Datos clave
| Normativa | Decisión (UE) 2026/1942 del BCE — BCE/2026/18 |
|---|---|
| Publicación | 14 de agosto de 2026 |
| Entrada en vigor | 14 de agosto de 2026 |
| Afectados | Entidades de crédito supervisadas, BCE y autoridades nacionales competentes (ANC) |
| Categoría | Protección de Datos |
| Marco legal aplicable | RGPD y Reglamento (UE) 2018/1725 |
| Ejercicio | 2026 |
Los bancos bajo supervisión directa del BCE ya no pueden tratar la protección de datos como una cuestión interna exclusiva: la Decisión BCE/2026/18 fija con precisión qué entidad —BCE o ANC nacional— responde en cada fase del proceso supervisor. Conocer ese mapa es ahora una obligación operativa, no una opción.
La norma entra en vigor el mismo día de su publicación, el 14 de agosto de 2026, sin periodo transitorio. Aplica el marco del Reglamento General de Protección de Datos (RGPD) y del Reglamento (UE) 2018/1725, que regula el tratamiento de datos por las instituciones de la UE.
¿Qué establece esta normativa?
La Decisión BCE/2026/18 resuelve una laguna que existía en el MUS: ¿quién es el responsable del tratamiento de datos personales cuando BCE y ANC actúan conjuntamente? La respuesta es clara: ambos son corresponsables en la mayoría de los procedimientos supervisores.
La norma delimita con precisión qué tareas supervisoras implican tratamiento conjunto de datos y, por tanto, corresponsabilidad:
| Procedimiento supervisor | Modelo de responsabilidad |
|---|---|
| Procedimientos de idoneidad (fit & proper) | BCE y ANC como corresponsables |
| Autorizaciones de entidades de crédito | BCE y ANC como corresponsables |
| Supervisión continua | BCE y ANC como corresponsables |
| Inspecciones in situ | BCE y ANC como corresponsables |
| Procedimientos sancionadores | BCE y ANC como corresponsables |
| Denuncias por canales whistleblowing | Cada entidad actúa como responsable único |
| Procedimientos específicos concretos | Cada entidad actúa como responsable único |
Además, la norma fija las responsabilidades de cada parte frente a los interesados (las personas cuyos datos se tratan) y frente a las autoridades de protección de datos. El objetivo declarado es garantizar transparencia, seguridad jurídica y cumplimiento normativo en el ámbito supervisor bancario europeo.
Impacto económico y operativo
Esta decisión no genera tasas ni costes directos para los bancos, pero sí tiene un impacto operativo real en tres áreas:
- Revisión de registros de actividades de tratamiento: Los bancos supervisados deben actualizar sus registros para reflejar quién es el responsable —o corresponsable— en cada tipo de procedimiento.
- Actualización de avisos de privacidad: Los interesados (directivos, empleados, accionistas cuyos datos se tratan en procedimientos de idoneidad o sanciones) deben ser informados correctamente de la identidad del responsable.
- Protocolos de whistleblowing: En los canales de denuncia, cada entidad —BCE o ANC— actúa como responsable único, lo que exige separar claramente los flujos de datos y las obligaciones de información.
El incumplimiento de las obligaciones de protección de datos en el contexto supervisor puede derivar en reclamaciones ante las autoridades de control y, en última instancia, en sanciones bajo el RGPD. Para los bancos de mayor tamaño, con procedimientos de idoneidad frecuentes o inspecciones in situ recurrentes, el volumen de datos personales tratados conjuntamente con el BCE o la ANC es significativo.
¿A quién afecta?
- Entidades de crédito bajo supervisión directa del BCE (los denominados «bancos significativos» del MUS): son las más afectadas, ya que sus procedimientos de idoneidad, autorizaciones y sanciones implican directamente al BCE como corresponsable.
- Entidades de crédito bajo supervisión indirecta (bancos menos significativos supervisados por las ANC): también afectadas en los procedimientos en que el BCE interviene.
- Autoridades Nacionales Competentes (ANC) de los países del área euro: deben adaptar sus procedimientos internos para reflejar la corresponsabilidad y definir los mecanismos de coordinación con el BCE.
- Delegados de Protección de Datos (DPO) de entidades bancarias: responsables de actualizar registros, avisos y procedimientos.
- Departamentos de Cumplimiento y Legal de bancos supervisados: deben revisar contratos, flujos de datos y protocolos de respuesta a derechos de los interesados.
Ejemplo práctico
Un banco significativo español —supervisado directamente por el BCE— inicia un procedimiento de idoneidad para nombrar a un nuevo consejero delegado. Durante ese proceso, se tratan datos personales del candidato: historial profesional, antecedentes, situación financiera.
Antes de la Decisión BCE/2026/18, no existía una norma expresa que determinara si el responsable del tratamiento era el BCE, el Banco de España o ambos conjuntamente. Con la nueva norma, queda claro: BCE y Banco de España son corresponsables de ese tratamiento. Esto significa que:
- El candidato puede ejercer sus derechos de acceso, rectificación o supresión ante cualquiera de los dos.
- El banco debe informar al candidato de esta corresponsabilidad en el aviso de privacidad del procedimiento.
- Si se produce una brecha de seguridad durante el procedimiento, ambas entidades comparten la responsabilidad de notificación.
En cambio, si ese mismo banco recibe una denuncia interna a través de su canal de whistleblowing que se traslada al BCE, cada entidad gestiona los datos de esa denuncia como responsable único de su parte del proceso, sin corresponsabilidad.
¿Qué deben hacer las empresas ahora?
- Identificar qué procedimientos supervisores activos implican tratamiento de datos con el BCE o la ANC: idoneidad, autorizaciones, inspecciones, sanciones o supervisión continua. Estos son los ámbitos de corresponsabilidad.
- Actualizar el Registro de Actividades de Tratamiento (RAT) para reflejar la corresponsabilidad BCE-ANC en cada procedimiento afectado, indicando la base legal y los datos tratados.
- Revisar y actualizar los avisos de privacidad dirigidos a las personas cuyos datos se tratan en procedimientos supervisores (directivos, candidatos a cargos, empleados en inspecciones).
- Separar los flujos de datos del canal whistleblowing del resto de procedimientos, dado que en este caso cada entidad actúa como responsable único, no como corresponsable.
- Coordinar con el DPO la revisión de los protocolos de respuesta a derechos de los interesados, asegurando que se puede dar respuesta independientemente de si el ejercicio se dirige al BCE, a la ANC o al propio banco.
- Verificar con el departamento legal si existen contratos o acuerdos con el BCE o la ANC que deban actualizarse para reflejar la nueva estructura de corresponsabilidad.
Preguntas frecuentes
¿Qué significa que el BCE y la ANC sean «corresponsables» del tratamiento de datos?
Significa que ambas entidades determinan conjuntamente los fines y los medios del tratamiento de datos personales en los procedimientos supervisores compartidos. En la práctica, el interesado puede ejercer sus derechos (acceso, rectificación, supresión) ante cualquiera de las dos entidades, y ambas comparten la responsabilidad ante las autoridades de protección de datos. La Decisión BCE/2026/18 establece este régimen para procedimientos de idoneidad, autorizaciones, supervisión continua, inspecciones in situ y sanciones.
¿Cuándo entra en vigor la Decisión BCE/2026/18 y hay plazo de adaptación?
La norma entró en vigor el 14 de agosto de 2026, el mismo día de su publicación. No existe periodo transitorio explícito, por lo que las entidades afectadas deben adaptar sus registros, avisos de privacidad y protocolos de inmediato.
¿Qué ocurre con los datos del canal de whistleblowing? ¿También hay corresponsabilidad?
No. La Decisión BCE/2026/18 establece expresamente que en las denuncias por canales de whistleblowing, y en determinados procedimientos específicos, cada entidad actúa como responsable único del tratamiento, sin corresponsabilidad con la otra parte. Esto exige separar los flujos de datos y las obligaciones de información de estos canales respecto al resto de procedimientos supervisores.
¿A qué bancos afecta esta norma: solo a los grandes o también a los pequeños?
Afecta a todas las entidades de crédito supervisadas en el marco del MUS, tanto los bancos significativos (supervisados directamente por el BCE) como los menos significativos (supervisados por las ANC con intervención indirecta del BCE). La intensidad del impacto es mayor en los bancos significativos, que tienen procedimientos de idoneidad, autorizaciones e inspecciones directamente gestionados por el BCE.
¿Qué marco legal aplica esta decisión: el RGPD o el Reglamento 2018/1725?
Ambos. La Decisión BCE/2026/18 aplica el RGPD (para el tratamiento de datos por las ANC nacionales) y el Reglamento (UE) 2018/1725 (para el tratamiento de datos por las instituciones de la UE, incluido el BCE). La norma busca garantizar coherencia y seguridad jurídica entre ambos marcos en el contexto de la supervisión bancaria europea.
Fuente oficial
Consultar normativa completa en fuente oficial
Aviso: Este artículo tiene carácter meramente informativo y no constituye asesoramiento legal. Para decisiones específicas, consulte a un profesional cualificado. Fuente: https://eur-lex.europa.eu/./legal-content/AUTO/?uri=CELEX:32026D1942