El sector fintech y el de servicios financieros en España viven un momento de escrutinio regulatorio sin precedentes. La Agencia Española de Protección de Datos (AEPD), el Banco de España y la Comisión Nacional del Mercado de Valores vigilan con creciente rigor a las entidades que operan con datos sensibles y productos financieros. Una decisión estructural que con frecuencia se pospone – la elección entre un modelo de cumplimiento centralizado o uno gestionado filial a filial – puede determinar si la empresa absorbe una sanción limitada o una exposición que compromete la continuidad operativa de uno o varios territorios.
Una entidad fintech o de servicios financieros que opera en España se mueve simultáneamente en varios planos regulatorios. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) son obligatorios desde el momento en que la empresa trata datos de personas físicas. La normativa de cumplimiento normativo penal exige que las personas jurídicas demuestren que han adoptado medidas organizativas suficientes para prevenir ilícitos. Y la legislación de prevención del blanqueo de capitales, junto con las exigencias de la normativa de servicios de pago, añaden capas adicionales de control interno.
En nuestra práctica con empresas del sector financiero observamos que la acumulación de marcos normativos es precisamente el origen del dilema estructural: ¿se gestiona todo desde una unidad central o se replica el modelo en cada filial local?
El Reglamento General de Protección de Datos establece que el responsable del tratamiento es quien determina los fines y medios del tratamiento. Si la matriz determina la política de datos, pero la filial opera los sistemas, ambas pueden ser corresponsables. Esa dualidad tiene consecuencias prácticas inmediatas en caso de brecha de seguridad: la notificación a la AEPD debe realizarse en un máximo de 72 horas desde que la entidad tiene conocimiento del incidente.
¿Quién notifica? ¿La matriz o la filial? Si no existe un protocolo claro, la respuesta llegará tarde. Y en el Derecho europeo de protección de datos, el retraso agrava la infracción.
El modelo centralizado sitúa la función de cumplimiento normativo en una unidad corporativa única, habitualmente radicada en la sede principal. Esa unidad diseña las políticas, homologa los procedimientos, gestiona el canal de denuncias y asume la relación con las autoridades en todos los territorios de operación.
Las ventajas son apreciables. La coherencia de criterios elimina inconsistencias entre geografías. El coste de estructura se optimiza: un equipo jurídico-compliance da servicio a todas las filiales sin duplicar recursos. La adaptación al RGPD se gestiona como un programa único, con un solo registro de actividades de tratamiento de ámbito corporativo.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud que eligieron este modelo tras detectar que sus filiales operaban con políticas contradictorias. La unificación redujo el número de hallazgos en auditoría y simplificó la relación con los supervisores.
Sin embargo, el modelo centralizado tiene límites reales. La normativa de algunos territorios de la Unión Europea – y especialmente fuera de ella – impone requisitos locales que no pueden gestionarse de forma genérica. El compliance penal en España, por ejemplo, exige que el modelo de prevención de delitos se adapte a la estructura societaria española de cada entidad, no a la de la matriz extranjera. La implantación de un modelo de prevención diseñado para otra jurisdicción puede resultar ineficaz ante los tribunales españoles.
El modelo por filial asigna a cada entidad jurídica la responsabilidad íntegra de su propio programa de cumplimiento. La filial española cuenta con su propio delegado de protección de datos (o con un responsable de compliance), sus propias políticas locales y su propio canal de denuncias operativo en el idioma y bajo la normativa del territorio.
Este enfoque resulta especialmente pertinente cuando las actividades de la filial difieren materialmente de las del grupo. Una fintech de pagos minoristas y una gestora de activos no comparten los mismos riesgos regulatorios, aunque pertenezcan al mismo grupo. Replicar un programa único puede generar lagunas de cobertura.
El modelo por filial también facilita la relación directa con el supervisor local. La AEPD o el Banco de España – en sus funciones de supervisión de conducta – tienen interlocutores claros y documentación organizada bajo el Derecho español. Esa cercanía operativa puede ser relevante durante una inspección.
La contrapartida es el coste. Mantener equipos de compliance independientes en cada filial multiplica la inversión, dificulta la coordinación en caso de crisis transversal y puede generar posiciones contradictorias frente a las autoridades. ¿Cómo se gestiona una brecha de seguridad que afecta simultáneamente a la base de datos central y a los sistemas locales de dos filiales si cada una tiene un protocolo distinto?
| Criterio | Compliance centralizado | Compliance por filial |
|---|---|---|
| Coste relativo de estructura | Menor (economías de escala; un equipo para todo el grupo) | Mayor (equipos replicados por territorio) |
| Velocidad de adaptación normativa local | Menor (requiere validación corporativa antes de implementar) | Mayor (la filial actualiza directamente sus políticas) |
| Coherencia corporativa | Alta (política única, criterio uniforme) | Variable (riesgo de divergencias entre filiales) |
| Eficacia del compliance penal en España | Limitada si el modelo no se adapta a la sociedad española | Alta si el modelo está diseñado para la entidad local |
| Gestión de brechas de seguridad (72 horas AEPD) | Centralizada; riesgo de retraso si no hay protocolo claro | Local; más ágil, pero sin coordinación con la matriz |
| Canal de denuncias | Único; puede no cumplir requisitos locales de idioma/acceso | Local; cumple requisitos territoriales pero puede fragmentar información |
| Reversibilidad del modelo | Moderada (cambiar requiere reorganización corporativa) | Moderada (unificar requiere integrar sistemas y equipos) |
| Idoneidad según perfil | Grupos homogéneos con actividad similar en todos los territorios | Grupos heterogéneos; filiales con perfiles de riesgo diferenciados |
| Exposición ante la AEPD | Concentrada en la entidad que actúa como responsable de tratamiento | Distribuida; cada filial asume su propia exposición |
La tabla anterior no tiene respuesta única. Ninguno de los dos modelos domina en todos los criterios. La decisión depende del perfil de riesgo del grupo, de la homogeneidad de sus actividades y de la madurez de sus sistemas de control interno.
La elección del modelo de compliance no es un proyecto de implantación única. Es un sistema vivo que genera obligaciones periódicas con plazos propios.
El registro de actividades de tratamiento – exigido por el RGPD para responsables y encargados del tratamiento – debe mantenerse actualizado. No es un documento que se elabora una vez y se archiva. Cada nuevo producto, cada nuevo proveedor tecnológico, cada expansión a un nuevo territorio activa la obligación de revisar y actualizar ese registro. En un grupo fintech que lanza productos con frecuencia, esa cadencia puede ser mensual.
El canal de denuncias es otro elemento de gobernanza con plazos específicos. La normativa vigente en España exige que las empresas que superen determinados umbrales de plantilla cuenten con un canal que garantice la confidencialidad del denunciante. La gestión de ese canal en un entorno centralizado requiere definir con precisión qué entidad del grupo es el responsable del tratamiento de los datos del denunciante. Si esa definición no existe, la empresa opera en una zona de riesgo doble: incumplimiento laboral e incumplimiento de protección de datos.
En nuestra experiencia asesorando a empresas del sector financiero, el plazo más crítico que la dirección subestima es el de la notificación de brechas. Setenta y dos horas es un plazo muy corto para una organización que no tiene un protocolo activado y probado. La práctica de los equipos de supervisión de la AEPD indica que la falta de protocolo documentado agrava la valoración de la infracción, independientemente del daño efectivo causado.
La adaptación al RGPD no termina con la firma de un contrato de encargado del tratamiento con los proveedores tecnológicos. Esa adaptación incluye evaluaciones de impacto sobre la protección de datos (EIPD) para tratamientos de alto riesgo, que en el sector fintech incluyen la puntuación crediticia automatizada, el perfilado de clientes o el uso de datos biométricos en la autenticación.
Una empresa que trata datos y opera sin un programa de cumplimiento estructurado se expone a una brecha sin protocolo. Esa exposición no es teórica. La AEPD publica resoluciones sancionadoras con regularidad, y el análisis de esas resoluciones – que se encuentran en el registro público de actuaciones de la Agencia – revela un patrón consistente: las infracciones más costosas no son las que causaron mayor daño, sino las que evidenciaron ausencia total de medidas organizativas.
Existe un mito extendido en el sector que conviene desmontar: con una cláusula de privacidad en la web no se cumple el RGPD. La cláusula es un instrumento de información al usuario, no un programa de compliance. El registro de tratamientos, el protocolo de brechas y el modelo de compliance penal son los tres pilares que reducen materialmente la sanción y la responsabilidad personal de los administradores cuando se produce un incidente.
La diferencia entre una empresa que cuenta con esos pilares y una que no los tiene es determinante en el procedimiento sancionador. La normativa de protección de datos y el compliance penal contemplan expresamente la existencia de medidas de diligencia como factor atenuante. Esa atenuación puede traducirse en una reducción de la sanción o, en el caso del compliance penal, en la exoneración de la responsabilidad penal de la persona jurídica.
El coste de un programa bien diseñado en fase preventiva es materialmente inferior al coste de gestionarlo de forma reactiva tras un incidente. Esta afirmación no es retórica: la gestión de crisis tras una brecha de seguridad en una entidad financiera incluye, como mínimo, la notificación a la AEPD, la posible comunicación a los afectados, la asistencia letrada en el procedimiento sancionador, el coste reputacional con clientes e inversores y, en algunos supuestos, la notificación a supervisores sectoriales adicionales.
El sector fintech concentra riesgos penales que no son habituales en otros sectores. La intermediación en pagos, la custodia de activos digitales, la concesión de crédito y el asesoramiento financiero son actividades que aparecen de forma recurrente en procedimientos relacionados con blanqueo de capitales, estafa y revelación de secretos. La persona jurídica no es penalmente responsable por el mero hecho de operar en ese entorno. Lo es si no puede acreditar que contaba con un modelo de organización y gestión que prevenía esos delitos.
El modelo de prevención de delitos – también denominado modelo de compliance penal – debe ser específico para la sociedad española que opera en España. No es suficiente con que la matriz extranjera tenga un código ético corporativo. El Tribunal Supremo ha consolidado el criterio de que el modelo debe ser idóneo para la entidad concreta, no genérico. Esa idoneidad se valora en función de la estructura real de la empresa, sus actividades y sus mecanismos de supervisión internos.
El canal de denuncias ocupa un papel central en ese modelo. Debe ser accesible, confidencial y operable de forma independiente de la jerarquía de la empresa. En un grupo con modelo centralizado, el canal gestionado desde la sede puede generar resistencias de los empleados de las filiales, que perciben que sus denuncias no son independientes. En un modelo por filial, el canal puede carecer de los recursos para investigar denuncias complejas que implican a varias geografías.
La solución que hemos observado con mayor eficacia práctica en nuestra experiencia es un modelo híbrido: política y criterios centralizados, con puntos de contacto locales y un canal de denuncias con garantías de independencia formal. Ese modelo requiere un diseño jurídico cuidadoso para evitar conflictos de corresponsabilidad en el tratamiento de datos de los denunciantes.
La dicotomía centralizado/por filial es útil como marco conceptual, pero la mayoría de los grupos fintech con presencia en varios territorios terminan operando con un modelo híbrido. La cuestión práctica no es si el modelo será híbrido, sino qué elementos deben centralizarse y cuáles deben localizarse.
La experiencia práctica de nuestra firma apunta a un criterio de partida claro: centralizar las políticas de alto nivel y los criterios de riesgo; localizar la implantación operativa y la gestión de incidentes. La política de clasificación de datos puede ser corporativa. El protocolo de respuesta a una solicitud de derechos del interesado ante la AEPD debe estar en manos de quien conoce el Derecho español y los plazos aplicables.
¿Por dónde empieza una empresa fintech que no ha formalizado ningún modelo? El punto de partida es el diagnóstico. Un análisis de brechas (gap analysis) frente a los requisitos del RGPD, la normativa de cumplimiento penal y las exigencias del supervisor sectorial permite priorizar las acciones con mayor impacto en la reducción del riesgo. Sin ese diagnóstico, la empresa puede invertir recursos en áreas de bajo riesgo mientras mantiene exposición crítica en otras.
Un grupo industrial del sector tecnológico financiero con el que trabajamos se encontraba en esa situación: tenía políticas de privacidad actualizadas, pero carecía de registro de tratamientos, de protocolo de brechas y de modelo de compliance penal adaptado a su filial española. El diagnóstico permitió priorizar los dos últimos elementos por su mayor impacto en la exposición regulatoria, y el programa se implantó en fases con un calendario adaptado al ritmo operativo de la empresa.
El primero y más extendido es confundir el cumplimiento documental con el cumplimiento efectivo. Una empresa puede tener todas las políticas redactadas, firmadas y archivadas y, sin embargo, no tener ningún empleado que sepa qué hacer cuando recibe una solicitud de acceso a datos o cuando detecta una posible brecha de seguridad. El compliance efectivo requiere formación, procedimientos operativos y pruebas documentadas de que esos procedimientos se ejecutan.
El segundo error es diseñar el programa para el regulador, no para la organización. Un modelo de compliance que nadie entiende y que no se integra en los flujos de trabajo reales de la empresa tiene escasa eficacia preventiva. Y cuando llega el procedimiento sancionador, los auditores del supervisor comprueban no solo que el documento existe, sino que la organización lo aplica.
El tercero es no revisar el programa con la frecuencia adecuada. El sector fintech es probablemente el sector de mayor velocidad de cambio regulatorio en España y en la Unión Europea. La normativa de mercados de criptoactivos, la regulación de la inteligencia artificial, la normativa de resiliencia operativa digital del sector financiero (DORA) y las sucesivas guías de la AEPD modifican el paisaje regulatorio con una cadencia que no tiene precedente en otros sectores. Un programa diseñado hace dos años puede tener lagunas significativas hoy.
El cuarto error, que observamos con frecuencia en grupos con estructura multinacional, es aplicar a la filial española un modelo diseñado para otra jurisdicción sin adaptarlo al Derecho español. Las exigencias del compliance penal español, los plazos de la AEPD y los requisitos del canal de denuncias bajo la normativa española tienen especificidades que no están cubiertas por un modelo genérico de grupo.
La decisión sobre el modelo de compliance se conecta directamente con la estrategia de protección de datos de la empresa y con su gobernanza societaria. Si la estructura del grupo incluye filiales en distintas comunidades autónomas o en el extranjero, la coordinación entre el compliance corporativo y la práctica de protección de datos y compliance de Velarde & Vidal permite diseñar un programa coherente que cubra todos los territorios de operación. Para empresas con actividad en el norte de España o con proyección en el Arco Atlántico, nuestra oficina de San Sebastián ofrece asesoramiento de proximidad para grupos industriales y fintech con implantación en el País Vasco y Navarra. Adicionalmente, si el programa de compliance se extiende a la prevención de riesgos laborales y penales, la guía sobre cómo cumplir la normativa de prevención ofrece una hoja de ruta operativa para los equipos internos de la empresa.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.