En una frase. Una comunidad de propietarios puede responder ante la AEPD cuando trata datos de vecinos, visitantes o empleados sin respetar el RGPD. Las situaciones que conviene revisar son cámaras, convocatoria y actas, comunicaciones a propietarios y acceso del administrador a los datos; ninguna infracción tiene una «multa típica» automática.
Puntos clave
- La comunidad decide las finalidades y medios principales; el administrador de fincas suele actuar como encargado cuando trata datos por cuenta de ella, según la guía sectorial AEPD.
- Las cámaras en zonas comunes requieren acuerdo previo de la Junta, información visible y encuadre proporcionado; la AEPD no fija una mayoría de tres quintos para todo sistema de cámaras.
- El artículo 16.2 de la Ley de Propiedad Horizontal (LPH) exige identificar en la convocatoria a quienes no están al corriente; un tablón general de morosos no queda autorizado por ello.
- El tablón puede emplearse como vía excepcional de notificación del artículo 9.1.h LPH tras intentar la notificación ordinaria y documentar la diligencia.
- Las sanciones dependen de hechos y criterios del artículo 83 RGPD. El tracker editorial de sanciones AEPD no es una fuente oficial de medias o importes esperables.
1. La comunidad como responsable del tratamiento
La comunidad es el centro de imputación de sus obligaciones de protección de datos y suele ser responsable del tratamiento cuando decide para qué se usan los datos. No hace falta atribuirle personalidad jurídica plena para aplicar esta regla. El presidente la representa conforme a la Ley de Propiedad Horizontal, pero su cargo no lo convierte automáticamente en responsable personal de cada tratamiento ni lo exime de cumplir sus funciones. El administrador de fincas suele ser encargado de tratamiento para la gestión por cuenta de la comunidad, con un contrato o acto que cumpla el artículo 28 RGPD; si utiliza los datos para finalidades propias, ese uso debe analizarse separadamente.
2. Videovigilancia: acuerdo, finalidad y campo de visión
La AEPD indica que la instalación en zonas comunes requiere acuerdo previo de la Junta. La mayoría concreta se determina con la LPH y el tipo de acuerdo, no con una regla universal de tres quintos atribuida por la normativa de privacidad. El acta debería describir la finalidad de seguridad, zonas cubiertas, número de cámaras y quién puede acceder. Las cámaras han de limitarse a zonas comunes; solo cabe captar una franja mínima de vía pública imprescindible para vigilar el acceso. No deben enfocarse viviendas ni terrenos colindantes.
Antes de contratar el sistema, revise imágenes reales de prueba: el plano sobre papel puede omitir una puerta de vivienda o la terraza vecina. Documente ajustes del ángulo y máscaras, perfiles autorizados, contraseña, registros de acceso, plazo de conservación y cómo se atiende una solicitud de acceso. El artículo 22.3 de la LOPDGDD fija, como regla general, supresión de imágenes en el plazo máximo de un mes, con excepción cuando sea necesario conservarlas para acreditar actos contra la integridad de personas, bienes o instalaciones y ponerlas a disposición de la autoridad competente en un máximo de 72 horas desde que se tenga conocimiento de la existencia de la grabación, conforme al artículo 22.3. No convierta ese máximo en una obligación de guardar todas las imágenes treinta días.
3. Cartel breve e información ampliada
El artículo 22.4 LOPDGDD exige colocar en un lugar suficientemente visible un dispositivo informativo que identifique, al menos, la existencia de la videovigilancia, la identidad del responsable y la posibilidad de ejercer los derechos de los artículos 15 a 22 RGPD. La AEPD ofrece un modelo de cartel y fichas de videovigilancia para comunidades. Coloque el aviso antes de que la persona entre en la zona grabada.
La información completa del artículo 13 RGPD debe mantenerse disponible de forma accesible por otro medio: finalidad, base jurídica aplicable, datos de contacto, plazo de conservación, destinatarios cuando proceda y modo de ejercer derechos. Puede indicarse en el cartel dónde consultarla; no hay que presentar cada campo de la información ampliada como texto obligatorio del pictograma breve. Compruebe que el enlace o el documento anunciado funciona y que la identidad de la comunidad responsable es correcta.
4. Deudas, convocatoria y tablón: tres situaciones distintas
El artículo 16.2 LPH dispone que la convocatoria de la Junta incluya una relación de propietarios que no estén al corriente de deudas vencidas con la comunidad y advierta de la privación del voto en los supuestos legales. Esta comunicación a los convocados tiene una finalidad precisa. La guía sectorial de la AEPD advierte que una lista general y permanente de morosos en el portal, dirigida a quien pase por allí, no queda amparada por esa regla. Tampoco convierte en anónimo al deudor escribir solo el número de piso si los demás pueden identificarlo.
El artículo 9.1.h LPH regula otra cuestión: si, intentada la citación o notificación al propietario en el domicilio previsto, no es posible practicarla, la comunicación puede colocarse en el tablón o lugar visible de uso general con diligencia que indique fecha y motivos, firma de quien ejerza secretaría y visto bueno del presidente. No es una licencia para exponer listas de deudas como presión social. Antes de colocar el documento, conserve prueba del intento de notificación, limite el contenido al necesario y retire la comunicación cuando pierda su finalidad. El artículo 21 LPH regula la reclamación de deudas; no es la base general para publicar una lista en el portal.
5. Por qué no hay una tabla fiable de «sanciones típicas»
Una denuncia por cámara mal orientada, otra por un cartel ausente y otra por divulgar deudas no producen una multa prefijada. La AEPD debe comprobar hechos, responsabilidad y criterios de graduación del artículo 83 RGPD. Una tabla que atribuye de antemano 3.000 o 15.000 euros a cada conducta confunde máximos legales, expedientes particulares y acuerdos de subsanación. El análisis de sanciones AEPD por videovigilancia sirve para localizar resoluciones concretas, no para extrapolar un precio por cámara. Para estimar el riesgo, documente qué datos se divulgaron, a quién, durante cuánto tiempo, si había advertencias previas y cómo se corrigió el defecto. Si cita un caso, enlace la resolución oficial y su fecha; no extrapole su importe a todas las comunidades.
6. Grupos de mensajería y correo a vecinos
La comunidad puede informar a los propietarios por canales proporcionados a su gestión, pero debe evitar que un grupo exponga teléfonos y perfiles personales a todos sin necesidad. Una lista de difusión o un portal con cuentas individuales puede reducir esa exposición. Antes de crear un grupo voluntario, explique su finalidad, quién lo administra, qué datos verán los participantes y cómo salir; no utilice un grupo informal para comunicar deudas, incidencias médicas o documentos reservados. Para correos con varios destinatarios, compruebe el uso de copia oculta cuando no sea necesario revelar las direcciones. La base jurídica debe examinarse por finalidad; no toda comunicación de la comunidad exige consentimiento, ni un acuerdo de Junta sustituye todos los requisitos del RGPD.
7. Acceso limitado a las grabaciones
El acceso se limita a personal expresamente autorizado para la finalidad de seguridad. Las fuerzas de seguridad pueden solicitar imágenes dentro de sus competencias y deben documentarse la solicitud y la entrega. La persona grabada puede ejercer su derecho de acceso, pero la comunidad debe proteger las imágenes de terceros, por ejemplo facilitando fotogramas enmascarados o información alternativa cuando corresponda.
Compartir grabaciones en un grupo de mensajería o entregarlas a un vecino sin finalidad legítima puede vulnerar la confidencialidad; no hay un importe sancionador automático.
8. Empresas externas: verificar el papel antes del artículo 28
Cuando un proveedor trata datos personales por cuenta de la comunidad, se necesita un contrato o acto de encargo conforme al artículo 28 RGPD. Es habitual con el administrador de fincas y puede ocurrir con el proveedor de CCTV o una aplicación de gestión. No toda empresa de limpieza es encargada por el simple hecho de entrar en el inmueble: determine primero si recibe datos para tratarlos siguiendo instrucciones o si solo presta un servicio material. Identifique además finalidades propias de cada proveedor y controle sus accesos. Si la comunidad cede datos a una inmobiliaria para la venta o alquiler de inmuebles, se aplican además las obligaciones descritas en nuestras guías de RGPD para agencias inmobiliarias y RGPD para inmobiliarias en España.
9. Junta de propietarios y datos
Las actas de Junta pueden incluir:
- Asistentes con coeficiente.
- Votaciones nominales si las hay.
- Acuerdos sobre cuotas y derramas.
Las actas y copias no deben incorporar ni divulgar comentarios personales innecesarios, motivos médicos o detalles familiares ajenos a los acuerdos. La guía sectorial AEPD exige aplicar minimización a la documentación comunitaria y limitar cada acceso a lo pertinente para el control de la gestión.
10. Designación de DPO en comunidades
La mayoría de comunidades NO necesitan DPO. Excepciones del art. 37 RGPD:
- Actividades principales que impliquen observación habitual y sistemática a gran escala, o tratamiento a gran escala de categorías especiales o datos penales.
- Otros supuestos que pudieran resultar de normativa aplicable.
El tamaño de la finca o la mera existencia de cámaras no hacen obligatoria por sí solos la designación de un DPO. La biometría requiere un examen estricto de necesidad, proporcionalidad y base legal antes de considerarse; no se justifica por contratar un DPO.
El administrador de fincas puede asumir asesoramiento básico pero no es DPO oficial salvo designación formal.
11. Cómo cumplir RGPD en comunidades
- Cartel CCTV conforme al modelo AEPD en cada zona videovigilada.
- Acuerdo de Junta cuando la LPH lo exija, especialmente antes de instalar cámaras, con finalidad y configuración documentadas.
- Si el administrador, la empresa de seguridad o la aplicación tratan datos por cuenta de la comunidad, formalizar un contrato u otro acto jurídico vinculante del artículo 28 RGPD; si actúan con finalidad propia, analizar esa función separadamente.
- Supresión de imágenes dentro del plazo general máximo de un mes del artículo 22.3 LOPDGDD, salvo excepción legal documentada.
- Procedimiento para atender derechos de protección de datos dentro del plazo general de un mes del artículo 12.3 RGPD, con posibilidad de prórroga en los supuestos previstos.
- Política básica de comunicación con vecinos.
12. Denuncia AEPD: procedimiento
Cualquier vecino o tercero puede denunciar gratuitamente en la sede electrónica AEPD. La AEPD analiza y puede:
- Archivar si no hay infracción.
- Iniciar procedimiento sancionador.
- Aplicar apercibimiento si la comunidad colabora y subsana.
Si recibe un requerimiento, registre el plazo indicado en ese acto, responda por el canal señalado y aporte prueba fechada de las medidas adoptadas; no existe un plazo universal de diez días para todos los requerimientos.
13. Una comprobación preventiva de bajo coste
Una comunidad puede empezar con cuatro carpetas: actas y convocatorias, videovigilancia, contratos de proveedores y comunicaciones a propietarios. En cada una, identifique responsable, finalidad, acceso y plazo de conservación. Visite físicamente el portal y observe el campo de visión real de las cámaras y el contenido del tablón. Pruebe una comunicación de correo y compruebe los destinatarios. Revise que las credenciales de la empresa de seguridad o de un antiguo administrador se hayan desactivado. Esta verificación produce evidencia concreta y permite corregir defectos sin especular sobre motivos de posibles reclamantes. Para el resto de operaciones, use un checklist RGPD básico adaptado a una comunidad, no a una empresa comercial.
14. El administrador de fincas ante la AEPD
Cuando la infracción se materializa, surge la pregunta de quién responde: ¿la comunidad o el administrador? La respuesta depende de quién decidió. Si la comunidad, en Junta, decidió instalar cámaras y el administrador ejecutó sus instrucciones, en principio la comunidad actúa como responsable de ese tratamiento. Si el administrador, por su cuenta, creó un grupo de WhatsApp con todos los vecinos o difundió grabaciones sin instrucción, puede responder como encargado que se extralimitó (art. 28.10 RGPD, que lo convierte en responsable respecto de ese tratamiento). Por eso el contrato de encargado no es un formalismo: delimita responsabilidades y protege a ambas partes. Un administrador prudente conserva las instrucciones por escrito y solicita acuerdo de Junta cuando la LPH lo requiere, por ejemplo para cámaras en zonas comunes. La calificación depende de las decisiones reales, no solo del rótulo contractual.
Revisar un sistema de cámaras paso a paso
Solicite el acuerdo de Junta y compárelo con la instalación real: número de equipos, acceso al garaje, ascensor, portal y espacios adyacentes. Si una cámara capta una puerta de vivienda o la acera más allá de la franja indispensable, ajuste el encuadre antes de discutir un plazo de conservación. Compruebe que el cartel se vea antes de entrar en la zona videovigilada y que la información ampliada permita ejercer derechos. La página de videovigilancia de la AEPD contiene fichas específicas para comunidades y modelos de cartel. El administrador debería conservar prueba de la colocación del aviso y de la revisión periódica de cámaras.
En la sala o aplicación donde se ven imágenes, limite perfiles y anote accesos. Una clave compartida entre todos los miembros de la Junta impide atribuir una consulta concreta y facilita la difusión indebida. Si el sistema permite descargar vídeos, defina quién puede hacerlo y cómo queda registrada la operación. La información para propietarios y visitantes debe distinguir entre visionado por seguridad, entrega a una autoridad y respuesta a una solicitud de derechos. Una petición de un vecino que dice haber sufrido un robo no convierte automáticamente en lícito enviarle toda una jornada de grabación con terceros reconocibles.
Convocatoria y deuda: ejemplo documentado
Suponga que un propietario debe dos cuotas vencidas. Para convocar la Junta, la comunidad incluye la relación prevista por el artículo 16.2 LPH y advierte sobre el voto conforme al artículo 15.2 cuando proceda. Remite la convocatoria por el cauce correspondiente. Si no logra notificar a ese propietario en el domicilio previsto por el artículo 9.1.h, documenta los intentos y, solo entonces, coloca la comunicación en el tablón con fecha, motivo, firma de secretaría y visto bueno de presidencia. La ley atribuye efectos a esa notificación transcurridos tres días naturales. No se deduce de esta secuencia que sea lícito dejar una lista de deudores colgada permanentemente para presionar el pago.
Si un copropietario pide copia del acta o de facturas, examine la finalidad de control de la gestión y oculte datos ajenos a ella, como números de cuenta o información sanitaria. La guía sectorial AEPD recuerda que el derecho de acceso a documentación comunitaria no equivale a abrir todo el archivo del administrador. La misma cautela vale para el envío por correo: verifique destinatarios y adjuntos antes de remitir un PDF a decenas de propietarios.
Quién responde cuando intervienen varios proveedores
La comunidad decide instalar las cámaras, fija finalidad y autoriza accesos. El administrador ejecuta instrucciones y custodia documentación. La empresa de seguridad puede operar la plataforma. El proveedor de la aplicación puede alojar cuentas y mensajes. Esta cadena necesita un mapa de roles, no la presunción de que cualquier contratista es encargado. Para cada tercero, pregunte si trata datos por cuenta de la comunidad, si decide un fin propio, qué datos ve, si subcontrata y qué sucede al terminar el contrato. Una cláusula del artículo 28 debe especificar instrucciones, confidencialidad, seguridad, subencargos, asistencia para derechos, devolución o supresión y auditoría.
El artículo 28 RGPD no exime a la comunidad de supervisar. Si cambia de administrador, solicite entrega ordenada de actas, contactos, historial de incidencias y credenciales, y cierre el acceso del anterior. Si una inmobiliaria solicita datos para vender una vivienda, no use la lista de propietarios de la comunidad como fuente comercial. Las guías de RGPD para agencias inmobiliarias y RGPD inmobiliario en España tratan finalidades comerciales distintas de la administración de la finca.
Cómo responder a una queja o requerimiento
Ante una queja por una cámara, no borre de inmediato todas las imágenes ni entregue copias indiscriminadas. Preserve la evidencia pertinente con acceso restringido, documente el campo de visión, el acuerdo, los carteles, el plazo de borrado y cualquier modificación realizada. Si la queja versa sobre deudas, reúna convocatoria, intentos de notificación, diligencia de tablón y fecha de retirada. Si procede subsanar, hágalo y conserve prueba de la corrección sin presentar el estado nuevo como si hubiera existido desde el principio.
La persona afectada puede reclamar ante la AEPD. La Agencia puede pedir información, archivar, ordenar medidas o abrir un procedimiento. La respuesta de la comunidad debe identificar quién representa a la entidad, quién conserva las pruebas y quién conoce el sistema técnico. Un modelo de registro de actividades puede ayudar a reunir finalidades y destinatarios, siempre que describa las operaciones reales.
FAQ
¿Necesito acuerdo de Junta para poner cámaras?
Sí: la AEPD exige acuerdo previo de Junta para cámaras en zonas comunes. La mayoría aplicable se determina según el acuerdo concreto y la LPH; no existe una regla de privacidad que imponga siempre tres quintos para cualquier cámara.
¿Puedo publicar la lista de morosos en el tablón?
La convocatoria a la Junta puede contener la relación exigida por el art. 16.2 LPH. Una lista general en el tablón no queda autorizada por ello. El tablón sirve excepcionalmente para una citación o notificación imposible de practicar en la forma ordinaria, con la diligencia del art. 9.1.h LPH.
¿El administrador es responsable o encargado?
Para la gestión ordinaria por cuenta de la comunidad, el administrador suele actuar como encargado y la comunidad como responsable; el artículo 28 exige contrato u otro acto jurídico vinculante. Si el administrador decide finalidades propias, ese tratamiento se califica separadamente.
¿Cuánto tiempo puedo guardar las grabaciones?
La regla general del art. 22.3 LOPDGDD es suprimir las imágenes en un plazo máximo de un mes; si deben conservarse para acreditar actos contra personas, bienes o instalaciones, se aplican las condiciones de puesta a disposición de la autoridad competente. No es una obligación de conservar durante todo el mes.
Fuentes oficiales: LPH consolidada, arts. 9, 15, 16, 17 y 21; RGPD, arts. 5, 12, 15, 28, 37 y 83; LOPDGDD, art. 22; guía AEPD de administradores de fincas; AEPD sobre cámaras en comunidades.