En corto. No. Una comunidad de propietarios no está obligada a nombrar un delegado de protección de datos (DPO). Ni el artículo 37.1 del RGPD ni la lista del artículo 34.1 de la LOPDGDD la incluyen, y la AEPD lo confirma en su pregunta frecuente 0905 de comunidades de propietarios. Eso no la libera de la normativa: sigue siendo responsable del tratamiento y debe llevar su registro de actividades, informar, atender derechos, cumplir las reglas de la videovigilancia y firmar un contrato con el administrador de fincas. Nombrar un DPO es una decisión voluntaria (artículo 34.2 LOPDGDD), con sus propias obligaciones.

Qué dice la AEPD sobre el DPO en las comunidades de propietarios

La Agencia lo responde en la FAQ 0905, titulada «Las comunidades de propietarios ¿Deben nombrar un delegado de protección de datos?». El texto oficial dice:

«El Reglamento General de Protección de Datos (RGPD) en su artículo 37 establece una serie de supuestos en que en relación a determinados tratamientos debe nombrarse un delegado de protección de datos. Entre estos supuestos no se encuentran las comunidades de propietarios, por lo que no es obligatorio su nombramiento.»

La misma respuesta recuerda que la Agencia no es competente para resolver disputas entre copropietarios ni para dar el asesoramiento jurídico individualizado que solo un abogado o un DPO puede dar a una comunidad. La guía sectorial de la AEPD sobre protección de datos y administración de fincas añade que obligaciones como designar un DPO o hacer evaluaciones de impacto no parece que vayan a tener impacto «con carácter general» en este ámbito, porque el RGPD las reserva a tratamientos con cierto nivel de riesgo, que no se da en los tratamientos habituales de las comunidades.

Por qué una comunidad no entra en el artículo 37 del RGPD ni en el 34 de la LOPDGDD

El artículo 37.1 del RGPD obliga a designar un DPO cuando:

Una comunidad de propietarios no es un organismo público, y sus actividades principales (administrar un inmueble en régimen de propiedad horizontal) no son observar a las personas a gran escala ni tratar datos sensibles a gran escala.

El artículo 34.1 de la LOPDGDD añade una lista de entidades obligadas «en todo caso»: colegios profesionales, centros docentes y universidades, operadoras de comunicaciones electrónicas, entidades de crédito, aseguradoras, distribuidoras de energía, centros sanitarios, empresas de seguridad privada, federaciones deportivas que traten datos de menores y otras. Las comunidades de propietarios no figuran en ninguna de sus letras, de la a) a la o).

Qué debe cumplir una comunidad aunque no tenga DPO

La AEPD (FAQ 0902) explica que la comunidad es la responsable del tratamiento de sus datos personales y que ambos, comunidad y administrador, deben someterse a la normativa de protección de datos. Cita estas obligaciones, entre otras:

Sobre el registro, la AEPD precisa que es un documento interno que no se envía a la Agencia. Para montarlo puedes partir del generador del registro de actividades de tratamiento. El ejercicio de derechos tiene su propia guía: derechos de acceso, rectificación, supresión y el resto, y cómo atenderlos.

El administrador de fincas es encargado del tratamiento

La FAQ 0902 dice que, si la comunidad tiene contratado un administrador de fincas, este actúa como encargado del tratamiento, y que el contrato entre ambos debe contener las cláusulas de protección de datos. El artículo 28.3 del RGPD concreta qué debe fijar ese contrato: objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos y categorías de interesados. Exige además que el encargado trate los datos solo con instrucciones documentadas, garantice la confidencialidad de las personas autorizadas y tome las medidas de seguridad del artículo 32.

Un detalle práctico: el artículo 33.2 del RGPD obliga al encargado a notificar al responsable «sin dilación indebida» las violaciones de seguridad de las que tenga conocimiento. La comunidad, como responsable, tiene entonces 72 horas, cuando es posible, para notificarla a la AEPD si hay riesgo (artículo 33.1 del RGPD). La herramienta de brechas ayuda a valorarlo.

Videovigilancia en zonas comunes

El artículo 22 de la LOPDGDD permite tratar imágenes para preservar la seguridad de personas, bienes e instalaciones, con estas reglas:

La guía de la AEPD para administradores de fincas añade lo propio de una comunidad:

Tablón de anuncios y morosos

Según la guía de la AEPD, publicar en el tablón de avisos la identidad de los propietarios deudores o las cuotas impagadas «no está amparada por la normativa de protección de datos» con carácter general. La Ley de Propiedad Horizontal sí permite dar a conocer a los copropietarios las deudas incluyéndolas en la convocatoria de la Junta. Cuando no es posible practicar una notificación en el domicilio, la propia ley prevé la colocación en el tablón de anuncios con una diligencia firmada por el secretario con el visto bueno del presidente, y la guía recoge ese supuesto como excepción.

Cuándo puede convenir un DPO voluntario en una comunidad

El artículo 34.2 de la LOPDGDD permite a quien no está obligado designar un DPO «de manera voluntaria», y entonces queda sometido al régimen del RGPD y de la propia ley. El artículo 34.3 pide comunicar designaciones, nombramientos y ceses a la AEPD en diez días «tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria».

No hay un criterio oficial que diga cuándo conviene. Esta es mi lectura, como orientación:

En la mayoría de comunidades pequeñas, lo proporcionado es cumplir bien lo básico: registro, cláusulas con el administrador, cartel y acuerdo de Junta para las cámaras. Si una Junta se plantea la opción voluntaria, la comparativa entre DPO interno y externo y la guía de designación y comunicación a la AEPD resuelven la parte práctica. Para ver qué incluye ese servicio, está la página de DPO externo.

Qué hacer esta semana

  1. Comprueba que existe el registro de actividades de tratamiento de la comunidad, incluidas las cámaras.
  2. Revisa el contrato con el administrador: debe llevar las cláusulas del artículo 28.3 del RGPD.
  3. Comprueba que hay acuerdo de Junta en acta para cada cámara y cartel visible en cada acceso a la zona videovigilada.
  4. Revisa qué se publica en el tablón de anuncios y en las convocatorias.
  5. Comprueba que la grabación se borra en un mes y que solo accede quien la Junta ha designado.
  6. Deja anotado quién atiende las solicitudes de derechos y cómo.

Todo el mapa de la materia está en el hub de protección de datos. Si me quieres contar tu caso, puedes reservar una consulta y revisamos qué le falta a tu comunidad.

Preguntas frecuentes

¿Es obligatorio un DPO en una comunidad de propietarios?

No. La AEPD lo dice en su FAQ 0905: el artículo 37 del RGPD enumera los supuestos en que debe nombrarse un DPO y entre ellos no se encuentran las comunidades de propietarios. El artículo 34.1 de la LOPDGDD tampoco las incluye en su lista.

¿Qué debe hacer entonces una comunidad para cumplir con la protección de datos?

Debe llevar un registro de actividades de tratamiento, informar a las personas cuyos datos trata, atender sus derechos, determinar la base legal de cada tratamiento y firmar con el administrador de fincas un contrato con las cláusulas de protección de datos, como indica la FAQ 0902 de la AEPD.

¿Quién es responsable de los datos, la comunidad o el administrador de fincas?

La comunidad es la responsable del tratamiento y el administrador de fincas actúa como encargado, según la FAQ 0902 de la AEPD. Sus relaciones se regulan con un contrato que cumpla el artículo 28.3 del RGPD.

¿Puede una comunidad poner cámaras de videovigilancia sin más?

No. La guía de la AEPD para administradores de fincas pide el acuerdo de la Junta de propietarios, reflejado en acta, un cartel informativo en cada acceso a la zona videovigilada, y limitar las cámaras a las zonas comunes. El artículo 22.3 de la LOPDGDD fija un plazo máximo de supresión de un mes.

¿Puede una comunidad nombrar un DPO si no está obligada?

Sí. El artículo 34.2 de la LOPDGDD lo permite de forma voluntaria, y entonces el DPO queda sometido al mismo régimen del RGPD y de la ley. La designación también se comunica a la AEPD en diez días (artículo 34.3).

Fuentes

Herramientas gratuitas relacionadas

Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.

Generador de RAT · art. 30 RGPD →Genera tu registro de actividades de tratamiento pre-rellenado por actividad, editable e imprimible.Brecha de datos: ¿notificar a la AEPD? →Comprueba si debes notificar en 72 horas, comunicar a los afectados y qué documentar.Simulador de sanciones RGPD →Estima de forma orientativa tu exposición a multas del RGPD.