¿Cómo afecta el Reglamento General de Protección de Datos a las comunidades de propietarios? 19 preguntas y respuestas
Sandra Gamella Carballo Directora de Sepín Nuevas Tecnologías
1. ¿Qué normas regulan la protección de datos en España?
Desde el pasado 25 de mayo de 2018 es de aplicación el Reglamento General de Protección de Datos (RGPD), de origen comunitario, a dicha normativa de se debe añadir, la todavía no derogada Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en proyecto un nuevo texto para adaptarse a la nueva normativa comunitaria) y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
Actualmente hay en el Congreso de los Diputados un Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal, con la finalidad de adaptar la normativa estatal a la comunitaria.
2. ¿Deben las Comunidades de Propietarios adaptarse al nuevo Reglamento General de Protección de datos?
Sí, el RGPD es de obligado cumplimiento para todos los países de la Unión Europea incluido España, dicha normativa además es directamente aplicable en nuestro ordenamiento sin necesidad de transposición que deberá complementarse con la normativa estatal.
3. ¿Qué datos deben ser objeto de tratamiento dentro del ámbito de las Comunidades de Propietarios?
La actual normativa no establece ningún límite acerca de que datos puede tratar la Comunidad de Propietarios, éstos suelen ser nombre de los comuneros, documentos de identificación, números de teléfono, direcciones, correos electrónicos, cuentas bancarias… entre otros, pero nada impide que se dispongan de otros siempre y cuando sean en calidad de propietarios y no resulten excesivos parar la actividad habitual de las comunidades.
4. ¿Se deben notificar los ficheros a la Agencia Española de Protección de datos?
Hasta el 25 de mayo existía la obligación de notificar la creación de cualquier fichero, dicha obligación correspondía a la Comunidad de Propietarios, como responsable del tratamiento, mediante la representación del presidente. Con la entrada en vigor del RGPD desaparece la indicada inscripción, pero aparece la obligación de llevar internamente un registro de las actividades del tratamiento (RAT).
5. ¿Está obligada la Comunidad de Propietarios a tenerlo (RAT) ? ¿Y los administradores de fincas?
Conforme al art 30.5 del reglamento esta obligación no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 1 del citado reglamento, por lo que la Comunidad de Propietarios sólo estaría obligada si cumple alguno de estos requisitos, pero desde Sepin recomendamos tenerlo, dado que es una buena medida de “responsabilidad activa” y facilita el correcto cumplimiento de la normativa, al igual que los Administradores de Fincas.
6. ¿En qué consiste el registro de las actividades del tratamiento?
Viene regulado en el art 30 del RGPD, donde se establece que deberá tener el siguiente contenido:
a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
b) los fines del tratamiento;
c) una descripción de las categorías de interesados y de las categorías de datos personales;
d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
e) en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1.
También el encargado de tratamiento deberá llevar un registro de todas las categorías de actividades de tratamiento efectuadas por el responsable donde se debe incluir:
a.- El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado, y, en su caso, del representante del responsable o del encargado, y del delegado de protección de datos;
b.- Las categorías de tratamientos efectuados por cuenta de cada responsable;
c.- En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
d.- Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 30, apartado 1.
Dichos registros deberán constar por escrito y en formato electrónico.
7. ¿Cómo se elabora el registro de las actividades del tratamiento?
En primer lugar, la AEPD realizar una primera fase relativa a la revisión de los tratamientos de datos de carácter personal que se venía realizando y del contenido de los ficheros, para facilitar esta revisión la AEPD permite obtener una copia digital del contenido completo de la declaración de los ficheros. En el registro se deberá incorporar todas aquellas actividades relacionadas con el tratamiento de los datos. La segunda fase implica incorporar las obligaciones de la nueva normativa, en las que se impone a cada responsable del tratamiento la obligatoriedad de incluir en el Registro de Actividades de Tratamiento:
- Atención a los derechos de las personas: lo que antes iba implícito en la gestión de cada fichero ahora cabría definirlo como una actividad de tratamiento específica, puesto que recogeremos los datos personales necesarios, según los principios que el artículo 5 del RGPD establece y explica, para poder atender los derechos de las personas que se dirijan a la organización.
- Notificación de una quiebra de seguridad de los datos personales a la autoridad de control y a los interesados: será ésta una actividad que refleje los datos de carácter personal que debo incluir para dar cumplimiento a lo establecido en los artículos 33 y 34 del RGPD.
La AEPD ha puesto a disposición de los responsables del tratamiento la aplicación FACILITA_RGPD cuyo uso recomendamos.
A modo de ejemplo para su elaboración la propia AEPD ha publicado su registro de actividades.
8. ¿Deben contar las Comunidades de Propietarios con la figura del Delegado de Protección de Datos (DPO)?
La figura del DPO es una de las incorporaciones del RGPD, se regula en el art 37, en el citado art. se indican las entidades que obligatoriamente deben tenerlo, donde en principio no entrarían las Comunidades de Propietarios.
9. ¿Conforme a la nueva normativa, es la Comunidad la responsable del tratamiento y el administrador de fincas el encargado?
Sí, el RGPD no varía nada en este asunto, la Comunidad de Propietarios es la responsable del tratamiento de los datos personales, mientras que el administrador actúa como encargado, pero la AEPD establece una serie de condiciones para que la relación Comunidad-Administrador-Protección de datos sea correcta.
El Administrador únicamente debe acceder a los datos con la finalidad exclusiva de prestar un servicio a la Comunidad, pues se en caso contrario podría ser considerado como responsable del tratamiento a efectos de sanciones. En caso de que el uso de los datos se realizara con fines no comprendidos en la Ley de Propiedad Horizontal (LPH) es necesario el consentimiento de todos los propietarios, con la novedad del RGPD que obliga a que el consentimiento sea expreso e inequívoco.
La relación entre la Comunidad de Propietarios y el Administrador de Fincas, conforme al RGPD debe constar por escrito (art 28)
10. ¿Qué obligaciones se desprenden de la normativa de protección de datos para las Comunidades de Propietarios y los Administradores de Fincas?
Los Administradores, como encargados del tratamiento, deben asesorar a las Comunidades para el cumplimiento de la Ley, por lo que deberán facilitar toda la información necesaria relativa a la actividad de esta.
Como ya se ha indicado, la obligación de inscribir los ficheros desaparece con la entrada en vigor del RGPD el 25 de mayo de 2018, remplazándose dicha actividad con el registro de actividades del tratamiento.
Para el cumplimiento del deber de información, tal y como establece la AEPD, se debe informar a todos los comuneros de manera “expresa e inequívoca” de la existencia de un tratamiento, de la identidad y dirección del responsable del tratamiento, de su finalidad, de los destinatarios y de la posibilidad de ejercer los derechos establecidos en el RGPD.
En cuanto al principio de Calidad de datos, se deben recabar únicamente los datos necesarios y/o pertinentes para el funcionamiento de la Comunidad para las finalidades establecidas en la LPH.
Conservación de datos, este principio requiere la cancelación de los datos personales una vez que éstos dejan de ser necesarios para la finalidad por la que fueron recabados, dichos plazos deben ser definidos y comunicados a los propietarios, aunque se permite la conservación de los mismos durante el tiempo en el que pueda exigirse responsabilidades (en el caso de los Administradores de fincas se podrán conservar datos durante el periodo de prescripción social, civil y/o fiscal) dichos datos quedarían bloqueados pudiendo únicamente estar a disposición de los Tribunales.
El deber de secreto implica que los responsables de la Comunidad (presidente, Junta Directiva) y los administradores no puedan revelar cualquier tratamiento que se haga de los datos personales, subsistiendo dicha obligación una vez finalizadas la relación con la Comunidad.
11. ¿Debe la Comunidad realizar análisis de riesgos a los tratamientos de datos personales?
La AEPD entiende que dado el mínimo riesgo que suponen el tratamiento de datos realizado, en principio no sería necesario sin perjuicio de que se adopten medidas de seguridad que garanticen el cumplimiento normativo.
12. ¿Puede el administrador ceder datos de los propietarios a terceros?
Para realizar cualquier tipo de cesión de datos es necesario el consentimiento expreso de los propietarios, donde se deberá informar sobre como se van a usar y acerca del procedimiento de revocación del consentimiento. La falta de consentimiento únicamente se puede suplir en aquellos casos contenidos en la normativa de protección de datos
13. ¿Es conforme a la normativa la cesión de los datos de carácter perosnal para la convocatoria a Junta por el 25% de los propietarios?
Este asunto resulta bastante controvertido pues la LPH legitima al 25% de los comuneros a convocar la junta, pero para poder realizar correctamente la notificación son necesarios los datos de todos los comuneros.
Conforme a la redacción del art 6.1f) del RGPD, entendemos que es válido el tratamiento si éste es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, por lo que en caso de la convocatoria a Junta por el 25% de los comuneros resultaría, en principio, legítima la cesión únicamente para cumplir con la convocatoria a Junta conforme a la LPH.
14. ¿Vulnera la normativa de protección de datos la entrega del acta a entidades financieras?
Facilitar las actas de la Junta a terceros como puede ser un banco, tras la renovación de cargos, por ejemplo, podría vulnerar el principio de proporcionalidad recogido en el RGPD, por lo que la AEPD en estos casos que el Secretario/Administrador certifique tal acuerdo (como en los casos de reclamación a morosos) con el fin de no mostrar las actas comunitarias a terceros.
15. Cuando un propietario solicita el acceso a la documentación de la Comunidad ¿Que debe hacer el Administrador de Fincas?
Esta situación tan típica en las Comunidades se encuentra fuera de los casos en los que la LPH obliga a la comunicación de datos a los comuneros, pero se entiende que puede existir un interés legítimo, que es la garantía de gestión de la finca.
Al implicar el acceso a determinados datos de carácter personal, dicha actuación deberá realizarse conforme al principio de minimización de datos y proporcionalidad, que obliga a que sólo se podrá tener acceso a aquellos que resulten adecuados, pertinentes y limitados para el cumplimiento del interés legítimo, debiendo adoptar en todo caso las medidas de seguridad. Por ejemplo, la AEPD entiende que el acceso a las nóminas de los trabajadores no estaría legitimado al resultar excesiva, al contrario de la consulta a documentos contables en los que se refleja la retribución de los trabajadores.
16. ¿Deben los Administradores de Fincas realizar un documento de seguridad como encargado del tratamiento?
Sí, las medidas de seguridad son aplicables en todos los tratamientos de datos, no habiendo especialidades respecto a otras situaciones. Dicho documento debe localizarse en el lugar en el que se encuentre el fichero.
Para la adaptación del documento al RGPD debe tenerse en cuenta el principio de proactividad, cuya finalidad es la adopción de todas las medidas posibles que permitan demostrar que se realizo un tratamiento acorde con la normativa de protección de datos, para ello es necesario realizar una evaluación del riesgo.
17. Con el RGPD ¿cambia la notificación en el tablón de anuncios?
No, siguen las mismas previsiones, para que la notificación en el tablón de anuncios esté amparada por la normativa de protección de datos se debe cumplir con la Ley de Propiedad Horizontal por lo que debe intentarse notificación conforme al art. 9 LPH.
18. ¿Qué ocurre con las cámaras de vigilancia?
El RGPD no establece mención expresa alguno, por lo que teniendo en cuenta todas las modificaciones relativas a los ficheros, documentos de seguridad… hasta la nueva LOPD la regulación no varía, por lo que se debe seguir con las previsiones dadas por la AEPD, que son: necesidad del acuerdo de junta, con la recomendación de que en dicho acuerdo conste las características del sistema a instalar; información de la instalación de cámaras donde debe constar la identidad del responsable del tratamiento y la dirección a la que puede dirigirse para solicitar los derechos, la instalación solo puede ceñirse a zonas comunes.
La AEPD ha publicado ya la nueva placa de información sobre videovigilancia.
19. ¿Quien tiene acceso a las grabaciones?
La Comunidad deberá designar y hacerlo constar por escrito, las personas designadas al acceso de las imágenes. Si el mismo es realizado con conexión a Internet debe restringirse con una cuenta de usuario y contraseña.
(Fuente SEPIN)
ADVOCATI ASESORES es un despacho abogados multidisciplinar fundado en 1993 cuyo objetivo es el asesoramiento de empresas y particulares, incluyendo la defensa judicial en todo tipo de materias. Si tiene algún problema legal no dude en consultarnos.
Nos cedemos los mecánicos
Usted y alguno de sus competidores han llegado a un acuerdo por el que se van a “prestar” a sus mejores trabajadores cuando alguna de las empresas lo necesite. ¿Sabe que ello supone una cesión ilegal y que no está permitido?
Caso real. Usted tiene un taller en una zona rural en la que hay pocos trabajadores especialistas. Por ello, ha llegado a un pacto con alguno de sus competidores para que éstos le cedan a su mejor mecánico cuando usted tenga una necesidad puntual. ¡Atención! ¿Sabe que esa forma de actuar no es correcta? ¿Qué consecuencias puede haber? ¿Qué alternativas tiene?
Es una cesión ilegal
Sólo por ETT. Si una empresa que no es una ETT (empresa de trabajo temporal) le cede a un trabajador cuando usted tenga una necesidad temporal, incurrirá en una cesión ilegal de trabajadores. Esto es así porque las únicas empresas que pueden ceder trabajadores son las ETT. ¡Atención! También hay cesión ilegal si su empresa subcontrata un servicio, pero actúa frente al trabajador de la subcontratista como si fuera su empresario. Es decir: le da órdenes, gestiona sus vacaciones y permisos, le da las mismas tareas que a otros de sus empleados...
Consecuencias. Si existe una cesión ilegal de trabajadores, tenga en cuenta:
El afectado podrá reclamar su condición de fijo en cualquiera de las empresas (tanto en la suya como en la otra, si tiene un contrato temporal con ésta). ¡Atención! Si elige su empresa, deberá pagarle el salario del convenio para su grupo profesional (además de las diferencias del último año, si se las reclama) y reconocerle la antigüedad desde el inicio de la cesión ilegal.
Ambas empresas responderán de forma solidaria (indistintamente) de las obligaciones contraídas con los empleados y con la Seguridad Social (salarios y cotizaciones).
Ambas empresas recibirán una multa de, al menos, 6.251 euros.
Cautela. Así pues, no se la juegue. Si necesita mano de obra, verifique si puede adoptar alguna de las medidas que se indican a continuación.
Alternativas válidas
Opción 1: ETT. La opción más sencilla para usted es recurrir a una ETT. Si en su zona no existe el perfil que necesita, reúnase con diferentes ETT para ver si pueden localizar a algún trabajador en otras zonas de su provincia. Apunte. Como dicha empresa le cobrará una factura por la búsqueda del trabajador, pondrá interés en satisfacer sus necesidades.
Opción 2: subcontratación. Otra alternativa es subcontratar el servicio en cuestión con otra empresa. En tal caso:
Firme un contrato con la subcontratista que describa el servicio a realizar. Apunte. Debe quedar claro que usted está contratando un servicio, y no la cesión de un trabajador.
Respecto al trabajador que se destine a su empresa, evite organizar su trabajo. Apunte. Debe ser la empresa subcontratista la que le marque las directrices a seguir y la que gestione su día a día (horario, permisos, tareas, poder disciplinario...).
Opción 3: formación. Si las opciones indicadas no son factibles (debido a la falta de empleados con el perfil que usted necesita), valore formar a uno de sus trabajadores en el perfil que necesita cubrir. Apunte. Recuerde que dispone de un crédito para gastar en formación cuya cuantía depende de las cotizaciones efectuadas en el año anterior.
Las únicas empresas que pueden ceder trabajadores son las ETT. Si no encuentra el tipo de empleado que necesita a través de una ETT, valore subcontratar el servicio o incluso formar a uno de sus trabajadores en el perfil que necesita cubrir.
(Fuente INDICATOR- FRANCIS LEFEBVRE)
En A.L.T. ASESORES somos abogados expertos en juicios laborales, Inspecciones de Trabajo, conciliaciones, elaboración de nóminas y seguros sociales, así como en materia de prevención de riesgos laborales. Si tiene algún problema en la materia no dude en consultarnos.