Al sector de l'arquitectura, els fluxos de dades personals rarament queden en un sol despatx. Un projecte típic mobilitza l'arquitecte director, un o diversos calculistes estructurals, l'enginyeria d'instal·lacions, el topògraf, l'estudi de geotècnia, la direcció d'execució, el coordinador de seguretat i salut, i la gestoria. Sobre aquesta cadena es mouen dades del client, de l'immoble, a vegades dels ocupants i sempre del mateix equip tècnic. Cada actor d'aquesta cadena ocupa un rol concret sota el RGPD: responsable del tractament, encarregat o, en alguns casos, responsable independent. Saber-ho distingir determina quin contracte cal signar, quines obligacions s'assumeixen i qui respon si alguna cosa va malament.
Aquesta guia explica com es reparteixen els rols en una operació professional sota el RGPD (Reglament UE 2016/679) i la LOPDGDD (Llei Orgànica espanyola 3/2018), amb èmfasi en els tres escenaris que més confusió generen al sector: arquitecte contractat per una altra entitat per servir els seus clients, subcontractació tècnica habitual d'un projecte i plataformes BIM col·laboratives al núvol.
Els tres rols del RGPD aplicats a l'arquitectura
- Responsable del tractament: qui decideix finalitats i mitjans del tractament de dades personals. És la figura central del RGPD: signa el contracte amb l'interessat (o es relaciona directament amb ell), defineix quines dades es recullen i per a què, assumeix les obligacions de l'art. 24 RGPD.
- Encarregat del tractament: persona física o jurídica que tracta dades personals per compte del responsable. No decideix finalitats pròpies; executa el que el responsable li indica. Es regula per l'art. 28 RGPD amb un contracte obligatori.
- Responsable independent: qui, sobre les mateixes dades, decideix simultàniament finalitats pròpies diferents de les del primer responsable. Existeix en fluxos complexos on diversos actors processen les mateixes dades amb finalitats pròpies.
L'error més freqüent al sector és assumir que quan hi ha subcontractació tècnica tots els rols són automàticament de "responsable" perquè cada professional signa amb responsabilitat pròpia. En realitat, la responsabilitat tècnica professional és independent del rol RGPD: un calculista pot ser plenament responsable dels seus càlculs i, alhora, encarregat del tractament sobre les dades personals del client que rep de l'arquitecte director.
Escenari 1: arquitecte treballant directament amb client final
És la situació més habitual i la més senzilla en termes de rol RGPD. L'arquitecte signa una full d'encàrrec amb un particular, una empresa o una administració per redactar un projecte, dirigir una obra o fer un peritatge. La relació és bilateral i l'arquitecte:
- Decideix quines dades personals sol·licita al client (identificatives, registrals, econòmiques).
- Decideix quines finalitats persegueix amb aquestes dades (redacció del projecte, visat col·legial, tramitació de llicència, facturació).
- Decideix a quins proveïdors recorre per a serveis tècnics complementaris.
És, per tant, responsable del tractament. El seu deure d'informació de l'art. 13 RGPD es compleix lliurant la clàusula informativa al client en el primer contacte, idealment integrada a la full d'encàrrec.
Escenari 2: arquitecte contractat per una altra entitat per servir els seus clients
Aquí la situació canvia. Un arquitecte pot actuar com a encarregat del tractament quan treballa per a una altra entitat que és qui manté la relació principal amb el client final. Els supòsits típics:
- Arquitecte tècnic d'una promotora immobiliària: la promotora capta els compradors, gestiona la comercialització i manté la relació amb ells; l'arquitecte redacta els projectes per compte de la promotora. Sobre les dades dels compradors que l'arquitecte rep per personalitzar el projecte (canvis de distribució, acabats triats), actua típicament com a encarregat de la promotora.
- Arquitecte col·laborador d'un altre estudi: quan un estudi contracta un altre estudi o un arquitecte autònom per a una fase concreta (avantprojecte, fase d'execució, direcció d'obra), el segon treballa sobre les dades del client del primer com a encarregat.
- Arquitecte intern d'una empresa constructora o gran corporativa: en projectes per a clients externs, l'arquitecte intern actua com a personal de l'empresa, no com a responsable directe del client.
En aquests escenaris, l'arquitecte ha de signar amb l'entitat principal un contracte de l'art. 28 RGPD que reguli el tractament de dades per compte seu, amb el contingut mínim de l'art. 28.3.
Escenari 3: subcontractació tècnica habitual del projecte
És l'escenari invers: l'arquitecte director del projecte, que és responsable enfront del client final, subcontracta un o diversos tècnics especialitzats. Aquests tècnics són encarregats del tractament de l'estudi principal sobre les dades del client que se'ls transfereixen.
| Proveïdor | Quines dades del client rep | Rol RGPD |
|---|---|---|
| Calculista estructural | Dades de l'immoble, propietari, ocasionalment del client. | Encarregat (art. 28) |
| Enginyeria MEP / instal·lacions | Plànols de l'immoble, dades del propietari. | Encarregat (art. 28) |
| Topògraf | Dades cadastrals, en ocasions del propietari i colindants. | Encarregat (art. 28) |
| Estudi geotècnic | Dades de l'immoble, propietari. | Encarregat (art. 28) |
| Direcció d'execució | Dades completes del projecte i del client durant l'obra. | Encarregat (art. 28) |
| Coordinació de seguretat i salut | Dades de l'obra, empreses i treballadors. Doble pla. | Encarregat (dades del projecte) + Responsable propi (dades PRL) |
| Gestoria externa | Dades econòmiques de l'estudi i dels clients per a facturació. | Encarregat (art. 28) |
| Plataforma BIM cloud | Model complet del projecte i dades associades. | Encarregat (art. 28) + transferències internacionals si apliquen |
Plataformes BIM col·laboratives: el subencarregat tecnològic
Les plataformes BIM al núvol (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise, Graphisoft BIMcloud) processen dades personals per compte de l'estudi: dades del client incrustades al model, accessos de diversos tècnics, metadades de versions, comentaris interns de l'equip. La plataforma és encarregada del tractament i ha d'oferir a l'estudi un Data Processing Agreement amb el contingut de l'art. 28.3 RGPD.
L'important que ha de revisar l'estudi:
- Subencarregats de la plataforma: el cloud que utilitza (AWS, Azure, GCP), proveïdors de monitoratge i suport. Cadascun ha d'estar enumerat i s'ha de poder oposar a canvis.
- Transferències internacionals: la majoria de plataformes BIM tenen matriu o servidors als Estats Units. Cal verificar si el proveïdor està adherit al Data Privacy Framework o si s'opera amb clàusules contractuals tipus i anàlisi d'impacte de la transferència (Transfer Impact Assessment).
- Funcionalitats d'eliminació i exportació: el client de l'estudi té dret a obtenir una còpia de les seves dades i, si escau, a sol·licitar-ne la supressió quan procedeixi. La plataforma ha de permetre a l'estudi complir aquests drets.
- Cessió de models al client al tancament: el contracte ha de permetre lliurar al client final el model BIM complet en format neutre (IFC) quan procedeixi, sense restriccions contractuals que ho impedeixin.
"El rol RGPD de l'arquitecte canvia segons amb qui contracta: directe amb client és responsable; integrat en cadena d'un estudi o promotora pot ser encarregat. La conseqüència pràctica: el contracte de l'art. 28 no és opcional, és la peça nuclear de la col·laboració professional quan les dades personals viatgen."
Mario P. Talamillo · Soci director, Certix®
Coordinador de seguretat i salut: el doble pla
El coordinador de seguretat i salut mereix menció a banda perquè ocupa simultàniament dos rols RGPD:
- Sobre les dades del projecte que rep de l'arquitecte director (plànols, dades del client, característiques de l'obra), actua com a encarregat del tractament de l'estudi principal.
- Sobre les dades de prevenció de riscos laborals que genera per la seva funció (dades de les empreses contractistes, dels treballadors que hi intervenen, parts d'accident, reunions de coordinació), actua com a responsable independent amb base en l'obligació legal del RD espanyol 1627/1997.
El contracte amb el coordinador ha de reflectir aquesta dualitat: regular el rol d'encarregat per a les dades del projecte i reconèixer la responsabilitat independent per a les dades PRL.
Contingut mínim del contracte de l'art. 28 RGPD
Per a qualsevol proveïdor tècnic que actuï com a encarregat, el contracte ha d'incloure el contingut de l'art. 28.3 RGPD:
- Objecte, durada, naturalesa i finalitat del tractament.
- Tipus de dades i categories d'interessats.
- Obligacions del responsable i de l'encarregat.
- Confidencialitat del personal de l'encarregat, fins i tot després de la finalització del contracte.
- Mesures de seguretat apropiades: xifratge en trànsit i en repòs quan procedeixi, control d'accessos, registre d'activitat.
- Règim de subencarregats (autorització general o específica, llista accessible i mecanisme de notificació de canvis).
- Assistència per a drets de l'interessat.
- Notificació de bretxes en termini raonable.
- Devolució en finalitzar la prestació (art. 28.3.g RGPD): l'encarregat lliura al responsable les dades abans de destruir-les.
Checklist de l'encàrrec i la col·laboració
- Anàlisi prèvia del rol RGPD en cada nou client: directe, via promotora, via estudi?
- Clàusula informativa adaptada a cada rol, integrada a la full d'encàrrec del client directe o, si escau, rebuda de l'estudi principal.
- Contracte de l'art. 28 RGPD signat amb cada col·laborador tècnic habitual (calculista, enginyeria MEP, topògraf, direcció d'execució, coordinador de seguretat i salut).
- Contracte de l'art. 28 RGPD amb la plataforma BIM col·laborativa i revisió anual de subencarregats i transferències.
- Procediment documentat de transferència segura de dades a col·laboradors i de devolució al tancament.
- Procediment documentat de gestió de bretxes comunicades per col·laboradors o plataformes.
- Inventari actualitzat de proveïdors amb el seu rol RGPD, data del contracte i caducitat.
Preguntes freqüents
Quan és un arquitecte responsable i quan encarregat del tractament sota el RGPD?
Responsable quan treballa directament amb un client final (particular, empresa, administració). Encarregat quan és contractat per una altra entitat (promotora, un altre estudi, empresa constructora) per servir els clients d'aquella. Cada cas requereix anàlisi: l'important és identificar qui decideix finalitats i mitjans sobre les dades. Si hi ha dubte, reflectir el rol expressament al contracte de l'encàrrec.
Si sóc arquitecte i subcontracto un calculista estructural, sóc responsable o encarregat enfront d'ell?
L'arquitecte director és responsable del tractament i el calculista és encarregat de l'art. 28 RGPD. La relació s'ha de regular per contracte amb el contingut mínim de l'art. 28.3: objecte, tipus de dades, confidencialitat, mesures de seguretat, subencarregats, assistència per a drets, bretxes i devolució. El raonable és tenir un annex estàndard per a col·laboradors tècnics habituals.
I les plataformes BIM col·laboratives són encarregades de l'estudi?
Sí. Les plataformes BIM al núvol (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise) processen dades personals per compte de l'estudi i han d'oferir un Data Processing Agreement amb el contingut de l'art. 28.3 RGPD. Revisar especialment subencarregats (cloud, suport) i transferències internacionals si els servidors són fora de l'EEE (Data Privacy Framework o clàusules contractuals tipus).
Què passa amb les dades del client quan acaba la col·laboració amb un calculista o enginyeria externa?
L'art. 28.3.g RGPD obliga l'encarregat a tornar les dades al responsable abans de destruir-les. El calculista o enginyeria ha de lliurar a l'estudi principal càlculs, models i dades del client en tancar la col·laboració, abans de qualsevol destrucció. Documentar el lliurament per escrit per acreditar-lo. El proveïdor conservarà al seu costat només el que requereixin les seves pròpies normes de conservació professional (responsabilitat civil, fiscal).
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.
Tens regulada la cadena de col·laboracions tècniques sota l'art. 28 RGPD?
A Certix t'assignem un expert en compliment del sector arquitectura. Sense intermediaris comercials, sense plantilles genèriques.
Parlar amb un expert