La AEPD multa a una mancomunidad por revelar datos de salud

La Agencia Española de Protección de Datos (AEPD), en la resolución del expediente n.º EXP202316101, ha impuesto a una mancomunidad residencial una multa total de 1.000 euros por difundir en grupos de WhatsApp información que identificaba a una residente y revelaba un problema de salud.

La autoridad de control aprecia dos infracciones del Reglamento General de Protección de Datos (RGPD): una vulneración del artículo 9, relativo al tratamiento de categorías especiales de datos, y otra del artículo 5.1.f), que recoge el principio de integridad y confidencialidad. Cada incumplimiento se sanciona con 500 euros.

Un escrito sobre trabajos de jardinería reveló el dato de salud

Los hechos se remontan al 9 de junio de 2023. La presidencia de la mancomunidad remitió a un grupo de WhatsApp integrado por los presidentes de los distintos bloques la copia de un escrito que explicaba por qué se paralizaba un tratamiento fitosanitario previsto en los jardines.

El documento identificaba a una residente y vinculaba la suspensión de los trabajos con un problema de salud que padecía. Posteriormente, la presidenta del bloque en el que residía la afectada reenvió el contenido a otro grupo de WhatsApp formado por los vecinos de ese inmueble.

La residente había autorizado que la información se comunicara únicamente al jardinero y a la presidenta de la mancomunidad para buscar un producto compatible con su situación. Sin embargo, no había consentido su difusión entre los presidentes de los bloques ni entre el conjunto de vecinos.

La mancomunidad reconoció inicialmente que la comunicación no había sido adecuada y ordenó retirar las publicaciones. También anunció el refuerzo de sus protocolos, una mayor supervisión de las notificaciones, la elaboración de directrices sobre grupos de WhatsApp y la información a la junta de propietarios sobre el tratamiento de datos personales.

No obstante, la afectada acreditó mediante una captura de pantalla que, a 17 de enero de 2024, el documento continuaba visible en el grupo de vecinos. La AEPD recuerda en la resolución que la función de WhatsApp para eliminar un mensaje para todos caduca transcurrido un determinado plazo, de modo que su borrado posterior por un usuario no garantiza su desaparición de los dispositivos de los demás integrantes.

El carácter informal del grupo no excluye la responsabilidad

Durante el procedimiento, la mancomunidad sostuvo que el grupo de WhatsApp no era un canal oficial, no había sido creado mediante acuerdo de la junta y se utilizaba a título particular por quienes ocupaban las presidencias de los diferentes bloques.

La AEPD rechaza este argumento. Considera que la mancomunidad actuó como responsable del tratamiento porque había obtenido los datos para una finalidad concreta y determinó su utilización al remitir el documento al grupo de presidentes. La naturaleza informal de la herramienta empleada no elimina las obligaciones derivadas del RGPD.

La Agencia también aprecia una contradicción entre negar cualquier control sobre el chat y, al mismo tiempo, afirmar que la propia mancomunidad dio instrucciones para borrar los mensajes y estableció medidas de supervisión sobre las comunicaciones realizadas mediante WhatsApp.

La obligación de informar a los propietarios sobre la suspensión de unos trabajos comunitarios podía justificar la comunicación de esa incidencia, pero no exigía revelar la identidad de la residente ni su condición de salud. La información podía haberse transmitido de forma neutra, indicando simplemente que la actuación quedaba aplazada mientras se buscaba un producto adecuado.

Los datos de salud exigen una protección reforzada

El artículo 9.1 del RGPD prohíbe, como regla general, tratar datos relativos a la salud, salvo que concurra alguna de las excepciones contempladas en su apartado segundo. Entre ellas se encuentra el consentimiento explícito para uno o varios fines específicos.

En este caso, la AEPD concluye que no se acreditó ninguna excepción que permitiera divulgar la información. El consentimiento limitado para comunicar el dato a dos destinatarios concretos no podía extenderse a una pluralidad de vecinos ni utilizarse para una finalidad diferente.

La resolución subraya que los datos de salud son categorías especiales y requieren medidas de privacidad y seguridad adaptadas al riesgo. Su comunicación, almacenamiento o revelación debe efectuarse únicamente cuando exista una habilitación suficiente y con garantías reforzadas.

Por ello, la AEPD impone una multa de 500 euros por vulnerar el artículo 9 del RGPD. La infracción se encuadra en el artículo 83.5.a) del Reglamento y, a efectos de prescripción, tiene la consideración de muy grave conforme a la LOPDGDD.

Vulneración de la integridad y confidencialidad

La Agencia aprecia además un incumplimiento autónomo del artículo 5.1.f) del RGPD. Este principio obliga a tratar los datos de manera que se garantice una seguridad adecuada y se eviten accesos, usos o divulgaciones no autorizados mediante medidas técnicas y organizativas apropiadas.

Aunque la información sobre la paralización de los trabajos resultara relevante para los propietarios, el envío íntegro del documento permitió que terceros no autorizados accedieran a datos identificativos y sanitarios de la afectada. Esta conducta justifica una segunda multa de 500 euros por quebrantar la confidencialidad.

La AEPD descarta sustituir las multas por un simple apercibimiento, pero valora como atenuantes las actuaciones posteriores de la mancomunidad. Entre ellas figuran las solicitudes de retirada de los mensajes, la revisión de los protocolos de notificación, el incremento del control sobre las comunicaciones y la preparación de instrucciones específicas para el uso de WhatsApp. Estas medidas permitieron reducir de 2.000 a 1.000 euros la sanción inicialmente propuesta.

Impacto práctico para comunidades y administradores

La resolución refuerza la necesidad de que comunidades de propietarios, mancomunidades y administradores de fincas establezcan reglas claras para sus canales de mensajería. Antes de compartir un documento deben comprobar quiénes son sus destinatarios, si contiene datos personales y si toda la información incluida es realmente necesaria.

Cuando una incidencia afecte a la salud de un vecino, la comunicación general debe limitarse a las consecuencias organizativas, evitando identificar a la persona o revelar su situación médica. El uso habitual o informal de WhatsApp no rebaja las exigencias del RGPD ni desplaza la responsabilidad de la entidad que decide comunicar los datos.

En conclusión, una finalidad informativa legítima no autoriza a difundir documentos completos con información sensible. La anonimización, la minimización y el control previo de los mensajes son medidas esenciales para evitar accesos indebidos y posibles sanciones.