WIXLIB

GUÍAS SECTORIALES AEPD3.Protección de datos y administración de fincasRegistro de actividades de tratamientonEl nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta delcual actúe el encargado y, en su caso, de los representantes y del delegado de protección de datos.nLas categorías de tratamientos efectuados por cuenta de cada responsable; cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad implementadas en relación con los tipos de tratamientos de datos realizados.nEn su caso, las transferencias internacionales a un tercer país que, aunque no sean frecuentes,se pueden producir, por ejemplo, si se contratan servicios de “cloud computing” con servidores fuera del Espacio Económico Europeo, así como las garantías para el supuesto excepcional recogido en el artículo 49.1 segundo párrafo del RGPD, si es que tuviera lugar.nEstos registros constarán por escrito, inclusive en formato electrónico.nEl encargado del tratamiento y, en su caso, su representante pondrán el registro a disposiciónde la Agencia Española de Protección de Datos si esta lo solicita.A partir de la aplicación del RGPD -25 de mayo de 2018- desaparece la obligación de notificar la creación de ficheros. En su lugar, surgen un conjunto de medidas de carácter internoque el responsable y el encargado de los tratamientos deberán impulsar y tener documentadas “a disposición” de la AEPD. Estas medidas se concretan en el denominado Registro deActividades de Tratamiento.8

GUÍAS SECTORIALES AEPD4.Protección de datos y administración de fincasEl administrador de fincascomo encargado del tratamiento4.1 ResponsabilidadLa finalidad de los tratamientos de datos realizados por las comunidades de propietarios es sugestión, asegurar el cumplimiento por los propietarios de las obligaciones impuestas por laLPH, así como garantizar el adecuado ejercicio de los derechos que corresponden a los comuneros y a los “terceros” en la comunidad.La finalidad perseguida por los tratamientos de datos realizados por las comunidades depropietarios es la de asegurar el correcto desenvolvimiento de la comunidad.La condición de responsable del tratamiento recae sobre la comunidad de propietarios.El administrador de fincas de una determinada comunidad de propietarios, desarrolla únicamentelas actividades que le atribuye la LPH. Muchas de estas funciones conllevan el tratamiento de datosde personas físicas identificadas o identificables, que pueden ser los propietarios sometidos al régimen de propiedad horizontal, pero también otros vecinos, no propietarios de la finca administrada,o terceras personas que pueden verse afectadas por la actuación de la comunidad o de alguno delos propietarios.La condición de responsable de los tratamientos que se realizan para la adecuada gestióny funcionamiento de la comunidad de propietarios en régimen de propiedad horizontalcorresponde a la propia comunidad de propietarios.9

GUÍAS SECTORIALES AEPD4.Protección de datos y administración de fincasEl administrador de fincascomo encargado del tratamiento4.2 Encargado del tratamientoEn el régimen de propiedad horizontal, el administrador de fincas, que ejerce la administraciónde una o de varias comunidades por encargo del responsable, actúa como “encargado del tratamiento.Para que la relación entre comunidad de propietarios -responsable- y el administrador -encargadodel tratamiento- se ajuste a la normativa de protección de datos, es preciso que se cumplan lassiguientes condiciones referidas en el artículo 28 del RGPD:nnnnLa relación contractual deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido.Se establecerá expresamente que el administrador de fincas únicamente tratará los datosconforme a las instrucciones de la comunidad de propietarios, y que no los aplicará o utilizarácon fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas.El administrador de fincas debe limitarse a emplear los datos en el ámbito de las funcionesde la comunidad de propietarios que le haya designado.nQue tanto el administrador de fincas, así como cualquier persona que trabaje para él, deberán respetar la confidencialidad en el tratamiento de los datos personales.nSe entiende que el administrador de fincas actúa conforme a las instrucciones del responsable del tratamiento cuando, en el ejercicio de sus funciones, trata los datos de los propietarioscontenidos en los ficheros que custodia.nn10Que el acceso a los datos por el administrador de fincas se efectúe con la exclusiva finalidadde prestar un servicio al responsable del tratamiento, y que dicha relación de servicios seencuentre contractualmente establecida.Al término de su relación, el administrador de fincas deberá devolver a la comunidad de propietarios todos los soportes y/o documentos en los que consten datos de carácter personalobjeto de tratamientos de datos.No obstante, el administrador podrá conservar los datos personales objeto de tratamiento entanto pudieran derivarse responsabilidades de su relación con la comunidad de propietarios.

GUÍAS SECTORIALES AEPD4.Protección de datos y administración de fincasEl administrador de fincascomo encargado del tratamientonAsistirá a la comunidad de propietarios cuando por algún afectado se ejercite alguno de losderechos que reconoce la normativa de protección de datos de carácter personal.nAyudará al responsable para garantizar el cumplimiento de sus obligaciones en aquellos supuestos en que se produzca una brecha de seguridad, sobre todo cuando se deba comunicara la Agencia Española de Protección de Datos.nnLas medidas de seguridad que hayan de ser adoptadas por los administradores que realicen tratamientos de datos por cuenta de comunidades serán las mismas que las que seanexigibles al responsable.En el supuesto de que el administrador incumpliera estas obligaciones, destinando losdatos a otra finalidad, comunicándolos a terceras personas o utilizándolos en contra de loprevisto en el contrato, podrá ser considerado responsable del tratamiento, respondiendode las infracciones en que hubiera incurrido personalmente.Para tratar datos de carácter personal de los copropietarios de una comunidad de propietarios envirtud de un encargo de servicios y/o gestiones diferentes de las comprendidas en la LPH, se deberá contar con el consentimiento específico, informado e inequívoco de todos los afectados.El encargo del tratamiento a favor del administrador de fincas debe encontrarse documentado en un contrato, en el que se especificarán las obligaciones de las partes contratantesen relación con la normativa de protección de datos.11

GUÍAS SECTORIALES AEPD5.Protección de datos y administración de fincasObligaciones de los administradoresde fincas derivadas de su actividadespecífica en el ámbitode las comunidades de propietariosLas principales obligaciones establecidas por la normativa de protección de datos recaen sobreel responsable del tratamiento, si bien los administradores de fincas, tanto en el ámbito desu función de asesoramiento y representación de las comunidades de propietarios, como actuando como “encargados del tratamiento”, deberán facilitar su cumplimiento y participar delmismo.El administrador de fincas debe facilitar a las comunidades toda la información que precisen para adecuar sus tratamientos de datos de carácter personal a la normativa de protección de datos. Dicha información y asesoramiento debe referirse tanto a la actividadinterna y ordinaria de la comunidad, como a la relativa a la contratación de obras, bienesy/o servicios provenientes de terceros.El RGPD se caracteriza por la proactividad, de manera que los responsables aplicarán las medidas técnicas y organizativas apropiadas para garantizar y estar en condiciones de demostrar que el tratamiento de datos personales se lleva a cabo de conformidad con la norma.Tales medidas se revisarán y actualizarán cuando sea necesario.n12 El principio de responsabilidad proactiva se describe en el RGPD como la necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativasapropiadas a fin de garantizar y poder demostrar que el tratamiento es conformecon el Reglamento. En términos prácticos, este principio requiere que las organizaciones analicen quédatos tratan, con qué finalidades lo hacen y qué tipo de operaciones de tratamientollevan a cabo. A partir de este conocimiento deben determinar de forma explícita la forma en queaplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas sonlas adecuadas para cumplir con el mismo y de que pueden demostrarlo ante los interesados y ante las autoridades de supervisión. En síntesis, este principio exige unaactitud consciente, diligente y proactiva por parte de las comunidades de propietarios y por los administradores de fincas frente a todos los tratamientos de datospersonales que lleven a cabo.

GUÍAS SECTORIALES AEPD5.Protección de datos y administración de fincasObligaciones de los administradoresde fincas derivadas de su actividadespecífica en el ámbitode las comunidades de propietariosnnRegistro de actividades del tratamiento. Anteriormente ya nos hemos referido al mismo enun apartado específico de esta Guía. No obstante, y puesto que esta sección se refiere a las obligaciones, conviene recordar que, en la medida que no son tratamientos ocasionales, debe configurarse dicho registro, tanto por parte de las comunidades como responsables, como por losadministradores que actúan como encargados de tratamiento.Derecho de información. Con carácter general, se deberá dar cumplimiento a este derechode información en el momento de recogida de los datos personales.Respecto a la LOPD, el RGPD ha ampliado considerablemente la información que se debe facilitar al respecto, por lo que la AEPD, en su “Guía para el cumplimiento del deber de informar”, recomienda que seadopte un sistema de doble capa, distinguiendo entre una información básica y otra de carácter adicional,a la que se pudiera acceder de forma sencilla y rápida, por ejemplo, a través de una dirección electrónica.En la primera capa debería constar la información básica: La identidad del responsable y de su representante, en su casoLa finalidad del tratamientoLa posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del RGPDSi se diese el caso, cuando los datos fueran a ser tratados para la elaboración de perfiles habría queinformar en la primera capa de dicha circunstancia, así como del derecho a oponerse a la adopciónde decisiones automatizadas.Y en la segunda capa el resto de información recogida en el artículo 13 del RGPD, y en el 14, sifuera el caso.Es decir, se deberá informar a los copropietarios afectados expresa e inequívocamente en los términos descritos anteriormente. Asimismo, dicha información deberá figurar en los formularios, tradicionales o electrónicos de recogida de información utilizados por los administradores.No obstante, respecto a aquellos que hayan sido informados con la antigua normativa (LOPD y sureglamento de desarrollo) no es necesario que se vuelva a cumplir con este derecho con el contenido del RGPD.n13Principios del RGPD. En el tratamiento de los datos personales deberán cumplirse los principiosde licitud, lealtad y transparencia, limitación de la finalidad, minimización de datos, exactitud,limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva.

GUÍAS SECTORIALES AEPD5.Protección de datos y administración de fincasObligaciones de los administradoresde fincas derivadas de su actividadespecífica en el ámbitode las comunidades de propietariosRECUERDE Que se deben recoger solo los datos personales adecuados, pertinentes y limitadosa lo necesario en relación para con las finalidades de que se trate relativas a la gestión ordinaria de asuntos de la comunidad de propietarios.Que se deben tratar los datos de los comuneros de forma lícita, leal y transparente.Que no se deben usar los datos ulteriormente para finalidades incompatibles.Que no serán conservados los datos de los comuneros por un tiempo mayor delnecesario para los fines del tratamiento.Que serán tratados de manera que se garantice una seguridad adecuada de los datos personales de los comuneros.Conservación de datos. Si bien uno de los principios que hemos indicado anteriormenteque establece el RGPD es el relativo a la limitación del plazo de conservación, la norma europea al regular el derecho de supresión determina una serie de excepciones en las que noprocedería dicha supresión. Entre estas excepciones se encuentran:n Cumplimiento de una obligación legal que requiera el tratamiento de datos impuestapor el Derecho de la Unión o de los Estados miembros que se aplique al responsabledel tratamiento. Para la formulación, el ejercicio o la defensa de reclamaciones.Por tanto, la normativa de protección de datos permite conservar los datos personales durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de unare-lación u obligación jurídica, o de la ejecución de un contrato o de la aplicación demedidas precontractuales solicitadas por el interesado.El administrador de fincas solo podrá conservar los datos personales que sean estrictamente imprescindibles durante el período de prescripción que marca la normativa fiscal, contable, social o civil.Finalizado dicho plazo los datos deberán destruirse. Solo podrán conservarse si se disocianpreviamente o si, con carácter excepcional, atendidos los valores históricos, estadísticos ocientíficos de acuerdo con la legislación específica, se decide el mantenimiento íntegro dedeterminados datos.14

GUÍAS SECTORIALES AEPD5.Protección de datos y administración de fincasObligaciones de los administradoresde fincas derivadas de su actividadespecífica en el ámbitode las comunidades de propietariosRECUERDE Que deberán definirse los plazos de conservación de los datos personales de lospropietarios afectados.Que deberán establecerse procedimientos para determinar que se han cumplido losplazos máximos de conservación de los datos personales de los copropietarios.Deber de confidencialidad. Otro de los principios que recoge el RGPD, y al que hemoshecho alusión con anterioridad es el de confidencialidad. Este principio conlleva que, en eltra-tamiento de datos de carácter personal, se debe garantizar el cumplimiento deldeber de confidencialidad o secreto. Este deber, que incumbe a los responsables de lascomunidades y a los administradores que intervengan en cualquier fase del tratamiento,comporta que no puedan revelar ni dar a conocer su contenido teniendo el deber deguardarlos. La obligación de secreto del administrador subsistirá aún después de finalizarsus relaciones con la comu-nidad de propietarios.nRECUERDE nQue se deberá informar adecuadamente a todas las personas que tratan datos de carácter personal de la obligación de guardar secreto sobre los datos que conozcan en elejercicio de sus funciones, de sus obligaciones y de las consecuencias de no cumplirlas.Que se deberá dejar constancia de dicha información.Comunicaciones de datos de carácter personal. Supone la revelación de datos realizada afavor de persona distinta del interesado.Solo se podrán ceder y/o comunicar los datos personales de los comuneros a terceras per-15

GUÍAS SECTORIALES AEPD5.Protección de datos y administración de fincasObligaciones de los administradoresde fincas derivadas de su actividadespecífica en el ámbitode las comunidades de propietariossonas si concurre alguno de los supuestos que legitiman el tratamiento de datos personalesque regula el artículo 6 del RGPD: Consentimiento del afectado.Cumplimiento de una obligación legal.Ejecución de un contrato.Misión realizada en interés público.Intereses vitales.Interés legítimo perseguido por el responsable del tratamiento o por un tercero.En su caso, la sanción a imponer recaería sobre el responsable -la comunidad de propietarios-, o sobre el encargado del tratamiento -el administrador de fincas-, o sobre ambos, dependiendo de cómo mantengan regulada su relación y de si disponen de contrato de accesode datos por cuenta de terceros o no.Todos los agentes implicados en el tratamiento de datos deberán cumplir con los mandatosderivados de la normativa de protección de datos y de la legislación sectorial aplicable a laadministración de fincas, con especial atención a las especialidades derivadas del tratamiento de información personal en este ámbito.Cuando el administrador actúe como encargado del tratamiento de una comunidad de propietarios no podrá comunicar los datos a otras personas, ni siquiera para su conservación. Noobstante, podrá recurrir a otro encargado (subencargado),y, por tanto, comunicarle los datoscontando con la autorización previa por escrito, que podrá ser de carácter general, por ejemplo, para la subcontratacion de servicios de “cloud computing”. En ese caso el administradorhabrá de informar a la comunidad de propietarios de cualquier cambio que se produzca conel subencargado (Guía de cloud computing).RECUERDE16 Que para que pueda producirse una comunicación de datos personales se debe estar legitimado para ello en los términos del artículo 6 del RGPD. Los encargados del tratamiento no pueden comunicar los datos a terceros, ni siquiera para su conservación, salvo que tenga servicios subcontratados, por ejemplo, de“cloud computing” y cuente con la autorización de la comunidad.

GUÍAS SECTORIALES AEPD6.Protección de datos y administración de fincasObligaciones en materia de seguridaden los tratamientos de datos personalesde las comunidades de propietariosEl RGPD prevé que los responsables y encargados del tratamiento aplicarán las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.Por tanto, las medidas de seguridad que se adopten dependerán del riesgo inherente a cada tipode tratamiento realizado.No obstante lo anterior, y dado el escaso riesgo que puede suponer los tratamientos referidos a“gestión de la comunidad de propietarios”/”propietarios” o “videovigilancia”/”cámaras de seguridad”, podría atenderse dicha obligación con la ayuda de la herramienta FACILITA que para estetipo de tratamientos ha diseñado la AEPD, ac

Protección de datos y administración de fincas ÍNDICE PRESENTACIÓN 1 Legitimación para el tratamiento de datos 2 Identificación de tratamientos de datos 3o de actividades de tratamientoRegistr 4 El administrador de fincas como encargado del tratamiento 4.1 Responsabilidad 4.2 Encargado del tratamiento