El sector fintech y los servicios financieros en España operan en 2025 bajo una presión regulatoria que no tiene precedente en su historia reciente. La convergencia del Reglamento General de Protección de Datos (RGPD), la normativa sectorial financiera y los nuevos estándares de compliance penal crea un entorno en el que la dirección ya no puede delegar estas materias exclusivamente en el departamento de tecnología o en el área jurídica de forma reactiva. Cada decisión de producto, cada integración de datos y cada relación con terceros proveedores pone sobre la mesa la pregunta que ningún consejo quiere escuchar: ¿estamos realmente cubiertos?
La empresa fintech que opera en España no se enfrenta a un solo cuerpo normativo, sino a la superposición de al menos tres capas de obligaciones. Comprender esta arquitectura es el primer paso para cualquier programa de cumplimiento que pretenda ser efectivo.
La primera capa es el Reglamento General de Protección de Datos de la Unión Europea y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), que transpone y complementa el RGPD en el ordenamiento español. La AEPD es la autoridad de control competente en España. Estas normas no distinguen entre sectores: afectan a cualquier entidad que trate datos personales, pero el perfil de riesgo de una empresa de servicios financieros – que trata datos de solvencia, transacciones, datos bancarios y, en muchos casos, datos biométricos o de salud – eleva automáticamente la categoría de tratamientos sensibles.
La segunda capa es la normativa sectorial financiera. La regulación de servicios de pago, la normativa sobre prevención del blanqueo de capitales y financiación del terrorismo, y los reglamentos europeos sobre mercados financieros generan obligaciones de tratamiento de datos que coexisten con el RGPD. En nuestra experiencia asesorando a empresas del sector, el conflicto más frecuente se produce cuando la normativa sectorial exige conservar datos durante periodos prolongados y el principio de minimización del RGPD impone límites a esa misma conservación. Conciliar ambas exigencias requiere una solución jurídica documentada, no una elección intuitiva.
La tercera capa es el compliance penal. La Ley Orgánica de Protección de Datos y la legislación penal vigente establecen responsabilidad de la persona jurídica por determinadas conductas relacionadas con el tratamiento ilícito de datos y la revelación de secretos. Un modelo de cumplimiento penal bien estructurado – que incluya un canal de denuncias operativo, protocolos de respuesta y una figura de supervisión interna – es hoy un elemento de diligencia exigible, no un diferencial voluntario.
No todos los tratamientos presentan el mismo nivel de riesgo. En el sector fintech, hemos identificado de manera recurrente seis tipologías de tratamiento que concentran la mayor parte de la exposición regulatoria.
El primero es el scoring crediticio y la toma de decisiones automatizada. El RGPD reconoce a los interesados el derecho a no ser objeto de decisiones basadas exclusivamente en tratamiento automatizado que produzcan efectos jurídicos significativos. Las empresas que utilizan algoritmos de evaluación de riesgo crediticio o de aprobación de productos financieros deben documentar la base jurídica de ese tratamiento y garantizar la posibilidad de intervención humana. Este es un punto de fricción habitual con las políticas de producto, donde la velocidad de la decisión automatizada es el argumento comercial principal.
El segundo es el tratamiento de datos de categoría especial. En el contexto fintech, esto incluye datos de salud en seguros embebidos, datos biométricos en procesos de verificación de identidad (KYC) y, en algunos casos, datos relativos a condenas penales exigidos por la normativa antiblanqueo. Cada uno de estos tratamientos requiere una base jurídica reforzada y, con frecuencia, una evaluación de impacto sobre protección de datos antes de iniciar el tratamiento.
El tercero es la transferencia internacional de datos. Las empresas fintech recurren habitualmente a proveedores de infraestructura cloud, pasarelas de pago y herramientas de analítica ubicados fuera del Espacio Económico Europeo. Cada transferencia internacional de datos debe ampararse en una garantía adecuada – cláusulas contractuales tipo, normas corporativas vinculantes o una decisión de adecuación de la Comisión Europea – y documentarse en el registro de tratamientos.
El cuarto es el tratamiento con fines de prevención del fraude y la seguridad de las operaciones. Aunque puede ampararse en el interés legítimo de la empresa o en el cumplimiento de obligaciones legales, este tratamiento debe delimitarse con precisión para no desbordarse hacia una vigilancia desproporcionada del comportamiento del usuario.
El quinto son los tratamientos en el contexto de relaciones laborales, especialmente relevante en empresas que gestionan equipos de atención al cliente y back-office con acceso a información sensible de los clientes. El control del acceso, la trazabilidad de las operaciones y la formación documentada del personal son obligaciones que la AEPD ha valorado expresamente en sus resoluciones de los últimos años.
El sexto, y a menudo el más subestimado, es el tratamiento llevado a cabo por los encargados del tratamiento: los proveedores que acceden a datos personales por cuenta de la empresa. Sin contratos de encargo de tratamiento debidamente formalizados y sin auditorías periódicas sobre esos proveedores, la responsable del tratamiento – la empresa fintech – asume una exposición que no puede trasladar contractualmente.
El compliance en protección de datos no es un proyecto que se cierra: es un ciclo de gestión continua. Pero hay hitos que concentran el mayor riesgo de incumplimiento y que la dirección debe conocer para poder tomar decisiones informadas.
El primero es la notificación de brechas de seguridad a la AEPD en un plazo máximo de 72 horas desde que la empresa tiene conocimiento de la brecha. Este plazo es uno de los más exigentes del ordenamiento jurídico español y europeo. En nuestra práctica, el error más frecuente no es la falta de notificación, sino la demora: la empresa detecta un incidente, lo escala internamente a lo largo de varios días y, cuando llega al responsable de compliance o al abogado externo, el plazo ya ha expirado o está a punto de hacerlo. La diferencia entre una brecha notificada en plazo con medidas correctoras documentadas y una brecha notificada fuera de plazo puede ser determinante en el expediente sancionador.
El segundo hito son los derechos de los interesados. La empresa tiene un mes para responder a las solicitudes de acceso, rectificación, supresión u oposición, prorrogable hasta dos meses en casos de especial complejidad. En el sector fintech, donde el volumen de usuarios puede ser elevado, la gestión de estos derechos requiere un proceso interno documentado, no una respuesta ad hoc caso a caso.
El tercero es la evaluación de impacto relativa a la protección de datos (EIPD), obligatoria antes de iniciar tratamientos de alto riesgo. En el sector fintech, esto cubre habitualmente el scoring automatizado, el tratamiento de datos biométricos y los perfiles de comportamiento financiero. Iniciar el tratamiento sin realizar la EIPD cuando esta es obligatoria constituye por sí misma una infracción del RGPD.
El cuarto es el mantenimiento del registro de actividades de tratamiento. Este documento – a menudo el primero que solicita la AEPD en una inspección – debe reflejar con exactitud todos los tratamientos activos, sus bases jurídicas, las categorías de datos, los plazos de conservación y los destinatarios, incluidos los encargados del tratamiento. Un registro desactualizado o incompleto agrava la posición de la empresa en cualquier procedimiento sancionador.
El quinto es el canal de denuncias. La Directiva europea sobre protección de los denunciantes, transpuesta en España, obliga a las empresas que superen el umbral legal de trabajadores a implantar un canal de denuncias interno. Para las empresas fintech con un modelo de crecimiento acelerado, este umbral puede alcanzarse antes de lo previsto. El canal de denuncias debe integrarse en el modelo general de compliance y respetar las garantías de confidencialidad exigidas tanto por la normativa de protección de datos como por la legislación de denunciantes.
Esta es la creencia errónea que con más frecuencia encontramos en empresas fintech de reciente constitución y en pymes del sector financiero que han crecido rápidamente sin un área jurídica estructurada.
La política de privacidad publicada en el sitio web es, en el mejor de los casos, el escaparate visible de un programa de cumplimiento. Su ausencia o su inadecuación es sancionable, pero su presencia no implica que la empresa esté cumpliendo con el RGPD. La AEPD ha iniciado expedientes sancionadores contra empresas que contaban con políticas de privacidad formalmente correctas pero que carecían de registros de tratamiento actualizados, de contratos con encargados del tratamiento o de protocolos de gestión de brechas.
El registro de tratamientos, el protocolo de brechas y el modelo de compliance reducen la sanción y la responsabilidad de manera demostrable. No porque eliminen el riesgo de incidente – ningún sistema lo hace – sino porque acreditan que la empresa ha adoptado las medidas técnicas y organizativas que la normativa exige. Esa acreditación es el elemento central de la defensa en cualquier procedimiento ante la AEPD o ante el orden penal.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el punto de partida más difícil no es técnico, sino organizativo: lograr que la dirección asuma la materia como parte del gobierno corporativo y no como un trámite delegado al departamento de IT.
El compliance penal tiene en el sector fintech una relevancia que va más allá de la gestión de datos. Las empresas del sector están expuestas a riesgos penales propios de su actividad: el blanqueo de capitales, las infracciones cambiarias, la revelación de secretos y el acceso no autorizado a sistemas informáticos son conductas que pueden generar responsabilidad de la persona jurídica cuando la empresa no ha adoptado las medidas de control adecuadas.
Un modelo de compliance penal eficaz en el sector fintech debe incluir, como mínimo, cuatro elementos. El primero es el mapa de riesgos penales específico de la actividad: los riesgos de una empresa de lending son distintos a los de una plataforma de criptoactivos o a los de un proveedor de servicios de pago. El segundo es el protocolo de respuesta ante indicios de conducta irregular, que debe integrarse con el canal de denuncias. El tercero es la figura del responsable de compliance o compliance officer, con autoridad real y recursos suficientes. El cuarto es la formación documentada del personal, especialmente de quienes tienen acceso a información financiera sensible o a sistemas críticos.
En nuestra experiencia asesorando a empresas del sector, el compliance penal y el compliance en protección de datos no son dos programas paralelos: son dos dimensiones del mismo gobierno corporativo. Las empresas que los tratan de forma integrada ahorran recursos y obtienen una posición de defensa más sólida ante cualquier actuación de inspección o de investigación.
La respuesta más frecuente en el sector es "cuando tengamos más recursos" o "cuando seamos más grandes". En nuestra experiencia, esta es la respuesta más costosa a largo plazo.
El momento adecuado para implantar un programa de cumplimiento es antes del primer tratamiento de datos a escala, antes del primer acuerdo con un proveedor de infraestructura cloud y, desde luego, antes del primer incidente. El coste de implantar un programa desde cero es siempre inferior al coste de gestionarlo bajo la presión de un expediente sancionador o de una brecha de seguridad activa.
Hay tres hitos en el ciclo de vida de una empresa fintech en los que el asesoramiento en compliance resulta especialmente crítico. El primero es la constitución y el lanzamiento del producto, cuando se diseñan los tratamientos de datos y se establecen las relaciones con proveedores. El segundo es una ronda de financiación significativa, que trae consigo una diligencia debida (due diligence) en la que el inversor evaluará el estado del programa de cumplimiento. El tercero es la expansión internacional, que añade la complejidad de las transferencias internacionales de datos y, potencialmente, la aplicación de legislaciones extranjeras sobre protección de datos.
¿Puede su empresa acreditar hoy ante la AEPD que ha adoptado las medidas técnicas y organizativas adecuadas? Si la respuesta genera dudas, el momento de actuar es antes de que la pregunta la haga un inspector, no después.
A modo de referencia operativa, el programa de cumplimiento en protección de datos y compliance para una empresa fintech debe cubrir, al menos, los siguientes elementos. Este listado no sustituye a un análisis individualizado de la situación de la empresa, pero permite identificar las áreas de mayor exposición.
La ausencia de cualquiera de estos elementos no implica necesariamente una sanción inmediata, pero constituye un factor de riesgo que la AEPD valora de forma expresa en sus resoluciones. La adaptación al RGPD es un proceso continuo: un programa implantado correctamente requiere revisión periódica a medida que la empresa escala, incorpora nuevos tratamientos o cambia su base de proveedores.
El programa de cumplimiento en protección de datos para empresas fintech se integra de forma natural con otras áreas de asesoramiento jurídico-fiscal. La estructuración de relaciones con proveedores y la negociación de contratos de servicios tecnológicos conecta directamente con nuestra práctica de protección de datos y compliance. Las empresas que operan en otros sectores regulados con tratamientos de datos de perfil similar pueden consultar nuestro análisis sobre protección de datos y compliance en logística. Para las empresas fintech activas en el ámbito de la salud digital o los seguros de salud embebidos, el enfoque de cumplimiento en categorías especiales de datos resulta especialmente relevante, y puede complementarse con nuestra aproximación al compliance en el sector salud.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.