Respuesta corta: en el esquema habitual, la comunidad de propietarios decide para qué y cómo se tratan los datos de los vecinos (es el responsable del tratamiento) y tú los tratas por su cuenta (eres su encargado). Eso te obliga, según el artículo 28 del RGPD, a trabajar con un contrato escrito, a seguir instrucciones documentadas, a llevar tu propio registro de actividades, a ayudar a la comunidad con los derechos de los vecinos y a avisarle sin dilación indebida si hay una brecha. Pero esa etiqueta no es automática: depende de cómo trabajes y de lo que digan tus contratos.
Esta guía es práctica y está pensada para quien gestiona varias comunidades. Los preceptos que cito los he leído en el texto oficial del Reglamento (UE) 2016/679 (publicado en el BOE) y de la Ley Orgánica 3/2018; las referencias a la propiedad horizontal son de la Ley 49/1960. Si buscas una lista de comprobación punto por punto, ya la tienes en el checklist RGPD para administradores de fincas, y una visión general de riesgos en RGPD para administradores de fincas: obligaciones y riesgos.
Responsable o encargado: cómo saber en qué lado estás
El artículo 4 del RGPD define al responsable como quien «solo o junto con otros, determine los fines y medios del tratamiento», y al encargado como quien trata datos personales «por cuenta del responsable del tratamiento». Aplicado a tu trabajo, el esquema más natural es este:
| Tratamiento | Quién suele decidir fines y medios | Papel habitual del administrador |
|---|---|---|
| Datos de propietarios y ocupantes para cobrar cuotas, convocar juntas y custodiar la documentación de la comunidad | La comunidad de propietarios | Encargado del tratamiento |
| Datos de tus propios empleados, proveedores y de las personas de contacto de tus clientes | Tu despacho | Responsable del tratamiento |
| Datos que usas para tus propias finalidades (por ejemplo, promocionar otros servicios de tu despacho) | Tu despacho | Responsable, y no encargado |
Dos reglas de la Ley Orgánica 3/2018 te sirven de aviso. El artículo 33.2 dice que tiene la consideración de responsable «quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados» aunque exista un contrato con el contenido del artículo 28.3, y también quien figurando como encargado utilizase los datos para sus propias finalidades. Traducido: si escribes a los vecinos como si los datos fueran tuyos, o reutilizas el listado de una comunidad para otra cosa, te estás saliendo del papel de encargado.
Si dudas en un caso concreto, documenta el análisis y valídalo con un especialista en protección de datos.
El contrato de encargo: qué debe decir
El artículo 28.3 del RGPD exige que el tratamiento por el encargado se rija por un contrato u otro acto jurídico que vincule al encargado con el responsable, y el 28.9 añade que debe constar por escrito, también en formato electrónico. El contrato debe establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y las obligaciones y derechos del responsable. Además, debe estipular que el encargado:
- trata los datos solo siguiendo instrucciones documentadas del responsable;
- garantiza que las personas autorizadas se han comprometido a la confidencialidad o están sujetas a una obligación legal de confidencialidad;
- aplica las medidas de seguridad del artículo 32;
- respeta las condiciones para recurrir a otro encargado;
- asiste al responsable, con medidas técnicas y organizativas apropiadas, para atender las solicitudes de derechos de los interesados;
- ayuda al responsable con las obligaciones de los artículos 32 a 36 (seguridad, brechas, evaluaciones de impacto);
- a elección del responsable, suprime o devuelve los datos al terminar el servicio, y suprime las copias salvo que una norma obligue a conservarlos;
- pone a disposición del responsable la información necesaria para demostrar el cumplimiento y permite auditorías e inspecciones.
En la práctica, el lugar natural para esto es el contrato de administración o un anexo firmado con la comunidad. Quién firma en nombre de la comunidad (normalmente el presidente, que según el artículo 13.3 de la LPH ostenta su representación) y si el acuerdo de la junta es necesario o no es una cuestión de cada comunidad y de sus estatutos: compruébalo antes de firmar.
Subencargados: tu software, tu gestoría, tu nube
El artículo 28.2 prohíbe al encargado recurrir a otro encargado sin autorización previa por escrito del responsable, específica o general. Si es general, debes informar de los cambios previstos para que la comunidad pueda oponerse. Y según el 28.4, al subencargado se le imponen las mismas obligaciones que a ti; si incumple, sigues siendo plenamente responsable ante la comunidad. Esto afecta a tu programa de gestión de comunidades, al servicio de correo, al almacenamiento de documentos y a cualquier gestoría o servicio de cobros al que pases datos. Haz una lista de ellos y comprueba que la autorización está en cada contrato de encargo.
Tu registro de actividades de tratamiento
El artículo 30.2 del RGPD obliga a cada encargado a llevar un registro de las categorías de actividades de tratamiento efectuadas por cuenta de cada responsable. Debe contener: el nombre y datos de contacto del encargado y de cada responsable por cuenta del cual actúa (y, en su caso, del delegado de protección de datos); las categorías de tratamientos por cuenta de cada responsable; las transferencias a terceros países, si las hay; y, cuando sea posible, una descripción general de las medidas de seguridad. Según el apartado 3 debe constar por escrito, y el 4 te obliga a ponerlo a disposición de la autoridad de control si lo solicita.
Existe una excepción en el artículo 30.5 para organizaciones de menos de 250 personas, pero tiene condiciones: no se aplica si el tratamiento puede entrañar un riesgo para los derechos y libertades de los interesados, si no es ocasional o si incluye categorías especiales de datos. La gestión continuada de comunidades no es un tratamiento ocasional, así que no conviene apoyarte en la excepción sin analizarlo. La Ley Orgánica 3/2018 (art. 31.1) reitera que responsables y encargados deben mantener el registro salvo que sea de aplicación esa excepción.
Un formato útil para despachos: una fila por comunidad (responsable) y, dentro, las categorías de tratamiento que haces para ella (cobros, convocatorias, actas, incidencias, personal de la comunidad, videovigilancia si la hay). Si has designado un delegado de protección de datos, la Ley Orgánica (art. 31.1) te obliga a comunicarle cualquier alta, modificación o baja del registro.
Derechos de los vecinos: quién responde y en qué plazo
Los vecinos tienen los derechos de los artículos 15 a 22 del RGPD (acceso, rectificación, supresión, limitación, portabilidad, oposición, y decisiones automatizadas). Quien debe responder, según el artículo 12, es el responsable: es decir, la comunidad. Pero el artículo 12.3 de la Ley Orgánica 3/2018 permite que el encargado tramite las solicitudes por cuenta del responsable si así se establece en el contrato. Es una cláusula que conviene incluir, porque en la realidad el vecino te escribe a ti.
Los plazos están en el artículo 12.3 del RGPD: información sobre las actuaciones en el plazo de un mes desde la recepción de la solicitud, prorrogable otros dos meses en caso necesario por la complejidad y el número de solicitudes, informando al interesado de la prórroga y de los motivos dentro del primer mes. Si no se da curso, según el 12.4, hay que informar sin dilación y como máximo en un mes de las razones y de la posibilidad de reclamar ante la autoridad de control. Las actuaciones son gratuitas (12.5), salvo solicitudes manifiestamente infundadas o excesivas, y la carga de probarlo recae en el responsable. En la Ley Orgánica (art. 12.4), la prueba de haber respondido también recae sobre el responsable: guarda evidencia de cada solicitud y de cada respuesta.
Procedimiento mínimo: un canal único para recibir solicitudes, un registro con la fecha de recepción y la respuesta archivada.
Cuidado con las listas de morosos y la documentación comunitaria
La LPH impone obligaciones que conviven con el RGPD. El artículo 16.2 exige que la convocatoria de la junta contenga una relación de los propietarios que no estén al corriente en el pago de las deudas vencidas, y el artículo 20.1.e atribuye al administrador custodiar, a disposición de los titulares, la documentación de la comunidad. Qué datos incluir en esa relación y cómo facilitar documentos que contengan datos de terceros son decisiones que debes tomar con la comunidad aplicando los principios del artículo 5 del RGPD (minimización, limitación de la conservación, seguridad), y que conviene dejar por escrito en las instrucciones del responsable.
Brechas de seguridad: el reloj de 72 horas y tu parte
El artículo 4.12 del RGPD define la violación de la seguridad como toda violación que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o el acceso no autorizados a ellos. Un correo con el listado de deudores enviado al grupo equivocado, un portátil robado con las bases de datos o un acceso indebido a tu software son ejemplos de manual.
- Tú, como encargado: según el artículo 33.2, debes notificar al responsable sin dilación indebida las violaciones de las que tengas conocimiento. El reglamento no te fija un número de horas: fíjalo tú en el contrato, con un plazo interno corto, porque el reloj del responsable corre mientras tú dudas.
- La comunidad, como responsable: según el artículo 33.1, notifica a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia, salvo que sea improbable que suponga un riesgo para las personas. Si se tarda más, hay que explicar el motivo.
- Contenido de la notificación (33.3): naturaleza de la violación, categorías y número aproximado de afectados y de registros, datos de contacto para más información, posibles consecuencias y medidas adoptadas o propuestas.
- Aviso a los afectados (34.1): cuando sea probable un alto riesgo para sus derechos y libertades, el responsable debe comunicárselo sin dilación indebida, en lenguaje claro y sencillo.
- Documentarlo siempre (33.5): el responsable debe documentar cualquier violación, aunque no la notifique, con los hechos, sus efectos y las medidas correctivas.
Prepara un protocolo de una página: quién lo detecta, a quién se avisa, plantilla de aviso a cada comunidad y registro de incidentes.
Cuando termina el encargo o cambias de administrador
El contrato debe prever qué pasa con los datos al terminar. Según el artículo 28.3.g del RGPD, el encargado suprime o devuelve los datos a elección del responsable y borra las copias salvo que una norma exija conservarlos. La Ley Orgánica (art. 33.3) precisa que el responsable determina si deben destruirse, devolverse o entregarse a un nuevo encargado, y el 33.4 permite al encargado conservarlos debidamente bloqueados mientras puedan derivarse responsabilidades de la relación. Para el traspaso práctico de documentación entre administradores, consulta cómo cambiar el administrador de fincas.
Errores comunes
- Trabajar sin contrato de encargo firmado con cada comunidad y suponer que el contrato de administración ya lo cubre sin comprobar su contenido.
- No tener registro de actividades propio, o tenerlo sin las categorías de tratamiento por cuenta de cada comunidad.
Preguntas frecuentes sobre RGPD para administradores de fincas
¿Soy responsable o encargado del tratamiento?
Depende del tratamiento. Para los datos de los vecinos que gestionas por encargo de la comunidad, lo habitual es que seas encargado. Para los datos de tu despacho (personal, proveedores, contactos comerciales) eres responsable. Si usas datos de las comunidades para tus propios fines, el artículo 33.2 de la Ley Orgánica 3/2018 te considera responsable de ese uso.
Tengo menos de 250 empleados: ¿me libro del registro de actividades?
No automáticamente. El artículo 30.5 del RGPD excluye a las organizaciones de menos de 250 personas salvo que el tratamiento pueda entrañar riesgo, no sea ocasional o incluya categorías especiales de datos. Para un tratamiento continuado como la administración de comunidades, lo prudente es llevar el registro.
¿Cuánto tiempo tengo para responder a un vecino que ejerce un derecho?
El responsable debe informar de sus actuaciones en el plazo de un mes desde la recepción de la solicitud, ampliable en dos meses más si es necesario y avisando de la prórroga dentro del primer mes (art. 12.3 RGPD). Si el contrato lo prevé, puedes tramitarlo tú por cuenta de la comunidad (art. 12.3 de la Ley Orgánica 3/2018).
He enviado por error un listado de deudores a un vecino que no debía recibirlo: ¿es una brecha?
Encaja en la definición del artículo 4.12 (comunicación no autorizada de datos). Debes avisar sin dilación indebida a la comunidad, que es quien valora si notifica a la autoridad de control en 72 horas o si el riesgo es improbable, y que debe documentarlo en cualquier caso (art. 33.5). Anota los hechos desde el primer momento.
Si quieres tener a mano los estatutos de cada comunidad para responder a consultas de propietarios, echa un vistazo a IgeraFincas, el producto de Igera para administradores de fincas.