La comunidad y el administrador no tienen el mismo papel
La gestión cotidiana de una comunidad de propietarios implica tratar una cantidad considerable de información personal: nombres y apellidos de propietarios, teléfonos, correos electrónicos, cuentas bancarias, recibos, incidencias, proveedores o incluso documentación relacionada con trabajadores.
Sin embargo, desde el punto de vista de la protección de datos, la comunidad y el administrador de fincas desempeñan funciones diferentes.
Por regla general, la Comunidad de Propietarios actúa como responsable del tratamiento, ya que es quien determina para qué se utilizan los datos y con qué finalidad.
El administrador de fincas, cuando trata esos datos por cuenta de la comunidad para desarrollar las tareas que le han sido encomendadas, actúa como encargado del tratamiento.
Esta diferencia resulta especialmente importante cuando finaliza la relación entre ambos.
El contrato de encargo de tratamiento es fundamental
Cuando una comunidad contrata a un administrador para gestionar sus asuntos, este necesita acceder necesariamente a determinados datos personales.
El artículo 28 del Reglamento General de Protección de Datos establece que esa relación debe regularse mediante un contrato u otro acto jurídico de encargo de tratamiento.
En ese documento deben quedar definidas cuestiones como:
- El objeto y duración del tratamiento.
- La finalidad para la que se utilizarán los datos.
- Las categorías de información tratada.
- Las obligaciones de confidencialidad.
- Las medidas de seguridad aplicables.
- Las condiciones para recurrir a otros proveedores.
- La colaboración ante el ejercicio de derechos de los interesados.
- Y, especialmente, qué ocurrirá con los datos cuando termine la prestación del servicio.
Este último punto puede evitar muchos problemas cuando la comunidad decide cambiar de administrador.
¿Qué ocurre con los datos cuando termina el servicio?
Una vez finalizada la relación contractual, el antiguo administrador no puede conservar y utilizar libremente toda la información recopilada durante los años en los que gestionó la comunidad.
La normativa establece que será el responsable del tratamiento, es decir, la comunidad, quien determine qué debe hacerse con esos datos.
Dependiendo de lo establecido, pueden darse principalmente tres situaciones:
1. Suprimir los datos
El administrador puede tener que eliminar los datos personales y las copias que conserve una vez terminada la prestación.
2. Devolverlos a la comunidad
La información puede ser devuelta directamente a la Comunidad de Propietarios, que continúa siendo responsable de esos datos.
3. Entregarlos a un nuevo administrador
La comunidad también puede ordenar que la información sea facilitada al nuevo administrador de fincas que haya sido contratado.
La LOPDGDD establece expresamente que corresponde al responsable decidir si, una vez finalizada la prestación, los datos deben ser destruidos, devueltos al responsable o entregados a un nuevo encargado.
El nuevo administrador no debería pedir los datos por su cuenta
Uno de los errores que pueden producirse durante un cambio de administración consiste en que el nuevo administrador solicite directamente al anterior toda la documentación de la comunidad.
Desde el punto de vista de protección de datos, la entrega no debería realizarse simplemente porque otro profesional la solicite.
El administrador saliente debe actuar siguiendo las instrucciones de la Comunidad de Propietarios, que es quien ostenta la condición de responsable del tratamiento.
Por ello, lo recomendable es que exista una instrucción clara de la comunidad autorizando la transferencia de los datos al nuevo administrador y que esta operación se realice de manera segura y documentada.
¿Puede el antiguo administrador conservar alguna información?
Sí, pero únicamente en determinados supuestos.
Aunque los datos deban devolverse o eliminarse, el encargado del tratamiento puede conservar aquellos datos que sean necesarios para hacer frente a posibles responsabilidades derivadas de la prestación realizada.
En esos casos, la información debe mantenerse debidamente bloqueada.
Esto significa que los datos no pueden seguir utilizándose para las tareas habituales de administración ni para otras finalidades.
La LOPDGDD permite al encargado mantener esos datos bloqueados mientras puedan derivarse responsabilidades de su relación con el responsable del tratamiento.
Cuando desaparezca la obligación o posibilidad legal de exigir esas responsabilidades, los datos deberán eliminarse conforme corresponda.
La seguridad también importa durante el traspaso
El cambio de administrador puede implicar el movimiento de grandes cantidades de documentación.
No hablamos únicamente de papeles. Actualmente puede incluir bases de datos, hojas de cálculo, copias de seguridad, correos electrónicos, plataformas de gestión, documentación bancaria o archivos almacenados en la nube.
Por ello, el traspaso debe realizarse aplicando medidas adecuadas para proteger la confidencialidad, integridad y disponibilidad de la información.
Enviar documentación sensible a una cuenta de correo incorrecta, utilizar servicios inseguros o entregar información a una persona no autorizada puede provocar una brecha de seguridad.
El RGPD exige que responsables y encargados apliquen medidas técnicas y organizativas adecuadas al riesgo del tratamiento.
El deber de confidencialidad continúa
Que termine el contrato con una comunidad tampoco significa que desaparezca automáticamente la obligación de confidencialidad.
El antiguo administrador y las personas que hayan tenido acceso a la información deben seguir respetando el deber de secreto respecto de los datos que conocieron durante la prestación del servicio.
Por ese motivo es importante controlar también quién tuvo acceso a la información y eliminar o retirar los permisos cuando termina la relación profesional.
Una buena gestión comienza antes del cambio de administrador
Muchos de los problemas que aparecen cuando una comunidad cambia de administrador podrían evitarse si las obligaciones estuvieran correctamente definidas desde el principio.
El contrato de encargo de tratamiento debería establecer claramente:
- Cómo se accederá a los datos.
- Qué medidas de seguridad deben aplicarse.
- Qué proveedores pueden intervenir.
- Cómo se gestionarán los derechos de los interesados.
- Qué ocurrirá con las copias de seguridad.
- Cómo se realizará la devolución o transferencia de la documentación.
- Qué datos podrán quedar bloqueados por responsabilidades legales.
De esta forma, cuando finalice la relación, cada parte sabrá exactamente cómo debe actuar.
Proteger los datos también durante el cambio de administrador
Una Comunidad de Propietarios continúa siendo responsable de la información personal que gestiona aunque delegue determinadas tareas en un administrador de fincas.
Por ello, el cambio de administrador no puede reducirse únicamente a entregar facturas, contratos, llaves o documentación contable.
También debe existir un traspaso ordenado y seguro de los datos personales, siguiendo las instrucciones de la comunidad y respetando lo establecido en el contrato de encargo de tratamiento.
Una gestión adecuada protege a los propietarios y vecinos, pero también reduce considerablemente los riesgos legales tanto para la comunidad como para el administrador de fincas.