El sector fintech y los servicios financieros digitales concentran hoy una de las densidades normativas más altas del mercado español. Cada transferencia internacional de datos o de fondos atraviesa, al mismo tiempo, el perímetro del Reglamento General de Protección de Datos (RGPD), la normativa de prevención del blanqueo de capitales, los umbrales de la supervisión prudencial y la nueva arquitectura de resiliencia operativa digital. Actuar sin un programa de cumplimiento estructurado no es una opción estratégica: es una exposición de primer orden que los reguladores europeos han dejado de tolerar.
El primer error que observamos con frecuencia en empresas del sector es delimitar el cumplimiento a una sola norma. La realidad es que el perímetro se compone de al menos cuatro capas superpuestas.
La primera capa es la protección de datos. El RGPD y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) establecen el marco para todo tratamiento de datos personales. La Agencia Española de Protección de Datos (AEPD) ejerce la supervisión y tiene competencia sancionadora plena sobre los operadores establecidos o que dirijan sus servicios a España. En el sector fintech, donde el dato del cliente es el activo central, esta capa es ineludible.
La segunda capa es el compliance penal. La legislación mercantil y el Código Penal atribuyen responsabilidad a la persona jurídica cuando no dispone de un programa de prevención adecuado. El modelo de compliance penal no es un documento para el cajón: es el instrumento que acredita que la organización adoptó medidas razonables para evitar el delito.
La tercera capa es la prevención del blanqueo de capitales y la financiación del terrorismo. Las entidades de pago, las plataformas de crowdfunding y los proveedores de servicios de criptoactivos están sujetos a obligaciones de diligencia debida (due diligence) reforzada, especialmente cuando las contrapartes o los beneficiarios finales están radicados fuera del Espacio Económico Europeo.
La cuarta capa es la resiliencia operativa. El Reglamento europeo de resiliencia operativa digital (conocido como DORA, en vigor desde enero de 2025) obliga a las entidades financieras reguladas a gestionar el riesgo de sus proveedores de tecnología y a notificar incidentes de seguridad según umbrales precisos. Para las entidades fintech que ya tienen o aspiran a obtener licencia, este régimen es tan exigente como el propio RGPD.
¿Cómo interactúan estas cuatro capas en una transferencia internacional? La respuesta es: simultáneamente y con obligaciones que se solapan. Una transferencia de fondos a un cliente en un tercer país implica, al mismo tiempo, tratamiento de datos personales del beneficiario, procedimientos de diligencia debida bajo la normativa antiblaqueo, y controles de ciberseguridad sobre los sistemas que procesan la operación. Un programa de cumplimiento que no gestione estas obligaciones de forma integrada genera puntos ciegos que los supervisores detectan con rapidez.
La adaptación al RGPD en el sector fintech tiene una complejidad adicional respecto a otros sectores: el flujo de datos no se detiene en la frontera de la Unión Europea. Los procesadores de pago, los sistemas de verificación de identidad y las plataformas de análisis de riesgo de crédito suelen tener infraestructura en terceros países. Cada vez que datos personales salen del Espacio Económico Europeo, la normativa exige una garantía específica.
Las garantías que la normativa reconoce son esencialmente tres. La primera es la decisión de adecuación de la Comisión Europea, que declara que el tercer país ofrece un nivel de protección equivalente al europeo. La segunda son las cláusulas contractuales tipo, adoptadas por la Comisión y que vinculan al exportador y al importador de datos. La tercera son las normas corporativas vinculantes, especialmente relevantes para grupos empresariales con filiales en múltiples jurisdicciones.
En nuestra práctica, la garantía más utilizada por empresas fintech de tamaño medio es la de las cláusulas contractuales tipo, que la Comisión actualizó en 2021 para adaptarse al marco posterior a la sentencia Schrems II del Tribunal de Justicia de la UE. Sin embargo, la mera firma de las cláusulas no es suficiente. La normativa exige, además, realizar una evaluación de impacto de la transferencia (Transfer Impact Assessment o TIA), que analiza si la legislación del país de destino permite a las autoridades públicas acceder a los datos transferidos de forma incompatible con el RGPD.
Este es un punto que muchas empresas descuidan. Firmar las cláusulas y olvidar la TIA es uno de los errores más frecuentes que hemos identificado en auditorías de cumplimiento del sector. La AEPD ha sancionado situaciones en las que la garantía documental existía pero la evaluación de riesgo real de la transferencia no se había realizado.
El plazo para notificar una brecha de seguridad a la AEPD es de 72 horas desde que se tiene conocimiento de ella. En un entorno fintech, donde los sistemas procesan millones de operaciones diarias, este plazo exige disponer de protocolos de detección y escalado internos que funcionen de forma automática. Sin un proceso documentado, las 72 horas se consumen en la fase de diagnóstico interno, sin que nadie haya aún contactado al regulador.
La obligación de disponer de un canal de denuncias ya no es opcional para las empresas fintech de cierta dimensión. La transposición de la directiva europea de protección del denunciante impone esta obligación a las organizaciones que superen los umbrales establecidos, y el sector financiero tiene particularidades adicionales derivadas de la normativa sectorial de supervisión.
Un canal de denuncias que no cumple con los requisitos del RGPD es, en sí mismo, una infracción. Los informantes deben poder comunicar irregularidades de forma anónima o confidencial, los datos que identifiquen al denunciante deben tratarse con las máximas garantías, y los plazos de respuesta al denunciante los fija la legislación aplicable. Implementar un buzón de correo electrónico genérico y llamarlo "canal de denuncias" no cumple con ninguno de estos requisitos.
En cuanto al modelo de compliance penal, su utilidad en el sector fintech es doble. Por un lado, es el instrumento que puede exonerar o atenuar la responsabilidad penal de la persona jurídica en caso de que un empleado o directivo cometa un delito en el seno de la organización. Por otro lado, acredita ante los socios inversores, las entidades bancarias y los reguladores que la empresa tiene una cultura de cumplimiento real.
Un grupo tecnológico con el que hemos trabajado en la implantación de su programa de compliance penal consiguió que el supervisor valorara positivamente la existencia del modelo durante una inspección sobre prácticas de comercialización de productos de inversión. La existencia de un programa robusto no garantiza la ausencia de infracciones, pero sí demuestra que la organización adoptó las medidas que la normativa exige.
La creencia de que "con una cláusula de privacidad en la web ya se cumple el RGPD" es el mito más extendido que encontramos en el sector. El registro de tratamientos, el protocolo de brechas y el modelo de compliance penal no son adornos documentales: son la estructura que determina la posición de la empresa frente al regulador cuando algo falla.
El compliance en fintech no es una función técnica que se delega al departamento de IT o al responsable de protección de datos y se olvida. Es una función de gobierno que debe aparecer en la agenda del consejo de administración, del director financiero y del director de operaciones.
La primera decisión crítica es la designación del Delegado de Protección de Datos (DPD). En el sector financiero, la normativa exige con carácter general la designación de este perfil cuando el tratamiento de datos es una actividad principal o implica tratamiento a gran escala de categorías especiales. El DPD debe tener autonomía funcional real: un DPD que depende jerárquicamente del director de IT o del director de Marketing no cumple con los requisitos de independencia que exige la normativa.
La segunda decisión es la evaluación de impacto relativa a la protección de datos (EIPD), obligatoria cuando el tratamiento "puede entrañar un alto riesgo" para los derechos y libertades de las personas físicas. En fintech, el perfilado de clientes para la concesión de crédito, la verificación de identidad biométrica y la monitorización de transacciones son tratamientos que casi siempre exigen EIPD. La dirección debe comprender que iniciar un nuevo producto o servicio sin haber realizado la EIPD cuando proceda es una infracción de la normativa, con independencia de que el producto funcione correctamente.
La tercera decisión es la gestión de los terceros. En el sector fintech, la cadena de proveedores de tecnología es larga y compleja: pasarelas de pago, procesadores de tarjetas, plataformas de análisis antifraude, proveedores de nube, servicios de identificación electrónica. Cada uno de ellos es, en términos del RGPD, un encargado del tratamiento. La normativa exige formalizar la relación mediante un contrato de encargo que incluya cláusulas específicas de protección de datos. Un proveedor que no firma este contrato no puede procesar datos de clientes de la empresa de forma legítima.
¿Cuándo debe la dirección revisar su mapa de riesgos? Al menos una vez al año, y siempre que se incorpore un nuevo proveedor tecnológico, se lance un producto que implique un nuevo tratamiento, o se produzca un cambio normativo relevante. El mapa de riesgos de 2022 no es válido para 2025.
En nuestra experiencia asesorando a empresas del sector fintech y de servicios financieros, los expedientes sancionadores y las inspecciones de la AEPD y de otros supervisores sectoriales se concentran, de forma recurrente, en cinco vectores.
El primer vector es la ausencia o desactualización del registro de actividades de tratamiento. La normativa exige que el responsable del tratamiento mantenga un registro detallado de todos los tratamientos que realiza, con información sobre la base jurídica, los destinatarios, los plazos de conservación y las transferencias internacionales. Un registro que no refleja los tratamientos reales de la empresa no sirve ni para cumplir ni para defenderse.
El segundo vector es la base jurídica inadecuada. En fintech, es frecuente intentar fundamentar todos los tratamientos en el consentimiento del usuario. Pero el consentimiento tiene requisitos estrictos de validez: debe ser libre, específico, informado e inequívoco. Cuando el tratamiento es necesario para ejecutar un contrato o para cumplir una obligación legal, la base jurídica correcta no es el consentimiento. Usar la base jurídica equivocada hace que el tratamiento sea ilícito aunque el cliente haya "aceptado" los términos.
El tercer vector es la transferencia internacional sin garantía válida. Como se ha señalado, la firma de las cláusulas contractuales tipo es necesaria pero no suficiente. La ausencia de la evaluación de impacto de la transferencia es un punto de riesgo elevado que los supervisores han comenzado a investigar de forma sistemática tras la invalidación del Privacy Shield.
El cuarto vector es la respuesta inadecuada a brechas de seguridad. La notificación a la AEPD debe producirse en el plazo de 72 horas desde el conocimiento de la brecha, y la comunicación a los afectados debe realizarse cuando la brecha pueda entrañar un alto riesgo para sus derechos. Las empresas que tardan semanas en detectar y reportar una brecha, o que no tienen un protocolo documentado de respuesta, acumulan dos infracciones: la brecha en sí y la gestión deficiente de la notificación.
El quinto vector es el ejercicio de derechos. El plazo de respuesta a los derechos de acceso, rectificación, supresión y otros es de un mes, prorrogable dos meses adicionales en casos complejos. Las empresas que no tienen un procedimiento de gestión de solicitudes de derechos incumplen sistemáticamente estos plazos, lo que genera reclamaciones ante la AEPD y, en el peor caso, expedientes sancionadores.
La pregunta que con mayor frecuencia nos plantean las empresas en fase de expansión internacional es si pueden posponer la implantación del programa de compliance hasta tener una dimensión mayor. La respuesta, desde la experiencia práctica, es que el coste de implantar el programa antes del incidente es sistemáticamente inferior al coste de gestionarlo después.
El régimen sancionador del RGPD distingue entre infracciones leves, graves y muy graves. Las infracciones más graves pueden alcanzar multas de hasta el cuatro por ciento del volumen de negocio anual global o cantidades fijas de referencia, eligiéndose la cifra mayor. Pero el importe de la sanción no es el único coste: hay que sumar el coste reputacional, la pérdida de confianza de inversores y clientes, y los costes internos de la gestión de la crisis.
Según datos publicados por la Agencia Española de Protección de Datos en su memoria anual, el número de reclamaciones de ciudadanos ante la AEPD y el volumen de procedimientos sancionadores han crecido de forma sostenida en los últimos ejercicios. El sector financiero y el tecnológico concentran una parte relevante de esa actividad supervisora.
El asesoramiento temprano actúa en tres dimensiones. Primera, la prevención: un programa de compliance bien diseñado reduce la probabilidad de que se produzca una brecha o una infracción. Segunda, la mitigación: cuando el incidente ocurre pese a las medidas, la existencia del programa y la diligencia acreditada son circunstancias atenuantes que los reguladores valoran expresamente. Tercera, la posición negociadora: una empresa que puede acreditar que tenía implantado un sistema de cumplimiento robusto y que actuó con diligencia tiene una posición muy diferente frente al regulador que una empresa que no puede acreditar nada.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y la conclusión es siempre la misma: la inversión en cumplimiento preventivo es, en términos de análisis coste-beneficio, la más rentable del presupuesto legal.
Las empresas fintech que buscan financiación de inversores institucionales o que tramitan licencias ante el Banco de España u otras autoridades supervisoras europeas se encuentran, casi inevitablemente, con la pregunta sobre su modelo de compliance penal. Los inversores sofisticados realizan diligencia debida (due diligence) legal que incluye, de forma estándar, la revisión del programa de prevención de delitos.
Un modelo de compliance penal para el sector fintech debe estar adaptado al catálogo de delitos que el Código Penal atribuye a la persona jurídica y que son relevantes para el sector: delitos de blanqueo de capitales, estafa, delitos contra el mercado y los consumidores, y delitos informáticos, entre otros. Un modelo genérico copiado de otra industria no cubre los riesgos específicos del sector financiero digital.
Además, el modelo debe actualizarse. El mapa de riesgos penales evoluciona con la tecnología: la proliferación de los criptoactivos, los servicios de IA aplicados a la concesión de crédito y la automatización de la toma de decisiones financieras crean nuevos vectores de riesgo que los modelos de compliance de hace tres años no contemplaban.
La integración del compliance penal con el programa de protección de datos y con los controles antiblaqueo no es un lujo: es la única forma de evitar que cada departamento construya su propio silo de cumplimiento, con las duplicidades, las lagunas y los costes que eso genera. Un programa integrado de compliance es, a la vez, más eficiente y más robusto que tres programas separados.
A modo de síntesis operativa, las empresas del sector que operan o planean operar con transferencias internacionales deben verificar, como mínimo, los siguientes elementos de su programa de cumplimiento.
Ninguno de estos elementos es prescindible. La ausencia de cualquiera de ellos es un punto de vulnerabilidad que el regulador puede explotar en una inspección o que el supervisor prudencial puede cuestionar en la tramitación de una licencia.
Si quiere entender cómo le afecta este marco normativo a su organización, escríbanos a info@velardevidal.com. Analizaremos su situación y le ofreceremos una valoración inicial sin compromiso.
El cumplimiento normativo en fintech conecta de forma directa con otras áreas de la práctica jurídica de empresa. Para empresas que operan en el sector tecnológico o de datos, el análisis de riesgos de compliance se complementa con la gestión de la propiedad intelectual y los contratos de tecnología. Para grupos con presencia en múltiples mercados, la fiscalidad de las operaciones transfronterizas y la estructura societaria son elementos igualmente críticos que conviene revisar de forma integrada.
Puede consultar nuestra práctica de protección de datos y compliance para conocer el alcance completo de nuestros servicios en esta área. Si su empresa opera en el sector de la distribución o el comercio internacional, el análisis sobre transferencias internacionales en retail y distribución aborda un contexto complementario con perspectivas aplicables a su caso. Para empresas del sector turístico con flujos de datos internacionales, el dosier sobre protección de datos en turismo ofrece un análisis sectorial específico.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.