Dades clau
| Normativa | Decisió (UE) 2026/1942 del BCE — BCE/2026/18 |
|---|---|
| Publicació | 14 d'agost de 2026 |
| Entrada en vigor | 14 d'agost de 2026 |
| Afectats | Entitats de crèdit supervisades, BCE i autoritats nacionals competents (ANC) |
| Categoria | Protecció de Dades |
| Marc legal aplicable | RGPD i Reglament (UE) 2018/1725 |
| Exercici | 2026 |
Els bancs sota supervisió directa del BCE ja no poden tractar la protecció de dades com una qüestió interna exclusiva: la Decisió BCE/2026/18 fixa amb precisió quina entitat —BCE o ANC nacional— respon en cada fase del procés supervisor. Conèixer aquest mapa és ara una obligació operativa, no una opció.
La norma entra en vigor el mateix dia de la seva publicació, el 14 d'agost de 2026, sense període transitori. Aplica el marc del Reglament General de Protecció de Dades (RGPD) i del Reglament (UE) 2018/1725, que regula el tractament de dades per les institucions de la UE.
Què estableix aquesta normativa?
La Decisió BCE/2026/18 resol una llacuna que existia en el MUS: qui és el responsable del tractament de dades personals quan BCE i ANC actuen conjuntament? La resposta és clara: ambdós són corresponsables en la majoria dels procediments supervisors.
La norma delimita amb precisió quines tasques supervisores impliquen tractament conjunt de dades i, per tant, corresponsabilitat:
| Procediment supervisor | Model de responsabilitat |
|---|---|
| Procediments d'idoneïtat (fit & proper) | BCE i ANC com a corresponsables |
| Autoritzacions d'entitats de crèdit | BCE i ANC com a corresponsables |
| Supervisió contínua | BCE i ANC com a corresponsables |
| Inspeccions in situ | BCE i ANC com a corresponsables |
| Procediments sancionadors | BCE i ANC com a corresponsables |
| Denúncies per canals whistleblowing | Cada entitat actua com a responsable únic |
| Procediments específics concrets | Cada entitat actua com a responsable únic |
A més, la norma fixa les responsabilitats de cada part davant dels interessats (les persones els quals dades es tracten) i davant les autoritats de protecció de dades. L'objectiu declarat és garantir transparència, seguretat jurídica i compliment normatiu en l'àmbit supervisor bancari europeu.
Impacte econòmic i operatiu
Aquesta decisió no genera taxes ni costos directes per als bancs, però sí té un impacte operatiu real en tres àrees:
- Revisió de registres d'activitats de tractament: Els bancs supervisats han d'actualitzar els seus registres per reflectir qui és el responsable —o corresponsable— en cada tipus de procediment.
- Actualització d'avisos de privacitat: Els interessats (directius, empleats, accionistes els quals dades es tracten en procediments d'idoneïtat o sancions) han de ser informats correctament de la identitat del responsable.
- Protocols de whistleblowing: En els canals de denúncia, cada entitat —BCE o ANC— actua com a responsable únic, la qual cosa exigeix separar clarament els fluxos de dades i les obligacions d'informació.
L'incompliment de les obligacions de protecció de dades en el context supervisor pot derivar en reclamacions davant les autoritats de control i, en última instància, en sancions sota el RGPD. Per als bancs de major mida, amb procediments d'idoneïtat freqüents o inspeccions in situ recurrents, el volum de dades personals tractades conjuntament amb el BCE o l'ANC és significatiu.
A qui afecta?
- Entitats de crèdit sota supervisió directa del BCE (els anomenats «bancs significatius» del MUS): són les més afectades, ja que els seus procediments d'idoneïtat, autoritzacions i sancions impliquen directament el BCE com a corresponsable.
- Entitats de crèdit sota supervisió indirecta (bancs menys significatius supervisats per les ANC): també afectades en els procediments en què el BCE intervé.
- Autoritats Nacionals Competents (ANC) dels països de l'àrea euro: han d'adaptar els seus procediments interns per reflectir la corresponsabilitat i definir els mecanismes de coordinació amb el BCE.
- Delegats de Protecció de Dades (DPO) d'entitats bancàries: responsables d'actualitzar registres, avisos i procediments.
- Departaments de Compliment i Legal de bancs supervisats: han de revisar contractes, fluxos de dades i protocols de resposta a drets dels interessats.
Exemple pràctic
Un banc significatiu espanyol —supervisat directament pel BCE— inicia un procediment d'idoneïtat per nomenar un nou conseller delegat. Durant aquest procés, es tracten dades personals del candidat: historial professional, antecedents, situació financera.
Abans de la Decisió BCE/2026/18, no existia una norma expresa que determinés si el responsable del tractament era el BCE, el Banc d'Espanya o ambdós conjuntament. Amb la nova norma, queda clar: BCE i Banc d'Espanya són corresponsables d'aquest tractament. Això significa que:
- El candidat pot exercir els seus drets d'accés, rectificació o supressió davant qualsevol dels dos.
- El banc ha d'informar al candidat d'aquesta corresponsabilitat en l'avís de privacitat del procediment.
- Si es produeix una bretxa de seguretat durant el procediment, ambdues entitats comparteixen la responsabilitat de notificació.
En canvi, si aquest mateix banc rep una denúncia interna a través del seu canal de whistleblowing que es trasllada al BCE, cada entitat gestiona les dades d'aquesta denúncia com a responsable únic de la seva part del procés, sense corresponsabilitat.
Què han de fer les empreses ara?
- Identificar quins procediments supervisors actius impliquen tractament de dades amb el BCE o l'ANC: idoneïtat, autoritzacions, inspeccions, sancions o supervisió contínua. Aquests són els àmbits de corresponsabilitat.
- Actualitzar el Registre d'Activitats de Tractament (RAT) per reflectir la corresponsabilitat BCE-ANC en cada procediment afectat, indicant la base legal i les dades tractades.
- Revisar i actualitzar els avisos de privacitat dirigits a les persones les quals dades es tracten en procediments supervisors (directius, candidats a càrrecs, empleats en inspeccions).
- Separar els fluxos de dades del canal whistleblowing de la resta de procediments, donat que en aquest cas cada entitat actua com a responsable únic, no com a corresponsable.
- Coordinar amb el DPO la revisió dels protocols de resposta a drets dels interessats, assegurant que es pot donar resposta independentment de si l'exercici es dirigeix al BCE, a l'ANC o al propi banc.
- Verificar amb el departament legal si existeixen contractes o acords amb el BCE o l'ANC que hagin d'actualitzar-se per reflectir la nova estructura de corresponsabilitat.
Preguntes freqüents
Què significa que el BCE i l'ANC siguin «corresponsables» del tractament de dades?
Significa que ambdues entitats determinen conjuntament els fins i els mitjans del tractament de dades personals en els procediments supervisors compartits. En la pràctica, l'interessat pot exercir els seus drets (accés, rectificació, supressió) davant qualsevol de les dues entitats, i ambdues comparteixen la responsabilitat davant les autoritats de protecció de dades. La Decisió BCE/2026/18 estableix aquest règim per a procediments d'idoneïtat, autoritzacions, supervisió contínua, inspeccions in situ i sancions.
Quan entra en vigor la Decisió BCE/2026/18 i hi ha termini d'adaptació?
La norma va entrar en vigor el 14 d'agost de 2026, el mateix dia de la seva publicació. No existeix període transitori explícit, per la qual cosa les entitats afectades han d'adaptar els seus registres, avisos de privacitat i protocols immediatament.
Què ocorre amb les dades del canal de whistleblowing? Hi ha corresponsabilitat?
No. La Decisió BCE/2026/18 estableix expressament que en les denúncies per canals de whistleblowing, i en determinats procediments específics, cada entitat actua com a responsable únic del tractament, sense corresponsabilitat amb l'altra part. Això exigeix separar els fluxos de dades i les obligacions d'informació d'aquests canals respecte a la resta de procediments supervisors.
A quins bancs afecta aquesta norma: només als grans o també als petits?
Afecta a totes les entitats de crèdit supervisades en el marc del MUS, tant els bancs significatius (supervisats directament pel BCE) com els menys significatius (supervisats per les ANC amb intervenció indirecta del BCE). La intensitat de l'impacte és major en els bancs significatius, que tenen procediments d'idoneïtat, autoritzacions i inspeccions directament gestionats pel BCE.
Quin marc legal aplica aquesta decisió: el RGPD o el Reglament 2018/1725?
Ambdós. La Decisió BCE/2026/18 aplica el RGPD (per al tractament de dades per les ANC nacionals) i el Reglament (UE) 2018/1725 (per al tractament de dades per les institucions de la UE, inclòs el BCE). La norma busca garantir coherència i seguretat jurídica entre ambdós marcs en el context de la supervisió bancaria europea.
Font oficial
Consultar normativa completa en font oficial
Avís: Aquest article té caràcter merament informatiu i no constitueix assessorament legal. Per a decisions específiques, consulti a un professional qualificat. Font: https://eur-lex.europa.eu/./legal-content/AUTO/?uri=CELEX:32026D1942