¿Están obligadas las comunidades de propietarios a cumplir con la protección de datos?
Existen diferentes tipos de comunidades de propietarios y todas ellas están afectadas por la protección de datos, que debemos aplicar para evitar sanciones.
Las comunidades de propietarios deben cumplir con la normativa de protección de datos, tal y como recoge la Ley de Protección de Datos de 2018 para las comunidades de vecinos, ya que estas tratan datos personales de propietarios, inquilinos, copropietarios, trabajadores (cuando los tienen) e incluso de algunos de sus proveedores. Pero ¿cómo debe adaptarse a la normativa de protección de datos una comunidad de vecinos?, ¿quién es el responsable de tratamiento?, ¿y si tienen contratado un administrador de fincas?, ¿es necesario recabar el consentimiento de los propietarios e inquilinos o empleados para el tratamiento de sus datos? En los siguientes puntos daremos respuesta a estas y otras preguntas.
De acuerdo al RGPD las comunidades de propietarios están legitimadas para tratar los datos personales de propietarios, inquilinos y copropietarios con base al cumplimiento de la Ley de Propiedad Horizontal, de manera que no es necesario que presten su consentimiento previo para ello. Respecto al personal que puedan tener contratado, tampoco será necesario recabar dicho consentimiento, puesto que figurará como cláusula en el contrato de trabajo.
¿Quiénes están implicados en el tratamiento de datos personales en una comunidad de propietarios?
La LOPD en comunidades de propietarios diferencia entre dos figuras implicadas en el tratamiento de datos personales: la comunidad de vecinos y el administrador de fincas.
Comunidad de vecinos
Las comunidades de propietarios son entidades jurídicas, formadas por el conjunto de propietarios de un mismo inmueble y que funcionan bajo sus propios estatutos.
Como ya hemos dicho, tienen acceso y tratan datos personales de los propietarios, copropietarios, inquilinos y empleados de la comunidad, lo que convierte a la comunidad de vecinos según la LOPD en la responsable del tratamiento.
En ese sentido, el presidente de la comunidad podrá hacerse cargo de determinadas obligaciones en materia de protección de datos.
Administrador de fincas
En muchas ocasiones, las comunidades de propietarios contratan un servicio de administración de fincas, para que se encargue de diferentes tareas relacionadas con la administración de la comunidad.
Para poder llevar a cabo esas tareas, el administrador de fincas debe tener acceso a los datos personales de los vecinos, lo que, de acuerdo al RGPD y la LOPD para comunidades de propietarios, le convierte en el encargado de tratamiento.
Para cumplir con la normativa, entre la comunidad de propietarios y el administrador de fincas debe haberse firmado un contrato en el que debe aparecer la siguiente información:
- El encargado de tratamiento solo podrá tratar los datos de acuerdo a las instrucciones dadas por el responsable de tratamiento.
- Los datos no serán comunicados a terceros sin consulta y consentimiento del responsable
- Medidas de seguridad del encargado.
- Destino de los datos personales una vez prestado el servicio.
- Sanciones en caso de incumplir con las condiciones del contrato o ceder datos personales a terceros.
¿Qué obligaciones deben cumplir las comunidades de propietarios?
El RGPD y la LOPD establecen una serie de obligaciones para las comunidades de propietarios, que vamos a detallar a continuación:
Registro de actividades de tratamiento
Tanto el responsable de tratamiento (comunidad de vecinos) como el encargado de tratamiento (administrador de fincas), deben llevar un registro de actividades de tratamiento, que no es más que una lista detallada de los tratamientos de datos que se llevan a cabo en la comunidad, por ejemplo, datos identificativos de propietarios e inquilinos, datos de videovigilancia, datos identificativos de empleados, etc.
El registro de actividades de tratamiento es un documento interno, que recoge información relevante sobre los tratamientos de datos personales, y que, aunque no debe enviarse a la AEPD (Agencia Española de Protección de Datos), sí debe estar a disposición de la misma si esta lo requiere.
En el registro de actividades de tratamiento debe contener, al menos, la siguiente información:
- Datos identificativos del responsable de tratamiento (si existen, también del corresponsable y representante del responsable).
- Finalidad del tratamiento.
- Descripción de las categorías de interesados y de los datos personales recogidos.
- Destinatarios y categorías a los que se vayan a comunicar los datos personales, incluidos otros países o transferencias internacionales.
- Plazos previstos para la eliminación de los datos.
- Descripción de las medidas de seguridad a adoptar.
Si se ha contratado un administrador de fincas, en su registro de actividades deben figurar sus datos identificativos.
Secreto en el tratamimiento de los datos
La adaptación de las comunidades de propietarios a la LOPD y el RGPD exige un deber de secreto en el tratamiento de los datos, tanto para el responsable como para el encargado. Es decir, comunidad de vecinos y administrador de finca deben mantener la confidencialidad de los datos personales de propietarios, copropietarios, inquilinos y empleados.
Calidad de los datos
La normativa exige que solo se recaben aquellos datos que sean necesarios para el correcto funcionamiento de la comunidad de vecinos, es decir, que no se recojan datos personales que no sean pertinentes, como por ejemplo, datos relacionados con la salud de los propietarios.
Garantizar el acceso a la información
La Ley también obliga a informar a los propietarios de manera clara e inequívoca sobre:
- La existencia de los tratamientos de datos personales.
- Quién es el responsable del tratamiento.
- Dónde y cómo pueden ejercer sus derechos ARCO (acceso, rectificación, cancelación y oposición), de portabilidad y olvido.
Plazo de conservación de los datos
Como hemos visto, en el registro de actividades de tratamiento hay que establecer un plazo para la eliminación de los datos personales. Este plazo de conservación no se concreta ni el RGPD ni en la LOPD, pero debe ser el responsable de tratamiento quien lo establezca en función de la finalidad para la que se han recogido los datos y teniendo en cuenta la posible aplicación de otras leyes al respecto de la conservación de determinada documentación.
En cualquier caso, cuando la finalidad para la que se recogieron los datos personales se ha cumplido, se debe proceder a la supresión de dichos datos o, por lo menos, a su bloqueo.
Contrato con el administrador de fincas
Ya hemos visto que el administrador de fincas debe firmar un contrato de encargo de tratamiento con la comunidad de vecinos, de manera que podrá recabar datos personales de propietarios, copropietarios, inquilinos y posibles empleados con la única finalidad de asesorar y gestionar la comunidad.
El contrato que comunidad de vecinos y administrador de fincas firman, debe incluir los tratamientos de datos a realizar y la finalidad de dicho tratamiento.
¿Necesita la comunidad de propietarios un DPO?
El RGPD introdujo el Delegado de Protección de Datos (DPO) como una figura obligatoria bajo determinadas circunstancias, en el caso de las comunidades de propietarios, estas no están obligadas a contratar un DPO.
Sistemas de videovigilancia en las comunidades de propietarios
Sobre la videovigilancia de la ley nos dice que para la instalación de un sistema de este tipo es necesaria la aprobación de la Junta de Propietarios. Las cámaras solo podrán instalarse en zonas comunes de la propiedad y nunca apuntando a la vía pública, el interior de los inmuebles o terrenos colindantes.
Además, se debe avisar mediante cartelería de la presencia de las cámaras y en dicho cartel debe aparecer toda la información pertinente respecto al tratamiento de las imágenes captadas y dónde y cómo ejercer los derechos ARCO.
En cuanto al visionado de las imágenes, solo podrá verlas la persona designada por la comunidad de propietarios, sin que puedan estar a disposición de todos los vecinos.
Sanciones por incumplir la Ley de Protección de datos
Las sanciones por el incumplimiento de la normativa contempladas por la LOPD nos remiten al RGPD, sin embargo, puesto que no estamos ante una empresa, no podemos aplicar las cuantías que aquí aparecen.
Esto no quiere decir que no haya sanciones LOPD para las comunidades de propietarios, puesto que la AEPD tiene potestad para fijar las cuantías de dichas sanciones en función de la gravedad de la infracción, el número de personas afectadas o la duración en el tiempo del comportamiento ilegal.
¿Necesitas ayuda?
Escríbenos a info@legalglobal.es
Más información de nuestros servicios en materia de la Ley Orgánica de Protección de Datos y de Garantía de Derechos Digitales (LOPDGDD): https://www.legalglobal.es/proteccion-de-datos/