Muchos contratos de duración determinada terminan a finales de otoño, así que a muchos pequeños propietarios les toca ahora buscar a alguien nuevo. Publicas el anuncio, llegan las consultas y, en poco tiempo, tienes una carpeta llena de la vida de otras personas: nóminas, extractos bancarios, fotos de documentos de identidad, mensajes sobre sus hijos y sus trabajos.

Casi nada de eso lo necesitabas. El RGPD se aplica también a ti aunque alquiles un único piso: el propietario que recoge datos personales de los candidatos es el responsable del tratamiento de esos datos. Esto significa que solo recoges lo que necesitas para una finalidad clara, lo guardas de forma segura y lo borras cuando esa finalidad ya no existe. La buena noticia es que hacerlo bien exige menos papeleo, no más.

Esta guía va fase por fase. Se basa en el RGPD tal como se aplica en toda la UE, con notas sobre Reino Unido e Irlanda. Las normas nacionales varían, así que consulta cualquier duda con la autoridad de protección de datos de tu país (en España, la AEPD) o con un abogado.

Fase 1: la primera consulta y la visita

En este momento hablas con personas, no eliges entre ellas. Solo necesitas poder contestarles y saber quién va a entrar por la puerta.

Qué pedir: nombre, teléfono o correo electrónico y, quizá, cuándo querrían mudarse y cuántas personas vivirían en el inmueble.

Qué no pedir todavía: copias del DNI, extractos bancarios, nóminas, datos del empleador, números de identificación o fiscales.

La Comisión de Protección de Datos de Irlanda (DPC) lo ha tratado de forma directa. En su guía sobre la solicitud de datos personales a posibles inquilinos señala que los propietarios suelen recoger mucha información de muchos candidatos en la fase de solicitud, "la inmensa mayoría de los cuales no llegará a ser inquilino". Su criterio es que, por lo general, no hace falta información detallada hasta que has elegido a tu candidato preferido. Ya en 2014 había concluido que no existía base para recoger datos bancarios, números PPS (el número de la seguridad social irlandesa) y facturas de suministros en la fase de visita, y ha afirmado que los propietarios no deben pedir fotos ni números PPS antes de firmar el contrato (noticia del Irish Times). Esa orientación es irlandesa, pero el principio que la sustenta, la minimización de datos, forma parte del RGPD en todas partes.

Fase 2: el candidato serio

Cuando alguien ha visto el inmueble, le interesa y lo estás considerando en serio, puedes comprobar razonablemente dos cosas: si puede pagar y cómo fue su último alquiler.

  • Capacidad de pago. La DPC considera razonable pedir documentos que confirmen que el candidato puede pagar el alquiler. Puede ser una nómina reciente, un contrato de trabajo o, en el caso de los autónomos, una declaración fiscal reciente. Si pides extractos bancarios, no necesitas todos los movimientos: la DPC ha dicho que bastaba un extracto con los saldos, sin el detalle de las operaciones. Invita a los candidatos a tachar lo que no necesitas.
  • Referencia del anterior propietario. Una llamada o un correo breve al anterior propietario, con conocimiento del candidato, suele ser la comprobación más útil que puedes hacer. Pregunta si pagaba el alquiler puntualmente, en qué estado dejó el inmueble y si volvería a alquilarle. Pide el contacto al propio candidato; no lo busques por tu cuenta.

Un punto que sorprende a muchos propietarios: el consentimiento suele ser aquí la base jurídica equivocada. La DPC advierte de que el desequilibrio entre un propietario y alguien que necesita una vivienda hace poco probable que el consentimiento se dé libremente. Estas comprobaciones suelen apoyarse en la aplicación de medidas precontractuales o en tu interés legítimo, y precisamente por eso deben ser proporcionadas.

En algunos países los inquilinos están acostumbrados a aportar un documento estándar, como un informe de solvencia de una agencia nacional de crédito. Que puedas pedirlo, y cómo, depende de la práctica local, así que infórmate de la de tu país.

Fase 3: la firma del contrato

Ahora necesitas lo suficiente para identificar bien a las partes y gestionar el alquiler:

  • nombre completo y domicilio actual de cada inquilino adulto,
  • los datos identificativos que la práctica de tu país espera en un contrato de alquiler (en Hungría, por ejemplo, los contratos suelen incluir fecha y lugar de nacimiento y el nombre de la madre),
  • datos de contacto,
  • la cuenta bancaria desde la que se pagará el alquiler, si resulta útil para casar los pagos,
  • un contacto de emergencia, si el inquilino quiere facilitarlo.

También puedes recoger en esta fase lo que exija la ley, como el registro del alquiler o las obligaciones fiscales de tu país, porque entonces tu base es una obligación legal.

Fuera de límites en cualquier fase

Hay cosas sobre las que no debes preguntar ni indagar en ningún caso:

  • Salud, religión, origen étnico, opiniones políticas, orientación sexual. Son categorías especiales de datos según el artículo 9 del RGPD y, en muchos países, preguntar por ellas al elegir inquilino puede constituir además discriminación.
  • Redes sociales. Revisar los perfiles de un candidato es recoger datos que no necesitas y te mostrará justo el tipo de información de la lista anterior. Déjalo estar.
  • Antecedentes penales. Según el artículo 10 del RGPD, los datos sobre condenas penales solo pueden tratarse bajo el control de la autoridad pública o cuando el Derecho nacional lo permita expresamente. En muchos países un propietario particular no tiene esa autorización, así que no pidas un certificado de antecedentes penales sin haber comprobado que la ley de tu país lo permite.

Mirar, no copiar: el documento de identidad

Es posible que quieras ver el DNI en la firma, para asegurarte de que la persona que tienes delante es la que figura en el contrato. Míralo, compara los datos con el contrato y devuélvelo. No lo fotocopies ni lo fotografíes.

Esto parte de la postura general de la autoridad húngara NAIH. En su pronunciamiento sobre la realización de copias de documentos (NAIH/2018/3654) afirma que mostrar un documento de identidad con fotografía es la forma adecuada de confirmar la identidad, que una copia no prueba nada sobre la validez del original y que conservar copias vulnera la limitación de la finalidad y la minimización de datos. La NAIH ha sostenido que copiar documentos de identidad sin una base jurídica específica es ilícito aunque la persona consienta, y ha sancionado a organizaciones que lo hicieron. La NAIH no se ha pronunciado sobre propietarios particulares, de modo que esto es una deducción nuestra, pero cuesta ver por qué un propietario recibiría un trato distinto al de un banco o un empleador. Otras autoridades de la UE suelen adoptar un enfoque mínimo similar.

La excepción del Reino Unido. En Inglaterra, los propietarios deben realizar las comprobaciones de derecho a alquilar (Right to Rent) y conservar copias de los documentos, o guardar la comprobación en línea, durante todo el alquiler y al menos un año después. Es una obligación legal, por lo que allí copiar es lícito. Se aplica solo a Inglaterra y solo a los documentos y pasos que exige la comprobación.

Una breve nota de privacidad

Los candidatos deben saber qué recoges y por qué en el momento en que lo recoges. A un pequeño propietario le basta con unas líneas en el anuncio o un mensaje breve tras la visita:

Uso tus datos de contacto para organizar la visita y responderte. Si seguimos adelante, te pediré justificantes de ingresos y el contacto de tu anterior propietario. Si no resultas elegido, borraré tu información en el plazo de un mes desde que se alquile el inmueble. Puedes preguntarme qué datos tuyos conservo o pedirme que los borre en cualquier momento.

Añade tu nombre y tus datos de contacto, e indica la autoridad de protección de datos como lugar donde presentar una reclamación. En el Reino Unido, comprueba en la web de la ICO si tienes que pagar la tasa de protección de datos.

Guardarlo de forma segura

  • Mantén todo en un único lugar, no repartido entre el móvil, dos bandejas de correo y un cajón de la cocina.
  • Usa una contraseña robusta y verificación en dos pasos en el correo y en el almacenamiento en la nube.
  • Guarda bajo llave las copias en papel y destrúyelas cuando termines.
  • No reenvíes los documentos de los candidatos a nadie que no los necesite.

Una vez que hayas elegido, LeasingTrack puede ayudarte a mantener el orden: invitas al nuevo inquilino por correo electrónico y este solo ve su propio contrato, no tus otros inmuebles ni a los demás candidatos.

Borrar lo que ya no necesitas

Candidatos descartados. Cuando el inmueble está alquilado y el nuevo contrato firmado, ya no tienes motivo para conservar las nóminas ni las referencias de los demás candidatos. La DPC indica que estos datos deben eliminarse de forma segura. El RGPD no fija un número concreto de días; unas semanas después de la firma es una costumbre razonable y defendible. Borra también los correos y los archivos adjuntos, y revisa la carpeta de descargas.

El inquilino elegido. Conserva el contrato y los registros de pagos durante el alquiler y durante el tiempo que puedas necesitarlos después por motivos fiscales o para posibles reclamaciones legales. Esos plazos dependen de tu país (en Hungría, por ejemplo, el plazo general de prescripción de las reclamaciones civiles es de cinco años). Las nóminas y los extractos bancarios de la fase de solicitud han cumplido su función una vez firmado el contrato, por lo que normalmente puedes borrarlos entonces.

En resumen

  1. Visita: nombre y datos de contacto.
  2. Candidato serio: justificantes de ingresos y referencia del anterior propietario.
  3. Firma: lo que exijan el contrato y la ley.
  4. Nunca: salud, religión, orientación sexual, redes sociales y, en muchos países, antecedentes penales.
  5. Mira el documento de identidad, no lo copies, salvo que una ley como la del derecho a alquilar (Right to Rent) de Inglaterra lo exija.
  6. Explica a la gente lo que haces, guárdalo de forma segura y borra lo que ya no necesites.

Esta es una guía general, no asesoramiento jurídico. Si tu situación es poco habitual, consulta con tu autoridad de protección de datos o con un abogado.