos?

No. L'AEPD ha sancionat reiterades vegades comunitats que publiquen llistes de morosos als espais comuns. La deute és una dada de caràcter personal de contingut econòmic. Pots incloure-la a la documentació de la junta (acta) per als propietaris assistents, però no exposar-la públicament.

La comunitat necessita un DPO (Delegat de Protecció de Dades)?

Generalment no. El RGPD obliga a nomenar DPO a organitzacions que realitzen tractaments a gran escala o de categories especials de dades. Una comunitat de propietaris estàndard no assoleix aquest llindar. No obstant, el despatx d'administració que gestiona moltes comunitats pot necessitar DPO si supera els llindars en el conjunt dels tractaments.

Quant de temps he de conservar els comptes i les actes de la comunitat?

Les actes i els comptes de la comunitat han de conservar-se mínim 5 anys per a obligacions fiscals i comptables (Llei General Tributària). El RGPD exigeix que les dades personals no es conservin més temps del necessari per a la finalitat per a la qual es van recollir. Per a la gestió comunitària, el criteri habitual és 5-10 anys.

IgeraFincas té accés a les dades bancàries dels propietaris?

No. IgeraFincas no processa ni emmagatzema IBANs ni dades bancàries. La plataforma indexa documents (estatuts, actes, reglaments) i respon consultes textuals dels propietaris. Les dades financeres es gestionen exclusivament al programari comptable del despatx (Adminplus, A3, etc.).

Com demostra IgeraFincas que compleix el RGPD?

IgeraFincas proporciona: (1) DPA (acord de tractament de dades) signat inclòs en tots els plans, (2) dades allotjades exclusivament a servidors dins de la UE, (3) aïllament multi-tenant complet (les dades de cada comunitat estan completament separades), (4) xifratge AES-256 en repòs i TLS 1.3 en trànsit, (5) el model d'IA no s'entrena amb les dades dels propietaris de cada comunitat.

Article elaborat per l'equip editorial d'Igera Solutions. Basat en el Reglament (UE) 2016/679 (RGPD) i la Llei Orgànica 3/2018 (LOPDGDD), actualitzat al juny de 2026. No constitueix assessorament jurídic.