WhatsApp y RGPD para administradores de fincas: qué dice la ley en 2026

Antes de hablar de WhatsApp, conviene fijar las cuatro normas que estructuran cualquier conversación sobre protección de datos en un despacho español.

RGPD (Reglamento UE 2016/679)

El Reglamento General de Protección de Datos es la norma marco. Define quién es responsable, quién es encargado, qué bases legales habilitan un tratamiento, qué derechos tiene el interesado y qué plazos rigen su ejercicio. Para un administrador de fincas, los artículos críticos son el 5 (principios), el 6 (bases legales), el 13 (información al interesado), el 15 (derecho de acceso), el 17 (derecho al olvido), el 28 (encargados del tratamiento), el 30 (registro de actividades), el 32 (seguridad) y el 33 (notificación de brechas).

LOPDGDD (Ley Orgánica 3/2018)

La ley orgánica española que adapta el RGPD al ordenamiento interno. Detalla el régimen de la AEPD, las sanciones, los DPOs obligatorios y algunas particularidades laborales y de menores. No sustituye al RGPD: lo complementa. Cuando una norma española y una europea entran en conflicto aparente, prima la interpretación armonizada con el RGPD.

AEPD: criterio aplicable a mensajería

La Agencia Española de Protección de Datos ha publicado criterio en varias ocasiones sobre el uso de aplicaciones de mensajería en entornos profesionales. La línea ha sido consistente: el uso es posible, pero el responsable del tratamiento sigue siéndolo el profesional, no la app, y debe documentar cómo cumple sus obligaciones a pesar de las limitaciones de la herramienta. Las inspecciones más recientes han incidido en la dificultad de evidenciar consentimiento, conservación limitada y borrado verificable cuando el canal es WhatsApp normal.

LPH y privacidad: el deber de comunicación entre vecinos y despacho

La Ley 49/1960 de Propiedad Horizontal reformada obliga al propietario a comunicar al secretario-administrador su domicilio en España a efectos de notificaciones (Art. 9.1.h LPH). Eso da al despacho una base contractual y legal para tratar el dato. Pero la LPH no convierte cualquier canal en automáticamente conforme con el RGPD: si el despacho usa WhatsApp, el cumplimiento RGPD se evalúa por separado y por completo.

Eres responsable del tratamiento (no encargado)

Si el despacho decide qué se hace con los datos del vecino (responder una incidencia, archivar un mensaje, eliminar una conversación al cerrar una incidencia), el despacho es responsable del tratamiento en términos del Art. 4 RGPD. Esto es así con independencia de si el contrato de administración con la comunidad lo dice o no. No se puede "subcontratar" la responsabilidad al cliente.

La comunidad como responsable conjunto en algunos supuestos

Cuando la comunidad de propietarios mantiene su propio grupo de WhatsApp con un canal con el despacho, la situación cambia: el despacho responde, pero la comunidad — a través de su presidente o de su junta — también está decidiendo finalidades del tratamiento. En esos casos cabe la corresponsabilidad del Art. 26 RGPD, y debería formalizarse por escrito quién hace qué.

Subencargados: Meta, BSPs, Tech Providers

Cuando el despacho usa WhatsApp Business API, Meta es un encargado del tratamiento del despacho y firma un DPA. Si el despacho contrata además un BSP (Business Solution Provider) o un Tech Provider que ofrece software encima de la API, ese proveedor es otro encargado, subencargado de Meta y encargado del despacho, y firma su propio DPA. La cadena debe ser transparente: el residente tiene derecho a saber qué proveedores procesan sus datos (Art. 13.1.e RGPD). Ver la lista pública de subencargados.

WhatsApp normal — la app que descargas del Play Store sin más — presenta serias dificultades de cumplimiento del RGPD cuando se usa para gestionar comunicaciones con cientos de residentes en un entorno profesional. No es exactamente ilegal: es difícil de defender ante una inspección de la AEPD. Las cuatro dificultades estructurales son las siguientes.

1. No hay DPA empresarial entre tu despacho y Meta

Cuando un usuario instala WhatsApp y acepta los términos, no se firma un Data Processing Agreement empresarial. Meta procesa esos datos bajo sus términos de servicio para consumidores, no bajo un contrato Art. 28 RGPD entre Meta y el despacho. El Art. 28 RGPD exige que el encargado actúe bajo contrato escrito y vinculante que detalle el objeto, duración, finalidad, naturaleza y categorías de datos. Sin ese contrato, el despacho no puede demostrar formalmente que Meta es su encargado, lo que la AEPD interpreta como un incumplimiento del Art. 28.

2. El consentimiento es difícil de documentar

Cuando un vecino escribe al WhatsApp del despacho, está iniciando un contacto pero no está documentando un consentimiento. Si el tratamiento de sus datos se basa en consentimiento (Art. 6.1.a RGPD), el despacho debe poder demostrar que ese consentimiento se dio de forma libre, específica, informada e inequívoca. Una conversación abierta de WhatsApp no satisface ese estándar probatorio.

Existe la base legal del interés legítimo (Art. 6.1.f) o de la ejecución contractual (Art. 6.1.b) que pueden aplicar — pero el análisis de proporcionalidad y la información al interesado siguen siendo obligatorios. No existe ninguna base legal en el RGPD que exima al despacho de informar al vecino de qué datos trata y con qué fines (Art. 13).

3. La conservación es por móvil, no por sistema

El Art. 5.1.e RGPD obliga a conservar los datos personales solo durante el tiempo necesario para los fines del tratamiento. En WhatsApp normal, la conservación efectiva depende del espacio en el móvil, del momento en que se cambia de teléfono, de si hay copia en la nube, de si esa copia se borró. El despacho no tiene control sistemático sobre cuándo y cómo se eliminan los datos, lo que dificulta demostrar el cumplimiento del principio de limitación del plazo de conservación.

4. El derecho al olvido es manual y frágil

Cuando un vecino ejerce el derecho al olvido (Art. 17 RGPD), el despacho debe eliminar sus datos personales — todos — y poder demostrar que lo ha hecho. En WhatsApp normal eso significa borrar manualmente cada mensaje de cada conversación, en cada móvil que lo tenga, en cada copia de seguridad de iCloud o Google Drive. La AEPD ha señalado en varias resoluciones que un borrado parcial o no verificable no equivale al cumplimiento del Art. 17.

WhatsApp Business app — la versión gratuita para autónomos y pequeñas empresas — añade respecto a WhatsApp normal: catálogo de productos, etiquetas, respuestas rápidas, mensajes de bienvenida automatizados, perfil empresarial con horarios.

Qué resuelve. Algunos elementos formales mejoran. El perfil empresarial visible al residente cumple parcialmente con la información del Art. 13 (qué empresa es, cómo contactar). Las etiquetas y respuestas rápidas facilitan un orden interno mínimo.

Qué sigue siendo problemático. No hay DPA específico Art. 28 — los términos de la app gratuita son los de WhatsApp Business estándar, no un contrato empresarial firmado. La conservación sigue dependiendo del móvil. El derecho al olvido sigue siendo manual. La auditoría centralizada no existe.

El mito a desmontar es "usamos WhatsApp Business, ya cumplimos". No es así. La app empresarial gratuita es una mejora operativa, no una solución de cumplimiento.

WhatsApp Business API (también llamada WhatsApp Cloud API o WABA — WhatsApp Business Account) es la modalidad empresarial real. No es una app: es una interfaz programática a la que se conecta un software empresarial.

DPA empresarial directa con Meta para tu WABA

Al crear una WhatsApp Business Account empresarial, Meta firma un DPA específico con el despacho. El DPA detalla las categorías de datos, las finalidades, las medidas de seguridad y las subtransferencias. El Art. 28 RGPD se cumple formalmente.

Webhook firmado HMAC-SHA256: integridad de mensaje

Los mensajes llegan al sistema del despacho a través de un webhook firmado criptográficamente. Esto evita que un tercero falsifique mensajes entrantes y aporta integridad técnica al canal. No es directamente un requisito RGPD, pero contribuye al cumplimiento del Art. 32 (medidas de seguridad técnicas).

Capa de software encima: la cadena de subencargados se documenta

Sobre la API, el despacho conecta un software (un Tech Provider). Ese Tech Provider firma su propio DPA con el despacho como encargado, y el despacho mantiene una página pública de subprocesadores donde aparecen Meta, el Tech Provider y todos los demás (hosting, transactional email, monitorización). La cadena queda documentada y demostrable. Ver subencargados de Incidencias.

Conservación, derecho de acceso y derecho al olvido programáticos

La conservación es una política configurable del sistema, no una propiedad del móvil. La exportación de un Art. 15 RGPD es una consulta automática que devuelve todos los mensajes de un residente en formato estructurado, en horas, no en semanas. El borrado del Art. 17 es una operación atómica, verificable, con registro de auditoría.

1. Información clara al residente (Art. 13 RGPD)

El despacho debe informar al residente — antes o en el primer contacto — de la identidad del responsable, las finalidades del tratamiento, la base legal, los destinatarios y subencargados, el plazo de conservación, y los derechos que tiene. La información debe ser concisa, transparente, inteligible, en lenguaje claro y sencillo, y fácilmente accesible (Art. 12.1).

Acción concreta: publicar una cláusula informativa accesible desde el primer contacto. Si el vecino escribe el WhatsApp del despacho, la respuesta inicial debe contener un enlace breve a esa cláusula (en la firma del despacho, en el mensaje de bienvenida, o en el documento de bienvenida que recibe al firmar el contrato de administración con su comunidad).

2. Base legal: consentimiento explícito o interés legítimo

Para gestionar la incidencia que el vecino ha iniciado por WhatsApp, la base legal más sólida suele ser el interés legítimo (Art. 6.1.f) — el despacho tiene un interés en gestionar la incidencia, el vecino la inició, y la proporcionalidad es clara. Para usos secundarios (notificaciones de cuotas, recordatorios masivos, marketing) la base suele requerir consentimiento explícito del Art. 6.1.a.

Acción concreta: documentar el análisis de proporcionalidad del interés legítimo en el registro de actividades. Para usos secundarios, recabar consentimiento por escrito y conservarlo.

3. Registro de actividades de tratamiento (Art. 30 RGPD)

Todo despacho con más de 250 personas, o que trate datos sensibles, o que realice tratamientos no ocasionales, debe mantener un registro de actividades. La administración de fincas estándar entra en la última categoría: tratamiento no ocasional.

Acción concreta: mantener un registro con al menos: nombre y datos del responsable, finalidades, categorías de interesados y de datos, destinatarios, transferencias internacionales (relevante si Meta procesa fuera de la UE — verificar el DPA), plazos de supresión, descripción general de medidas de seguridad.

4. Conservación limitada y borrado verificable (Art. 5.1.e + Art. 17)

Los datos se conservan solo el tiempo necesario para la finalidad. Cuando la finalidad termina (incidencia resuelta y cerrado el plazo de defensa legal), se borran. El borrado debe ser verificable.

Acción concreta: definir y documentar plazos. Plazo orientativo: incidencia resuelta + 12 a 24 meses para defensa legal y reclamaciones. Plazos más largos solo con justificación específica.

5. Derecho de acceso en plazo razonable (Art. 15)

El residente tiene derecho a obtener una copia de los datos que el despacho trata sobre él, en el plazo de un mes (prorrogable a tres meses en casos complejos, con notificación previa).

Acción concreta: definir un procedimiento. Tener un canal (email, formulario) por donde el vecino solicita el acceso, una persona responsable de gestionarlo, y un mecanismo técnico para extraer los datos. Si el canal es WhatsApp Business API con software encima, la extracción es programática.

6. Notificación de brechas en 72h (Art. 33)

Si hay una brecha de seguridad que afecta a datos personales, hay 72 horas para notificarla a la AEPD (y, según gravedad, a los afectados).

Acción concreta: tener un protocolo escrito de detección y respuesta. Quién detecta, quién comunica, qué se redacta, dónde se notifica.

INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS

Responsable del tratamiento: [Nombre del despacho], CIF [XXX],
[dirección postal], [email DPO].

Finalidad: gestión de incidencias y comunicaciones derivadas de la
administración de la comunidad de propietarios donde usted reside,
incluido el canal WhatsApp si lo utiliza para contactarnos.

Base legal: ejecución del contrato de administración con su comunidad
y/o interés legítimo del despacho en la gestión de incidencias.

Destinatarios: Meta Platforms Ireland Ltd. (proveedor de WhatsApp
Business API), [Tech Provider], proveedores de servicios (gremios)
en lo estrictamente necesario para resolver su incidencia.

Conservación: durante la prestación del servicio y posteriormente
por un plazo de [12-24] meses para el ejercicio de defensa legal.

Derechos: acceso, rectificación, supresión, oposición, limitación,
portabilidad. Reclamación ante la AEPD (aepd.es).

Más información: [URL a política de privacidad completa].

La versión final de esta plantilla, una vez aprobada por DPO, se ofrecerá como descarga. Plantilla disponible tras la revisión del DPO (próximamente).

• Meta DPA empresarial: se acepta al crear la WhatsApp Business Account. Es un contrato de adhesión, no negociable, pero cumple los requisitos del Art. 28 RGPD. Está disponible públicamente en la sección legal de Meta for Business.
• Tech Provider DPA: si el despacho conecta un proveedor de software empresarial encima de la API, ese proveedor firma un DPA específico con el despacho como encargado y subencargado de Meta. Debe incluir las cláusulas estándar del Art. 28.4 RGPD, incluida la autorización del subencargo.

No hay un plazo legal único. El plazo es el necesario para la finalidad. Las tres referencias prácticas:

Para resolución de la incidencia: hasta resolución + 12 a 24 meses según contrato

El plazo orientativo es 12 a 24 meses tras el cierre de la incidencia, asumiendo que durante ese tiempo el residente o la comunidad podrían reabrir una reclamación relacionada. El despacho debe documentar la elección y poder defenderla.

Para defensa legal: hasta prescripción de la acción correspondiente

Si la incidencia podría derivar en una acción judicial, el plazo de conservación extendida es el de prescripción de la acción correspondiente (en general 5 años para acciones personales, Art. 1964 Código Civil reformado).

Tabla orientativa: tipo de mensaje × plazo razonable

Estos plazos son orientativos. El despacho debe documentar su elección y poder justificarla. Si el plazo se aplica por defecto del software, el software debe poder demostrar la política activa.

WhatsApp normal: por qué los 30 días son casi imposibles. La extracción manual de todos los mensajes de un residente, repartidos por hilos individuales y grupos, en uno o varios móviles del despacho, es operativamente inviable en plazo. La AEPD ha aceptado respuestas razonadas que reconocen la limitación, pero la limitación es del despacho, no del residente.

WhatsApp Business app: parcialmente posible, manualmente. El export por chat de WhatsApp permite extraer una conversación en formato .txt con metadatos básicos. Posible para 5 a 10 residentes; inviable para una solicitud que cubra el histórico de un residente que ha estado en grupos durante años.

WhatsApp Business API: exportación programática en horas. Una consulta contra la base de datos del software empresarial devuelve todos los mensajes asociados a un número o a un residente, exportables en JSON o CSV. La operación se completa en horas, no en días.

Borrado verificable: qué exige la AEPD. El borrado debe ser efectivo y demostrable. No basta con eliminar mensajes visibles; las copias de seguridad, los registros de auditoría, los índices y los caches deben quedar limpios. Si no es posible la eliminación completa, el responsable debe documentar las limitaciones técnicas y aplicar medidas alternativas (anonimización, bloqueo).

Por qué borrar manualmente del móvil no es suficiente. El historial de WhatsApp normal vive simultáneamente en el móvil, en la copia de seguridad de iCloud o Google Drive, posiblemente en una segunda copia exportada en algún momento. Garantizar el borrado completo de las cuatro ubicaciones es operativamente complejo. La AEPD ha sancionado el borrado parcial cuando el responsable no pudo demostrar la eliminación efectiva.

Pérdida del móvil con histórico de incidencias

Si el móvil que contiene el WhatsApp del despacho se pierde sin estar cifrado o sin bloqueo robusto, es una potencial brecha de datos personales y dispara el plazo de notificación de 72h del Art. 33 RGPD (si la brecha implica un riesgo para los derechos y libertades de los afectados).

Acceso no autorizado al WABA

Si un atacante accede a la cuenta empresarial de WhatsApp Business y exfiltra mensajes, también dispara el plazo. La detección depende de la trazabilidad del sistema (audit log, alertas de inicio de sesión inusual).

Filtración accidental por exportación a un destinatario incorrecto

El error humano más común: exportar un chat a un email equivocado, o reenviar un mensaje a un grupo incorrecto. Estos eventos también pueden ser brechas notificables según su gravedad.

1. ¿El despacho tiene una WhatsApp Business Account empresarial (no la app del Play Store)?
2. ¿Existe un DPA firmado con Meta?
3. ¿Existe un DPA firmado con el proveedor de software empresarial (si lo hay)?
4. ¿Hay una página pública de subprocesadores actualizada?
5. ¿Existe una cláusula informativa accesible desde el primer contacto?
6. ¿La base legal del tratamiento está documentada en el registro de actividades?
7. ¿Hay un análisis de proporcionalidad del interés legítimo escrito?
8. ¿El registro de actividades del Art. 30 está actualizado en los últimos 12 meses?
9. ¿La política de conservación está definida y configurada en el sistema?
10. ¿Existe un procedimiento documentado para responder al Art. 15 (acceso) en 30 días?
11. ¿Existe un procedimiento documentado para responder al Art. 17 (olvido)?
12. ¿Existe un protocolo de respuesta a brechas con plazo de 72h?
13. ¿El DPO está designado y notificado a la AEPD (cuando obligatorio)?
14. ¿El equipo del despacho ha recibido formación básica en RGPD?
15. ¿Hay un email DPO público y operativo (dpo@...)?
16. ¿La cláusula informativa ha sido revisada en los últimos 12 meses?
17. ¿La conservación efectiva en el sistema coincide con la política escrita?
18. ¿Las copias de seguridad cumplen los mismos plazos de conservación que el sistema principal?
19. ¿Se documentan los consentimientos para usos secundarios (recordatorios, marketing)?
20. ¿Hay un procedimiento de revisión interna anual del cumplimiento RGPD?

Incidencias trabaja sobre WhatsApp Business API empresarial. Eso significa:

• DPA empresarial con Meta firmado por el despacho a través del proceso de creación de la WABA.
• DPA específico entre Incidencias (subencargado) y el despacho (responsable).
• Página pública de subprocesadores con todos los actores de la cadena.
• Conservación configurable por defecto en 24 meses, ajustable por contrato.
• Exportación automática para Art. 15 y borrado verificable para Art. 17.
• Audit log centralizado de cada mensaje entrante y saliente.
• Servidores en la UE.

Esto no convierte al despacho en cumplidor automático. El despacho sigue siendo responsable del tratamiento y debe documentar su política, formar a su equipo y mantener el registro de actividades. Lo que Incidencias aporta son las herramientas que hacen el cumplimiento alcanzable.

Para detalles técnicos ver /incidencias/seguridad y /incidencias/integracion/whatsapp-business.