Protección de datos en Comunidades de Vecinos: preguntas y respuestas
La normativa de protección de datos es una cuestión que, frecuentemente, genera dudas entre los Administradores de Fincas. Este tipo de perfiles que se encargan de gestionar propiedades, deben contar con conocimientos en asuntos financieros, legales y técnicos; lo cual puede suponer una cantidad de conocimientos de distinto tipo realmente abrumadora.
El Reglamento General de Protección de Datos, además, es un reglamento europeo que suscita interés y confusión a partes iguales. No sólo en Comunidades de Propietarios, sino también en empresas de distinto tamaño. Por ello, vamos a centrarnos en lo que implica el RGPD para que cualquier Administrador de Fincas pueda aclarar sus dudas en este artículo, a modo de cheat sheet.
Antes de nada, una aclaración imprescindible: las Comunidades de Propietarios deben cumplir con la normativa de protección de datos; y así lo recoge la Ley de Protección de Datos de 2018 para Comunidades de Vecinos. Esto es así porque en una comunidad se tratan todo tipo de datos, algunos de carácter personal, de propietarios, inquilinos, empleados o incluso empleados de proveedores.
La normativa de protección de datos que afecta a las Comunidades de Propietarios
Hay dos normas que afectan a las Comunidades de Propietarios a la hora de garantizar la protección de datos de carácter personal. Una es la RGPD (normativa europea) y otra es la LOPD (una adaptación de la normativa europea al ordenamiento jurídico estatal). Ambas están estrechamente ligadas, por lo que si se cumple con una, se asegura el cumplimiento de la otra.
En virtud de estas normas, las Comunidades de Vecinos pueden tratar datos personales cumpliendo con la Ley de Propiedad Horizontal, de modo que no se necesita un consentimiento previo para los datos de propietarios, inquilinos y copropietarios. En el caso del personal contratado tampoco es necesario ese consentimiento, pero deberá figurar como cláusula en el contrato de trabajo. Cuando es el Administrador de Fincas quien recaba y trata los datos de carácter personal, sí necesita de un consentimiento expreso.
Para el tratamiento de los datos, la LOPD (oficialmente: Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales) distingue a dos figuras en el inmueble.
Comunidad de Vecinos
Tiene acceso y realizan tratamiento de datos personas, siendo responsable de dicho tratamiento. Así, según la LOPD, el presidente de la comunidad debe hacerse cargo de ciertas obligaciones sobre protección de datos.
Administrador de Fincas
Es el profesional contratado por la Comunidad de Propietarios para administrar la misma. Así, habitualmente tiene acceso a datos de carácter personal, por lo que es el encargado de su tratamiento en cumplimiento tanto de la RGPD como de la LOPD.
Implicación del Administrador de Fincas en relación a la protección de datos
La Comunidad y el Administrador de Fincas deben firmar un contrato para cumplir la normativa de protección de datos, en el que debe aparecer lo siguiente:
- El encargado (el administrador) solo puede tratar los datos según las instrucciones del responsable (la Comunidad de Vecinos).
- Los datos de carácter personal no se pueden comunicar a terceros sin consulta ni consentimiento del responsable de tratamiento (la Comunidad).
- Las medidas de seguridad para evitar comprometer los datos objeto de protección.
- El destino de los datos personales una vez se ha prestado el servicio.
- Las sanciones que pueden darse si se incumplen las condiciones del contrato.
A partir de ahí, las obligaciones del Administración de Fincas vienen marcadas por la normativa de protección de datos y la Ley de Propiedad Horizontal, de donde emanan las obligaciones que debe hacer cumplir a la Comunidad de Propietarios.
Cómo debe cumplir un Administrador de Fincas con la protección de datos
Siempre que una Comunidad contrata a un Administrador, este maneja datos de carácter personal. Por tanto, está obligado a cumplir con su protección:
- Registro de actividades relacionadas con datos de carácter personal.
- Análisis de riesgos para la Comunidad de Vecinos.
- Tipo de tratamiento de los datos y su naturaleza.
- Consentimiento explícito de los propietarios para poder tratar sus datos.
- Garantía de los derechos de los usuarios.
- Acuerdo de confidencialidad.
- Notificación de las brechas de seguridad a la AEPD y a los interesados (en el plazo de 72 horas).
Qué obligaciones se deben cumplir para la protección de datos en Comunidades de Vecinos
Tanto la RGPD como la LOPD recogen una serie de obligaciones para que las Comunidades de Vecinos protejan los datos personales, que vemos a continuación.
Registro de actividades de tratamiento de datos
Tanto la Comunidad de Vecinos como el Administrador de Fincas deben llevar un documento interno con una lista en detalle de los datos que se tratan. En caso de ser requerido por la Agencia Española de Protección de Datos, este documento debe ponerse a su disposición, debiendo contener, al menos:
- Los datos de identificación del responsable, corresponsable, representante y encargado del tratamiento.
- La finalidad de la recogida y tratamiento de los datos.
- La descripción de categorías de interesados y los datos personales recogidos.
- Los destinatarios y categorías de los que se comunicarán los datos.
- Los plazos previstos para la eliminación de datos.
- Las medidas de seguridad que se adoptan para proteger los datos.
Secreto en el tratamiento de los datos de carácter personal
La normativa exige el deber de secreto en el tratamiento de los datos, para todas aquellas personas que tienen acceso (responsables y encargados). Los datos de carácter personal deben ser, por tanto, tratados como confidenciales.
Calidad de los datos
Es obligatorio que solo se recojan los datos que son necesarios para el correcto funcionamiento de la Comunidad de Vecinos. Así, está prohibido recoger datos personas que no sean pertinentes, como pueden ser los que están relacionados con la salud.
Garantía de acceso a la información
Las personas interesadas, deben ser informadas de forma conveniente, clara e inequívoca de que existe tratamiento de sus datos personales, quién es el responsable del tratamiento y de qué manera se pueden ejercer sus derechos (acceso, rectificación, cancelación, oposición, portabilidad y olvido).
Plazo de conservación de los datos personales
Es necesario tener un plazo para que los datos personales sean eliminados. Aunque no está concretado en la legislación, el responsable de tratamiento debe establecerlo, teniendo en cuenta la finalidad de su recogida.
Puede suceder que otras normativas afecten a la conservación de determinada documentación; pero en todo caso, cuando la finalidad para la que se recogieron los datos personales se haya cumplido, se debe suprimir esos datos.
Contrato con el Administrador de Fincas
La recogida de datos personales por parte del Administrador de Fincas debe venir precedida por el contrato de encargo de tratamiento con la Comunidad de Vecinos; y su única finalidad debe ser la de asesorar y gestionar la comunidad convenientemente. Para que no exista ninguna duda, en el contrato ha de especificarse qué datos se van a recoger y con qué finalidad.
Delegado de Protección de Datos
Aunque la RGPD establece la figura del Delegado de Protección de Datos, las Comunidades de Propietarios no están obligadas a tenerla al no cumplir las circunstancias para su obligatoriedad.
La incorporación de esta persona, responsable de supervisar y monitorizar que se cumple la normativa de protección de datos personales de forma independiente y confidencial, puede ser considerada en la Comunidad de Propietarios igualmente.
Sistemas de videovigilancia
La ley obliga a contar con la aprobación de la Junta de Propietarios para la instalación de un sistema de videovigilancia en zonas comunes; pero en ningún caso pueden apuntar a la vía pública, al interior de los inmuebles o a terrenos colindantes. Además, las imágenes captadas solo pueden ser visionadas por la persona designada por la Comunidad de Propietarios; en ningún caso pueden estar a disposición de todos los vecinos.
Por otro lado, se debe avisar de la presencia de cámaras mediante carteles que indiquen toda la información relativa al tratamiento de las imágenes; así como la forma de ejercer los derechos de acceso, rectificación, cancelación, oposición, portabilidad y olvido.
Cuánto cuesta la protección de datos en una Comunidad de Vecinos
El cumplimiento de la normativa es obligatorio, y si no se tienen unos mínimos conocimientos en protección de datos (así como tiempo para dedicar), la mejor opción es buscar una empresa que pueda ofrecer esos servicios.
Hablar de precios es muy complejo, porque como sucede con cualquier otro servicio, para asegurar una comparativa veraz, es importante consultar importes pero, sobre todo, acciones previstas en cada presupuesto. Dado que se encuentran casos de todo tipo, la mejor opción es buscar un proveedor que pueda demostrar cierto conocimiento en la materia adaptada al caso de las Comunidades de Propietarios, así como posibles referencias.
Qué deben incluir los servicios para cumplir la normativa
En primer lugar, y en la medida de lo posible, se deben evitar precios comparativamente bajos (inferiores a 150 €) ya que es habitual que se usen plantillas o modelos genéricos que, si no están adaptados al caso particular, pueden tener consecuencias negativas. Del mismo modo, en el caso de una Comunidad de Vecinos, cuya actividad tiene menos implicaciones que la de una empresa, no es necesario apuntar a las opciones más costosas (por encima de 500 €).
En segundo lugar, es recomendable que se incluya un servicio de asesoramiento, así como una revisión continua. La normativa está en constante evolución y el hecho de cumplimentar un documento y enviarlo no implica que se cumpla la legislación vigente. Además, es posible que sea necesario hacer auditorías, adaptarse a modificaciones o revisar documentos ya validados.
En tercer lugar, al menos, hay que incluir los siguientes requisitos en la propuesta que se nos haga:
- Análisis re riesgos previo y evaluación de impacto.
- Registro de actividades de tratamiento.
- Obligaciones de plataformas en la nube.
- Redacción de cláusulas para contratos y otros documentos.
- Documentos para ejercer los derechos de los usuarios.
- Cumplimiento de obligaciones.
- Redacción de textos legales en caso necesario.
Sanciones por incumplimiento de la protección de datos
Por otro lado, las sanciones previstas en la normativa están destinadas a empresas, por lo que no aplican a las Comunidades de Vecinos. Es la AEPD quien tiene potestad para fijar las sanciones y su cuantía en función de la gravedad, las personas afectadas o la duración de la ilegalidad.
