Arquitecto como encargado do tratamento: cando aplica o art. 28 RGPD

No sector da arquitectura, os fluxos de datos persoais raramente quedan nun só despacho. Un proxecto típico mobiliza ao arquitecto director, a un ou varios calculistas estruturais, á enxeñería de instalacións, ao topógrafo, ao estudo de xeotecnia, á dirección de execución, ao coordinador de seguridade e saúde, e á xestoría. Sobre esa cadea móvense datos do cliente, do inmoble, en ocasións dos ocupantes e sempre do propio equipo técnico. Cada actor desa cadea ocupa un rol concreto baixo o RGPD (Regulamento UE 2016/679): responsable do tratamento, encargado ou, nalgúns casos, responsable independente. Saber distinguilo determina que contrato hai que asinar, que obrigas se asumen e quen responde se algo vai mal.

Esta guía explica como se reparten os roles nunha operación profesional baixo o RGPD e a LOPDGDD (Lei Orgánica española 3/2018), con énfase nos tres escenarios que máis confusión xeran no sector: arquitecto contratado por outra entidade para servir aos seus clientes, subcontratación técnica habitual dun proxecto e plataformas BIM colaborativas na nube.

Os tres roles do RGPD aplicados á arquitectura

• Responsable do tratamento: quen decide finalidades e medios do tratamento de datos persoais. É a figura central do RGPD: asina o contrato co interesado (ou relaciónase directamente con el), define que datos se recollen e para que, asume as obrigas do art. 24 RGPD.
• Encargado do tratamento: persoa física ou xurídica que trata datos persoais por conta do responsable. Non decide finalidades propias; executa o que o responsable lle indica. Regúlase polo art. 28 RGPD cun contrato obrigatorio.
• Responsable independente: quen, sobre os mesmos datos, decide simultaneamente finalidades propias distintas das do primeiro responsable. Existe en fluxos complexos onde varios actores procesan os mesmos datos con fins propios.

O erro máis frecuente no sector é asumir que cando hai subcontratación técnica todos os roles son automaticamente de "responsable" porque cada profesional asina con responsabilidade propia. En realidade, a responsabilidade técnica profesional é independente do rol RGPD: un calculista pode ser plenamente responsable dos seus cálculos e, ao mesmo tempo, encargado do tratamento sobre os datos persoais do cliente que recibe do arquitecto director.

Escenario 1: arquitecto traballando directamente con cliente final

É a situación máis común e a máis sinxela en termos de rol RGPD. O arquitecto asina unha folla de encargo cun particular, unha empresa ou unha administración para redactar un proxecto, dirixir unha obra ou realizar unha peritaxe. A relación é bilateral e o arquitecto:

• Decide que datos persoais solicita ao cliente (identificativos, rexistrais, económicos).
• Decide que finalidades persegue con eses datos (redacción do proxecto, visado colexial, tramitación de licenza, facturación).
• Decide a que provedores acude para servizos técnicos complementarios.

É, polo tanto, responsable do tratamento. O seu deber de información do art. 13 RGPD cúmprese entregando a cláusula informativa ao cliente no primeiro contacto, idealmente integrada na folla de encargo.

Escenario 2: arquitecto contratado por outra entidade para servir aos seus clientes

Aquí a situación cambia. Un arquitecto pode actuar como encargado do tratamento cando traballa para outra entidade que é quen mantén a relación principal co cliente final. Os supostos típicos:

• Arquitecto técnico dunha promotora inmobiliaria: a promotora capta os compradores, xestiona a comercialización e mantén a relación con eles; o arquitecto redacta os proxectos por conta da promotora. Sobre os datos dos compradores que o arquitecto recibe para personalizar o proxecto (cambios de distribución, acabados elixidos), actúa tipicamente como encargado da promotora.
• Arquitecto colaborador doutro estudo: cando un estudo contrata outro estudo ou un arquitecto autónomo para unha fase concreta (anteproxecto, fase de execución, dirección de obra), o segundo traballa sobre os datos do cliente do primeiro como encargado.
• Arquitecto interno dunha empresa construtora ou gran corporativa: en proxectos para clientes externos, o arquitecto interno actúa como persoal da empresa, non como responsable directo do cliente.

Nestes escenarios, o arquitecto debe asinar coa entidade principal un contrato do art. 28 RGPD que regule o tratamento de datos pola súa conta, co contido mínimo do art. 28.3.

Escenario 3: subcontratación técnica habitual do proxecto

É o escenario inverso: o arquitecto director do proxecto, que é responsable fronte ao cliente final, subcontrata un ou varios técnicos especializados. Eses técnicos son encargados do tratamento do estudo principal sobre os datos do cliente que se lles transfiren.

Plataformas BIM colaborativas: o subencargado tecnolóxico

As plataformas BIM na nube (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise, Graphisoft BIMcloud) procesan datos persoais por conta do estudo: datos do cliente embebidos no modelo, accesos de varios técnicos, metadatos de versións, comentarios internos do equipo. A plataforma é encargada do tratamento e debe ofrecer ao estudo un Data Processing Agreement co contido do art. 28.3 RGPD.

O importante que debe revisar o estudo:

• Subencargados da plataforma: o cloud que utiliza (AWS, Azure, GCP), provedores de monitorización e soporte. Cada un debe estar enumerado e debe poderse opoñer a cambios.
• Transferencias internacionais: a maioría de plataformas BIM teñen matriz ou servidores nos Estados Unidos. É necesario verificar se o provedor está adherido ao Data Privacy Framework ou se se opera con cláusulas contractuais tipo e análise de impacto da transferencia (Transfer Impact Assessment).
• Funcionalidades de eliminación e exportación: o cliente do estudo ten dereito a obter unha copia dos seus datos e, no seu caso, a solicitar a supresión cando proceda. A plataforma debe permitirlle ao estudo cumprir eses dereitos.
• Cesión de modelos ao cliente ao peche: o contrato debe permitir entregarlle ao cliente final o modelo BIM completo en formato neutro (IFC) cando proceda, sen restricións contractuais que o impidan.

Coordinador de seguridade e saúde: o dobre plano

O coordinador de seguridade e saúde merece mención á parte porque ocupa simultaneamente dous roles RGPD:

• Sobre os datos do proxecto que recibe do arquitecto director (planos, datos do cliente, características da obra), actúa como encargado do tratamento do estudo principal.
• Sobre os datos de prevención de riscos laborais que xera pola súa función (datos das empresas contratistas, dos traballadores que interveñen, partes de accidente, reunións de coordinación), actúa como responsable independente con base na obriga legal do RD español 1627/1997.

O contrato co coordinador debe reflectir esa dualidade: regular o rol de encargado para os datos do proxecto e recoñecer a responsabilidade independente para os datos PRL.

Contido mínimo do contrato do art. 28 RGPD

Para calquera provedor técnico que actúe como encargado, o contrato debe incluír o contido do art. 28.3 RGPD:

• Obxecto, duración, natureza e finalidade do tratamento.
• Tipos de datos e categorías de interesados.
• Obrigas do responsable e do encargado.
• Confidencialidade do persoal do encargado, mesmo despois da finalización do contrato.
• Medidas de seguridade apropiadas: cifrado en tránsito e en repouso cando proceda, control de accesos, rexistro de actividade.
• Réxime de subencargados (autorización xeral ou específica, lista accesible e mecanismo de notificación de cambios).
• Asistencia para dereitos do interesado.
• Notificación de brechas en prazo razoable.
• Devolución ao finalizar a prestación (art. 28.3.g RGPD): o encargado entrega ao responsable os datos antes de destruílos.

Checklist do encargo e da colaboración

• Análise previa do rol RGPD en cada novo cliente: directo, vía promotora, vía estudo?
• Cláusula informativa adaptada a cada rol, integrada na folla de encargo do cliente directo ou, no seu caso, recibida do estudo principal.
• Contrato do art. 28 RGPD asinado con cada colaborador técnico habitual (calculista, enxeñería MEP, topógrafo, dirección de execución, coordinador de seguridade e saúde).
• Contrato do art. 28 RGPD coa plataforma BIM colaborativa e revisión anual de subencargados e transferencias.
• Procedemento documentado de transferencia segura de datos a colaboradores e de devolución ao peche.
• Procedemento documentado de xestión de brechas comunicadas por colaboradores ou plataformas.
• Inventario actualizado de provedores co seu rol RGPD, data do contrato e caducidade.

Preguntas frecuentes

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.