El cumplimiento normativo en los sectores financiero, asegurador y sanitario ha dejado de ser una cuestión de gestión documental para convertirse en una variable de gobierno corporativo de primer orden. En el contexto regulatorio vigente en España y en la Unión Europea, una empresa que opere en alguno de estos tres sectores sin un programa de cumplimiento estructurado no está simplemente en zona de riesgo: está acumulando exposición concreta frente a autoridades supervisoras, frente a clientes y frente a sus propios órganos de gobierno. La pregunta ya no es si el regulador actuará. La pregunta es cuándo y en qué circunstancias encontrará a su empresa sin defensas.
Ninguno de los tres sectores opera bajo un único texto regulatorio. La banca, los seguros y la salud comparten una característica estructural: cada uno de ellos tiene su propia regulación sectorial de origen europeo que se traduce en normativa española específica, y sobre ese suelo se proyectan horizontalmente el RGPD, la LOPDGDD y las exigencias de la Ley de trasposición de la Directiva relativa a los sistemas de denuncia de infracciones. El resultado es una trama de obligaciones que no se puede gestionar de forma aislada.
En el sector bancario, la normativa prudencial europea impone requisitos de gobierno interno, gestión de riesgos operacionales y sistemas de control que van mucho más allá del cumplimiento financiero clásico. Las entidades y, en particular, sus directivos deben acreditar idoneidad y disponibilidad de recursos humanos y técnicos para garantizar el cumplimiento. La supervisión del Banco de España en el ámbito nacional y del Banco Central Europeo en los grupos significativos introduce una doble capa de fiscalización que exige coherencia entre las políticas aprobadas por el consejo y su aplicación efectiva en la operativa diaria.
En el sector asegurador, la legislación de ordenación y supervisión de seguros privados impone un sistema de gobierno que incluye la función de cumplimiento como función clave independiente. Esto no es una recomendación: es un requisito cuyo incumplimiento puede derivar en medidas de intervención supervisora. La función de cumplimiento debe contar con recursos, acceso directo a la dirección y un plan de actividades documentado que la empresa debe poder acreditar ante la Dirección General de Seguros y Fondos de Pensiones.
En el sector sanitario, el dato de salud es la categoría de dato personal más sensible que contempla el RGPD. Tratarlo sin las salvaguardias adecuadas no es un error técnico: es un incumplimiento que la Agencia Española de Protección de Datos (AEPD) persigue de forma prioritaria. Los centros médicos, las aseguradoras de salud, las plataformas de telemedicina y los laboratorios trabajan a diario con datos que exigen, en la mayoría de los casos, una evaluación de impacto relativa a la protección de datos antes de iniciar el tratamiento.
¿Dónde suele fallar la empresa? Hemos observado en nuestra práctica que el error más frecuente no es desconocer que existe una obligación, sino subestimar la densidad de la obligación concreta. Una cláusula de privacidad en la web no es un programa de cumplimiento en materia de protección de datos. Es, a lo sumo, la décima parte de lo que exige el RGPD en un entorno de tratamiento de datos sensibles.
La adaptación al RGPD en sectores de alta sensibilidad de datos tiene una dimensión que supera con creces lo que muchas empresas han implementado. El registro de actividades de tratamiento es el punto de partida, no el punto de llegada.
Para una empresa bancaria o de seguros que trate datos de forma intensiva, el programa de protección de datos incluye como mínimo: el registro de actividades de tratamiento con descripción de finalidades, categorías de datos, destinatarios y plazos de conservación; la evaluación de impacto relativa a la protección de datos para los tratamientos de alto riesgo; el nombramiento de un delegado de protección de datos, que en entidades financieras es en general obligatorio y no opcional; las cláusulas y contratos de encargo de tratamiento con proveedores; y los procedimientos internos para atender los derechos de los interesados en los plazos que fija la normativa.
La notificación de una brecha de seguridad a la AEPD en un plazo de 72 horas desde que la empresa tiene conocimiento de ella es uno de los requisitos más exigentes en términos operativos. Setenta y dos horas es un plazo muy breve para una organización que no ha diseñado previamente su protocolo de respuesta. En nuestra experiencia asesorando a empresas de estos sectores, las que tienen el protocolo implementado responden dentro del plazo con información suficiente; las que no lo tienen responden fuera de plazo o con información incompleta, lo que agrava la infracción.
En el sector sanitario, la evaluación de impacto no es discrecional cuando el tratamiento implica datos de salud a gran escala. La AEPD mantiene una lista de tratamientos que requieren dicha evaluación antes de su inicio. Una plataforma de telemedicina, un gestor de historiales clínicos o un laboratorio de genómica que comience a operar sin realizarla está incumpliendo desde el primer día.
El plazo de respuesta a los derechos de los interesados es de un mes, prorrogable dos meses adicionales en casos complejos. En un entorno regulado donde el cliente puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, la empresa necesita procesos internos documentados que garanticen esa respuesta en tiempo y forma. La ausencia de proceso es en sí misma una infracción independiente de la brecha de datos subyacente.
El compliance penal es el tercer eje del programa, y en los sectores bancario, asegurador y sanitario adquiere una relevancia específica. La normativa española de responsabilidad penal de las personas jurídicas exige que la empresa adopte y ejecute eficazmente modelos de organización y gestión que incluyan medidas de vigilancia y control para prevenir delitos o reducir significativamente el riesgo de su comisión.
¿Qué significa "eficazmente"? Los tribunales españoles han construido una doctrina que distingue entre el modelo de papel y el modelo vivo. Un modelo de compliance penal que existe como documento pero no se ejecuta, no se actualiza y no se supervisa no exime de responsabilidad a la persona jurídica. El Tribunal Supremo ha consolidado el criterio de que la eficacia del modelo se valora en función de su implementación real, no de su existencia formal.
En la práctica bancaria y aseguradora, el riesgo penal más relevante incluye el blanqueo de capitales, la financiación del terrorismo, el fraude, la corrupción en las relaciones con la administración pública y, en el ámbito sanitario, las falsedades documentales y los delitos contra la salud pública. El canal de denuncias interno – o whistleblowing – es uno de los elementos que la normativa de trasposición de la directiva europea exige a las empresas de un determinado tamaño como medida estructural del programa de compliance.
El canal de denuncias no es solo un buzón. Debe garantizar la confidencialidad del denunciante, la prohibición de represalias, un plazo de acuse de recibo y plazos de investigación internos. Las empresas que operan en sectores regulados como banca, seguros y salud y superan los umbrales de empleados establecidos en la normativa están obligadas a implantarlo. Las que no lo hacen, además de incumplir la normativa, se privan de una herramienta que los tribunales consideran relevante para valorar si el modelo de compliance es o no eficaz.
En nuestra experiencia implantando programas de compliance en empresas industriales, tecnológicas y de salud, el canal de denuncias que más funciona no es el más sofisticado tecnológicamente, sino el que cuenta con respaldo visible de la alta dirección y procedimientos claros para el tratamiento de las comunicaciones recibidas.
La dirección de una empresa en estos sectores gestiona simultáneamente tres tipos de plazos: los plazos regulatorios de supervisión, los plazos de respuesta ante incidentes y los plazos de implantación de nuevas obligaciones derivadas de la evolución normativa.
En el primer grupo, la entidad bancaria debe acreditar ante el supervisor que sus controles internos se revisan con la periodicidad prevista en sus propias políticas. Una desviación entre lo que la política dice y lo que la auditoría interna refleja es un hallazgo que los supervisores documentan y sobre el que exigen plan de acción con plazo cerrado. No respetar ese plazo incrementa el riesgo de medida supervisora.
En el segundo grupo, el protocolo de gestión de brechas de seguridad es determinante. Los 72 horas para notificar a la AEPD son el plazo visible, pero antes de esa notificación la empresa debe haber completado: la detección del incidente, la clasificación de la brecha, la valoración del riesgo para los interesados, la decisión de notificación y la redacción de la comunicación con el contenido mínimo exigido. Todo eso en menos de tres días. Sin un protocolo previo, es imposible.
En el tercer grupo, la evolución regulatoria en estos sectores es permanente. El Reglamento europeo de resiliencia operativa digital (conocido como DORA) introduce para el sector financiero requisitos específicos en materia de gestión del riesgo de tecnologías de la información y la comunicación que las entidades deben integrar en sus programas de compliance. La empresa que espera a que la norma sea exigible para comenzar a prepararse llega tarde: la implantación de controles requiere tiempo, presupuesto y reorganización interna.
¿Cuándo actúa la empresa con más margen de maniobra? Siempre antes del incidente. La diferencia entre una empresa que ha notificado una brecha correctamente y ha acreditado la existencia de su programa de compliance, y una empresa que sufre la misma brecha sin protocolo, es sustancial en términos de la respuesta del regulador. La AEPD pondera de forma explícita en su metodología sancionadora la existencia o ausencia de medidas de seguridad previas y la diligencia en la respuesta al incidente.
La tesis central del compliance preventivo es económica antes que jurídica. Implantar un programa de cumplimiento tiene un coste. No implantarlo tiene un coste mayor, con la diferencia de que el segundo es incierto en su momento y cierto en su materialización.
Primera tesis: el programa reduce la sanción incluso cuando hay infracción. Las autoridades supervisoras europeas y españolas aplican de forma consistente el principio de que la existencia de un programa de compliance estructurado, funcional y auditado es un atenuante relevante. La AEPD ha considerado en resoluciones recientes la existencia de medidas técnicas y organizativas previamente implementadas como factor reductor de la gravedad. Una empresa con programa, con registro de tratamientos activo y con protocolo de brechas implantado está en una posición radicalmente mejor ante el regulador que una empresa que comienza a construir su defensa tras la apertura del procedimiento.
Segunda tesis: la diligencia debida (due diligence) en compliance es ya un requisito de acceso a determinados mercados y relaciones contractuales. Los grupos financieros, los hospitales privados de referencia y las aseguradoras de primera línea incluyen en sus procesos de homologación de proveedores y socios una evaluación del nivel de cumplimiento en materia de protección de datos y compliance penal. Una empresa que no puede acreditar su programa de cumplimiento no pasa el filtro. En nuestra práctica hemos acompañado a empresas tecnológicas del sector salud que necesitaban actualizar su programa de compliance para poder acceder a contratos con grandes grupos hospitalarios: el compliance no era solo un requisito regulatorio, era un requisito comercial.
Tercera tesis: el asesoramiento en la fase de diseño de un nuevo producto o servicio es incomparablemente más eficiente que el asesoramiento en la fase de crisis. Una plataforma de datos de salud que consulta el diseño de su modelo de tratamiento antes de lanzarlo puede ajustar bases jurídicas, minimizar datos, definir plazos de conservación y establecer controles desde el primer día. La misma plataforma que consulta después de recibir una reclamación de la AEPD necesita una revisión completa del producto, potencialmente su paralización temporal y un plan de acción con hoja de ruta comprometida ante el regulador. Los tiempos y los recursos necesarios son incomparables.
Acompañamos con regularidad a empresas en la implantación de programas de protección de datos y compliance desde la fase de diseño. La experiencia indica que el retorno de la inversión en asesoramiento preventivo es positivo tanto en términos de reducción de exposición regulatoria como en términos de posicionamiento comercial ante clientes que exigen ese estándar.
La práctica de nuestra firma nos permite identificar un conjunto recurrente de errores que encontramos en empresas de banca, seguros y salud que llegan a nosotros tras un incidente o en el marco de una revisión interna.
El primero, y más extendido, es confundir el cumplimiento formal con el cumplimiento efectivo. Una empresa que tiene una política de privacidad, ha firmado contratos de encargo de tratamiento y ha nombrado un delegado de protección de datos puede creer que ha cumplido. Si esos documentos no reflejan los tratamientos reales, si los contratos con proveedores tecnológicos no contemplan las medidas de seguridad adecuadas y si el delegado no tiene acceso a la información que necesita para ejercer su función, el cumplimiento es formal pero no efectivo. Ante el regulador, la diferencia es la que existe entre un atenuante y un agravante.
El segundo error es la desconexión entre el programa de compliance y la operativa real del negocio. Los programas de cumplimiento diseñados sin conocimiento del modelo de negocio de la empresa generan políticas que el personal no puede aplicar porque no responden a su realidad operativa. Un protocolo de gestión de brechas que requiere la intervención de un comité de cinco personas para tomar una decisión es inaplicable en 72 horas. La empresa necesita protocolos de decisión rápida, con responsables claros y con acceso a la información necesaria en el momento en que se produce el incidente.
El tercer error es no actualizar el programa ante cambios regulatorios o cambios en el modelo de negocio. El RGPD no fue el último texto normativo. El reglamento DORA, la normativa de inteligencia artificial, la actualización de las listas de tratamientos de alto riesgo de la AEPD y los cambios en la operativa de la empresa – un nuevo producto, un nuevo proveedor de nube, una nueva línea de negocio – pueden cambiar el perfil de riesgo del programa sin que la empresa lo advierta. La revisión periódica del programa no es una opción: es parte del propio estándar de cumplimiento.
El cuarto error, específico del sector sanitario, es subestimar el riesgo en las relaciones con terceros. Las plataformas de telemedicina trabajan habitualmente con proveedores de almacenamiento en nube, proveedores de software médico y socios de analítica de datos. Cada uno de esos proveedores es un encargado de tratamiento. La responsabilidad de elegirlos adecuadamente, de contratar con ellos bajo las garantías del RGPD y de supervisar su actuación recae sobre la empresa responsable del tratamiento. Una brecha en el proveedor es, jurídicamente, una brecha del responsable.
El compliance no es responsabilidad del departamento jurídico. Es responsabilidad del órgano de administración, que puede delegar su gestión pero no puede delegar su supervisión. Esta distinción es central en el Derecho español vigente.
Los consejeros de entidades bancarias y aseguradoras están sujetos a exigencias de idoneidad que incluyen su capacidad para comprender los riesgos regulatorios y para supervisar la función de cumplimiento. Una entidad cuyos consejeros no pueden responder ante el supervisor sobre el estado de su programa de compliance tiene un problema de gobierno corporativo que va más allá del incumplimiento normativo concreto.
La práctica de los juzgados de lo mercantil y de las audiencias provinciales españolas indica que los tribunales valoran de forma creciente la existencia de mecanismos de supervisión internos cuando se analiza la responsabilidad de los administradores en el contexto de una infracción corporativa. La delegación sin supervisión no exime: la supervisión activa y documentada puede atenuar.
Hemos observado que las empresas que integran el compliance como punto del orden del día del consejo de administración, aunque sea con periodicidad semestral, tienen una cultura de cumplimiento sensiblemente más sólida que las empresas que lo relegan a un informe anual de gestión que el consejo recibe sin discutirlo. No es una cuestión de volumen de documentación: es una cuestión de apropiación institucional del programa.
El compliance penal – en su dimensión de exención o atenuación de la responsabilidad de la persona jurídica – requiere que el modelo de cumplimiento sea supervisado por un órgano con poderes autónomos de vigilancia y control. En las empresas de mayor tamaño, ese órgano suele ser el comité de auditoría o el comité de cumplimiento. En las empresas medianas, puede ser el propio órgano de administración con el apoyo de un responsable de cumplimiento interno o externo. Lo que no vale es la ausencia de supervisión.
La empresa que aborda el compliance como tres programas paralelos – uno para la regulación sectorial, uno para el RGPD y uno para el compliance penal – termina con documentación redundante, personal desorientado y recursos duplicados. La aproximación eficiente es el programa integrado.
Un programa integrado parte del mapa de riesgos de la empresa. Ese mapa identifica, para cada proceso crítico del negocio, los riesgos regulatorios aplicables con independencia de cuál sea la norma que los genera. Un proceso de alta en un cliente bancario activa simultáneamente obligaciones de prevención del blanqueo de capitales, obligaciones de información bajo la normativa de protección de datos y obligaciones de diligencia debida bajo la normativa sectorial. El control que se diseña para ese proceso debe cubrir las tres dimensiones, no replicar tres controles independientes.
El mapa de riesgos se construye con información del negocio. Esto requiere la participación de las áreas de operaciones, tecnología, recursos humanos y dirección comercial, no solo del departamento jurídico. La empresa que externaliza completamente el compliance a un asesor externo sin involucrar a su equipo interno tiene un programa que no conoce su negocio y que, por tanto, no gestiona sus riesgos reales.
Las políticas derivadas del mapa de riesgos deben ser aplicables. Una política de clasificación de la información con seis categorías y un árbol de decisión de veinte pasos no la aplica nadie. Las políticas eficaces son concisas, concretas y van acompañadas de procedimientos operativos que el personal de línea puede seguir sin necesidad de interpretación jurídica.
La formación es el tercer pilar del programa integrado. No la formación anual de treinta minutos que el empleado completa sin atención: la formación diferenciada por rol, que comunica a cada persona qué debe hacer específicamente en las situaciones de riesgo que afectan a su función. El responsable de operaciones necesita saber cómo detectar y escalar una posible brecha de seguridad. El responsable comercial necesita saber qué condiciones contractuales no puede aceptar sin revisión jurídica. El miembro del consejo necesita entender qué información debe recibir y en qué plazo para poder supervisar el programa.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud que operan en España con estructuras muy diversas. En todos los casos, el factor que más determina la solidez del programa no es el presupuesto asignado: es el compromiso visible de la dirección con el cumplimiento como valor de la organización.
La dirección de una empresa en estos sectores puede evaluar su posición regulatoria con un conjunto de preguntas concretas. La respuesta negativa a cualquiera de ellas identifica un área de riesgo que conviene gestionar de forma proactiva.
Esta lista no es exhaustiva, pero identifica los vectores de riesgo más frecuentes. Una empresa que puede responder afirmativamente a todas estas preguntas con documentación de respaldo tiene una posición sensiblemente mejor ante cualquier procedimiento supervisor o sancionador.
Para profundizar en los aspectos específicos del programa de cumplimiento en materia de datos personales, puede consultar nuestro análisis sobre protección de datos y compliance para empresas, donde desarrollamos el alcance completo de las obligaciones bajo el RGPD y la LOPDGDD en el contexto empresarial español.
Si su empresa opera en el sector agroalimentario o en otros sectores regulados, le puede resultar útil revisar también el análisis de compliance sectorial en el sector agroalimentario, que aborda los vectores de riesgo propios de ese entorno con la misma metodología de programa integrado.
Las empresas que gestionan datos bajo marcos de seguridad específicos pueden encontrar referencias adicionales en las preguntas frecuentes sobre el Esquema Nacional de Seguridad, útiles para comprender la interacción entre los requisitos de seguridad de la información y el programa de protección de datos.
El compliance sectorial en banca, seguros y salud se conecta de forma natural con otras prácticas de la firma. Las empresas que abordan una operación de adquisición o integración en estos sectores necesitan una diligencia debida en materia de compliance como parte del análisis previo a la operación, lo que activa la práctica de Derecho societario y operaciones. Del mismo modo, los modelos de cumplimiento que afectan a la gestión de personas – especialmente el canal de denuncias y los programas de formación – conectan con la práctica de laboral y movilidad internacional. Un programa de compliance integrado requiere coherencia entre todas estas dimensiones.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.