RGPD en un despacho de administración de fincas: el doble rol
El RGPD para un administrador de fincas se articula sobre un doble rol jurídico: el despacho actúa simultáneamente como responsable del tratamiento respecto a sus propios datos (empleados, clientes directos del despacho, proveedores) y como encargado del tratamiento (Art. 28 del Reglamento (UE) 2016/679) respecto a los datos personales que gestiona por cuenta de cada comunidad de propietarios cliente. Esa dualidad determina toda la arquitectura documental, contractual y técnica del despacho.
Un administrador colegiado medio en España gestiona entre 30 y 80 comunidades de propietarios, lo que implica tratar datos personales de varios miles de vecinos identificables: nombre, NIF, domicilio postal, número de cuenta bancaria, importe de cuota mensual, situación de pago, datos de contacto, y en ocasiones datos económicos sensibles cuando hay procedimientos judiciales por impago. La Agencia Española de Protección de Datos (AEPD) inspecciona el sector tras denuncia de vecinos disconformes con la gestión de sus datos, y la mayoría de sanciones se concentran en tres focos: ausencia de contrato de encargo del Art. 28 RGPD, publicación indebida de listados de morosos y cesiones a terceros sin base jurídica documentada. Distinguir con precisión qué tratamientos son de responsabilidad propia del despacho y cuáles son de encargo por cuenta de cada comunidad es la primera piedra de cualquier adecuación seria.
Cuándo eres responsable y cuándo encargado (Art. 4.7-4.8 RGPD)
El Art. 4.7 del RGPD define al responsable del tratamiento como la persona física o jurídica que, sola o junto con otras, determina los fines y medios del tratamiento. El Art. 4.8 define al encargado como la persona física o jurídica que trata datos por cuenta del responsable. La distinción no es opcional ni interpretable a conveniencia: depende de quién decide para qué y cómo se usan los datos.
En un despacho de administración de fincas, la separación queda así:
| Tratamiento | Rol del despacho | Base jurídica habitual |
|---|---|---|
| Nóminas y contratos de los empleados del despacho | Responsable | Art. 6.1.b RGPD (ejecución contrato laboral) + Art. 34.9 ET |
| CRM comercial y prospectos del despacho (comunidades potenciales) | Responsable | Art. 6.1.f RGPD (interés legítimo) |
| Facturación a comunidades cliente (datos de la comunidad como persona jurídica) | Responsable | Art. 6.1.b RGPD |
| Datos de vecinos de cada comunidad gestionada (nombre, NIF, cuota, morosidad) | Encargado por cuenta de la comunidad | Art. 28 RGPD |
| Convocatorias de junta, actas, listados de propietarios | Encargado por cuenta de la comunidad | Art. 28 RGPD |
| Gestión de pagos y remesas SEPA por cuenta de la comunidad | Encargado por cuenta de la comunidad | Art. 28 RGPD |
| Reclamación judicial de morosos en nombre de la comunidad | Encargado (cesión documentada al letrado) | Art. 28 RGPD + Art. 6.1.f RGPD comunidad |
Esta clasificación debe quedar reflejada en el Registro de Actividades de Tratamiento (Art. 30 RGPD) del despacho, con un bloque de actividades como responsable y otro bloque de actividades como encargado donde se identifique a cada comunidad-cliente como responsable principal. La AEPD ha confirmado este criterio en su Guía de comunidades de propietarios y en resoluciones reiteradas sobre el sector, y la diferenciación es la base sobre la que se construyen los contratos de encargo y la información a vecinos.
Contrato de encargado con cada comunidad
El Art. 28.3 RGPD exige que el tratamiento por cuenta del responsable esté regulado por un contrato escrito (o instrumento jurídico equivalente) vinculante para el encargado. No es una recomendación: es una obligación cuya ausencia se sanciona conforme al Art. 83.4.a RGPD con multas administrativas de hasta 10.000.000 € o el 2% del volumen de negocio anual mundial, lo que sea mayor. Para despachos pyme las sanciones AEPD se mueven en el rango orientativo de 5.000-100.000 €.
El contrato de encargo del Art. 28 RGPD debe contemplar, como mínimo, las cláusulas obligatorias del Art. 28.3 letras a-h:
- Objeto, duración, naturaleza y finalidad del tratamiento.
- Tipo de datos personales y categorías de interesados (en este caso, propietarios y, en su caso, inquilinos).
- Obligación del encargado de tratar los datos siguiendo solo instrucciones documentadas del responsable.
- Compromiso de confidencialidad del personal del encargado.
- Medidas técnicas y organizativas conforme al Art. 32 RGPD.
- Condiciones para recurrir a subencargados (Art. 28.2 y 28.4 RGPD).
- Asistencia al responsable para responder a derechos del titular (Arts. 15-22 RGPD).
- Asistencia en notificación de brechas (Arts. 33-34 RGPD) y en evaluaciones de impacto (Art. 35 RGPD).
- Devolución o supresión de los datos al finalizar el encargo (Art. 28.3.g RGPD).
- Puesta a disposición de toda la información necesaria para demostrar el cumplimiento.
En la práctica, el contrato de encargo se firma como anexo al contrato mercantil de prestación del servicio de administración de fincas. El acuerdo de la junta de propietarios que autoriza la firma debe constar en acta. Cardeseo entrega plantilla de contrato de encargado modelo v1.1, validada por jurista, lista para personalizar con los datos de cada comunidad cliente, junto con la cláusula informativa del Art. 13 RGPD que el despacho debe trasladar a vecinos en nombre de la comunidad.
Software de gestión y subencargados (Art. 28.2 RGPD)
El software de gestión de fincas (Gesfincas, FincaTech, NeoFinca, Aytos, Fincaweb), las pasarelas de pago y remesas SEPA, los proveedores de mensajería SMS y email transaccional, las plataformas de juntas online (Zoom, Microsoft Teams, Google Meet con grabación) y los servicios de correo certificado electrónico son subencargados del tratamiento en la cadena de responsabilidad. El Art. 28.2 RGPD prohíbe al encargado recurrir a otro encargado sin autorización previa, específica o general por escrito del responsable (la comunidad de propietarios).
La autorización general es operativamente más viable y se articula así:
- Listado anexo al contrato de encargado con los subencargados actuales (nombre, finalidad, ubicación del tratamiento, transferencias internacionales si las hubiera).
- Compromiso del despacho de comunicar a la comunidad cualquier alta, baja o sustitución de subencargado con plazo razonable (habitualmente 30 días).
- Derecho de la comunidad a oponerse motivadamente a un subencargado nuevo.
- Cláusulas en cadena: el despacho exige contractualmente a cada subencargado las mismas obligaciones del Art. 28 RGPD, incluidas las relativas a subencargados ulteriores (Art. 28.4 RGPD).
La comunicación de subencargados que tratan datos fuera del Espacio Económico Europeo (por ejemplo, software con servidores en Estados Unidos) requiere base de transferencia internacional del Capítulo V del RGPD: decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo (Decisión 2021/914), o reglas corporativas vinculantes. La transferencia a Estados Unidos se ampara hoy en el Data Privacy Framework (Decisión 2023/1795) cuando el proveedor está certificado, y en su defecto en las cláusulas contractuales tipo más medidas suplementarias acordes con la sentencia Schrems II del TJUE (C-311/18). Cardeseo audita la cadena de subencargados del despacho y deja documentadas las bases de transferencia.
Cobro de cuotas y gestión de morosos
La gestión de cuotas ordinarias, derramas extraordinarias y morosidad es uno de los focos de denuncia ante la AEPD más recurrentes del sector. Los datos económicos del propietario (importe debido, antigüedad de la deuda, identificación bancaria SEPA, eventual proceso judicial abierto) son datos personales con potencial perjuicio reputacional si se difunden indebidamente, aunque no constituyan categoría especial del Art. 9 RGPD.
Las reglas operativas son:
- La publicación de morosos en el tablón físico de la comunidad solo es lícita cuando se cumplen las condiciones del Art. 21 de la Ley 49/1960 de Propiedad Horizontal: notificación previa al moroso, acuerdo de junta debidamente convocado, publicación únicamente en el tablón de la propia comunidad y retirada inmediata tras el pago. Su publicación en grupos de WhatsApp, redes sociales, internet o cualquier soporte que exceda al tablón comunitario es ilícita y sancionable.
- La cesión de datos del moroso a una agencia externa de recobro o a un despacho de abogados para reclamación judicial requiere base jurídica documentada: ejecución del contrato de propiedad horizontal (Art. 6.1.b RGPD) o interés legítimo de la comunidad (Art. 6.1.f RGPD), con prevalencia justificada en una valoración escrita. Si la agencia de cobros trata los datos por cuenta del despacho, es subencargado y exige contrato Art. 28 RGPD; si los trata por cuenta propia tras cesión, es nuevo responsable y la cesión exige información previa al titular conforme al Art. 13 o 14 RGPD.
- El acceso de la abogacía designada por la comunidad para presentar el monitorio del Art. 21 LPH se rige por la base jurídica de cumplimiento de obligación legal aplicable y, en su caso, por el interés legítimo de la comunidad, debidamente documentado en el RAT.
Más detalle operativo sobre el tablón y los riesgos en la pieza sectorial dedicada a comunidades de propietarios, que complementa la perspectiva del responsable principal.
Comunicaciones masivas a propietarios
Las comunicaciones a propietarios se dividen en dos bloques con regímenes jurídicos distintos. Las comunicaciones operativas (convocatoria de junta, comunicación de acuerdos, requerimientos de pago, avisos de obras, partes de avería en zonas comunes) se realizan en cumplimiento de la Ley de Propiedad Horizontal y del contrato mercantil entre comunidad y despacho, con base jurídica del Art. 6.1.b o 6.1.c RGPD según el supuesto. Las comunicaciones de naturaleza comercial (promoción de servicios del despacho, ofertas cruzadas, productos de seguros vinculados) son comunicaciones comerciales electrónicas y se rigen por el Art. 21 de la Ley 34/2002 de Servicios de la Sociedad de la Información (LSSI-CE), que exige consentimiento previo, salvo la excepción de productos similares de relación contractual previa con el propio responsable.
Las juntas online por Zoom, Teams o Meet, cuando se graban para soporte del acta, son tratamiento adicional que requiere:
- Información previa al propietario en la convocatoria (Art. 13 RGPD), indicando finalidad de la grabación, plazo de conservación y derechos.
- Contrato de encargo con el proveedor de la plataforma (Art. 28 RGPD).
- Plazo de conservación proporcional a la finalidad (habitualmente hasta la firma del acta o, como máximo, hasta la prescripción civil de eventuales impugnaciones de acuerdo, conforme al Art. 18 LPH).
Los grupos de WhatsApp creados por el despacho con propietarios de una comunidad son tratamiento del despacho como encargado y deben informarse en la cláusula del Art. 13 RGPD que la comunidad traslada al vecino al darse de alta. La inclusión de números de teléfono móvil personal en un grupo sin consentimiento expreso del titular es problemática y debe sustituirse por canales documentados.
Empleados del despacho y RGPD laboral
El despacho es responsable del tratamiento respecto a sus empleados con base jurídica en el Art. 6.1.b RGPD (ejecución del contrato laboral) y en obligaciones legales derivadas del Estatuto de los Trabajadores, la Ley General de la Seguridad Social y normativa fiscal. Las obligaciones operativas mínimas son:
- Cláusula informativa Art. 13 RGPD entregada al alta y archivada con la firma del trabajador.
- Registro horario del Art. 34.9 ET en cumplimiento del RD-Ley 8/2019, conservado durante 4 años y accesible a la Inspección de Trabajo.
- Política de uso de medios tecnológicos (Art. 87 LOPDGDD) y derecho a la desconexión digital (Art. 88 LOPDGDD).
- Medidas técnicas y organizativas para controlar el acceso del personal al software de gestión: roles diferenciados, registro de auditoría, rotación de contraseñas, factor doble de autenticación.
En materia sancionadora laboral, la ITSS aplica el principio canónico fijado por el Criterio Técnico 101/2019: la sanción del Art. 7.5 LISOS se impone por infracción detectada en la empresa, no por trabajador ni automáticamente por centro; la individualización por centro solo procede cuando los hechos son materialmente separables (centros con sistemas y deficiencias propias). El Art. 78 LOPDGDD tipifica las infracciones graves y muy graves del RGPD-LOPDGDD que la AEPD impone, con cuantías habituales en el rango orientativo de 5.000-100.000 € para pymes.
Conservación: fiscal, contable y comunidad
Los plazos de conservación se determinan por la finalidad y por las obligaciones legales aplicables. Para un despacho de administración de fincas, los plazos relevantes son:
- 4 años para datos con relevancia tributaria (Art. 66 de la Ley 58/2003 General Tributaria), aplicable a facturación, retenciones e IRPF.
- 6 años para libros, correspondencia y justificantes mercantiles (Art. 30 del Código de Comercio).
- 10 años para documentación con relevancia en prevención de blanqueo cuando aplique (Ley 10/2010).
- Acuerdos de la junta: el Art. 18 LPH fija plazos cortos para impugnación (1 año para acuerdos contrarios a la Ley o a los Estatutos; 3 meses para acuerdos viciados). Conservación operativa de actas y certificaciones según necesidades probatorias generales.
- Conservación de documentación específica de la comunidad mientras subsista el contrato de administración y, al finalizar, devolución o supresión documentada conforme al Art. 28.3.g RGPD.
La distinción clave es que la conservación de 4 años de la Ley General Tributaria no equivale a la prescripción civil de 3 años del Art. 1968 del Código Civil ni a la prescripción de 5 años del Art. 1964 del Código Civil para acciones personales. Cada finalidad tiene su plazo y debe documentarse en el RAT del despacho. Al cesar el encargo de una comunidad, el despacho debe devolver toda la documentación y destruir copias de soporte, salvo las que deba conservar por imperativo legal propio (facturación al cliente comunidad, por ejemplo).
Sanciones AEPD orientativas para administradores
La AEPD ha resuelto numerosos procedimientos contra administradores de fincas y comunidades. El rango orientativo de sanciones para pymes del sector se mueve entre 5.000 € y 100.000 €, con casos extremos por encima cuando concurren agravantes (reincidencia, gran volumen de afectados, tratamiento sistemático de categorías especiales).
Los supuestos sancionadores más frecuentes son:
- Inexistencia de contrato de encargo Art. 28 RGPD con la comunidad o con subencargados: tipificación del Art. 83.4.a RGPD y Art. 73.k LOPDGDD.
- Publicación de morosos fuera del tablón físico (WhatsApp, redes sociales, web): tipificación del Art. 83.5.a RGPD.
- Cesión de datos a terceros sin base jurídica documentada (aseguradoras, comerciales, candidatos políticos en periodo electoral): tipificación del Art. 83.5.a RGPD.
- Falta de adopción de medidas técnicas del Art. 32 RGPD: tipificación del Art. 83.4.a RGPD.
- Conservación más allá del plazo necesario: tipificación del Art. 83.5.a RGPD.
En infracciones de menor gravedad documental, la AEPD puede optar por advertencia conforme al Art. 58.2.b RGPD en lugar de multa, especialmente cuando hay buena fe acreditada y colaboración con la inspección. La Audiencia Nacional y el Tribunal Supremo valoran positivamente la existencia de un programa documental de cumplimiento previo a la inspección como factor atenuante.
Cómo adecua Cardeseo un administrador
El servicio anual de Cardeseo para administradores de fincas parte de 349 €/año (IVA no incluido) para despachos de hasta 5 empleados y se adapta a despachos multi-sede y volúmenes elevados de comunidades gestionadas. El alcance del pack incluye:
- Pack documental completo del despacho como responsable (cláusulas informativas Art. 13 RGPD, política de privacidad web, manual de personal, RAT del despacho).
- Contrato de encargado modelo v1.1 personalizable por comunidad, con cláusulas obligatorias del Art. 28.3 RGPD y anexo de subencargados configurable.
- Cláusula informativa Art. 13 RGPD que el despacho traslada a vecinos en nombre de cada comunidad.
- Procedimiento documentado de respuesta a derechos del titular (Arts. 15-22 RGPD), incluyendo plantillas de respuesta para acceso, rectificación, supresión, oposición, limitación y portabilidad.
- Protocolo de notificación de brechas (Arts. 33-34 RGPD) con plazo de 72 horas y soporte de Cardeseo.
- Soporte AEPD continuo con SLA de respuesta de 24 horas en caso de inspección o requerimiento.
- Auditoría anual del RAT y de la cadena de subencargados.
Para despachos con alto volumen (más de 50 comunidades, más de 10.000 vecinos identificables tratados sistemáticamente) procede valorar la designación de Delegado de Protección de Datos conforme al Art. 37.1.b RGPD. Cardeseo evalúa este supuesto y, cuando proceda, ofrece la figura externa de DPD.
Preguntas frecuentes
¿Soy responsable o encargado del tratamiento como administrador de fincas?
Eres ambos a la vez. Eres responsable respecto a los datos de tus empleados, de tu CRM comercial, de tu facturación y de los proveedores del despacho. Eres encargado del tratamiento por cuenta de cada comunidad de propietarios cliente respecto a los datos de los vecinos que tratas para gestionar la comunidad: cuotas, derramas, morosidad, convocatorias, actas, remesas SEPA. Esa dualidad debe quedar reflejada con dos bloques separados en tu Registro de Actividades del Art. 30 RGPD y se materializa en contratos distintos: contrato laboral con tus empleados y contrato de encargo del Art. 28 RGPD firmado con cada comunidad cliente.
¿Cómo firmo el contrato Art. 28 RGPD con cada comunidad?
El contrato de encargado se firma como anexo al contrato mercantil de prestación del servicio de administración. La junta de propietarios aprueba el encargo y la firma queda recogida en acta. El contrato debe contener las cláusulas obligatorias del Art. 28.3 RGPD: objeto, duración, naturaleza, finalidad, tipo de datos, categorías de interesados, instrucciones documentadas, confidencialidad, medidas técnicas, autorización de subencargados, asistencia en derechos y brechas, y devolución o supresión al finalizar. Cardeseo entrega plantilla modelo v1.1 validada por jurista lista para personalizar comunidad a comunidad.
¿Necesito autorización de la comunidad para cambiar de software de gestión?
Sí. El Art. 28.2 RGPD prohíbe al encargado recurrir a nuevos subencargados sin autorización previa específica o general del responsable. La vía operativa es la autorización general documentada en el anexo del contrato de encargo: la comunidad autoriza desde el inicio una lista de subencargados y el despacho se compromete a comunicar cualquier alta, baja o sustitución con plazo razonable, habitualmente 30 días. La comunidad conserva el derecho a oponerse motivadamente. Si el nuevo proveedor implica transferencia internacional de datos fuera del Espacio Económico Europeo, hay que documentar además la base jurídica del Capítulo V del RGPD.
¿Puedo publicar la lista de morosos en el grupo de WhatsApp de la comunidad?
No. La publicación de morosos solo es lícita en el tablón físico de la comunidad, conforme al Art. 21 de la Ley 49/1960 de Propiedad Horizontal y con las condiciones de notificación previa al moroso, acuerdo de junta debidamente convocado y retirada inmediata tras el pago. La publicación en grupos de WhatsApp, redes sociales, internet o cualquier soporte que exceda al tablón comunitario es ilícita y sancionable por la AEPD. Más detalle en la pieza dedicada a comunidades de propietarios.
¿Tengo que designar Delegado de Protección de Datos en mi despacho?
La designación de DPD es obligatoria conforme al Art. 37.1 RGPD cuando se realiza tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas penales, o cuando las actividades principales del responsable o encargado consisten en operaciones de tratamiento que requieren observación habitual y sistemática de interesados a gran escala. Para despachos pequeños no es obligatorio, pero a partir de volúmenes elevados (orientativamente más de 50 comunidades gestionadas o más de 10.000 vecinos identificables tratados sistemáticamente) procede valorarlo. Cardeseo evalúa el caso concreto y, cuando proceda, ofrece la figura externa de DPD.
¿Y el WhatsApp con propietarios para comunicaciones operativas?
Las comunicaciones operativas (convocatoria de junta, requerimiento de pago, aviso de avería) tienen base jurídica del Art. 6.1.b o 6.1.c RGPD según el supuesto, pero la inclusión del número de teléfono móvil personal del vecino en un grupo de WhatsApp del despacho es tratamiento adicional que debe informarse en la cláusula del Art. 13 RGPD que la comunidad traslada al vecino. Las comunicaciones de naturaleza comercial (productos cruzados, seguros vinculados, servicios del despacho) son comunicaciones comerciales del Art. 21 LSSI-CE y exigen consentimiento previo. Se recomienda separar canales: WhatsApp solo para operativa documentada y email u otro canal para todo lo comercial con consentimiento explícito.
Próximos pasos
La adecuación RGPD de un despacho de administración de fincas no es un proyecto puntual: es un sistema vivo que debe mantenerse cada vez que se da de alta una nueva comunidad, se cambia de software de gestión, se incorpora un empleado o se actualiza la cadena de subencargados. Cardeseo acompaña el despacho durante todo el ciclo anual con soporte continuo y SLA de 24 horas ante inspección AEPD.
Si quieres dar el siguiente paso, revisa el alcance del servicio en cumplimiento legal y la calculadora pública de tarifas sin formulario. Para arrancar la adecuación, dispones del onboarding RGPD con cuestionario sectorial específico de administración de fincas. Las plantillas de respuesta a derechos del titular están incluidas en el pack y disponibles en versión editable. La pieza complementaria sobre comunidades de propietarios cierra el círculo desde la perspectiva del responsable principal. Y para despachos con volumen elevado, valora la figura externa de Delegado de Protección de Datos que Cardeseo ofrece como servicio independiente compatible con el pack anual de 349 €/año.