¿Y las plataformas BIM colaborativas (BIM 360, Trimble Connect, Bimplus) son encargadas del estudio?

Sí. Una plataforma BIM colaborativa que aloja los modelos del estudio en la nube, gestiona accesos de varios técnicos y permite trabajar simultáneamente sobre el proyecto procesa datos personales por cuenta del estudio: datos del cliente embebidos en el modelo, datos de los técnicos que acceden, eventualmente datos de proveedores integrados. La plataforma actúa como encargada del tratamiento (art. 28 RGPD) y, como tal, debe ofrecer al estudio un Data Processing Agreement con el contenido del art. 28.3. Las grandes plataformas (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise) ofrecen este documento como parte de sus términos. El estudio debe revisarlo, archivarlo y comprobar especialmente dos extremos: los subencargados que la plataforma utiliza (su propio cloud, monitorización, soporte) y las transferencias internacionales si los servidores están fuera del Espacio Económico Europeo, lo que ocurre frecuentemente con plataformas estadounidenses.

Arquitecto como encargado del tratamiento: cuándo aplica el art. 28 RGPD

Q: ¿Cuándo es un arquitecto responsable y cuándo encargado del tratamiento bajo el RGPD?

La regla general es que cuando un arquitecto trabaja directamente para un cliente final (un particular que quiere reformar su vivienda, una promotora que quiere construir, una empresa que quiere remodelar su sede), actúa como responsable del tratamiento sobre los datos de ese cliente y de las personas que aparecen en el proyecto. Decide finalidades y medios, firma el encargo, factura directamente. La situación cambia cuando el arquitecto es contratado por otra entidad como recurso técnico para servir a los clientes de aquella: un arquitecto que trabaja para una promotora redactando proyectos de viviendas que esa promotora vende a particulares puede actuar como encargado del tratamiento sobre los datos de los compradores; un arquitecto subcontratado por otro estudio para una colaboración técnica es encargado del estudio principal. Lo importante es analizar caso a caso quién decide finalidades y medios sobre cada flujo de datos. Cuando hay duda, conviene reflejarlo expresamente en el contrato del encargo.

Q: ¿Si soy arquitecto y subcontrato un calculista estructural, soy responsable o encargado frente a él?

El arquitecto que dirige el proyecto principal es responsable del tratamiento sobre los datos del cliente y subcontrata al calculista (o a la ingeniería de instalaciones, al topógrafo, al estudio de geotecnia) como encargado del tratamiento del art. 28 RGPD. La razón: el calculista no decide qué datos manejar ni para qué; ejecuta el cálculo estructural sobre los datos que el arquitecto le proporciona. La relación debe regularse por contrato u otro acto jurídico vinculante con el contenido mínimo del art. 28.3 RGPD: objeto, duración, tipos de datos, confidencialidad del personal del calculista, medidas de seguridad, subencargados (si el calculista usa software cloud), asistencia para derechos, notificación de brechas y devolución de los datos al finalizar la colaboración. Lo razonable es tener un anexo estándar que se firma con cada colaborador técnico habitual.

Q: ¿Qué pasa con los datos del cliente cuando termina la colaboración con un calculista o ingeniería externa?

El art. 28.3.g RGPD obliga al encargado a devolver al responsable los datos personales tratados por su cuenta, o permitir su exportación íntegra, y proceder a la destrucción segura solo después. Aplicado a la subcontratación técnica del estudio, esto significa que al cerrar el proyecto el calculista debe devolver al estudio principal los cálculos, modelos y datos del cliente que tenga en su sistema, antes de proceder a la destrucción de cualquier copia residual que conserve para su propia gestión. La práctica recomendable es exigir esa devolución por escrito en el momento del cierre del proyecto, con constancia documental, y documentar internamente la entrega para poder acreditarla ante el cliente o ante una eventual inspección. Solo después se conservan, en el lado del calculista, los datos que requieran las normas de conservación profesional propias (responsabilidad civil, retención fiscal) en su rol residual de responsable independiente.

En el sector de la arquitectura, los flujos de datos personales rara vez quedan en un solo despacho. Un proyecto típico moviliza al arquitecto director, a uno o varios calculistas estructurales, a la ingeniería de instalaciones, al topógrafo, al estudio de geotecnia, a la dirección de ejecución, al coordinador de seguridad y salud, y a la gestoría. Sobre esa cadena se mueven datos del cliente, del inmueble, en ocasiones de los ocupantes y siempre del propio equipo técnico. Cada actor de esa cadena ocupa un rol concreto bajo el RGPD: responsable del tratamiento, encargado o, en algunos casos, responsable independiente. Saber distinguirlo determina qué contrato hay que firmar, qué obligaciones se asumen y quién responde si algo va mal.

Esta guía explica cómo se reparten los roles en una operación profesional bajo el RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018), con énfasis en los tres escenarios que más confusión generan en el sector: arquitecto contratado por otra entidad para servir a sus clientes, subcontratación técnica habitual de un proyecto y plataformas BIM colaborativas en la nube.

Los tres roles del RGPD aplicados a la arquitectura

Responsable del tratamiento: quien decide finalidades y medios del tratamiento de datos personales. Es la figura central del RGPD: firma el contrato con el interesado (o se relaciona directamente con él), define qué datos se recogen y para qué, asume las obligaciones del art. 24 RGPD.
Encargado del tratamiento: persona física o jurídica que trata datos personales por cuenta del responsable. No decide finalidades propias; ejecuta lo que el responsable le indica. Se regula por el art. 28 RGPD con un contrato obligatorio.
Responsable independiente: quien, sobre los mismos datos, decide simultáneamente finalidades propias distintas de las del primer responsable. Existe en flujos complejos donde varios actores procesan los mismos datos con fines propios.

El error más frecuente en el sector es asumir que cuando hay subcontratación técnica todos los roles son automáticamente de "responsable" porque cada profesional firma con responsabilidad propia. En realidad, la responsabilidad técnica profesional es independiente del rol RGPD: un calculista puede ser plenamente responsable de sus cálculos y, al mismo tiempo, encargado del tratamiento sobre los datos personales del cliente que recibe del arquitecto director.

Escenario 1: arquitecto trabajando directamente con cliente final

Es la situación más común y la más sencilla en términos de rol RGPD. El arquitecto firma una hoja de encargo con un particular, una empresa o una administración para redactar un proyecto, dirigir una obra o realizar un peritaje. La relación es bilateral y el arquitecto:

Decide qué datos personales solicita al cliente (identificativos, registrales, económicos).
Decide qué finalidades persigue con esos datos (redacción del proyecto, visado colegial, tramitación de licencia, facturación).
Decide a qué proveedores acude para servicios técnicos complementarios.

Es, por tanto, responsable del tratamiento. Su deber de información del art. 13 RGPD se cumple entregando la cláusula informativa al cliente en el primer contacto, idealmente integrada en la hoja de encargo.

Escenario 2: arquitecto contratado por otra entidad para servir a sus clientes

Aquí la situación cambia. Un arquitecto puede actuar como encargado del tratamiento cuando trabaja para otra entidad que es quien mantiene la relación principal con el cliente final. Los supuestos típicos:

Arquitecto técnico de una promotora inmobiliaria: la promotora capta a los compradores, gestiona la comercialización y mantiene la relación con ellos; el arquitecto redacta los proyectos por cuenta de la promotora. Sobre los datos de los compradores que el arquitecto recibe para personalizar el proyecto (cambios de distribución, acabados elegidos), actúa típicamente como encargado de la promotora.
Arquitecto colaborador de otro estudio: cuando un estudio contrata a otro estudio o a un arquitecto autónomo para una fase concreta (anteproyecto, fase de ejecución, dirección de obra), el segundo trabaja sobre los datos del cliente del primero como encargado.
Arquitecto interno de una empresa constructora o gran corporativa: en proyectos para clientes externos, el arquitecto interno actúa como personal de la empresa, no como responsable directo del cliente.

En estos escenarios, el arquitecto debe firmar con la entidad principal un contrato del art. 28 RGPD que regule el tratamiento de datos por su cuenta, con el contenido mínimo del art. 28.3.

Escenario 3: subcontratación técnica habitual del proyecto

Es el escenario inverso: el arquitecto director del proyecto, que es responsable frente al cliente final, subcontrata a uno o varios técnicos especializados. Esos técnicos son encargados del tratamiento del estudio principal sobre los datos del cliente que se les transfieren.

Proveedor	Qué datos del cliente recibe	Rol RGPD
Calculista estructural	Datos del inmueble, propietario, ocasionalmente del cliente.	Encargado (art. 28)
Ingeniería MEP / instalaciones	Planos del inmueble, datos del propietario.	Encargado (art. 28)
Topógrafo	Datos catastrales, en ocasiones del propietario y colindantes.	Encargado (art. 28)
Estudio geotécnico	Datos del inmueble, propietario.	Encargado (art. 28)
Dirección de ejecución	Datos completos del proyecto y del cliente durante la obra.	Encargado (art. 28)
Coordinación de seguridad y salud	Datos de la obra, empresas y trabajadores. Doble plano.	Encargado (datos del proyecto) + Responsable propio (datos PRL)
Gestoría externa	Datos económicos del estudio y de los clientes para facturación.	Encargado (art. 28)
Plataforma BIM cloud	Modelo completo del proyecto y datos asociados.	Encargado (art. 28) + transferencias internacionales si aplican

Plataformas BIM colaborativas: el subencargado tecnológico

Las plataformas BIM en la nube (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise, Graphisoft BIMcloud) procesan datos personales por cuenta del estudio: datos del cliente embebidos en el modelo, accesos de varios técnicos, metadatos de versiones, comentarios internos del equipo. La plataforma es encargada del tratamiento y debe ofrecer al estudio un Data Processing Agreement con el contenido del art. 28.3 RGPD.

Lo importante que debe revisar el estudio:

Subencargados de la plataforma: el cloud que utiliza (AWS, Azure, GCP), proveedores de monitorización y soporte. Cada uno debe estar enumerado y debe poderse oponer a cambios.
Transferencias internacionales: la mayoría de plataformas BIM tienen matriz o servidores en Estados Unidos. Es necesario verificar si el proveedor está adherido al Data Privacy Framework o si se opera con cláusulas contractuales tipo y análisis de impacto de la transferencia (Transfer Impact Assessment).
Funcionalidades de eliminación y exportación: el cliente del estudio tiene derecho a obtener una copia de sus datos y, en su caso, a solicitar la supresión cuando proceda. La plataforma debe permitir al estudio cumplir esos derechos.
Cesión de modelos al cliente al cierre: el contrato debe permitir entregar al cliente final el modelo BIM completo en formato neutro (IFC) cuando proceda, sin restricciones contractuales que lo impidan.

"El rol RGPD del arquitecto cambia según con quién contrata: directo con cliente es responsable; integrado en cadena de un estudio o promotora puede ser encargado. La consecuencia práctica: el contrato del art. 28 no es opcional, es la pieza nuclear de la colaboración profesional cuando los datos personales viajan."

Mario P. Talamillo · Socio director, Certix®

Coordinador de seguridad y salud: el doble plano

El coordinador de seguridad y salud merece mención aparte porque ocupa simultáneamente dos roles RGPD:

Sobre los datos del proyecto que recibe del arquitecto director (planos, datos del cliente, características de la obra), actúa como encargado del tratamiento del estudio principal.
Sobre los datos de prevención de riesgos laborales que genera por su función (datos de las empresas contratistas, de los trabajadores que intervienen, partes de accidente, reuniones de coordinación), actúa como responsable independiente con base en la obligación legal del Real Decreto 1627/1997.

El contrato con el coordinador debe reflejar esa dualidad: regular el rol de encargado para los datos del proyecto y reconocer la responsabilidad independiente para los datos PRL.

Contenido mínimo del contrato del art. 28 RGPD

Para cualquier proveedor técnico que actúe como encargado, el contrato debe incluir el contenido del art. 28.3 RGPD:

Objeto, duración, naturaleza y finalidad del tratamiento.
Tipos de datos y categorías de interesados.
Obligaciones del responsable y del encargado.
Confidencialidad del personal del encargado, incluso después de la finalización del contrato.
Medidas de seguridad apropiadas: cifrado en tránsito y en reposo cuando proceda, control de accesos, registro de actividad.
Régimen de subencargados (autorización general o específica, lista accesible y mecanismo de notificación de cambios).
Asistencia para derechos del interesado.
Notificación de brechas en plazo razonable.
Devolución al finalizar la prestación (art. 28.3.g RGPD): el encargado entrega al responsable los datos antes de destruirlos.

Checklist del encargo y la colaboración

Análisis previo del rol RGPD en cada nuevo cliente: ¿directo, vía promotora, vía estudio?
Cláusula informativa adaptada a cada rol, integrada en la hoja de encargo del cliente directo o, en su caso, recibida del estudio principal.
Contrato del art. 28 RGPD firmado con cada colaborador técnico habitual (calculista, ingeniería MEP, topógrafo, dirección de ejecución, coordinador de seguridad y salud).
Contrato del art. 28 RGPD con la plataforma BIM colaborativa y revisión anual de subencargados y transferencias.
Procedimiento documentado de transferencia segura de datos a colaboradores y de devolución al cierre.
Procedimiento documentado de gestión de brechas comunicadas por colaboradores o plataformas.
Inventario actualizado de proveedores con su rol RGPD, fecha del contrato y caducidad.

Preguntas frecuentes

¿Cuándo es un arquitecto responsable y cuándo encargado del tratamiento bajo el RGPD?

Responsable cuando trabaja directamente con un cliente final (particular, empresa, administración). Encargado cuando es contratado por otra entidad (promotora, otro estudio, empresa constructora) para servir a los clientes de aquella. Cada caso requiere análisis: lo importante es identificar quién decide finalidades y medios sobre los datos. Si hay duda, reflejar el rol expresamente en el contrato del encargo.

¿Si soy arquitecto y subcontrato un calculista estructural, soy responsable o encargado frente a él?

El arquitecto director es responsable del tratamiento y el calculista es encargado del art. 28 RGPD. La relación debe regularse por contrato con el contenido mínimo del art. 28.3: objeto, tipos de datos, confidencialidad, medidas de seguridad, subencargados, asistencia para derechos, brechas y devolución. Lo razonable es tener un anexo estándar para colaboradores técnicos habituales.

¿Y las plataformas BIM colaborativas son encargadas del estudio?

Sí. Las plataformas BIM en la nube (Autodesk BIM 360, Trimble Connect, Bimplus, Bentley ProjectWise) procesan datos personales por cuenta del estudio y deben ofrecer un Data Processing Agreement con el contenido del art. 28.3 RGPD. Revisar especialmente subencargados (cloud, soporte) y transferencias internacionales si los servidores están fuera del EEE (Data Privacy Framework o cláusulas contractuales tipo).

¿Qué pasa con los datos del cliente cuando termina la colaboración con un calculista o ingeniería externa?

El art. 28.3.g RGPD obliga al encargado a devolver los datos al responsable antes de destruirlos. El calculista o ingeniería debe entregar al estudio principal cálculos, modelos y datos del cliente al cerrar la colaboración, antes de cualquier destrucción. Documentar la entrega por escrito para acreditarla. El proveedor conservará en su lado solo lo que requieran sus propias normas de conservación profesional (responsabilidad civil, fiscal).

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.

¿Tienes regulada la cadena de colaboraciones técnicas bajo el art. 28 RGPD?

En Certix te asignamos un experto en cumplimiento del sector arquitectura. Sin intermediarios comerciales, sin plantillas genéricas.

Hablar con un experto