La adquisición de una empresa tecnológica en el sector fintech concentra, en un solo proceso, todos los riesgos de cumplimiento normativo que el Reglamento General de Protección de Datos (RGPD) y la regulación financiera pueden generar. El adquirente no solo compra código, cartera de clientes y talento: compra también el pasivo de datos que la target arrastra, visible o no en sus libros. En nuestra experiencia asesorando a empresas en procesos de este tipo, la diligencia debida (due diligence) de protección de datos es, con frecuencia, la que más sorpresas genera y la que menos atención recibe hasta que ya es tarde.
El supuesto que analizamos corresponde a un grupo financiero español de tamaño mediano que decidió adquirir una plataforma tecnológica de servicios de pago y financiación al consumo de empresa. La target contaba con varios años de actividad, una base de usuarios corporativos considerable y acuerdos de integración con entidades bancarias de tercer país.
El cuadro inicial presentaba las características habituales de este tipo de objetivo: crecimiento rápido, equipos técnicos muy capaces y una estructura de cumplimiento construida de forma reactiva, a medida que la empresa crecía. La cláusula de privacidad en la web estaba actualizada. Había un aviso de cookies. Pero el aparato real de cumplimiento del RGPD era, en la práctica, casi inexistente como sistema estructurado.
Aquí reside el primer error que corregimos con frecuencia en la práctica de nuestra firma: confundir los textos visibles de la política de privacidad con el programa de cumplimiento de protección de datos. Son cosas distintas. Una cláusula bien redactada no sustituye al registro de actividades de tratamiento, al análisis de impacto o al protocolo de brechas de seguridad.
El RGPD y la LOPDGDD establecen obligaciones que no se suspenden ni transfieren automáticamente en una compraventa. El adquirente que incorpora una tecnológica fintech pasa a ser responsable o encargado del tratamiento de los datos que esa empresa gestiona – dependiendo de cómo se estructure la operación. Esto tiene consecuencias inmediatas.
En primer lugar, el registro de actividades de tratamiento debe reflejar, desde el momento de la integración, todos los flujos de datos de la entidad adquirida. Si esos flujos no están documentados, el nuevo responsable parte de cero ante una eventual inspección de la AEPD. En segundo lugar, los acuerdos con encargados del tratamiento – proveedores cloud, pasarelas de pago, plataformas de analítica – deben revisarse para garantizar que cumplen los requisitos exigidos por la normativa vigente.
En el ámbito específicamente financiero, la capa regulatoria se duplica: el RGPD coexiste con la normativa sectorial de servicios de pago, la regulación de prevención del blanqueo de capitales y, en función de los servicios prestados, la normativa aplicable a entidades supervisadas por el Banco de España o la Comisión Nacional del Mercado de Valores. Esta superposición genera puntos de fricción que solo un análisis transversal permite identificar.
¿Cuál es la consecuencia práctica para la dirección de la empresa adquirente? Que cada semana que transcurre desde el cierre sin que se haya ejecutado un plan de integración de cumplimiento es una semana de exposición regulatoria. La AEPD no distingue entre el pasivo heredado y el generado por el nuevo propietario: lo que importa es quién es el responsable del tratamiento en el momento de la infracción.
Nuestra revisión previa al cierre de la operación identificó cinco áreas de riesgo de diferente gravedad. Las detallamos en términos estructurales, sin entrar en datos de la operación concreta.
Primera área: ausencia de registro de actividades de tratamiento actualizado. La target disponía de un documento parcial, elaborado en el momento de la implantación inicial, que no recogía más de la mitad de los tratamientos activos. Varios de ellos incluían categorías de datos especialmente sensibles relacionados con la solvencia de los usuarios corporativos.
Segunda área: transferencias internacionales de datos no documentadas. La plataforma usaba servicios de infraestructura cloud con servidores fuera del Espacio Económico Europeo. No existía ningún mecanismo de legitimación explícito para dichas transferencias – ni cláusulas contractuales tipo actualizadas, ni evaluaciones de impacto de la transferencia.
Tercera área: ausencia de protocolo de brechas de seguridad. La normativa vigente exige notificar a la AEPD en un plazo de 72 horas desde que se tiene conocimiento de una brecha de seguridad que afecte a datos personales. La target no disponía de ningún procedimiento documentado para identificar, escalar y notificar este tipo de incidentes. En una empresa que procesa datos financieros de forma masiva, esta carencia representa una exposición de primer orden.
Cuarta área: bases de legitimación cuestionables en algunos tratamientos de marketing y perfilado. Varios tratamientos se amparaban en el interés legítimo como base jurídica sin haber realizado el correspondiente test de ponderación. Otros se basaban en el consentimiento, pero los registros de ese consentimiento no eran recuperables de forma sistemática.
Quinta área: ausencia de canal de denuncias y programa de compliance penal. Aunque este elemento no forma parte estrictamente de la protección de datos, su inexistencia en una empresa fintech de ese tamaño elevaba el riesgo global de la operación. Un programa de compliance penal efectivo – que incluya un canal de denuncias operativo – es un elemento que los compradores sofisticados incorporan hoy de forma estándar a su análisis previo.
La due diligence de datos no es un ejercicio académico. Su valor se mide en lo que permite hacer durante la negociación. En este caso, el análisis permitió tres movimientos concretos.
El primero fue la cuantificación cualitativa del pasivo. No se inventaron cifras. Se clasificaron los riesgos detectados según su probabilidad de materialización y su impacto potencial, distinguiendo entre infracciones que podrían considerarse formales y aquellas que implicaban un riesgo de sanción significativa ante la AEPD. Esta clasificación sirvió de base para ajustar el precio de la operación mediante un mecanismo de escrow vinculado a la resolución de los riesgos más graves.
El segundo movimiento fue la negociación de declaraciones y garantías específicas en materia de protección de datos. El vendedor representó que no tenía conocimiento de ninguna brecha de seguridad no notificada, ni de ningún procedimiento sancionador en curso ante la AEPD. Esta declaración, junto con el mecanismo de indemnización correspondiente, trasladaba al vendedor la responsabilidad por los hechos anteriores al cierre que quedaran fuera del alcance de la auditoría.
El tercer movimiento fue la elaboración de un plan de remediación post-cierre, acordado entre las partes como condición del contrato. Este plan establecía los hitos y plazos para que la target alcanzara un nivel de cumplimiento adecuado en las cinco áreas identificadas. La ejecución de ese plan quedó vinculada a la liberación parcial del importe retenido en escrow.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y la experiencia constante es que el valor real de la due diligence de datos no está en el informe, sino en la capacidad de traducir sus hallazgos en mecanismos contractuales accionables.
El momento más delicado de una operación de este tipo no es la negociación previa al cierre, sino los primeros meses de integración. La dirección de la empresa adquirente debe tomar, en ese período, decisiones que condicionan la exposición regulatoria del grupo durante años.
La primera decisión es la designación o confirmación del delegado de protección de datos (DPD). En muchas fintech del tamaño analizado, la designación es obligatoria en virtud de la normativa sectorial. Si la target no disponía de DPD o el rol era meramente formal, la integración es el momento de corregirlo.
La segunda decisión es la actualización del registro de actividades de tratamiento para el grupo combinado. Este registro debe reflejar, con precisión, todos los flujos de datos de la entidad integrada: quién trata, qué datos, con qué base jurídica, con qué finalidad y durante cuánto tiempo.
La tercera decisión afecta a los encargados del tratamiento. Todos los contratos con proveedores que accedan a datos personales deben revisarse. Aquellos que no incorporen las cláusulas exigidas por el RGPD deben renegociarse o, si el proveedor no acepta las condiciones, sustituirse.
La cuarta decisión es la implantación del protocolo de brechas de seguridad. Dado que el plazo de notificación a la AEPD es de 72 horas desde el conocimiento de la brecha, el protocolo debe estar operativo desde el día uno de la integración. No puede ser una tarea pendiente para el siguiente trimestre.
En nuestra práctica, la dirección que afronta estas decisiones sin asesoramiento especializado tiende a subestimar la urgencia de los plazos y a sobrestimar la robustez del cumplimiento heredado. Ambos errores se pagan, tarde o temprano, con sanciones o con la necesidad de ejecutar remediaciones de emergencia mucho más costosas.
La lógica del asesoramiento temprano en due diligence de datos es la misma que en cualquier otra área de riesgo empresarial: identificar el problema antes de adquirir el pasivo es siempre más eficiente que gestionarlo una vez que ya es propio.
En el caso analizado, la incorporación del análisis de protección de datos desde la fase de carta de intenciones – y no en la semana previa al cierre – permitió que los hallazgos tuvieran un impacto real en la estructura de la operación. Cuando la due diligence de datos se encarga con días de margen antes del cierre, su utilidad queda limitada a confirmar lo que ya se sospecha, sin tiempo para incorporar sus conclusiones al contrato.
¿Cuánto cuesta una due diligence de datos tardía o inexistente? La respuesta no está en una cifra inventada, sino en la experiencia de qué puede ocurrir: un procedimiento sancionador de la AEPD, la necesidad de paralizar tratamientos mientras se remedia el cumplimiento, la exposición de los administradores por responsabilidad societaria, o la depreciación del activo adquirido cuando el pasivo aflora tras el cierre. Todos son costes reales, y todos son evitables con un análisis previo bien estructurado.
La adaptación al RGPD no es un proyecto que se completa una vez y se archiva. Es un programa continuo que requiere mantenimiento, actualización y respuesta ante incidentes. En el sector fintech, donde los tratamientos de datos son el núcleo del negocio, esta realidad es especialmente exigente. La compliance empresa en este sector no admite aproximaciones informales.
Para el adquirente, el valor del asesoramiento temprano se concreta en tres resultados: mejor posición negociadora, menor exposición post-cierre y un plan de integración de cumplimiento que no parte de cero el día después del cierre. Para el vendedor, la preparación previa de su programa de cumplimiento – antes de iniciar un proceso de venta – es un elemento de valor que reduce el riesgo de precio y facilita el cierre.
La síntesis de este caso, en términos de práctica recomendable, se puede articular en cinco puntos que hemos depurado a partir de la experiencia acumulada en operaciones similares.
Primero: la due diligence de datos debe iniciarse en paralelo con la due diligence financiera y jurídico-mercantil, no después. El análisis de datos genera hallazgos que pueden afectar a la valoración y a la estructura de la operación; si llega tarde, ya no puede cumplir esa función.
Segundo: el alcance de la auditoría debe cubrir, como mínimo, el registro de actividades de tratamiento, las bases jurídicas de cada tratamiento, los contratos con encargados, las transferencias internacionales, el historial de incidentes de seguridad y el estado del programa de compliance de la target. En el sector fintech, añadir la revisión de los flujos de datos con entidades financieras terceras y con proveedores de infraestructura es imprescindible.
Tercero: los hallazgos deben clasificarse por gravedad y probabilidad de materialización. No todos los incumplimientos tienen el mismo peso. Un tratamiento sin base jurídica adecuada que afecte a categorías especiales de datos es un riesgo de primer orden. Un formulario de contacto sin la mención del plazo de conservación es una deficiencia formal. La due diligence que no distingue entre ambos tipos de hallazgos no sirve al proceso de toma de decisiones.
Cuarto: los hallazgos deben traducirse en mecanismos contractuales concretos. Declaraciones y garantías, ajustes de precio, retenciones en escrow y planes de remediación son los instrumentos habituales. El informe de due diligence que no propone mecanismos contractuales es un diagnóstico sin tratamiento.
Quinto: el plan de remediación post-cierre debe ser realista en plazos y responsabilidades. Asignar la ejecución al equipo técnico de la target sin dotarlo de recursos y sin supervisión externa es una receta para la dilación. La implantación de un programa de cumplimiento de protección de datos exige metodología, herramientas y seguimiento continuado.
A modo de referencia práctica, recogemos los elementos que la dirección de una empresa adquirente en el sector fintech debe verificar en ambas fases de la operación.
La adaptación al RGPD en el contexto de una adquisición no es una tarea de departamento jurídico. Es una decisión de gestión que involucra a la dirección, al área de tecnología, al área financiera y al área de recursos humanos. Coordinar esa respuesta desde el inicio – y no improvisar tras el cierre – es la diferencia entre una integración ordenada y una sucesión de emergencias regulatorias.
Si quiere profundizar en cómo abordamos la due diligence de datos en operaciones corporativas, puede consultar nuestra experiencia en casos similares, donde desarrollamos el enfoque metodológico que aplicamos en este tipo de procesos.
La due diligence de datos en una adquisición fintech es el punto de intersección entre la práctica de protección de datos y compliance y la práctica de derecho societario y operaciones. Una vez cerrada la operación, la integración del programa de cumplimiento conecta con el área laboral – para la formación y comunicación interna – y con la práctica de propiedad intelectual y tecnología, cuando la target es titular de activos de software o de bases de datos con relevancia jurídica propia.
Si su empresa se encuentra evaluando una adquisición en el sector tecnológico o financiero, o si ya ha completado una operación y necesita ejecutar el plan de remediación de cumplimiento, nuestro equipo de protección de datos y compliance puede acompañarle en todo el proceso, desde la due diligence previa al cierre hasta la implantación del programa de cumplimiento integrado.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.