Protección de Datos en Condominios y Administradoras

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

Los condominios y las administradoras manejan a diario datos personales sensibles de miles de residentes, y el incumplimiento de la LGPD (Ley General de Protección de Datos de Brasil) en este ámbito puede acarrear multas y responsabilidad civil.

El volumen de datos personales en el entorno condominial

Al analizar la rutina de un condominio residencial o comercial, se advierte que el flujo de datos personales es mucho mayor de lo que la mayoría de los síndicos (administradores del condominio elegidos por los propietarios) y de las administradoras imagina. Los registros de residentes e inquilinos contienen nombre completo, CPF (número de identificación fiscal de personas físicas), RG (documento de identidad), domicilio, teléfono, correo electrónico, datos de vehículos y, en muchos casos, información biométrica, como huellas dactilares y reconocimiento facial. Las porterías que utilizan sistemas de control de acceso registran horarios de entrada y salida, imágenes de cámaras de seguridad y datos de los visitantes que pasan por el lugar.

Las administradoras de condominios, por su parte, centralizan la información financiera de los condóminos (boletos bancarios, morosidad, datos bancarios para el débito automático), además de documentos personales para los fines de asambleas y votaciones. Este conjunto de información constituye, sin lugar a dudas, tratamiento de datos personales en los términos de la Ley General de Protección de Datos (Ley 13.709/2018). Se constata que muchos de estos agentes ni siquiera son conscientes de que están sujetos a las obligaciones de la LGPD, lo que representa un riesgo jurídico considerable.

La recolección de datos biométricos merece una atención redoblada. La LGPD clasifica los datos biométricos como datos personales sensibles, lo que significa que su tratamiento exige una base legal específica y medidas de seguridad reforzadas. Los condominios que han implementado porterías con reconocimiento facial o lectura de huellas dactilares deben evaluar si cuentan con el consentimiento adecuado de los titulares o si pueden fundamentar el tratamiento en otra base legal prevista en el artículo 11 de la ley.

Obligaciones legales de condominios y administradoras frente a la LGPD

La primera duda que suele surgir se refiere al encuadre de los condominios en la LGPD. Aunque los condominios edilicios no tienen personalidad jurídica plena, ello no los exime de la aplicación de la ley. La LGPD se aplica a cualquier persona natural o jurídica (de derecho público o privado) que realice operaciones de tratamiento de datos personales. Como el condominio trata datos personales de residentes, empleados, prestadores de servicios y visitantes, queda plenamente sometido a las disposiciones de la legislación.

Las administradoras de condominios, al ser empresas formalmente constituidas, se encuadran sin margen de duda como agentes de tratamiento. En la relación entre condominio y administradora, es necesario definir con claridad quién actúa como controlador y quién como operador de los datos. Por regla general, el condominio es el controlador (pues determina las finalidades y los medios del tratamiento de los datos de los condóminos), mientras que la administradora actúa como operadora (realiza el tratamiento de datos en nombre del condominio y siguiendo sus instrucciones). Esta distinción es fundamental porque determina responsabilidades distintas en caso de incidente de seguridad o infracción de la ley.

Entre las obligaciones que se consideran prioritarias para la adecuación, cabe destacar: la elaboración de un inventario de los datos personales tratados (un mapeo completo de qué datos se recolectan, con qué finalidades, durante cuánto tiempo se almacenan y con quién se comparten); la definición de bases legales para cada actividad de tratamiento; la implementación de medidas técnicas y administrativas de seguridad de la información; el nombramiento de un encargado de protección de datos (DPO); y la creación de procedimientos para atender los derechos de los titulares, como el acceso, la rectificación y la eliminación de datos.

La adecuación a la LGPD en los condominios no es una cuestión de tamaño ni de complejidad, sino de responsabilidad con los datos personales de todos los que circulan por ese entorno.

El contrato entre el condominio y la administradora debe contener cláusulas específicas sobre protección de datos, que detallen las responsabilidades de cada parte, las medidas de seguridad exigidas, el tratamiento en caso de subcontratación y los procedimientos ante incidentes. Se observa que la gran mayoría de los contratos de administración condominial vigentes en Brasil todavía no incluye estas cláusulas, lo que representa una vulnerabilidad significativa.

Cámaras de seguridad, biometría y el principio de necesidad

El uso de cámaras de vigilancia (CFTV, circuito cerrado de televisión) en las áreas comunes de los condominios es una práctica consolidada y, en general, legítima. Sin embargo, la LGPD impone límites claros. Las imágenes captadas por cámaras de seguridad constituyen datos personales cuando permiten identificar a las personas, y su tratamiento debe observar los principios de finalidad, adecuación y necesidad. Esto significa que las cámaras deben ubicarse únicamente en lugares donde la vigilancia esté justificada (áreas comunes, porterías, garajes), nunca en espacios que vulneren la intimidad de los residentes.

El plazo de conservación de las imágenes es un punto sensible. La legislación brasileña no establece un plazo único y obligatorio para conservar las imágenes de CFTV, pero el principio de necesidad determina que las grabaciones se mantengan solo durante el tiempo necesario para cumplir su finalidad. Suelen adoptarse períodos de entre 30 y 90 días, pero cada condominio debe evaluar su propia realidad y documentar la justificación del plazo elegido.

En cuanto a la biometría, se recomienda que los condominios evalúen con cuidado si el uso de esta tecnología es realmente necesario o si existen alternativas menos invasivas que cumplan la misma finalidad de control de acceso. Las tarjetas de proximidad, los tags vehiculares y las contraseñas numéricas son ejemplos de alternativas que no implican datos sensibles. Cuando se mantenga la opción por la biometría, es imprescindible obtener el consentimiento libre, informado e inequívoco de los titulares, además de garantizar que el sistema cuente con un cifrado adecuado y que los datos biométricos no se compartan con terceros sin base legal.

Otro aspecto relevante es el intercambio de imágenes de las cámaras con residentes o terceros. Las solicitudes de acceso a las grabaciones deben analizarse caso por caso, teniendo en cuenta que las imágenes pueden contener datos personales de otras personas. La entrega indiscriminada de grabaciones en grupos de mensajería o redes sociales puede constituir una infracción de la LGPD y generar responsabilidad para el condominio.

Due diligence de datos: cómo evaluar y mitigar riesgos

El proceso de due diligence de datos en el contexto condominial consiste en una evaluación sistemática de las prácticas de tratamiento de datos personales, que identifica vulnerabilidades, mide riesgos y propone medidas correctivas. Se recomienda realizar este proceso periódicamente (al menos una vez al año) y siempre que haya un cambio significativo en los sistemas o procesos del condominio.

En la práctica, la due diligence comprende varias etapas que se consideran esenciales. La primera es el mapeo completo del ciclo de vida de los datos: desde la recolección (registro de residentes, registro de visitantes, captación de imágenes) hasta su eliminación. Es fundamental identificar todos los puntos de recolección, los sistemas donde se almacenan los datos, las personas que tienen acceso y las eventuales comunicaciones a terceros (empresas de portería remota, oficinas de cobranza, contadores).

La segunda etapa es el análisis de riesgos propiamente dicho. Para cada actividad de tratamiento mapeada, se evalúa la probabilidad de que ocurran incidentes (filtración, acceso no autorizado, pérdida de datos) y su impacto potencial para los titulares. Los datos sensibles, como la biometría y la información financiera, reciben una clasificación de riesgo más elevada. A partir de ese análisis, priorizamos las acciones de mitigación según la criticidad identificada.

Entre las medidas de mitigación más relevantes, cabe destacar: la implementación de controles de acceso lógico (contraseñas individuales, autenticación en dos factores, perfiles de acceso diferenciados en los sistemas); el cifrado de los datos sensibles en reposo y en tránsito; la realización de copias de seguridad periódicas con pruebas de restauración; la capacitación periódica de empleados y prestadores de servicios sobre prácticas de protección de datos; y la formalización de políticas internas de seguridad de la información accesibles a todos los involucrados.

Para las administradoras que gestionan varios condominios, la due diligence adquiere una dimensión aún mayor. Cada condominio administrado representa un controlador distinto, y la administradora debe demostrar su conformidad respecto de todos ellos. Se observa que la adopción de un programa de gobernanza de la privacidad estructurado, con políticas estandarizadas y adaptables a la realidad de cada condominio, es el enfoque más eficiente para las administradoras medianas y grandes.

Consecuencias del incumplimiento y buenas prácticas de conformidad

Las sanciones previstas en la LGPD son aplicables desde agosto de 2021, y la Autoridad Nacional de Protección de Datos (ANPD) de Brasil ha intensificado su labor fiscalizadora. Las penalidades van desde advertencias hasta multas de hasta el 2% de la facturación de la persona jurídica (limitadas a R$ 50 millones por infracción), además de la publicidad de la infracción y el bloqueo o la eliminación de los datos personales. En el caso de los condominios, aunque la aplicación de una multa pecuniaria suscita discusiones sobre la base de cálculo (dada la ausencia de facturación en sentido empresarial), las demás sanciones son plenamente aplicables.

Además de las sanciones administrativas, se constata que la vía judicial es utilizada cada vez más por los titulares de datos que se sienten perjudicados. Las acciones individuales y colectivas fundadas en la LGPD pueden dar lugar a condenas por daños morales y materiales, tanto contra el condominio como contra la administradora. La responsabilidad puede recaer incluso sobre el síndico a título personal, si se demuestra que hubo negligencia en la adopción de medidas de protección de datos.

Para construir una cultura de conformidad, se recomienda que los condominios y las administradoras adopten un conjunto de buenas prácticas que incluya: la elaboración y difusión de un aviso de privacidad claro, que informe a residentes y visitantes qué datos se recolectan y con qué finalidades; la revisión periódica de los sistemas de control de acceso y vigilancia; la inclusión de cláusulas de protección de datos en todos los contratos con prestadores de servicios; la realización de capacitaciones periódicas con el personal de portería, limpieza y mantenimiento; la creación de un canal para que los titulares puedan ejercer sus derechos (acceso, rectificación, eliminación); y la documentación de todas las decisiones y medidas adoptadas en materia de protección de datos, de modo que quede un registro que demuestre la buena fe del condominio en caso de fiscalización.

La protección de datos en condominios y administradoras no es solo una obligación legal, sino una muestra de respeto a la privacidad de todos los que habitan o frecuentan ese espacio. Cuanto antes se inicie el proceso de adecuación, menores serán los riesgos y más sólida será la posición del condominio ante eventuales cuestionamientos.

Este asunto guarda relación directa con el informe de impacto de protección de datos, tema que se aborda en un artículo específico.

Este asunto guarda relación directa con los datos sensibles en la LGPD, tema que se aborda en un artículo específico.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.