El sector inmobiliario y de la construcción concentra una combinación de riesgos legales que pocas actividades reúnen con tanta intensidad: tratamiento masivo de datos personales de clientes y trabajadores, exposición a responsabilidad penal corporativa, cadenas de subcontratación complejas y una fiscalidad que exige controles internos rigurosos. En este entorno, la ausencia de un programa de cumplimiento normalizado no es una posición neutral: es una exposición activa a sanciones, a responsabilidad de los administradores y a la pérdida de contratos con promotores y grandes constructoras que ya exigen certificaciones a sus proveedores.
La actividad promotora y constructora involucra a una pluralidad de actores: promotor, constructora principal, subcontratistas de distintos niveles, arquitectos técnicos, gestoras de arrendamientos y servicios de property management. Cada una de estas relaciones genera flujos de datos personales y obliga a delimitar responsabilidades de tratamiento.
En nuestra experiencia asesorando a empresas del sector, los riesgos se concentran en cuatro frentes. El primero es el tratamiento de datos de clientes potenciales en campañas comerciales de viviendas o activos terciarios, con bases de legitimación frecuentemente incorrectas. El segundo es la gestión de datos de los trabajadores propios y de las contratas, en la que confluyen la normativa laboral y la de protección de datos. El tercero es la responsabilidad penal de la persona jurídica, especialmente relevante cuando la empresa opera con filiales de propósito especial o con administradores que concentran la toma de decisiones. El cuarto es el cumplimiento de la legislación de prevención del blanqueo de capitales, que coloca a agentes inmobiliarios y promotoras en la categoría de sujetos obligados con deberes propios de diligencia y comunicación.
La intersección de estos cuatro frentes hace que un programa de compliance para el sector no pueda limitarse a un manual genérico de buenas prácticas. Debe ser específico, documentado y, sobre todo, operativo.
Tres bloques normativos articulan el programa de cumplimiento en inmobiliario y construcción.
El primero es la normativa sobre responsabilidad penal de la persona jurídica, incorporada en el Código Penal español. Esta normativa exige que la empresa cuente con un modelo de organización y gestión que incluya medidas de vigilancia y control idóneas para prevenir los delitos que pueden ser fuente de responsabilidad corporativa. En el sector inmobiliario, los riesgos penales típicos incluyen delitos contra la Hacienda Pública, cohecho en relación con licencias y obras, blanqueo de capitales y delitos urbanísticos.
El segundo bloque es el de la protección de datos. El RGPD y la LOPDGDD imponen a cualquier empresa que trate datos personales – lo que incluye a todas las del sector, sin excepción – la obligación de documentar los tratamientos, establecer medidas técnicas y organizativas adecuadas y disponer de procedimientos para gestionar los derechos de los interesados y las posibles brechas de seguridad. La Agencia Española de Protección de Datos (AEPD) ha sancionado en los últimos años a empresas del sector por ausencia de contratos de encargo de tratamiento con empresas de gestión inmobiliaria y por recopilación de datos sin base de legitimación suficiente.
El tercer bloque es la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo, que clasifica como sujetos obligados a los agentes inmobiliarios cuando intervienen en la compraventa de inmuebles. Esta clasificación impone deberes de identificación de clientes (diligencia debida), de conservación de documentación y de comunicación de operaciones sospechosas al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC).
A estos tres bloques se añade, desde la entrada en vigor de la normativa sobre canales de denuncias, la obligación de disponer de un canal interno para la comunicación de infracciones normativas para las empresas de determinado tamaño. Las empresas del sector que superen los umbrales legales deben contar con este canal bajo riesgo de sanción.
Un programa que realmente proteja a la organización – y no solo genere documentación – se construye en fases consecutivas. La secuencia importa tanto como el contenido.
El punto de partida es un análisis de riesgos adaptado a la realidad de la empresa. No es un cuestionario genérico. Es una revisión de los contratos con subcontratistas, de los flujos de datos personales, de la estructura societaria, de las relaciones con administraciones públicas para obtención de licencias, y de las operaciones con clientes y financiadores.
Este diagnóstico determina cuáles son los riesgos materiales para esa empresa concreta. Una promotora de obra nueva tiene un mapa de riesgos diferente al de una gestora de activos en arrendamiento o al de una constructora con treinta subcontratas activas. El diagnóstico permite priorizar los esfuerzos y dimensionar correctamente el programa.
En nuestra práctica habitual, el diagnóstico revela con frecuencia que el mayor riesgo no está en la actividad principal sino en los procesos secundarios: la gestión de consultas comerciales por parte de asesores externos, el uso de aplicaciones de mensajería instantánea para coordinar obras o la cesión de datos de inquilinos a empresas de mantenimiento sin contrato de encargo de tratamiento.
El modelo de organización y gestión es el núcleo del programa de compliance penal. Debe identificar las actividades de la empresa que son susceptibles de generar responsabilidad penal corporativa, definir los procedimientos y controles que las gestionan, y asignar responsabilidades concretas.
Para el sector inmobiliario, los protocolos críticos incluyen, entre otros, el procedimiento de aprobación de pagos a funcionarios o a sus intermediarios, el control de la cadena de subcontratación, la gestión de licencias y autorizaciones administrativas, y la verificación de la procedencia de los fondos de compradores en operaciones de cuantía relevante.
El modelo debe incorporar también un régimen disciplinario que sea aplicable cuando se incumplan los procedimientos internos. Un programa de compliance sin consecuencias reales ante el incumplimiento no cumple los requisitos que la jurisprudencia del Tribunal Supremo ha consolidado como necesarios para que el modelo sea eficaz a efectos exculpatorios.
La adaptación al RGPD en una empresa inmobiliaria o constructora requiere, como mínimo, cinco actuaciones documentadas.
La primera es elaborar el registro de actividades de tratamiento, que es la obligación más básica y, paradójicamente, la que más empresas incumplen. El registro documenta qué datos se tratan, con qué finalidad, sobre qué base de legitimación, durante cuánto tiempo se conservan y a quién se ceden o transmiten.
La segunda es revisar los contratos con terceros que traten datos por cuenta de la empresa: gestoras de arrendamientos, empresas de mantenimiento, plataformas de CRM, asesores comerciales externos. Con todos ellos debe suscribirse un contrato de encargo de tratamiento que cumpla los requisitos del RGPD.
La tercera es establecer el procedimiento de atención de derechos de los interesados. La normativa reconoce a los interesados los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. La empresa debe poder responder dentro del plazo de un mes, prorrogable en determinados casos hasta dos meses adicionales.
La cuarta es diseñar el protocolo de gestión de brechas de seguridad. La normativa exige notificar a la AEPD cualquier brecha que entrañe un riesgo para los derechos y libertades de las personas en un plazo máximo de setenta y dos horas desde que la empresa tiene conocimiento de ella. Ese plazo es estricto y exige tener los canales de comunicación interna preparados antes de que se produzca el incidente.
La quinta es revisar las cláusulas informativas en los contratos de compraventa, arrendamiento, formularios de contacto y comunicaciones comerciales. La creencia de que con una cláusula de privacidad en la web ya se cumple el RGPD es uno de los mitos más extendidos en el sector, y uno de los que mayor exposición genera. Las cláusulas deben ser específicas para cada tratamiento, redactadas en lenguaje claro y accesibles en el momento en que se recogen los datos.
La normativa española sobre protección de los informantes obliga a las empresas que superen los umbrales legales a disponer de un canal de denuncias interno, seguro y confidencial, a través del cual sus empleados y colaboradores puedan comunicar posibles incumplimientos normativos o irregularidades internas.
En el sector de la construcción, este canal tiene una relevancia práctica adicional: es frecuente que los incumplimientos en materia de seguridad laboral, de gestión de residuos o de cumplimiento de las condiciones de las licencias sean detectados primero por el personal de obra o por los coordinadores de seguridad antes de que lleguen a la dirección. Un canal bien diseñado permite que esa información fluya de forma controlada, reduce el riesgo de que los informantes recurran a cauces externos y demuestra ante la autoridad competente que la empresa cuenta con sistemas de detección temprana.
El canal debe garantizar la confidencialidad del informante, prohibir las represalias y estar gestionado por una persona o unidad con independencia funcional suficiente. En empresas de tamaño medio puede ser el propio responsable de compliance o, en su caso, un asesor externo.
El programa no existe si no se forma a las personas que deben aplicarlo. Esta afirmación, que puede parecer obvia, es la que más frecuentemente se omite en los programas de compliance que no funcionan.
La formación debe ser específica por perfil: el equipo comercial necesita entender las bases de legitimación para el tratamiento de datos de clientes; los jefes de obra deben conocer los procedimientos para gestionar pagos a subcontratas y los controles de la cadena de subcontratación; los administradores deben saber cuáles son sus obligaciones de supervisión y las consecuencias de su incumplimiento.
El programa debe revisarse, como mínimo, cada vez que se produzca un cambio normativo relevante, una modificación estructural de la empresa o un incidente que lo ponga a prueba. Un programa estático que no se actualiza pierde eficacia exculpatoria con el paso del tiempo.
La dirección de una empresa inmobiliaria o constructora debe adoptar varias decisiones que no son delegables en el equipo técnico.
La primera es la designación del responsable de compliance o del compliance officer. Esta persona – interna o externa – es quien responde ante el órgano de administración de la adecuación del programa y quien gestiona el canal de denuncias. Su designación debe ser formal y documentada.
La segunda decisión es la asignación de recursos. Un programa de compliance que no cuenta con presupuesto propio, ni con tiempo dedicado del equipo, es una declaración de intenciones, no un sistema de control. El coste de implantar el programa es siempre inferior al coste de gestionar una sanción, un expediente penal o una brecha de datos sin protocolo.
La tercera decisión es la revisión de la estructura societaria. Las promotoras que operan con sociedades de propósito especial (SPV) para cada promoción deben analizar si cada entidad necesita su propio programa o si es posible articular un modelo de grupo que las cubra de forma centralizada. Esta decisión tiene consecuencias tanto en protección de datos como en compliance penal.
¿Cuándo debe activarse este proceso? La respuesta más frecuente en nuestra experiencia es: antes de que lo exija un incidente. La implantación en condiciones de urgencia, tras un requerimiento de la AEPD o en el contexto de una investigación penal, es más costosa, menos eficaz y genera documentación retroactiva que no cumple la función exculpatoria del programa.
La cadena de subcontratación es, en nuestra experiencia, el punto de mayor riesgo de compliance en la construcción. La constructora principal firma el contrato de obra, pero la ejecución material la realizan empresas de distintos niveles que no siempre tienen implantados controles equivalentes.
Desde la perspectiva de la protección de datos, cada subcontrata que accede a datos personales de trabajadores de la obra – listas de presencia, controles de acceso, datos de salud para la vigilancia de la salud laboral – debe estar vinculada a la empresa principal mediante el correspondiente contrato de encargo de tratamiento o mediante cláusulas específicas en el contrato de obra.
Desde la perspectiva del compliance penal, la empresa principal puede ver comprometida su posición si una subcontrata comete irregularidades en su nombre o en el desarrollo de la obra que le ha encargado. Los controles sobre la cadena de subcontratación deben incluir la verificación de que los subcontratistas no están incursos en situaciones de incumplimiento normativo grave y la inclusión de cláusulas de compliance en los contratos de obra.
La práctica de los juzgados de lo mercantil y de los juzgados de lo penal indica que la existencia de controles documentados sobre la cadena de subcontratación es uno de los elementos que los tribunales valoran positivamente al analizar la diligencia de la empresa principal. La ausencia de esos controles no protege: expone.
Hemos observado que las empresas que implantan el programa de compliance antes de que se produzca un incidente lo hacen en mejores condiciones y con un resultado más sólido. La razón es sencilla: cuando no hay urgencia, es posible diseñar el programa a medida, formarle al equipo correctamente y documentar cada decisión de forma que sea creíble ante la autoridad.
Cuando el programa se implanta como respuesta a una sanción, a un requerimiento o a una diligencia de investigación penal, la empresa está en posición defensiva. El programa que se redacta en ese contexto está orientado a mitigar el daño, no a prevenir el riesgo. La diferencia en términos de eficacia exculpatoria es sustancial.
El asesoramiento temprano también permite identificar riesgos que la dirección no había detectado como tales. En nuestra práctica, el diagnóstico inicial revela con frecuencia que la empresa tiene tratamientos de datos no documentados, contratos con terceros que carecen de las cláusulas de protección de datos exigidas por el RGPD, o procedimientos internos de autorización de pagos que no responden a los estándares del compliance penal.
Identificar esos riesgos antes de que se materialicen es la función principal del programa. Y esa identificación temprana es lo que hace que el coste del programa sea inferior al coste del riesgo que mitiga.
¿Está su empresa en posición de demostrar, hoy mismo, que tiene implantado un sistema de control idóneo? Si la respuesta genera incertidumbre, el momento de actuar es ahora.
La implantación de un programa de compliance en el sector inmobiliario y de la construcción conecta de forma natural con el asesoramiento en protección de datos y compliance para empresas que operan en entornos de alta regulación. Del mismo modo, las empresas con exposición a riesgos penales corporativos pueden profundizar en las implicaciones específicas del compliance penal consultando nuestro análisis sobre compliance penal sectorial en logística y transporte, que comparte con la construcción muchas de las características de riesgo derivadas de las cadenas de subcontratación. Para respuestas detalladas sobre las obligaciones de compliance penal de la empresa, puede consultar también nuestro centro de preguntas frecuentes sobre compliance penal.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.