El sector inmobiliario y de la construcción se ha convertido, en los últimos años, en uno de los entornos más expuestos a la complejidad derivada de las transferencias internacionales de datos personales. Proyectos con inversores extranjeros, plataformas de gestión en la nube con servidores fuera del Espacio Económico Europeo y cadenas de subcontratación que cruzan fronteras han hecho que el cumplimiento normativo deje de ser un asunto secundario para convertirse en una variable de riesgo con impacto directo sobre la viabilidad operativa de la empresa.
Cuando una promotora inmobiliaria o una constructora transfiere datos a un proveedor tecnológico radicado fuera de la Unión Europea, no está realizando simplemente una operación comercial. Está activando un conjunto de obligaciones que la normativa de protección de datos en la Unión Europea impone con carácter imperativo.
El Reglamento General de Protección de Datos, aplicable en España desde 2018, establece que cualquier flujo de datos personales hacia un tercer país – es decir, un país fuera del Espacio Económico Europeo – solo puede realizarse si existe una base habilitante suficiente. Esas bases son, en esencia, tres: una decisión de adecuación de la Comisión Europea respecto al país receptor, la firma de cláusulas contractuales tipo aprobadas por la Comisión, o la existencia de normas corporativas vinculantes en el caso de grupos empresariales internacionales.
¿Por qué esto afecta especialmente a la construcción e inmobiliario? La respuesta está en la estructura operativa del sector. Una empresa promotora de tamaño mediano puede tener simultáneamente un software de gestión de proyectos alojado en servidores de una empresa estadounidense, una plataforma de comercialización de activos con acceso desde oficinas en el Reino Unido – país tercero desde enero de 2021 – y un gestor documental contratado con un proveedor con sede en un país sin decisión de adecuación vigente.
La Agencia Española de Protección de Datos (AEPD) ha intensificado en los últimos ejercicios sus actuaciones de inspección en sectores que históricamente no se han percibido como intensivos en datos. El inmobiliario y la construcción están en ese grupo.
La LOPDGDD complementa el RGPD con un régimen de responsabilidades específico en el contexto español, y obliga a la empresa a articular medidas técnicas y organizativas proporcionales a los riesgos que asume. En nuestra práctica asesorando a empresas del sector, la brecha más frecuente no es la ausencia total de políticas, sino la desactualización de los registros de actividades de tratamiento y la falta de revisión de los contratos de encargado del tratamiento firmados con proveedores tecnológicos.
El término «últimos marcos» alude a una sucesión de hitos regulatorios que han reconfigurado el panorama de las transferencias internacionales en poco más de cinco años. Comprender esa sucesión es indispensable para evaluar si los mecanismos habilitantes que la empresa tiene en vigor siguen siendo válidos.
El primer hito fue la invalidación por el Tribunal de Justicia de la Unión Europea del acuerdo conocido como Privacy Shield, que durante años amparó las transferencias a Estados Unidos. Ese vacío obligó a las empresas a reformular sus bases jurídicas, en muchos casos sustituyendo el escudo de privacidad por las cláusulas contractuales tipo. Sin embargo, el propio diseño de estas cláusulas fue objeto de revisión por la Comisión Europea, que aprobó en 2021 unas cláusulas contractuales tipo actualizadas. Las versiones antiguas dejaron de ser válidas en el plazo transicional fijado por la Comisión.
El segundo hito fue la aprobación del Marco de Privacidad de Datos UE–EE.UU., que desde 2023 permite transferencias a empresas estadounidenses certificadas sin necesidad de cláusulas adicionales. Sin embargo, este marco ha sido cuestionado políticamente y su estabilidad a largo plazo no está garantizada. Una empresa que basa toda su estrategia de transferencias en este instrumento asume un riesgo de discontinuidad regulatoria que conviene gestionar.
El tercer hito, con impacto directo en el sector inmobiliario español, es el resultado del Brexit. El Reino Unido tiene actualmente una decisión de adecuación que permite las transferencias de la UE al Reino Unido, pero esa decisión tiene una vigencia limitada en el tiempo y está sujeta a revisión periódica. Para una promotora o una constructora con proyectos o inversores británicos, la monitorización de ese estatus es una tarea de compliance activo.
En nuestra experiencia asesorando a grupos inmobiliarios con presencia o financiación internacional, el error más frecuente es haber implantado los mecanismos habilitantes una sola vez, sin establecer un procedimiento de revisión periódica. El marco de transferencias internacionales no es estático.
Un programa de cumplimiento en materia de protección de datos no es, contrariamente a lo que suele creerse, un conjunto de documentos que se elaboran una vez y se archivan. Es un sistema de gestión vivo, con responsables designados, procedimientos documentados y ciclos de revisión.
Para una empresa inmobiliaria o constructora, ese programa debe articularse en torno a cuatro ejes.
El primero es el registro de actividades de tratamiento. Este documento, obligatorio para la mayoría de las empresas, mapea cada flujo de datos: qué datos se tratan, con qué finalidad, quién tiene acceso, cuánto tiempo se conservan y – elemento crítico – si hay transferencias internacionales implicadas. Sin este mapa, la empresa no puede siquiera identificar qué proveedores requieren un mecanismo habilitante.
El segundo eje es la gestión de contratos con encargados del tratamiento. Cada proveedor que accede a datos de la empresa – desde el gestor de la nube hasta la plataforma de firma electrónica de contratos de compraventa – debe estar vinculado por un contrato de encargado del tratamiento que cumpla los requisitos del RGPD. Cuando ese proveedor está fuera del Espacio Económico Europeo, el contrato debe incorporar o ir acompañado del mecanismo habilitante correspondiente.
El tercer eje es el protocolo de gestión de brechas de seguridad. La normativa obliga a notificar a la AEPD en el plazo de 72 horas desde que se tenga conocimiento de una brecha que afecte a datos personales. En el sector inmobiliario, las brechas más frecuentes son filtraciones de datos de compradores o arrendatarios, accesos no autorizados a expedientes de proyecto y robos de credenciales de plataformas de gestión documental. Sin un protocolo previamente establecido, el plazo de 72 horas es, en la práctica, imposible de cumplir.
El cuarto eje es la formación y concienciación del personal. En construcción, la rotación de empleados y la presencia de subcontratistas en obra genera vectores de riesgo que no se mitigan solo con documentos. El personal que maneja datos – desde el equipo comercial hasta los técnicos que utilizan aplicaciones en movilidad – debe conocer sus obligaciones básicas.
La creencia de que con una cláusula de privacidad en la web se cumple el RGPD es uno de los malentendidos más peligrosos que hemos identificado en nuestra práctica. Es un mito que tiene consecuencias costosas.
El riesgo más inmediato es el sancionador. La AEPD puede iniciar actuaciones de oficio, por denuncia o como consecuencia de una brecha notificada. Los procedimientos sancionadores en materia de protección de datos pueden resultar en sanciones de cuantía relevante, especialmente cuando la empresa no puede acreditar haber adoptado medidas técnicas y organizativas proporcionales.
Pero el riesgo sancionador no es el único. En operaciones corporativas – compraventa de activos inmobiliarios, adquisición de promotoras o integración de constructoras en grupos internacionales – la ausencia de un programa de compliance en datos es una contingencia que aflora en la diligencia debida (due diligence) y puede afectar a la valoración de la operación o incluso a su viabilidad. Hemos visto operaciones en las que el comprador extranjero ha condicionado el cierre a la implantación de un programa de protección de datos con carácter previo.
Existe además un riesgo reputacional que, en el sector inmobiliario residencial, puede tener impacto directo sobre la capacidad de comercialización. La publicación de una resolución sancionadora de la AEPD genera un daño de imagen que trasciende la propia multa.
Finalmente, hay un riesgo operativo vinculado a las transferencias internacionales no habilitadas: si un proveedor tecnológico que recibe datos sin el soporte jurídico adecuado sufre una brecha, la empresa española es corresponsable frente a los interesados y frente a la AEPD.
Las empresas inmobiliarias y constructoras que superan determinadas dimensiones – o que forman parte de grupos empresariales – deben considerar, junto al compliance en protección de datos, otras dos dimensiones del cumplimiento normativo que en la práctica están estrechamente relacionadas.
La primera es el canal de denuncias. La normativa española, en transposición de la Directiva Whistleblowing, obliga a las empresas a contar con un canal interno de denuncias que garantice la confidencialidad del informante y la independencia del gestor. En el sector de la construcción, los conflictos de interés en contratación, los pagos irregulares en la cadena de subcontratación y las presiones sobre técnicos de proyecto son algunas de las situaciones que este canal debe estar en condiciones de gestionar. La pregunta que debe hacerse la dirección es sencilla: ¿tiene la empresa un canal operativo, conocido por su plantilla y documentado en cuanto a su funcionamiento?
La segunda dimensión es el compliance penal. La responsabilidad penal de las personas jurídicas en España exige que la empresa cuente con un modelo de organización y gestión que prevenga o reduzca el riesgo de comisión de delitos. En el sector inmobiliario y de la construcción, los riesgos penales más relevantes incluyen la corrupción en el ámbito urbanístico, los delitos contra los derechos de los trabajadores y los delitos de daños medioambientales vinculados a la construcción. Un programa de compliance penal bien diseñado no solo reduce el riesgo de incurrir en esos delitos; también es el principal argumento defensivo si la empresa se ve imputada.
La interrelación entre protección de datos, canal de denuncias y compliance penal es cada vez mayor. Los datos que se gestionan a través del canal de denuncias son datos personales sujetos al RGPD. El modelo de compliance penal debe incluir el tratamiento correcto de esos datos. Diseñar estos sistemas de forma aislada genera incoherencias que la AEPD y los órganos judiciales no pasan por alto.
Puede consultar una comparativa sobre los modelos de canal de denuncias – interno frente a externo – en la sección de recursos de nuestra firma: canal de denuncias interno vs. externo: análisis comparativo.
El director financiero o el director general de una empresa inmobiliaria o constructora no necesita dominar los tecnicismos del RGPD. Necesita saber cuándo debe tomar una decisión y qué consecuencias tiene no tomarla a tiempo.
Hay tres momentos críticos que, en nuestra experiencia, concentran la mayor parte de los riesgos del sector.
El primero es la firma de un contrato con un nuevo proveedor tecnológico. Antes de contratar una plataforma de gestión de activos, un CRM inmobiliario o un sistema de gestión documental, la empresa debe verificar si ese proveedor accede a datos personales y dónde los aloja. Si los aloja fuera del Espacio Económico Europeo, debe articularse el mecanismo habilitante antes del inicio del tratamiento, no después.
El segundo momento es el cierre de un ejercicio o el inicio de un proyecto con inversión extranjera. La adaptación RGPD no es un proceso puntual; requiere una revisión anual que debe alinearse, en la medida de lo posible, con el ciclo de planificación de la empresa. Los proyectos con participación de inversores extranjeros añaden la variable de las transferencias internacionales desde el primer momento.
El tercer momento es cuando se produce o se detecta una incidencia. Una brecha de seguridad activa el plazo de 72 horas para la notificación a la AEPD. Ese plazo no es orientativo. Su incumplimiento es, en sí mismo, una infracción separada. La empresa que no tiene un protocolo predefinido, con responsables identificados y criterios de evaluación claros, no puede cumplirlo.
Junto a estos tres momentos, hay un calendario regulatorio que la empresa debe monitorizar: las revisiones periódicas de las decisiones de adecuación de la Comisión Europea, los cambios en los criterios de la AEPD publicados a través de sus guías y directrices, y las novedades doctrinales del Comité Europeo de Protección de Datos. En empresas sin un responsable interno dedicado a esta materia, este seguimiento debe ser asumido por el asesor externo.
En nuestra práctica, la adaptación al RGPD en el sector inmobiliario y de la construcción suele presentar un patrón de errores recurrentes que merece la pena documentar, porque conocerlos permite anticipar las áreas de mayor exposición.
El primero es la confusión entre responsable y encargado del tratamiento. Una promotora que comercializa viviendas a través de una agencia inmobiliaria debe determinar con precisión si esa agencia actúa como encargada del tratamiento – procesando datos por cuenta de la promotora – o como responsable autónomo. Esta distinción tiene consecuencias directas sobre la documentación contractual exigible y sobre la asignación de responsabilidades frente al interesado y frente a la AEPD.
El segundo error frecuente es la ausencia de un análisis de riesgo o de una evaluación de impacto cuando el tratamiento lo requiere. Los proyectos de construcción o rehabilitación que involucran videovigilancia masiva, datos biométricos de acceso a obra o seguimiento de la ubicación de trabajadores son tratamientos que, en muchos casos, requieren una evaluación de impacto relativa a la protección de datos. Realizarla a posteriori, cuando la AEPD ya ha iniciado una actuación, limita considerablemente las opciones defensivas.
El tercer error es la falta de revisión de los avisos de privacidad. El aviso de privacidad no es un texto estático. Debe reflejar con exactitud los tratamientos que la empresa realiza en cada momento. En el sector inmobiliario, donde los tratamientos cambian – nueva plataforma de CRM, incorporación de tecnología de visita virtual, integración de un sistema de firma electrónica – el aviso queda desfasado con rapidez.
El cuarto error, quizá el más costoso en términos de exposición a terceros países, es la firma de contratos de servicios en la nube sin verificar la localización de los datos ni el mecanismo habilitante de transferencia. Este error se produce con mayor frecuencia en empresas medianas donde la contratación tecnológica la gestionan equipos técnicos sin intervención del área jurídica o del compliance.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y la estructura de estos errores se repite con independencia del sector. Lo que varía es el tipo de datos tratados y la naturaleza de los proveedores implicados.
La decisión de cuándo involucrar al asesor externo en materia de protección de datos y compliance tiene un impacto directo sobre el coste total del proceso y sobre la eficacia del programa implantado.
La lógica es intuitiva, pero se cumple de forma sistemática: el coste de implantar un programa de protección de datos desde cero, en un contexto de normalidad operativa, es significativamente inferior al coste de gestionarlo en reacción a una brecha, a un procedimiento sancionador o a una contingencia detectada en una due diligence.
En el sector inmobiliario, los momentos de mayor palanca para el asesoramiento preventivo son: la puesta en marcha de una nueva línea de negocio con componente digital, la integración de una empresa en un grupo, el inicio de relaciones comerciales con inversores o compradores extranjeros, y la contratación de proveedores de servicios en la nube.
El asesor externo especializado no solo diseña el programa documental. Evalúa los proveedores desde el punto de vista del compliance, revisa la legalidad de los mecanismos de transferencia internacional, coordina con los equipos técnicos la implantación de medidas de seguridad, y actúa como interlocutor ante la AEPD cuando es necesario.
Para empresas que operan en el ámbito balear – mercado con alta exposición a inversores de terceros países, particularmente del Reino Unido, Alemania y Escandinavia – la variable de las transferencias internacionales es especialmente relevante. Puede obtener más información sobre nuestro enfoque en esa plaza en la página de protección de datos y compliance en Palma de Mallorca.
¿Qué señales indican que la empresa necesita una revisión urgente? En nuestra experiencia, hay cuatro indicadores claros: el registro de actividades de tratamiento no ha sido revisado en más de doce meses, los contratos con proveedores tecnológicos no incorporan cláusula de encargado del tratamiento, la empresa no tiene un protocolo documentado de gestión de brechas, o los empleados no han recibido formación en protección de datos en el último ciclo anual.
Para que la dirección de una empresa inmobiliaria o constructora pueda evaluar su posición actual, resulta útil estructurar el análisis en torno a las principales situaciones generadoras de transferencias internacionales que se presentan en el sector.
Plataformas de gestión de activos en la nube. La mayoría de los sistemas de property management, gestión de arrendamientos o control de obras están alojados en servidores de proveedores estadounidenses o asiáticos. Si la empresa no ha verificado el mecanismo habilitante aplicable y la localización exacta de los datos, está realizando una transferencia internacional sin base jurídica.
Sistemas de videovigilancia con monitorización remota. Algunas constructoras y promotoras contratan servicios de vigilancia remota de obras o activos con centros de control ubicados fuera de la UE. Esta modalidad constituye una transferencia internacional de datos de imagen y, en algunos casos, datos biométricos, que requiere una evaluación de impacto y un mecanismo habilitante.
Plataformas de comercialización internacional. Los portales inmobiliarios internacionales y las plataformas de inversión transfronteriza que captan compradores o inversores extranjeros implican, en muchos casos, flujos de datos hacia servidores fuera del Espacio Económico Europeo. La empresa española que alimenta esas plataformas con datos de sus activos y de sus clientes debe evaluar si ese flujo está correctamente habilitado.
Grupos empresariales con matriz o filiales extranjeras. Las promotoras o constructoras integradas en grupos con matriz fuera de la UE o con filiales en terceros países deben evaluar si las transferencias intragrupo están amparadas por normas corporativas vinculantes o por cláusulas contractuales tipo. La existencia de un grupo no habilita por sí sola la transferencia.
Proveedores de servicios jurídicos, notariales y registrales en terceros países. En operaciones transfronterizas, la empresa puede necesitar compartir documentación con abogados, notarios o registros de terceros países. Aunque la finalidad sea estrictamente jurídica, el flujo de datos puede activar las obligaciones del RGPD si los datos de personas físicas están implicados.
Este mapa no pretende ser exhaustivo. Cada empresa tiene una composición de proveedores, mercados y operaciones que genera su propio perfil de riesgo en transferencias internacionales. La utilidad del análisis previo radica precisamente en identificar ese perfil antes de que la AEPD lo identifique primero.
A modo de síntesis operativa, recogemos los elementos mínimos que debe verificar una empresa inmobiliaria o constructora para evaluar su posición de cumplimiento en materia de protección de datos y transferencias internacionales.
Puede ampliar la información sobre el enfoque de nuestra firma en el ámbito de la protección de datos y el compliance empresarial en la página de práctica de protección de datos y compliance.
Las empresas inmobiliarias y constructoras que afrontan la adaptación al RGPD y la gestión de transferencias internacionales a menudo requieren también un análisis desde la perspectiva societaria y fiscal. La estructura del vehículo de inversión – sociedad de responsabilidad limitada, sociedad anónima, estructura de holding – tiene implicaciones directas sobre los flujos de datos intragrupo y sobre la aplicación de las normas corporativas vinculantes como mecanismo habilitante. Asimismo, las operaciones de compraventa de activos o de empresas inmobiliarias activan un proceso de diligencia debida en datos que debe coordinarse con el análisis de la operación corporativa.
Si su empresa opera en el ámbito del compliance laboral o gestiona personal en movilidad internacional, los tratamientos de datos de empleados – incluidos los relativos a la gestión de nómadas digitales o de trabajadores desplazados – presentan particularidades que deben integrarse en el programa general de protección de datos.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.