Guía práctica para comunidades y administradores
Tratar datos de vecinos, empleados y proveedores exige algo más que guardar documentos: hay que justificar cada uso, informar con claridad y limitar quién puede acceder.
Esta guía explica cómo aplicar el RGPD y la LOPDGDD en una comunidad de propietarios, quién responde, qué documentación conviene mantener y cómo evitar errores frecuentes en actas, listados, correos, solicitudes de información y servicios externos.
¿La ley de protección de datos se aplica a una comunidad de propietarios?
Sí. Una comunidad trata datos personales desde el momento en que utiliza nombres, domicilios, teléfonos, correos electrónicos, cuentas bancarias, coeficientes, deudas, votos, incidencias o información de empleados y proveedores para gestionar el inmueble. Por eso, la protección de datos en comunidades de propietarios no depende del número de viviendas ni de que exista una oficina propia.
El marco principal está formado por el Reglamento General de Protección de Datos, la Ley Orgánica 3/2018 y, para muchas operaciones habituales, la Ley de Propiedad Horizontal. En la práctica, una buena gestión integral de fincas debe combinar administración, trazabilidad documental, seguridad y respeto por la privacidad.
Quién es responsable del tratamiento y qué papel tiene el administrador
La distinción entre responsable y encargado evita uno de los errores más habituales de la LOPD en una comunidad de propietarios: pensar que toda la responsabilidad se traslada automáticamente al despacho que administra la finca.
La comunidad de propietarios
Determina las finalidades esenciales del tratamiento: cobrar cuotas, convocar juntas, ejecutar acuerdos, atender incidencias, contratar servicios, custodiar documentación y cumplir las obligaciones derivadas de la propiedad horizontal.
La presidencia representa a la comunidad, pero el cumplimiento no debe depender de decisiones improvisadas de una sola persona. Conviene que los procedimientos estén documentados y sean conocidos por quienes intervienen.
El administrador de fincas
Cuando accede a los datos para prestar el servicio acordado, actúa normalmente por cuenta de la comunidad. El contrato debe definir objeto, duración, tipos de datos, personas afectadas, confidencialidad, seguridad, subcontratación, asistencia en derechos y destino de la información al terminar la relación.
Un servicio de administración de comunidades bien organizado debe poder acreditar quién accede, con qué finalidad y bajo qué instrucciones.
Qué datos puede tratar una comunidad y con qué base jurídica
La ley no autoriza a recopilar información “por si acaso”. Deben utilizarse datos adecuados, pertinentes y limitados a lo necesario para una finalidad concreta. En una comunidad de vecinos, los tratamientos más habituales son los siguientes:
| Tratamiento | Datos habituales | Finalidad legítima | Precaución principal |
|---|---|---|---|
| Gestión de propietarios | Nombre, vivienda o local, domicilio de notificaciones, teléfono y correo. | Administrar la comunidad, convocar juntas y comunicar acuerdos. | No crear directorios abiertos ni compartir datos de contacto sin necesidad. |
| Cuotas y contabilidad | Cuenta bancaria, recibos, coeficiente, pagos, derramas y deuda. | Facturar, cobrar, rendir cuentas y reclamar cantidades. | Ocultar IBAN, DNI y otros datos que no aporten valor al control económico. |
| Juntas y actas | Identidad, representación, asistencia, voto, acuerdos e incidencias relevantes. | Documentar decisiones y cumplir la Ley de Propiedad Horizontal. | Evitar opiniones personales, diagnósticos, firmas o documentos completos innecesarios. |
| Empleados y profesionales | Datos laborales, facturación, contacto y prevención de riesgos. | Gestionar contratos y obligaciones legales. | No entregar nóminas o expedientes íntegros cuando basten importes desglosados. |
| Incidencias y seguros | Daños, imágenes aportadas, partes, teléfonos y datos de afectados. | Resolver averías, siniestros y responsabilidades. | Limitar la circulación de fotos y documentos a quienes deban intervenir. |
La base jurídica más frecuente será el cumplimiento de obligaciones vinculadas a la Ley de Propiedad Horizontal. En otros casos puede existir una relación contractual, una obligación legal diferente o un interés legítimo debidamente ponderado. El consentimiento no debe utilizarse como solución automática cuando el tratamiento ya es necesario para gestionar la comunidad, y tampoco sirve para legitimar una recogida excesiva.
Contar con un administrador de fincas colegiado puede facilitar la aplicación de procedimientos profesionales, aunque la colegiación no sustituye por sí sola el cumplimiento del RGPD.
Obligaciones esenciales para cumplir el RGPD en la comunidad
La protección de datos no se acredita con una única cláusula. Requiere responsabilidad proactiva: la comunidad debe poder demostrar que ha valorado sus tratamientos, aplicado medidas proporcionadas y definido cómo actuará ante solicitudes o incidentes.
- Inventariar los tratamientos. Identificar qué datos se usan, para qué, de dónde proceden, quién accede, a quién se comunican y cuánto tiempo se conservan.
- Mantener el registro de actividades de tratamiento. Debe reflejar la gestión ordinaria y cualquier tratamiento adicional relevante.
- Informar a propietarios, empleados y demás interesados. La información debe indicar responsable, finalidades, bases jurídicas, destinatarios, conservación, derechos y forma de reclamar.
- Regular a los encargados. Administrador, plataforma digital, empresa de mantenimiento informático o proveedor de almacenamiento pueden necesitar contrato de encargo si tratan datos por cuenta de la comunidad.
- Aplicar medidas de seguridad. Contraseñas robustas, usuarios individuales, copias de seguridad, cifrado cuando proceda, control de soportes y retirada inmediata de accesos.
- Definir conservación y borrado. No guardar indefinidamente duplicados, listados desactualizados o documentación en dispositivos personales.
- Atender derechos y brechas. Debe existir un canal claro, responsables internos y un protocolo de respuesta.
Cuando la comunidad utiliza un portal o despacho digital, la administración de fincas online debe ofrecer controles de acceso, trazabilidad y canales seguros, no limitarse a enviar archivos por correo electrónico.
Listados de propietarios, morosos y tablones de anuncios
El nombre y los apellidos de los propietarios son datos personales. Que una persona forme parte de la comunidad no significa que cualquier vecino pueda obtener un directorio completo con teléfonos, correos, cuentas bancarias o domicilios alternativos.
Qué puede comunicarse
Puede facilitarse la información necesaria para ejercer derechos relacionados con la comunidad, controlar la gestión o cumplir previsiones expresas de la Ley de Propiedad Horizontal. La identidad del resto de propietarios puede estar amparada por un interés legítimo en determinados contextos.
Qué debe evitarse
No deben circular listados generales con teléfonos, correos electrónicos, DNI, firmas, cuentas bancarias o datos familiares cuando no sean necesarios para la finalidad solicitada.
La convocatoria de junta puede incluir la relación de propietarios que no estén al corriente cuando resulte necesario para advertir de la posible privación del voto. Sin embargo, colocar una lista de morosos en un tablón no es una vía ordinaria de difusión. La publicación sustitutiva exige que previamente haya sido imposible practicar la notificación en el domicilio previsto y que puedan acreditarse los intentos realizados. Además, el tablón no debe quedar expuesto a cualquier persona ajena que transite por el edificio.
Correos, WhatsApp y comunicaciones entre vecinos
La protección de datos en una comunidad de vecinos se pone a prueba en las comunicaciones cotidianas. Un correo masivo con todas las direcciones visibles revela datos de contacto a terceros y puede generar una brecha de confidencialidad. En envíos colectivos debe utilizarse copia oculta o, preferiblemente, una plataforma que no muestre destinatarios.
Elegir el canal adecuado
Las convocatorias, actas, recibos y documentos sensibles deben enviarse por medios que permitan identificar al destinatario y limitar el acceso. Un grupo abierto no sustituye a una notificación formal.
Reducir el contenido
El asunto y el cuerpo del mensaje no deben incluir más información personal de la necesaria. Los adjuntos deben revisarse para retirar DNI, firmas, cuentas o datos de terceros.
Evitar grupos improvisados
Añadir a propietarios o inquilinos a un grupo de mensajería expone su teléfono y, según su configuración, fotografía y estado. Debe valorarse la base jurídica, informar previamente y ofrecer alternativas razonables.
Controlar reenvíos y copias
Las comunicaciones de la comunidad no deben terminar almacenadas sin control en cuentas personales, dispositivos compartidos o servicios no autorizados.
Ante una duda concreta sobre la comunicación de datos o el acceso a documentos, las consultas sobre comunidades de vecinos permiten revisar el caso antes de difundir información difícil de retirar después.
Actas, convocatorias y documentación de la comunidad
Las actas deben identificar correctamente la reunión, asistentes o representados, acuerdos y resultados de las votaciones cuando proceda. Esa obligación no convierte el acta en un espacio para reproducir escritos completos, acusaciones, datos médicos, números de DNI, firmas manuscritas o información familiar ajena al acuerdo.
Antes de redactar
Determine qué información exige la Ley de Propiedad Horizontal y qué datos son necesarios para entender y acreditar el acuerdo.
Antes de enviar
Revise anexos, capturas, presupuestos y poderes. Oculte datos que no deban conocer todos los destinatarios.
Antes de archivar
Conserve una versión oficial controlada y evite duplicados en correos personales, móviles o carpetas sin permisos.
El acceso de un propietario a la documentación no es ilimitado. Puede existir un interés legítimo en comprobar la administración, pero la entrega debe ser idónea, necesaria y proporcionada. A menudo bastará con mostrar facturas, facilitar extractos o entregar copias parcialmente ocultas en lugar de revelar nóminas, cuentas bancarias, teléfonos o expedientes completos.
Proveedores, mantenedores y acceso a datos personales
No todo proveedor es encargado del tratamiento. Una empresa será encargada cuando trate datos personales por cuenta de la comunidad y siguiendo sus instrucciones. Puede suceder con el administrador, el soporte informático, el alojamiento de la plataforma, la destrucción documental o determinados servicios de lectura y gestión.
Otros profesionales pueden actuar como responsables independientes porque utilizan los datos para cumplir sus propias obligaciones legales o prestar un servicio bajo su propio criterio profesional. La calificación debe reflejar la realidad y no una plantilla genérica.
- Comprobar qué datos necesita realmente el proveedor y evitar accesos globales por comodidad.
- Documentar instrucciones, confidencialidad, medidas de seguridad y posible subcontratación.
- Exigir notificación rápida de incidentes y asistencia para atender derechos.
- Revisar dónde se alojan los datos y si existen transferencias internacionales.
- Retirar usuarios, llaves digitales, carpetas compartidas y copias al terminar el servicio.
- Definir si los datos se devuelven, se destruyen o se bloquean por posibles responsabilidades.
Derechos de propietarios, inquilinos, empleados y terceros
Las personas cuyos datos trata la comunidad pueden ejercer, cuando correspondan, los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La comunidad debe facilitar un canal comprensible y responder, como regla general, en el plazo de un mes. Si la solicitud es compleja o existen muchas peticiones, el plazo puede ampliarse otros dos meses, informando de la prórroga y sus motivos dentro del primer mes.
| Derecho | Ejemplo en una comunidad | Límite o comprobación |
|---|---|---|
| Acceso | Conocer qué datos propios se tratan, finalidades, origen y destinatarios. | No permite acceder sin límite a datos de otros vecinos. |
| Rectificación | Corregir un correo, domicilio de notificaciones o titularidad incorrecta. | Puede requerirse acreditación suficiente del cambio. |
| Supresión | Solicitar el borrado de datos que ya no sean necesarios. | No procede si deben conservarse por obligación legal o responsabilidades. |
| Oposición | Cuestionar un tratamiento basado en interés legítimo. | La comunidad puede acreditar motivos legítimos prevalentes. |
| Limitación | Solicitar que ciertos datos queden bloqueados mientras se verifica una controversia. | Los datos pueden conservarse para formular o defender reclamaciones. |
La identidad del solicitante debe verificarse de manera proporcionada. Pedir sistemáticamente una copia completa del DNI puede ser excesivo cuando la persona ya está identificada por otros medios. También debe dejarse constancia de la solicitud, la decisión adoptada, la fecha de respuesta y la información facilitada.
Seguridad, conservación y brechas de datos
Las medidas deben adaptarse al riesgo real. Una comunidad maneja información que puede facilitar fraudes, suplantaciones, conflictos o accesos indebidos: cuentas bancarias, firmas, domicilios, deudas, teléfonos y documentación de siniestros. Por eso, no basta con cerrar un archivador.
Medidas organizativas
Usuarios autorizados, deber de confidencialidad, protocolo de altas y bajas, formación, inventario de dispositivos, revisión de permisos y normas para presidencia, vocales y personal.
Medidas técnicas
Contraseñas únicas, doble factor cuando sea posible, cifrado, copias de seguridad verificadas, equipos actualizados, bloqueo automático y registro de accesos en plataformas.
Una brecha puede ser un correo enviado al destinatario equivocado, un portátil perdido, una carpeta pública, credenciales compartidas, documentación abandonada o un ataque informático. Toda brecha debe documentarse. Si es probable que genere riesgo para los derechos y libertades de las personas, debe notificarse a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas desde que se tiene constancia. Si el riesgo es alto, también puede ser necesario informar a los afectados.
Videovigilancia: un tratamiento específico que debe analizarse aparte
Las cámaras en portales, garajes, ascensores o zonas comunes implican tratamiento de imágenes y requieren un análisis propio: acuerdo comunitario cuando corresponda, finalidad de seguridad, información mediante cartel, acceso restringido, captación proporcionada y plazo de conservación. Para evitar confusiones, esta guía no desarrolla en detalle la videovigilancia y se centra en la gestión documental, las comunicaciones, las actas, los proveedores y los derechos.
Auditoría rápida: 12 preguntas para revisar el cumplimiento
¿Está claro quién es el responsable?
La documentación identifica a la comunidad y un canal efectivo de contacto.
¿Existe un registro actualizado?
Incluye tratamientos, destinatarios, conservación y medidas de seguridad.
¿Los datos son necesarios?
No se recopilan DNI, firmas, teléfonos o información familiar sin una finalidad justificada.
¿Se informa correctamente?
Propietarios, empleados e interesados reciben información clara y por capas.
¿El administrador tiene contrato de encargo?
El documento contiene las obligaciones del artículo 28 del RGPD.
¿Los proveedores están clasificados?
Se distingue entre encargados y responsables independientes.
¿Los correos colectivos ocultan destinatarios?
Se usa copia oculta o una plataforma segura.
¿Las actas están minimizadas?
No incluyen datos irrelevantes, documentos completos o comentarios personales.
¿Se controla el acceso a documentos?
Cada usuario ve únicamente la información necesaria para su función.
¿Hay plazos de conservación?
Se eliminan copias y datos obsoletos de forma segura.
¿Existe un protocolo de derechos?
Las solicitudes se registran, verifican y responden dentro de plazo.
¿Existe un protocolo de brechas?
La comunidad sabe a quién avisar y cómo valorar el riesgo desde el primer momento.
Preguntas frecuentes sobre protección de datos en comunidades de propietarios
¿Es obligatorio cumplir la protección de datos en una comunidad de propietarios?
Sí. La obligación existe siempre que la comunidad trate datos personales de propietarios, inquilinos, empleados, proveedores u otras personas físicas. No depende del tamaño del edificio ni de que haya un administrador profesional.
¿Quién es el responsable del tratamiento de los datos?
Como regla general, la propia comunidad de propietarios es la responsable porque decide las finalidades esenciales de la gestión. El presidente la representa, pero las obligaciones de cumplimiento corresponden a la comunidad.
¿El administrador de fincas es responsable o encargado del tratamiento?
Normalmente es encargado cuando trata los datos por cuenta de la comunidad para prestar la administración contratada. Esa relación debe documentarse conforme al artículo 28 del RGPD. Para tratamientos propios del despacho puede actuar como responsable independiente.
¿Hace falta el consentimiento de todos los vecinos para gestionar sus datos?
No necesariamente. Muchos tratamientos se apoyan en obligaciones legales derivadas de la Ley de Propiedad Horizontal o en otras bases jurídicas. El consentimiento solo debe utilizarse cuando sea realmente la base adecuada y pueda prestarse de forma libre, informada y revocable.
¿Se puede publicar la lista de vecinos morosos en el tablón?
No como práctica general. La exposición puede utilizarse como notificación sustitutiva cuando haya sido imposible notificar al propietario por la vía prevista y se acrediten los intentos. El tablón tampoco debe estar accesible a cualquier persona ajena.
¿Puede un propietario pedir facturas, cuentas y documentación?
Puede solicitar acceso para controlar la buena administración, pero no existe un derecho indiscriminado a recibir todos los documentos sin ocultar datos. Debe analizarse la necesidad y facilitar únicamente información adecuada, pertinente y limitada.
¿Quién paga la protección de datos de la comunidad de vecinos?
Cuando la comunidad contrata asesoramiento, herramientas o servicios necesarios para su cumplimiento, el coste suele asumirse con cargo a los fondos comunes conforme al presupuesto y a los acuerdos aplicables. Debe revisarse qué tareas están incluidas en el contrato del administrador y cuáles son servicios adicionales.
¿Una comunidad debe nombrar delegado de protección de datos?
Con carácter general, las comunidades de propietarios no están incluidas entre los supuestos que obligan a nombrar un delegado de protección de datos. Esto no elimina el resto de obligaciones ni impide solicitar asesoramiento especializado.
Contenido informativo de carácter general. La base jurídica, el acceso a documentación y las medidas necesarias pueden variar según los datos, la finalidad, los acuerdos comunitarios, los contratos y las circunstancias del caso.