Imagen generada con IA.
Nuevo precedente tras ratificar una multa AEPD por WhatsApp en una comunidad de vecinos. La difusión no autorizada de datos personales en un grupo de chat informal o de propietarios puede conllevar importantes sanciones económicas por vulnerar la normativa del RGPD.
La Agencia Española de Protección de Datos ha vuelto a dejar clara una idea que muchas comunidades de propietarios todavía subestiman: un grupo de WhatsApp vecinal, por muy «informal» que parezca, sigue estando sujeto al RGPD igual que cualquier otro canal de comunicación oficial. La resolución nº EXP202316101 sanciona con 1.000 euros a una mancomunidad de propietarios por difundir, a través de dos chats distintos, datos de salud de una vecina que nunca autorizó esa divulgación.
El caso: datos personales de vecinos y empleados difundidos por un canal «informal»
Todo arrancó de forma cotidiana. Una vecina —a la que la resolución se refiere como Lucía— comunicó a la presidenta de su bloque que padecía una sensibilidad química que se agravaría con un tratamiento fitosanitario previsto para el jardín comunitario. Su intención era clara y limitada: pedir que se paralizara esa actuación, y para ello confió la información exclusivamente a la presidenta y al jardinero.
Sin embargo, la presidenta reenvió el parte médico completo a dos grupos de WhatsApp: el de los presidentes de las distintas comunidades que integran la mancomunidad y otro en el que participaban todos los propietarios del bloque donde vivía la afectada. Ninguno de esos destinatarios necesitaba conocer el diagnóstico concreto de Lucía para entender que los trabajos de jardinería se aplazaban.
Cuando la vecina descubrió que su información médica circulaba entre un público mucho más amplio del que había consentido, presentó una reclamación ante la AEPD. La mancomunidad intentó defenderse alegando que esos chats no eran un canal oficial de comunicación y que cada vecino los usaba a título particular, un argumento que la Agencia rechazó de plano.
A pesar de que los administradores o presidentes argumenten que un chat es un canal informal, la multa AEPD por WhatsApp en la comunidad de vecinos se aplica al considerar que la divulgación de números de teléfono, recibos o identidades violan el principio de confidencialidad y la protección de datos personales.
Por qué WhatsApp no es un canal exento del RGPD
La resolución es contundente en un punto: el hecho de que la comunicación se produzca por un medio informal, rápido y de uso cotidiano no elimina las obligaciones del responsable del tratamiento. La AEPD considera que la mancomunidad seguía siendo responsable de esos datos porque los había obtenido para una finalidad muy concreta —evitar el tratamiento fitosanitario— y estaba obligada a protegerlos con independencia del canal por el que se movieran después.
La Agencia distingue con claridad entre informar de una decisión y justificar esa decisión revelando datos médicos. Según recoge la propia resolución, «la difusión completa del escrito ha supuesto una difusión de datos personales, sin el consentimiento expreso» de la afectada. La comunidad podía perfectamente anunciar que los trabajos se posponían sin necesidad de identificar a la vecina ni de detallar su condición de salud.
La AEPD aprecia dos infracciones distintas en los mismos hechos. La primera, del artículo 5.1.f) del RGPD, por vulnerar el principio de integridad y confidencialidad al permitir que terceros no autorizados accedieran a datos médicos sin anonimizar. La segunda, del artículo 9, por tratarse de una categoría especial de datos —los relativos a la salud— que exige garantías reforzadas. Cada infracción se sancionó con 500 euros, hasta sumar los 1.000 euros totales.
Riesgos de multa AEPD por WhatsApp en comunidades de vecinos
Este caso sirve para trazar una línea práctica que muchas comunidades no tienen del todo clara:
- SÍ se puede avisar de que se suspende, retrasa o modifica un servicio o trabajo comunitario, sin necesidad de justificar el motivo con datos personales de nadie.
- SÍ se puede compartir convocatorias de juntas, actas resumidas sin datos sensibles, incidencias genéricas de mantenimiento o avisos de cortes de suministro.
- NO se puede difundir datos de salud, situaciones económicas, impagos con nombre y apellidos, denuncias entre vecinos o cualquier información que identifique a una persona junto con una categoría especial de datos.
- NO se puede reenviar documentos completos —partes médicos, requerimientos, correos privados— cuando basta con comunicar la decisión que de ellos se deriva.
- NO se puede asumir que, por tratarse de un grupo «no oficial», la responsabilidad se diluye entre los vecinos que lo administran.
El criterio de fondo que aplica la AEPD es el mismo que rige cualquier otro tratamiento: minimización de datos. Si la finalidad se puede cumplir sin identificar a nadie ni revelar información sensible, difundir esos datos adicionales deja de estar justificado y se convierte en una infracción.
¿Cómo evitar una multa AEPD por WhatsApp en tu comunidad?
Aunque la sanción de este caso es moderada, la doctrina que fija la AEPD tiene un alcance mucho mayor, porque los grupos de WhatsApp vecinales son ya el canal de comunicación más habitual en miles de comunidades de propietarios en España. Algunas pautas básicas para evitar situaciones similares:
- Antes de reenviar cualquier documento a un grupo, preguntarse si es imprescindible identificar a una persona concreta para lograr el objetivo del mensaje.
- Nunca compartir partes médicos, bajas, informes de salud o cualquier dato de categoría especial, ni siquiera cuando la propia persona afectada lo comunicó voluntariamente a un tercero limitado.
- Formar a presidentes y vocales sobre esta distinción: informar de una decisión no equivale a divulgar los motivos personales que la sustentan.
- Cuando el administrador de fincas gestione estos canales, dejar constancia por escrito de qué tipo de información está autorizado a compartir en ellos y cuál no.
- Ante cualquier duda, optar por comunicaciones genéricas y, si se necesita detalle, dirigirlas de forma individual solo a quien deba conocerlas.
El caso de esta mancomunidad demuestra que el RGPD no distingue entre comunicaciones «serias» y comunicaciones «del día a día»: basta con que exista un dato personal identificable para que se activen todas las garantías del Reglamento, sea cual sea la aplicación de mensajería utilizada.
¿Perteneces a una comunidad de propietarios o administras fincas y quieres evitar sanciones de la AEPD?
Un grupo de chat o una comunicación mal gestionada puede costar miles de euros. En DataIbérica analizamos tus canales de comunicación y adaptamos el tratamiento de datos a la normativa vigente.
📲 Contacta con nuestro equipo de consultores en protección de datos y solicita una auditoría de protección de datos para tu comunidad gratuita. Si eres presidente, propietario o administrador y necesitas auditoría o redactar cláusulas de confidencialidad y consentimiento, en DataIbérica te ayudamos.
Fuente: Confilegal
