Protección de datos en comunidades de propietarios: guía completa del RGPD y la LOPDGDD

Las comunidades de vecinos manejan más datos personales de lo que parece: nombres y cuentas de los propietarios, recibos, actas, nóminas de empleados, imágenes de las cámaras… Por eso el RGPD y la LOPDGDD les son plenamente aplicables. En esta guía, elaborada a partir de los criterios oficiales de la Agencia Española de Protección de Datos (AEPD), respondemos a las dudas más habituales: videovigilancia, lista de morosos, papel del administrador de fincas y obligaciones concretas de la comunidad.

¿Está obligada una comunidad de propietarios a cumplir el RGPD?

Sí, siempre que trate datos de personas físicas, y toda comunidad lo hace: gestiona la información de sus propietarios para administrar la finca, y muchas además graban imágenes con cámaras de seguridad. Según el criterio de la AEPD, la comunidad es la responsable del tratamiento de esos datos. Y si tiene contratado un administrador de fincas, éste actúa como encargado del tratamiento por cuenta de la comunidad.

Normativa aplicable

• RGPD (Reglamento UE 2016/679), aplicable desde el 25 de mayo de 2018.
• LOPDGDD (Ley Orgánica 3/2018), que adapta y complementa el RGPD en España.
• Ley de Propiedad Horizontal, que regula cuestiones concretas como el tratamiento de los morosos en las convocatorias de junta.

Obligaciones principales de la comunidad

• Registro de actividades de tratamiento: ya no hay que inscribir ficheros en la AEPD (esa obligación desapareció con el RGPD), pero sí documentar internamente qué tratamientos se realizan — típicamente "gestión de la comunidad/propietarios" y "videovigilancia" — tanto por la comunidad como por su administrador.
• Contrato de encargo con el administrador de fincas (artículo 28 del RGPD), que fije qué datos maneja y con qué instrucciones.
• Deber de información a propietarios y empleados sobre el uso de sus datos, y una base jurídica válida para cada tratamiento.
• Medidas de seguridad proporcionadas. La AEPD admite que, por el escaso riesgo de los tratamientos habituales de una comunidad, el análisis de riesgos puede ser muy sencillo, pero las medidas de protección siguen siendo exigibles.
• Atención de los derechos de acceso, rectificación, supresión, oposición y limitación cuando un vecino los ejerza.
• Delegado de Protección de Datos: no es obligatorio para las comunidades (no figuran entre los supuestos del artículo 37 del RGPD), aunque puede nombrarse voluntariamente.

Casos prácticos: los criterios de la AEPD

Cámaras de videovigilancia en la comunidad

Son legales si se cumplen ciertos requisitos: acuerdo previo de la Junta de Propietarios, instalación únicamente en zonas comunes (sin captar la vía pública más allá de lo estrictamente imprescindible, ni portales o jardines ajenos), cartel informativo visible y conservación de las imágenes durante un máximo de un mes, salvo que deban aportarse a una investigación. El acceso a las grabaciones debe estar restringido.

La lista de morosos en el tablón de anuncios

La Ley de Propiedad Horizontal permite que la convocatoria de la junta incluya la relación de propietarios morosos privados de voto. La forma correcta de comunicarla es la notificación individual (correo, buzón o intranet con clave); la exposición en el tablón de anuncios solo procede como último recurso, en los términos que marca la propia ley. Publicar deudas fuera de esos cauces puede ser sancionable.

¿Puede un vecino ver las cuentas y facturas de la comunidad?

Sí. La AEPD reconoce que los copropietarios pueden acceder a la documentación económica (facturas, honorarios, contratos) para comprobar la correcta gestión de las cuentas comunes, del mismo modo que pueden conocer el nombre del resto de propietarios cuando existe un interés legítimo, por ejemplo para impugnar acuerdos o reclamar.

¿Y las nóminas de los empleados?

Aquí el acceso es más limitado: las nóminas contienen datos que van más allá de la retribución (domicilio, cuenta bancaria e incluso datos especialmente protegidos, como una cuota sindical). El control económico puede satisfacerse normalmente con la información contable agregada, sin necesidad de acceder a la nómina completa.

El administrador de fincas y sus obligaciones

Como encargado del tratamiento, el administrador debe firmar el contrato de encargo, tratar los datos solo según las instrucciones de la comunidad, aplicar medidas de seguridad y ayudar a la comunidad a atender los derechos de los vecinos. Un administrador con las comunidades adaptadas al RGPD reduce su propio riesgo profesional.

¿Qué sanciones hay?

El RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación para los casos más graves. En la práctica, la AEPD ha sancionado a comunidades de propietarios y administradores por cámaras mal instaladas, publicación indebida de datos de vecinos o falta de diligencia en el tratamiento. Además del coste económico, estos expedientes generan conflictos vecinales y dañan la confianza en el administrador.

Cómo adaptamos su comunidad, paso a paso

• 1. Diagnóstico: qué datos trata la comunidad y con qué finalidades (gestión, videovigilancia, empleados…).
• 2. Documentación: registro de actividades de tratamiento, cláusulas informativas y contrato de encargo con el administrador.
• 3. Videovigilancia: revisión de cámaras, carteles y plazos de conservación.
• 4. Procedimientos: pautas para juntas, morosos, actas y atención de derechos de los vecinos.
• 5. Soporte continuo: acompañamiento ante dudas, cambios normativos o requerimientos de la AEPD.

Preguntas frecuentes sobre protección de datos en comunidades

¿Tiene que cumplir el RGPD una comunidad sin empleados ni cámaras?

Sí. La simple gestión de la comunidad (nombres, direcciones, cuentas y recibos de los propietarios) ya es un tratamiento de datos personales del que la comunidad es responsable, con sus deberes de información, seguridad y atención de derechos.

¿Hay que registrar los ficheros de la comunidad en la AEPD?

No. Esa inscripción desapareció con el RGPD. Lo que corresponde ahora es mantener un registro interno de actividades de tratamiento, tanto de la comunidad como de su administrador de fincas.

¿Es obligatorio nombrar un delegado de protección de datos (DPD)?

No. Las comunidades de propietarios no están entre los supuestos del artículo 37 del RGPD que obligan a designar DPD. Puede nombrarse de forma voluntaria si se desea un nivel extra de garantía.

¿Son legales las cámaras de videovigilancia en mi comunidad de vecinos?

Sí, con acuerdo previo de la Junta de Propietarios, cámaras limitadas a las zonas comunes (sin captar vía pública más allá de lo imprescindible), cartel informativo y borrado de las imágenes en el plazo máximo de un mes salvo investigación en curso.

¿Se puede poner la lista de morosos en el tablón de la comunidad?

Solo en los términos de la Ley de Propiedad Horizontal: la relación de morosos privados de voto va en la convocatoria de la junta, que debe notificarse individualmente; el tablón queda como último recurso cuando la notificación individual no ha sido posible.

¿Qué papel tiene el administrador de fincas en la protección de datos?

Es el encargado del tratamiento: maneja los datos por cuenta de la comunidad y necesita un contrato de encargo conforme al artículo 28 del RGPD que fije sus obligaciones e instrucciones.