Guía RGPD para comunidades de propietarios

Una lista de morosos enviada por un grupo de WhatsApp, una cámara enfocando la vía pública o un acta de junta repartida sin control pueden convertir una gestión cotidiana en un problema de protección de datos. Esta guía RGPD para comunidades de propietarios aclara qué debe hacer la comunidad, qué prácticas debe corregir y dónde están los riesgos que pueden derivar en reclamaciones y sanciones.

La comunidad de propietarios trata datos personales de forma habitual: nombres, viviendas, cuotas, deudas, teléfonos, correos electrónicos, imágenes de videovigilancia y, en ocasiones, información especialmente delicada. Cumplir el Reglamento General de Protección de Datos, la LOPDGDD y la normativa de propiedad horizontal no consiste en colocar un cartel o firmar un documento genérico. Exige ordenar los tratamientos reales que se producen en la finca y aplicar medidas proporcionadas.

Qué datos trata una comunidad y quién responde

La comunidad de propietarios es, por regla general, la responsable del tratamiento. Es decir, decide para qué se utilizan los datos de propietarios, inquilinos, empleados o visitantes y debe garantizar que el uso sea lícito, limitado y seguro. La presidencia representa a la comunidad, pero la responsabilidad no desaparece por delegar la gestión en un administrador de fincas.

El administrador puede actuar como encargado del tratamiento cuando gestiona datos siguiendo instrucciones de la comunidad. Esta relación debe quedar regulada por contrato, con las obligaciones exigidas por el RGPD: confidencialidad, medidas de seguridad, asistencia en el ejercicio de derechos, tratamiento al finalizar el servicio y control de los posibles subencargados.

No todos los datos tienen el mismo nivel de riesgo. Una relación de propietarios con sus cuotas es necesaria para administrar la comunidad. Sin embargo, recoger copias de documentos de identidad sin motivo, conservar teléfonos antiguos durante años o publicar información económica en zonas accesibles a terceros son prácticas difíciles de justificar.

La base legal no suele ser el consentimiento

Un error frecuente es pedir consentimiento para todo. En una comunidad, gran parte de los tratamientos se apoya en el cumplimiento de obligaciones legales y en la gestión de la relación de propiedad, no en una autorización voluntaria. Por ejemplo, convocar una junta, emitir recibos, reclamar impagos o comunicar información necesaria para la administración ordinaria tiene una base jurídica distinta al consentimiento.

Esto no permite usar los datos para cualquier finalidad. Si se quiere crear un directorio de teléfonos, enviar comunicaciones comerciales ajenas a la gestión comunitaria o publicar fotografías en una web, habrá que valorar una base legitimadora adecuada y, en muchos casos, recabar un consentimiento específico.

Obligaciones RGPD para comunidades de propietarios

La adaptación debe reflejar cómo funciona realmente cada comunidad. Copiar una política de privacidad de internet no resuelve el uso de cámaras, las comunicaciones del administrador o la custodia de actas. Una documentación correcta debe ir acompañada de procedimientos sencillos que presidente, administrador y proveedores puedan aplicar.

Entre las obligaciones esenciales se encuentran las siguientes:

• Informar a los interesados sobre quién trata sus datos, con qué finalidad, durante cuánto tiempo, cuáles son sus derechos y cómo pueden ejercitarlos.
• Mantener un registro de actividades de tratamiento cuando proceda y documentar los tratamientos relevantes, como gestión económica, proveedores, personal, videovigilancia y control de accesos.
• Firmar contratos de encargo de tratamiento con los proveedores que acceden a datos por cuenta de la comunidad.
• Aplicar medidas de seguridad técnicas y organizativas acordes al riesgo: contraseñas individuales, control de accesos, copias de seguridad, custodia de documentación y destrucción segura.
• Establecer un protocolo para atender solicitudes de acceso, rectificación, supresión, oposición o limitación del tratamiento.

La obligación de designar un delegado de protección de datos no afecta automáticamente a todas las comunidades. Depende de la naturaleza y alcance de los tratamientos. Una comunidad pequeña, sin sistemas complejos, no suele requerirlo por defecto. Pero la inexistencia de delegado no elimina el deber de cumplir el RGPD ni la conveniencia de contar con asesoramiento especializado cuando se implantan cámaras, controles de acceso o tratamientos que pueden afectar a un número relevante de personas.

Datos de morosos: información sí, exposición no

La Ley de Propiedad Horizontal permite informar a los propietarios sobre deudas comunitarias cuando sea necesario para la convocatoria y celebración de la junta. Esto no autoriza a difundir esa información sin límites.

La relación de deudores debe remitirse o ponerse a disposición de quienes tengan derecho a conocerla, utilizando canales controlados. No debe dejarse expuesta en el portal, enviarse a direcciones de correo visibles para todos ni compartirse en grupos de mensajería donde participen inquilinos, familiares o terceros. La transparencia interna debe convivir con el principio de minimización: comunicar lo imprescindible, a las personas legitimadas y durante el tiempo necesario.

Videovigilancia: el punto con más errores

Las cámaras son una medida útil frente a robos, vandalismo o accesos no autorizados, pero no pueden instalarse como una solución sin reglas. La comunidad debe aprobar la instalación conforme a la normativa aplicable, justificar su finalidad de seguridad y colocar carteles informativos visibles antes de acceder a la zona vigilada.

Las cámaras deben captar únicamente los espacios necesarios. En general, no pueden enfocar la vía pública, viviendas ajenas, terrazas privadas ni zonas que excedan el objetivo de vigilancia. Tampoco es habitual que puedan utilizarse para vigilar de forma permanente el trabajo de conserjes, empleados de limpieza o personal de mantenimiento.

Las imágenes se conservan, con carácter general, un máximo de un mes. Solo cabe mantenerlas más tiempo si permiten acreditar un hecho que deba ponerse a disposición de las autoridades. El acceso debe estar restringido a personas autorizadas, registrado y protegido con credenciales individuales. Compartir una grabación en un chat vecinal para identificar a alguien es una mala práctica que puede generar una reclamación.

Si el sistema incorpora reconocimiento facial, audio, analítica avanzada o controles biométricos, el nivel de exigencia aumenta de forma considerable. En estos casos no basta con una adaptación básica: hay que analizar de forma específica la necesidad, proporcionalidad y riesgos del tratamiento antes de ponerlo en marcha.

WhatsApp, correo electrónico y tablones: comodidad con límites

Los grupos de WhatsApp se han normalizado en muchas fincas, pero no deberían sustituir los canales formales de la comunidad. Incluir a propietarios en un grupo revela su número de teléfono al resto de participantes. Además, es difícil controlar quién permanece en el grupo, qué mensajes se reenvían y cuánto tiempo se conserva la información.

Para avisos generales, puede ser preferible utilizar listas de difusión con autorización previa, un área privada o comunicaciones individualizadas. Si se envían correos a varios destinatarios, las direcciones deben incluirse en copia oculta, salvo que exista una razón clara para que sean visibles entre sí. Las convocatorias y actas requieren especial cuidado porque pueden contener datos económicos, acuerdos sensibles o referencias a conflictos internos.

Los tablones del portal también exigen prudencia. Un aviso de corte de agua o de obras no plantea el mismo problema que exponer recibos impagados, teléfonos personales o documentos completos. La regla práctica es sencilla: si un tercero ajeno a la comunidad puede leerlo, el contenido debe limitarse al mínimo imprescindible.

Proveedores y personal: la parte que suele olvidarse

Empresas de limpieza, mantenimiento de ascensores, seguridad, gestorías, plataformas de gestión y administradores pueden acceder a datos de la comunidad. Antes de facilitarles información, hay que comprobar qué necesitan realmente y formalizar las condiciones de acceso cuando actúen por cuenta de la comunidad.

No es suficiente con confiar en que un proveedor «cumple el RGPD». La comunidad debe poder acreditar que ha regulado la relación y que conoce dónde se alojan los datos, quién accede a ellos y qué ocurre cuando termina el servicio. Si hay trabajadores contratados directamente, también será necesario gestionar sus datos laborales con información adecuada, controles de acceso proporcionados y medidas de confidencialidad.

Cómo actuar ante una brecha de seguridad

Perder un móvil con datos de propietarios, enviar un acta al destinatario equivocado o sufrir un acceso no autorizado al correo puede constituir una brecha de seguridad. El primer paso no es ocultarlo, sino contener el incidente: cambiar contraseñas, revocar accesos, recuperar documentación y dejar constancia de lo ocurrido.

Después hay que analizar qué datos se han visto afectados, cuántas personas pueden estar implicadas y qué consecuencias puede tener el incidente. Algunas brechas deben notificarse a la autoridad de control en un plazo máximo de 72 horas desde que se tiene conocimiento de ellas. Cuando exista un alto riesgo para las personas afectadas, también puede ser necesario informarles directamente.

Tener un protocolo preparado evita decisiones improvisadas. La rapidez importa, pero también la documentación: una comunidad debe poder demostrar que detectó, evaluó y gestionó el incidente de forma diligente.

Una adaptación útil evita problemas antes de que aparezcan

La protección de datos de una comunidad no se resuelve con una carpeta que nadie consulta. Debe traducirse en contratos revisados, carteles correctos, instrucciones claras para el administrador y la presidencia, control de los accesos y una respuesta ordenada ante incidencias.

Revisar ahora cómo se usan los datos en la finca cuesta mucho menos que responder a una reclamación, retirar una instalación de videovigilancia defectuosa o afrontar una sanción. Una adaptación RGPD bien planteada permite gestionar la comunidad con más orden, menos exposición y la tranquilidad de saber que cada comunicación tiene un respaldo legal.