En resumen
- Reglamentación: RGPD.
- Todos los bancos están afectados como responsables del tratamiento, a gran escala.
- Fundamentar cada tratamiento.
- Encuadrar el perfilado.
- Encuadrar las decisiones automatizadas.
- Multas de hasta 20 M€ o el 4 % del volumen de negocio mundial, a las que se suman los riesgos prudenciales y reputacionales propios del sector.
Plazos normativos
Las fechas clave de esta normativa.
Mayo de 2018
Entrada en aplicación
En vigor¿De qué trata el RGPD?
El RGPD impone una base legal, la minimización, plazos de conservación limitados, la seguridad y la responsabilidad proactiva. En la banca, varios tratamientos se basan en obligaciones legales (KYC, PBC/FT) y otros en la ejecución del contrato o el interés legítimo.
Las decisiones totalmente automatizadas que producen efectos significativos —como una denegación automática de crédito— están estrictamente reguladas: información específica y derecho a la intervención humana.
¿Está afectado el sector «Banca»?
Todos los bancos están afectados como responsables del tratamiento, a gran escala. La sensibilidad de las finalidades (crédito, fraude, PBC/FT) eleva el nivel de exigencia, especialmente en materia de perfilado y seguridad.
El secreto bancario se añade al RGPD sin sustituirlo: ambos regímenes coexisten.
Obligaciones detalladas
Fundamentar cada tratamiento
Identificar la base jurídica adecuada: obligación legal (KYC, AML/CFT), ejecución del contrato (crédito), interés legítimo (fraude), documentando las decisiones.
Supervisar el perfilado
Informar a las personas sobre la elaboración de perfiles y sus consecuencias, y garantizar los derechos asociados.
Encuadrar las decisiones automatizadas
Para las decisiones totalmente automatizadas con efecto significativo, garantizar información específica y el derecho a una intervención humana.
Controlar los plazos
Aplicar plazos de conservación adaptados a cada finalidad (crédito, PBC/FT, fraude).
Asegurar a alto nivel
Implementar cifrado, control de acceso, trazabilidad y supervisión, a la altura de la sensibilidad de los datos.
Gestionar las violaciones
Detectar, calificar y notificar las violaciones en 72 horas, con información a los interesados si el riesgo es elevado.
Sanciones y riesgos
Multas de hasta 20 M€ o el 4 % del volumen de negocio mundial, a las que se suman los riesgos prudenciales y reputacionales propios del sector. La elaboración de perfiles y las decisiones automatizadas son objeto de especial atención por parte de las autoridades.
Un incumplimiento en el scoring también puede revelar una no conformidad con el AI Act, acumulándose ambos textos.
Errores frecuentes en el sector
- 1Decisiones automatizadas sin regulación. Denegar un crédito de forma totalmente automatizada sin garantías.
- 2Bases legales difusas. No documentar la base jurídica de cada finalidad.
- 3Conservación excesiva. Conservar datos más allá de los plazos justificados.
- 4Acumulación AI Act ignorada. Tratar el scoring únicamente desde la perspectiva del RGPD.
Caso práctico
Un banco implanta una denegación automática de crédito basada en una puntuación. El RGPD obliga a informar al solicitante sobre la lógica del tratamiento y a ofrecerle el derecho a una intervención humana. El banco añade una etapa de revisión humana a petición del interesado y documenta la base jurídica y el plazo de conservación de los datos de scoring.
Hoja de ruta de cumplimiento
- 1
Cartografiar. Identificar los tratamientos de KYC, crédito, scoring, fraude y sus bases legales.
- 2
Encuadrar el perfilado y las decisiones. Documentar la información y las garantías sobre la elaboración de perfiles y las decisiones automatizadas.
- 3
Definir los plazos. Fijar plazos de conservación por finalidad.
- 4
Reforzar la seguridad. Alinear la seguridad y la trazabilidad con la sensibilidad de los datos.
- 5
Instrumentar la notificación. Implementar el procedimiento de notificación de violaciones.
Preguntas frecuentes
El RGPD lo regula estrictamente: la información específica y el derecho a intervención humana deben garantizarse en las decisiones con efecto significativo.
Pase a la acción en RGPD
Diagnóstico gratuito o una charla con un experto dedicado a banco.
Ya confían en nosotros
Descubra cómo organizaciones del sector banco aseguraron su cumplimiento con DCO.