RGPD para Administradores de Fincas: Obligaciones y Riesgos 2026

El administrador de fincas trata datos personales cada día: nombre y DNI de los propietarios, IBANs para la domiciliación de cuotas, datos de deuda y morosidad, imágenes de cámaras de seguridad. Toda esta información cae bajo el RGPD (Reglamento (UE) 2016/679) y la LOPDGDD (Ley Orgánica 3/2018). Si no cumples las obligaciones, la AEPD puede multar hasta €20M o el 4% de la facturación global — y lo hace: el sector de administración de fincas ha recibido sanciones recurrentes en los últimos años.

¿Qué datos personales trata el administrador de fincas?

El volumen y variedad de datos personales que maneja un despacho de administración de fincas es mayor de lo que parece:

• Datos identificativos de propietarios: nombre, apellidos, DNI/NIF, dirección, teléfono, email
• Datos bancarios para domiciliación de cuotas: IBAN (dato sensible con riesgo de fraude)
• Datos de deuda y morosidad: importes adeudados, historial de reclamaciones (datos económicos sensibles)
• Imágenes de cámaras de seguridad de zonas comunes: portal, garaje, piscina
• Datos de inquilinos en comunidades que los registran formalmente
• Datos de empleados de la comunidad: porteros, conserjes (relación laboral completa)
• Datos de salud en casos especiales: vecinos con discapacidad o necesidades de accesibilidad

¿Cuáles son las obligaciones concretas del administrador bajo el RGPD?

1. Contrato de encargo del tratamiento (DPA): debe existir un contrato firmado entre el administrador y cada comunidad que gestiona. Este contrato define qué datos se tratan, con qué finalidad, durante cuánto tiempo y con qué medidas de seguridad.
2. Registro de Actividades de Tratamiento (RoPA): documentar todos los tratamientos de datos con finalidad, base legal, destinatarios y plazos de conservación (art. 30 RGPD).
3. Cláusula informativa a los propietarios: en el momento de recoger los datos (contrato de gestión, formularios) hay que informar de quién trata los datos, para qué finalidad y durante cuánto tiempo (art. 13-14 RGPD).
4. Base legal para cada tratamiento: las cuotas se amparan en la ejecución del contrato (art. 6.1.b); la videovigilancia en el interés legítimo (art. 6.1.f) más cartel obligatorio.
5. Derechos de los propietarios: hay que responder solicitudes de acceso, rectificación y supresión en un mes (art. 12-22 RGPD). La morosidad no es base para negar el derecho de acceso.
6. Notificación de brechas de seguridad: en 72 horas a la AEPD si la brecha puede suponer un riesgo para los derechos de los propietarios (art. 33 RGPD).
7. Contratos DPA con proveedores: cualquier empresa SaaS (software de gestión, servicios cloud) que acceda a los datos es un encargado del tratamiento. Necesitas un DPA firmado con cada uno.

¿Qué reglas específicas aplican a la videovigilancia en zonas comunes?

Las cámaras de seguridad en portales, garajes y zonas comunes requieren medidas específicas bajo el RGPD y la LOPDGDD:

1. Cartel informativo en la zona vigilada, visible y con los datos del responsable del tratamiento (la comunidad).
2. Plazo de conservación máximo de 30 días (art. 22 LOPDGDD), salvo que las imágenes prueben una infracción o ilícito penal.
3. Acuerdo de junta previo para instalar o ampliar el sistema. No se puede instalar unilateralmente por decisión del administrador.
4. Acceso restringido: solo el administrador autorizado y el presidente de la comunidad pueden acceder a las grabaciones.

¿Qué riesgos concretos existen si no cumples el RGPD?

La AEPD es activa en la inspección de comunidades de propietarios. Los incumplimientos más sancionados en el sector:

• Publicación de datos de morosos en los tablones de anuncios de la comunidad (exposición pública de datos financieros): sanciones habituales de €3.000-€15.000
• Videovigilancia sin cartel informativo o con retención superior a 30 días: sanciones de €5.000-€20.000
• Cesión de datos de propietarios a terceros (agencias de cobro, proveedores) sin DPA ni información previa: sanciones de €10.000-€50.000
• No responder solicitudes de acceso o supresión en el plazo de un mes: advertencia o sanción según reincidencia
• Brecha de seguridad no notificada a la AEPD en 72 horas: agravante que puede duplicar la sanción base

¿Cómo cumple IgeraFincas el RGPD por diseño?

IgeraFincas actúa como encargado del tratamiento del administrador y ha sido diseñado con privacidad por defecto:

• DPA incluido en todos los planes sin coste adicional
• Datos en servidores UE exclusivamente, sin transferencias a terceros países
• Aislamiento multi-tenant completo: los datos de cada comunidad están totalmente separados entre sí
• Cifrado AES-256 en reposo y TLS 1.3 en tránsito
• El modelo de IA no se entrena con los datos de los propietarios de la comunidad
• Retención limitada: las conversaciones de propietarios no se conservan más de 30 días

Preguntas frecuentes

¿Puedo publicar en el tablón de anuncios de la comunidad la lista de morosos?

No. La AEPD ha sancionado reiteradamente a comunidades que publican listas de morosos en espacios comunes. La deuda es un dato de carácter personal de contenido económico. Puedes incluirla en la documentación de la junta (acta) para los propietarios asistentes, pero no exponerla públicamente.

¿La comunidad necesita un DPO (Delegado de Protección de Datos)?

Generalmente no. El RGPD obliga a nombrar DPO a organizaciones que realizan tratamientos a gran escala o de categorías especiales de datos. Una comunidad de propietarios estándar no alcanza ese umbral. Sin embargo, el despacho de administración que gestiona muchas comunidades puede necesitar DPO si supera los umbrales en el conjunto de los tratamientos.

¿Cuánto tiempo debo conservar las actas y las cuentas de la comunidad?

Las actas y cuentas de la comunidad deben conservarse mínimo 5 años por obligaciones fiscales y contables (Ley General Tributaria). El RGPD exige que los datos personales no se conserven más tiempo del necesario para la finalidad para la que se recogieron. Para la gestión comunitaria, el criterio habitual es 5-10 años.

¿IgeraFincas tiene acceso a los datos bancarios de los propietarios?

No. IgeraFincas no procesa ni almacena IBANs ni datos bancarios. La plataforma indexa documentos (estatutos, actas, reglamentos) y responde consultas textuales de los propietarios. Los datos financieros se gestionan exclusivamente en el software contable del despacho (Adminplus, A3, etc.).

¿Cómo demuestra IgeraFincas que cumple el RGPD?

IgeraFincas proporciona: (1) DPA firmado incluido en todos los planes, (2) datos alojados exclusivamente en servidores dentro de la UE, (3) aislamiento multi-tenant completo, (4) cifrado AES-256 en reposo y TLS 1.3 en tránsito, (5) el modelo de IA no se entrena con los datos de los propietarios de cada comunidad.

¿Qué pasa si sufro una brecha de seguridad con datos de propietarios?

Debes notificar a la AEPD en un máximo de 72 horas desde que tengas conocimiento de la brecha si existe riesgo para los propietarios (art. 33 RGPD). Si el riesgo es alto, también debes notificar a los propietarios afectados directamente (art. 34 RGPD). Documenta el incidente en el registro de brechas aunque no suponga riesgo notificable.

Artículo elaborado por el equipo editorial de Igera Solutions. Basado en el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), actualizado a junio de 2026. No constituye asesoramiento jurídico.