El sector inmobiliario y de la construcción en España atraviesa un momento de exigencia regulatoria sin precedentes. La confluencia de la normativa de protección de datos, el cumplimiento normativo penal, las obligaciones antibloqueo de blanqueo de capitales y los estándares específicos de los sectores financiero, asegurador y sanitario convierte la gestión del riesgo legal en una prioridad estratégica para cualquier empresa de este ámbito. No actuar tiene un coste que se mide en sanciones, en responsabilidad de los administradores y en daño reputacional de difícil reparación.
El sector inmobiliario y de la construcción no opera en un vacío normativo. Al contrario, se encuentra en el cruce de varias capas regulatorias que se superponen y que generan obligaciones distintas según el tamaño de la empresa, su actividad concreta y los datos que maneja.
La base es el RGPD y la LOPDGDD, aplicables a cualquier entidad que trate datos de personas físicas. Esto incluye a promotoras, constructoras, agencias inmobiliarias, administradores de fincas y gestoras de activos. El tratamiento de datos de compradores, arrendatarios, trabajadores en obra, subcontratistas y, en determinados supuestos, de datos de salud vinculados a la siniestralidad laboral, genera un universo de obligaciones que va muy por encima de colocar una cláusula de privacidad en la web.
La creencia de que una política de privacidad genérica cubre el cumplimiento con el RGPD es, precisamente, el error más frecuente que encontramos en nuestra práctica. Esta percepción es incorrecta. El RGPD exige, entre otros elementos, un registro de actividades de tratamiento actualizado, la identificación de bases jurídicas para cada tratamiento, evaluaciones de impacto cuando el riesgo es alto y contratos de encargo del tratamiento con todos los proveedores que accedan a datos personales.
La intersección con los sectores financiero y asegurador añade capas adicionales. Una promotora que trabaja con entidades de crédito para la financiación de proyectos, o que comercializa seguros de hogar vinculados a sus promociones, queda sujeta a estándares de información y diligencia debida que van más allá del cumplimiento general. La normativa de prevención del blanqueo de capitales, de aplicación específica a los agentes inmobiliarios, impone deberes de identificación del cliente, de diligencia debida reforzada en operaciones de mayor riesgo y de comunicación a las autoridades competentes cuando se detectan indicios de irregularidad.
Según datos del Consejo General del Poder Judicial (CGPJ), los juzgados de lo mercantil y los órganos penales han visto incrementar los asuntos relacionados con incumplimientos normativos en el ámbito empresarial de forma sostenida en los últimos años. El sector de la construcción e inmobiliario, por su volumen de transacciones y por la complejidad de sus cadenas de subcontratación, figura entre los sectores con mayor exposición.
El punto de partida es el mapa de tratamientos. Toda empresa del sector debe saber qué datos recoge, con qué finalidad, en qué base jurídica se apoya, durante cuánto tiempo los conserva y a quién los comunica. Sin ese mapa, es imposible gestionar el riesgo.
Las categorías de datos que maneja habitualmente una empresa de este sector incluyen datos identificativos y de contacto de clientes y prospectos, datos económicos y financieros relacionados con la solvencia de compradores o arrendatarios, datos laborales de los empleados propios y, con frecuencia, datos de los trabajadores de subcontratistas en obra. Cuando la empresa gestiona inmuebles en los que se prestan servicios de salud o cuando sus trabajadores son objeto de vigilancia de la salud en el marco de la prevención de riesgos laborales, entran en juego datos de categoría especial, cuyo tratamiento requiere cautelas adicionales.
El registro de actividades de tratamiento no es un trámite burocrático. Es el instrumento que permite demostrar ante la AEPD, en caso de inspección o denuncia, que la empresa ha actuado con diligencia. Un programa de compliance de datos bien diseñado incluye, como mínimo: el registro actualizado, las cláusulas informativas adaptadas a cada canal de captación, los contratos de encargo del tratamiento con los proveedores, la política interna de retención y borrado, y el protocolo de gestión de brechas de seguridad.
La gestión de brechas merece atención específica. Conforme a la normativa aplicable, la notificación de una brecha de seguridad a la AEPD debe realizarse en un plazo máximo de 72 horas desde que se tiene conocimiento de ella. En nuestra experiencia asesorando a empresas del sector inmobiliario, este es uno de los puntos donde el incumplimiento es más frecuente: la empresa detecta el incidente, pero no tiene un protocolo que determine quién debe valorar su gravedad, quién toma la decisión de notificar y cómo se documenta el proceso. Ese vacío agrava la responsabilidad ante la AEPD.
Los derechos que el RGPD reconoce a los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad) deben poder ejercerse de forma efectiva. La empresa tiene un mes para responder a estas solicitudes, prorrogable por otros dos meses en casos justificados. Una empresa que no tiene procedimientos internos para gestionar estas solicitudes incurre en incumplimiento sistemático, que puede ser la base de una reclamación ante la AEPD.
El compliance penal tiene un peso específico en el sector. La construcción y la actividad inmobiliaria son ámbitos en los que históricamente han concurrido factores de riesgo vinculados a delitos contra la ordenación del territorio, blanqueo de capitales, fraude fiscal, corrupción entre particulares y siniestralidad laboral con resultado lesivo o fatal.
La normativa penal vigente establece la responsabilidad penal de las personas jurídicas cuando los delitos se cometen en su nombre o por su cuenta y en beneficio directo o indirecto de la organización. El compliance penal no elimina el riesgo de que un empleado o directivo cometa un ilícito, pero sí puede operar como causa de exención o de atenuación de esa responsabilidad si el modelo de prevención es adecuado, fue implementado con anterioridad al hecho y se supervisó de forma efectiva.
¿Cuáles son los riesgos penales más frecuentes en una empresa constructora o promotora? En nuestra práctica, identificamos con regularidad cuatro focos: las relaciones con administraciones públicas y el riesgo de corrupción en la obtención de licencias y permisos; la siniestralidad laboral grave cuando no existe un sistema de gestión de la prevención de riesgos; el tratamiento de grandes volúmenes de efectivo en determinadas operaciones de compraventa que no se someten a los controles antiblaqueo preceptivos; y las relaciones con subcontratistas no verificados que pueden generar responsabilidad solidaria.
Un modelo de compliance penal eficaz para este sector debe identificar estos riesgos específicos, asignar controles concretos a cada uno, designar a un órgano de supervisión independiente, implantar un canal de denuncias operativo y documentar toda la cadena de supervisión. La mera aprobación de un código ético en papel no es suficiente para acreditar la diligencia debida.
El canal de denuncias merece mención específica. La normativa española sobre protección de las personas que informen sobre infracciones normativas –que ha transpuesto la directiva europea en la materia– impone a las empresas de determinado tamaño la obligación de contar con un canal interno que cumpla requisitos de confidencialidad y protección del denunciante. Para las empresas del sector inmobiliario y de la construcción que superen el umbral legal, la ausencia de este canal es un incumplimiento autónomo, con independencia de que exista o no una denuncia concreta. Conviene verificar con la normativa vigente el umbral aplicable a cada empresa según su plantilla y estructura.
La actividad inmobiliaria raramente opera de forma aislada. Los promotores e inversores trabajan con entidades de crédito para la financiación de proyectos; los agentes intermedian en operaciones que implican hipotecas y productos financieros; y la comercialización de seguros vinculados a inmuebles –seguros de hogar, de impago de alquiler, de responsabilidad civil de la construcción– crea vínculos con el sector asegurador que generan obligaciones de compliance propias.
Cuando una empresa inmobiliaria actúa como intermediaria en la distribución de productos financieros o aseguradores, queda sujeta a la normativa sectorial aplicable a esa actividad. Eso implica, entre otras obligaciones, evaluar la adecuación del producto al cliente, informar con claridad sobre sus condiciones y riesgos, y mantener registros de la relación comercial. El incumplimiento de estas obligaciones no solo expone a la empresa ante el regulador financiero o asegurador, sino que puede generar responsabilidad civil frente al cliente.
La normativa de prevención del blanqueo de capitales es, en este contexto, especialmente exigente. Las empresas que intervienen en transacciones de compraventa de inmuebles son sujetos obligados conforme a la legislación vigente. Esto implica disponer de un manual de prevención actualizado, realizar la identificación formal del cliente antes de iniciar la relación de negocio, aplicar medidas de diligencia debida reforzada en operaciones de mayor riesgo –como las que implican sociedades de propósito especial, estructuras con beneficiarios finales no identificados o pagos procedentes de jurisdicciones de riesgo– y comunicar al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC) cuando concurran indicios de blanqueo.
Hemos implantado programas de protección de datos y compliance en empresas del sector inmobiliario que operaban sin los controles mínimos exigidos por la normativa antiblaqueo. En todos los casos, la implantación ordenada del manual, de los procedimientos de diligencia debida y del registro de operaciones redujo significativamente la exposición regulatoria y permitió a la empresa acreditar su diligencia ante cualquier eventual requerimiento de la SEPBLAC o del AEAT.
La intersección con el sector sanitario se materializa principalmente a través de dos vías: la gestión de inmuebles destinados a actividades sanitarias –clínicas, centros de salud, residencias– y la vigilancia de la salud de los trabajadores en obras. En ambos casos, el tratamiento de datos de salud, que son datos de categoría especial, exige una base jurídica reforzada y medidas de seguridad adicionales. La empresa que gestiona un inmueble en el que se desarrolla actividad sanitaria puede quedar sujeta a obligaciones de encargo del tratamiento o incluso de corresponsabilidad, dependiendo de la estructura contractual que rija la relación.
El compliance no es un proyecto de un solo momento. Es un sistema de gestión continua. Pero hay hitos concretos en los que la dirección debe tomar decisiones que condicionan la exposición futura de la empresa.
El primero es la diagnosis inicial. Antes de diseñar cualquier programa, es necesario saber dónde está la empresa: qué datos trata, qué controles tiene, qué riesgos penales le son aplicables y qué obligaciones sectoriales ha pasado por alto. Esta evaluación es el punto de partida para cualquier plan de acción. En nuestra experiencia, las empresas que invierten en una diagnosis estructurada reducen significativamente el tiempo y el coste de la implantación posterior.
El segundo hito es la actualización de contratos. Los contratos con clientes, proveedores y subcontratistas deben reflejar las exigencias del RGPD, del compliance antiblaqueo y, cuando proceda, de la normativa sectorial. Revisar un contrato después de que se ha producido un incidente es mucho más costoso que hacerlo de forma preventiva.
El tercer hito es la formación del personal. Un programa de compliance sin formación es un manual en un cajón. El riesgo de incumplimiento en el sector de la construcción viene frecuentemente de operaciones de negocio en las que el personal comercial o de obra no conoce las obligaciones que debe cumplir. La formación específica, documentada y periódica es una prueba de diligencia ante cualquier autoridad supervisora.
El cuarto hito es el mantenimiento y la revisión periódica del programa. Las normas cambian, las actividades de la empresa evolucionan y los riesgos se transforman. Un programa que no se revisa periódicamente pierde vigencia y, con ella, su valor como defensa ante la responsabilidad.
¿Cuándo es demasiado tarde para actuar? La respuesta práctica es: antes de que llegue la inspección, la denuncia o el incidente. El asesoramiento temprano permite diseñar un programa ajustado a la realidad de la empresa, priorizar los controles de mayor riesgo y acreditar una cultura de cumplimiento. El asesoramiento reactivo –cuando ya ha ocurrido el problema– se centra en la gestión del daño, que es un escenario siempre más costoso.
El asesoramiento jurídico temprano en materia de compliance no es un gasto: es una inversión en reducción del riesgo. Esta afirmación, que puede sonar a lugar común, tiene sustento concreto en la práctica regulatoria española.
La AEPD tiene en cuenta, al determinar la sanción, si la empresa disponía de un programa de cumplimiento, si actuó con diligencia para detectar y mitigar el incidente y si colaboró activamente con la autoridad. La existencia de un registro de tratamientos actualizado, de un protocolo de brechas documentado y de contratos de encargo del tratamiento vigentes son factores que pueden reducir la cuantía de una sanción o incluso llevar a la sustitución de la multa por un apercibimiento en casos de menor gravedad.
En el ámbito penal, como ya se ha señalado, la existencia de un modelo de prevención adecuadamente implementado puede operar como causa de exención o de atenuación de la responsabilidad de la persona jurídica. Esto no es teoría: el Tribunal Supremo ha consolidado criterios sobre qué requisitos debe cumplir ese modelo para ser valorado como eficaz. Un programa redactado pero no implementado, o implementado pero no supervisado, no surte el efecto protector previsto por la normativa penal.
El coste de no actuar es asimétrico. Una brecha de seguridad sin protocolo, una operación antiblaqueo no documentada o un despido en el que el trabajador alega represalias por haber usado el canal de denuncias generan costes directos –sanciones, indemnizaciones, gastos de gestión del incidente– y costes indirectos –daño reputacional, pérdida de contratos, deterioro de relaciones con entidades financieras– que superan con creces el coste de un programa de compliance bien diseñado.
En nuestra experiencia asesorando a empresas de este sector, el punto de inflexión suele ser un incidente concreto: una reclamación de un trabajador que alega vulneración de sus derechos de datos, una inspección de la AEPD derivada de una denuncia de un cliente, o un requerimiento de una entidad financiera que exige acreditación del sistema antiblaqueo antes de conceder financiación. Llegar a ese punto con un programa instalado y documentado marca una diferencia sustancial en el desenlace.
Para profundizar en el marco de protección de datos y cumplimiento normativo aplicable a las empresas, puede consultar nuestra área de práctica en protección de datos y compliance. Si su empresa opera también en sectores como la banca, los seguros o la salud, el análisis comparativo de las especificidades de compliance en esos sectores está disponible en nuestro análisis sobre compliance sectorial en banca, seguros y salud.
En nuestra práctica hemos observado un patrón recurrente de errores que se repiten con independencia del tamaño de la empresa. Identificarlos permite a la dirección hacer una autoevaluación rápida de sus puntos de vulnerabilidad.
El primero es la confusión entre la política de privacidad web y el cumplimiento con el RGPD. Una política de privacidad publicada en el sitio web es un deber de información hacia los usuarios, pero no acredita que la empresa trata los datos conforme a la normativa. El verdadero cumplimiento reside en los procesos internos: el registro de tratamientos, los contratos con los encargados, los procedimientos de respuesta a derechos y el protocolo de brechas.
El segundo error es delegar el compliance en un único empleado sin dotarle de recursos ni de autoridad. El responsable de cumplimiento –o el delegado de protección de datos (DPD), en los casos en que su designación sea obligatoria o voluntaria– necesita acceso a la información, capacidad de interlocución con la dirección y recursos para ejecutar el programa. Sin esos elementos, el cargo es nominal y no protege a la empresa.
El tercer error es no actualizar el programa cuando cambia la actividad de la empresa. Una empresa que incorpora una nueva línea de negocio –por ejemplo, la gestión de residencias o la intermediación en crédito hipotecario– adquiere nuevas obligaciones de compliance que no estaban en el programa original. La revisión periódica no es optativa.
El cuarto error es tratar el compliance antiblaqueo como un trámite de registro y no como un sistema de gestión de riesgo activo. La normativa exige una evaluación del riesgo específica para cada cliente y operación, no solo la cumplimentación de un formulario de identificación en el primer contacto.
El quinto error, especialmente relevante en la construcción, es ignorar la vertiente laboral del compliance. La normativa sobre protección de los denunciantes, las obligaciones en materia de igualdad y diversidad, la prevención de riesgos laborales y la gestión de los datos de vigilancia de la salud de los trabajadores son elementos del compliance que tienen consecuencias tanto sancionadoras como penales si se gestionan incorrectamente.
Un análisis complementario sobre el impacto de la actuación de la AEPD en sectores con alta intensidad de datos está disponible en nuestro análisis sobre la AEPD y el coste en el sector de la automoción, cuyas conclusiones son extrapolables al sector inmobiliario y de la construcción en lo que se refiere a la gestión de incidentes y a la metodología sancionadora.
A modo de síntesis operativa, recogemos los elementos que una empresa del sector debe revisar para evaluar su nivel de cumplimiento. Este listado no sustituye a una evaluación profesional, pero permite identificar con rapidez los principales vacíos.
La gestión del compliance en inmobiliario y construcción tiene conexiones directas con otras áreas de asesoramiento que conviene considerar de forma integrada. El Derecho societario y las operaciones de M&A son relevantes cuando la empresa está inmersa en procesos de compraventa de activos o de fusión, en los que la diligencia debida (due diligence) en materia de protección de datos y compliance es un elemento crítico de valoración del riesgo. El asesoramiento laboral es indispensable para la gestión del canal de denuncias, la vigilancia de la salud de los trabajadores y la prevención de riesgos laborales. La asesoría fiscal conecta con el compliance antiblaqueo en todo lo relativo a la verificación del origen de los fondos en operaciones de inversión inmobiliaria.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.