Privacidad y seguridad · 2026-06-04 · 9 min

RGPD y datos BIM: lo que todo project manager debe saber (2026)

Los archivos IFC pueden contener datos personales según el RGPD. Compartir un modelo con un subcontratista a través de una herramienta en la nube genera obligaciones de tratamiento de datos con consecuencias legales reales. Esto es lo que los equipos de proyecto en la UE deben entender antes de la próxima entrega BIM.

RGPD y datos BIM: lo que todo project manager debe saber (2026) — IFC Viewer Online article cover

El RGPD no es solo un problema del departamento de IT. Se aplica a cualquier equipo que maneje información sobre personas identificables, y en un proyecto de construcción eso puede incluir a coordinadores BIM, project managers y equipos de entrega.

Esta guía cubre tres cosas: cuándo los datos de un IFC son realmente datos personales según el RGPD, qué ocurre legalmente cuando usas una herramienta BIM en la nube para tratarlos, y cómo elegir herramientas que eliminen por completo esa carga de cumplimiento.

¿Cuándo es un archivo IFC un dato personal?

El artículo 4 del RGPD define el dato personal como cualquier información relativa a una persona física identificada o identificable. La mayoría de los archivos IFC no contienen datos personales en el sentido obvio: describen edificios, no personas. Pero los casos límite son más frecuentes de lo que los equipos creen:

Los elementos IfcSpace con el nombre de sus ocupantes ('Dr. Smith's Office', 'Johnson Suite') pueden constituir datos personales si el nombre identifica a una persona física viva.
Las entidades IfcActor e IfcPerson: si tu modelo incluye personas responsables (project manager, coordinador BIM) con nombres y datos de contacto, esos son datos personales.
Fotos incrustadas como IfcDocumentInformation: imágenes de trabajadores en obra incluidas en la documentación de diseño.
Datos de control de accesos asociados a espacios sensibles en seguridad: información sobre quién está autorizado a entrar en una sala concreta.

La estructura legal: responsable, encargado y el artículo 28

Cuando usas una herramienta BIM en la nube que procesa archivos IFC en sus servidores, se crean dos roles del RGPD. Tú (o tu organización) eres el responsable del tratamiento: decides la finalidad del tratamiento. El proveedor de la herramienta es el encargado del tratamiento: actúa por tu cuenta. El artículo 28 del RGPD exige un contrato de encargo de tratamiento (DPA) por escrito entre tú y cada encargado antes de compartir datos personales con él.

En la práctica: si el IFC de tu proyecto contiene datos personales (entradas de IfcPerson, espacios con nombre propio, fotos incrustadas) y lo subes a un visor BIM en la nube, necesitas un DPA con ese proveedor. Muchos proveedores pequeños de herramientas BIM no tienen un DPA disponible de forma inmediata, lo que significa que técnicamente incumples el RGPD en el momento en que subes el archivo.

Cómo el procesamiento en el cliente elimina el problema

Las herramientas que procesan los archivos IFC por completo en el navegador nunca reciben los datos del modelo. Si los datos del modelo nunca llegan a un servidor, no hay tratamiento de datos a efectos del RGPD sobre el contenido del modelo: no hay relación responsable-encargado, no hay DPA que negociar, no hay que decidir dónde residen los datos, y no hay obligación de notificar brechas de seguridad.

Esta es la razón práctica por la que el procesamiento nativo en el navegador importa en proyectos B2B: elimina toda una categoría de cumplimiento antes de que el proyecto siquiera empiece.

Validación local antes de subir al CDE

Ejecuta una comprobación de calidad antes de subir al CDE (entorno común de datos). Sin tratamiento de datos por terceros: sigues siendo el único responsable del tratamiento en todo momento.

Compartir un informe de validación

Comparte una URL de informe que solo contenga resúmenes de incidencias: sin geometría del modelo, sin datos personales del IFC.

Visor BIM en la nube

El modelo se sube a los servidores del proveedor. Si contiene datos personales, necesitas un DPA y una decisión sobre la ubicación de los datos antes de subirlo.

Plataforma de coordinación (ACC, BIM 360)

Autodesk proporciona un DPA como parte de sus condiciones de servicio: comprueba que cubre las categorías de datos de tu proyecto y la región de almacenamiento.

Seis preguntas que hacerle a cualquier proveedor de herramientas BIM

¿Los datos del modelo se procesan localmente en el dispositivo del usuario, o se suben a vuestros servidores?
Si se suben: ¿dónde están ubicados vuestros servidores? (la ubicación de los datos en la UE importa a efectos del RGPD)
¿Tenéis disponible un contrato de encargo de tratamiento (DPA) para cumplir el artículo 28 del RGPD?
¿Qué datos conserváis después de que el usuario cierre la sesión?
¿Quiénes son vuestros subencargados (infraestructura, analítica, almacenamiento)?
¿Estáis certificados en ISO 27001 o SOC 2 Type II?

IFC Viewer Online: el RGPD de un vistazo

Sin subida del modelo

Los archivos IFC se procesan con WebAssembly directamente en tu navegador. Nada llega a nuestros servidores. No hace falta un DPA para los datos del modelo.

Analítica sin cookies

Eventos de uso anónimos a través de PostHog en modo solo memoria, sin establecer cookies de seguimiento. Base legal: interés legítimo.

Correo electrónico solo con consentimiento

Se recoge únicamente con consentimiento expreso (opt-in). Se procesa a través de Resend. Puedes darte de baja en cualquier momento.

Compartir informes es opcional

Solo resúmenes de incidencias: sin geometría del modelo, sin datos personales del archivo IFC. Tú decides cuándo compartir.

El procesamiento nativo en el navegador elimina toda una categoría de obligaciones de cumplimiento del RGPD: no hay ninguna relación responsable-encargado que gestionar cuando el modelo nunca llega a un servidor.

Para evaluaciones formales de proveedor, la Política de Privacidad completa documenta cada flujo de datos en un lenguaje claro, incluyendo la base legal de cada actividad de tratamiento.

RGPD y datos BIM: lo que todo project manager debe saber (2026)