Por Diego Bayán Gómez

 

¿Se transmite con el edificio el riesgo de protección de datos?

Un fondo de inversión compra un edificio de oficinas. Los tornos de entrada funcionan con reconocimiento facial y con sensores que cuentan a las personas presentes, para ajustar la climatización. La due diligence revisa la estructura, las licencias y la certificación energética. Nadie pregunta qué hace el edificio con los datos de quienes entran en él. Ocho meses después de la entrega, una empleada de uno de los arrendatarios presenta una reclamación ante la Agencia Española de Protección de Datos (AEPD).

¿Qué ha comprado el fondo, y qué puede reclamar al vendedor? La pregunta parece de protección de datos, pero realmente se responde con el Derecho civil. Entiendo que el cumplimiento normativo de los sistemas de un edificio es una posible vulnerabilidad que se transmite con el activo y que afecta a su precio. El Código Civil (CC) apenas protege al comprador frente a ella. Por eso debe resolverse en el contrato y, antes todavía, en el diseño de los propios sistemas.

¿Por qué un problema de datos es un problema del inmueble?

Los edificios ya no se limitan a acoger una actividad. Ahora, la miden. La Directiva (UE) 2024/1275, relativa a la eficiencia energética de los edificios, obliga a los Estados a extender los sistemas de automatización y control a más edificios no residenciales. Sensores de ocupación, contadores inteligentes y accesos biométricos forman ya parte de lo que se paga. Esos sistemas tratan datos personales aunque no se instalaran con ese propósito.

Conviene distinguir dos riesgos que suelen confundirse. Uno es el de seguridad: que un tercero acceda a los datos sin autorización. El otro, nace del funcionamiento autorizado del sistema, que recoge más información de la necesaria o permite identificar a quien debía permanecer anónimo. Así lo advierte la Guía de Privacidad desde el Diseño de la AEPD. El primer riesgo obliga a proteger el sistema, el segundo, a rediseñarlo. Un edificio puede infringir el Reglamento General de Protección de Datos (RGPD) haciendo exactamente aquello para lo que fue diseñado.

El ejemplo más claro es el control de acceso biométrico. Según la guía de la AEPD sobre control de presencia mediante sistemas biométricos, tanto la identificación como la autenticación biométricas tratan categorías especiales de datos, que el artículo 9 RGPD somete a una prohibición general con excepciones tasadas. La ejecución del contrato no figura entre ellas. Queda el consentimiento, que el artículo 9.2.a) RGPD exige explícito y que no puede deducirse de la inacción (considerando 32). Pero solo es libre si quien lo niega dispone de una alternativa real para entrar en el edificio, y esa alternativa demuestra que la biometría no era necesaria. El consentimiento, para ser válido, exige que el tratamiento sea prescindible.

Tampoco puede el propietario dejar toda la responsabilidad al fabricante por un sistema mal diseñado. El artículo 25 RGPD impone la protección de datos desde el diseño al responsable del tratamiento, esto es, a quien decide para qué y cómo se tratan los datos.

¿Qué recibe el adquirente según cómo se estructure la operación?

La respuesta cambia según se compre el inmueble (asset deal) o las participaciones de la sociedad que lo posee (share deal).

En la compraventa del inmueble, el comprador pasa a ser responsable del tratamiento desde el cierre. Recibe los lectores, las cámaras y las bases de datos, pero no la legitimación para usarlos. La legitimación no acompaña a la cosa: depende de quién trata los datos y con qué finalidad. Además, la propia entrega de esas plantillas al comprador es un tratamiento que debe superar, de nuevo, el artículo 9 RGPD. Lo prudente será borrarlas y rediseñar el sistema, con un coste que nadie tuvo en cuenta al fijar el precio.

En la compraventa de participaciones, el comprador adquiere el control de una sociedad que conserva toda su historia, incluidos los tratamientos defectuosos y los expedientes abiertos. La sanción recaerá sobre esa sociedad. En el asunto Deutsche Wohnen (sentencia de 5 de diciembre de 2023, C-807/21), una inmobiliaria alemana había sido multada con más de catorce millones de euros por conservar datos de sus arrendatarios más tiempo del necesario. El Tribunal de Justicia de la Unión Europea (TJUE) declaró que la persona jurídica puede ser sancionada sin identificar previamente a la persona física que cometió la infracción, siempre que concurra dolo o negligencia. Más tarde, en la sentencia de 13 de febrero de 2025 (C-383/23, ILVA), confirmó que el concepto de “empresa” del artículo 83 RGPD se interpreta como en el Derecho de la competencia, de modo que la multa a una filial puede tener en cuenta el volumen de negocios de su grupo. Si la sociedad vehículo pertenece a un fondo, la exposición puede multiplicarse.

¿Protege el Código Civil al comprador?

No. El saneamiento por vicios ocultos (artículo 1484 CC) encaja mal con un defecto jurídico y no físico: los tornos funcionan; lo que falla es la licitud de su uso. El mismo precepto excluye la responsabilidad del vendedor cuando el comprador es un perito que, por razón de su oficio o profesión, debía conocer el defecto, y difícilmente podrá presentarse como lego quien ha encargado una due diligence. Además, las acciones de saneamiento, incluida la de rebaja del precio (artículo 1486 CC), se extinguen a los seis meses de la entrega (artículo 1490 CC). En el supuesto inicial, la reclamación llegó en el séptimo mes.

Queda el aliud pro alio, que trata como incumplimiento total la entrega de una cosa inhábil para su destino y abre la indemnización y la resolución de los artículos 1101 y 1124 CC, con el plazo general de cinco años de las acciones personales (artículo 1964.2 CC). El argumento merece consideración: un edificio vendido como inteligente cuyo sistema no puede usarse lícitamente no es exactamente lo que se pactó. El problema aparece al medir el umbral. La dcotrina exige que el objeto sea totalmente inhábil para el uso a que va destinado, y eso presupone un contrato causalizado en torno a la función tecnológica. Aun entonces, solo una orden de la autoridad de control que limitara o prohibiera el tratamiento, al amparo del artículo 58.2.f) RGPD, frustraría ese destino. Un edificio que puede ocuparse, climatizarse y alquilarse rara vez alcanza esa inhabilidad.

En la compraventa de participaciones es mucho más complejo, porque lo que se venden son las participaciones y no el edificio. Los defectos del patrimonio social no son, sin más, vicios de la cosa vendida. Ello no significa que el comprador quede desprotegido, sino que su protección no puede confiarse al régimen legal supletorio.

¿Qué debe decir el contrato?

Hay que diferenciar: Una cosa es quién responde frente a la AEPD y frente a los afectados; otra, quién soporta el coste. El contrato no altera lo primero, que depende de los hechos, pero ordena lo segundo con plena eficacia entre las partes. Las cláusulas no trasladan la responsabilidad por el tratamiento; trasladan su coste. De esa diferencia depende la utilidad de cada redacción. Tomamos como ejemplo tres.

La primera es la habitual: “El vendedor manifiesta que cumple la normativa de protección de datos”. En realidad, sirve de poco. Obliga al comprador a probar un incumplimiento genérico, suele ir limitada a lo que el vendedor conozca y no dice nada de los sistemas del edificio.

La segunda: “El vendedor garantiza que los sistemas de control de acceso no tratan datos biométricos o que, si lo hacen, cuentan con una base jurídica conforme al artículo 9.2 RGPD y con la evaluación de impacto exigida por su artículo 35”. Esta redacción convierte una cuestión de interpretación en un hecho verificable. Si resulta inexacta, se aplica el régimen de responsabilidad pactado, sin necesidad de discutir si había vicio oculto ni de ajustarse a sus plazos.

La tercera ya no describe el activo, sino que distribuye el riesgo: “El vendedor mantendrá indemne al comprador de los costes de sustitución de los sistemas y de las sanciones derivadas de tratamientos anteriores al cierre”. Opera aunque el riesgo fuera conocido, y por eso es la que importa cuando la due diligence lo ha detectado.

Esa indemnidad necesita una garantía de cobro: una retención de parte del precio, un depósito en manos de un tercero (escrow) hasta que el riesgo se extinga o, en los casos graves, una condición suspensiva que supedite el cierre a la regularización del sistema. El seguro de manifestaciones y garantías (Warranty & Indemnity) no sirve aquí, porque excluye los riesgos conocidos en la due diligence. El defecto detectado no se asegura, se negocia.

En el arrendamiento, la cuestión previa es quién responde del tratamiento: el propietario que gestiona el sistema o el arrendatario que lo usa para controlar la entrada de su plantilla. El contrato puede declararlo, pero no decidirlo, porque esa condición corresponde a quien determina de hecho los fines y los medios (artículo 4.7 RGPD); sí puede repartir el coste de adaptar el sistema. La seguridad merece la misma atención: una pasarela sin actualizar, el equipo que conecta los sensores con internet, es una puerta a la red del arrendatario, y las entidades sujetas a la Directiva NIS2 exigirán seguridad en su cadena de suministro.

¿Puede un edificio funcionar sin depender del consentimiento?

La garantía más útil es la que nunca llega a ejecutarse, y eso depende de la base jurídica del tratamiento. La intuitiva, el consentimiento, es la menos funcional. Puede retirarse en cualquier momento (artículo 7.3 RGPD), y en las relaciones de dependencia, como la laboral, su libertad es dudosa, según recuerda la AEPD con apoyo en las Directrices 5/2020 del Comité Europeo de Protección de Datos. Entiendo que el razonamiento se extiende a los arrendatarios y a sus empleados, que no negocian las condiciones técnicas del edificio que ocupan. Un edificio no puede ventilarse ni mantenerse según cientos de voluntades revocables cada mañana.

El interés legítimo del artículo 6.1.f) RGPD ofrece una base más estable, y lo invocará el propietario o el arrendatario según quién sea responsable. Interpretando la Directiva que precedió al RGPD, el TJUE admitió la videovigilancia sin consentimiento en las zonas comunes de un edificio residencial. Exigió que se persiga un interés legítimo, que el tratamiento sea necesario para satisfacerlo, lo que implica que el fin no pueda alcanzarse razonablemente por medios menos intrusivos, y que no prevalezcan los derechos de los afectados (sentencia de 11 de diciembre de 2019, C-708/18, TK). Después precisó que un interés comercial puede ser legítimo si es lícito, aunque la necesidad se aprecia de forma estricta (sentencia de 4 de octubre de 2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).

Esa necesidad estricta se acredita con ingeniería. Si el sensor emite recuentos y no imágenes ni identificadores, el resultado, cuando es realmente anónimo, queda fuera del RGPD (considerando 26), y la captación previa a la agregación es un tratamiento fugaz que puede ampararse en el interés legítimo. Los registros que sí necesitan trazabilidad pueden seudonimizarse, custodiando por separado la información que permite atribuirlos a cada persona (artículo 4.5 RGPD). Y si los datos se procesan en el propio dispositivo, a la nube llegan métricas y no personas.

Completan el diseño un cauce sencillo para oponerse al tratamiento (artículo 21 RGPD) y una ponderación escrita del interés legítimo, que el RGPD no nombra pero que deriva del principio de responsabilidad proactiva (artículo 5.2 RGPD). Ese documento permite a la AEPD comprobar por qué el interés justifica el tratamiento y al futuro comprador auditarlo en el data room. No sustituye a la evaluación de impacto del artículo 35 RGPD cuando el riesgo es alto.

El límite está en la biometría. El artículo 9.2 RGPD no incluye el interés legítimo entre sus excepciones, de modo que este no puede amparar el reconocimiento facial en el portal. Lo defendible es que la plantilla biométrica no salga nunca del dispositivo del usuario, de forma que el edificio reciba solo una credencial, y que exista siempre una alternativa no biométrica.

¿Qué debe preguntar quien adquiere o arrienda un edificio?

De lo anterior resulta una regla práctica. Antes del cierre, el adquirente tendrá que saber qué datos tratan los sistemas del edificio y con qué base jurídica, quién responde de cada tratamiento, si hay expedientes abiertos y si el sistema podría funcionar sin identificar a nadie. Las respuestas determinan las cláusulas. Si el sistema está bien diseñado, bastará una garantía específica; si no lo está, habrá que negociar una indemnidad respaldada por una retención o, en los casos graves, una condición suspensiva. Lo que no cabe es confiar en el Código Civil.

Nadie compra un edificio sin revisar su estructura, sus licencias o su certificación energética. La capa digital merece el mismo rigor, porque también condiciona el uso y el precio del activo. Deutsche Wohnen no fue sancionada por recoger datos de sus arrendatarios, sino por no borrarlos. Las paredes pueden ver y escuchar, lo que el comprador debe exigir es la prueba de que también saben olvidar.

foto: Pedro Fraile