La prevención del blanqueo de capitales y financiación del terrorismo gana la batalla legislativa al RGPD

Derivado de la importancia del incremento de la transparencia en la información de personas físicas y jurídicas como un potente factor disuasorio frente a la comisión de estos delitos de blanqueo de capitales y financiación del terrorismo, y el peso y repercusión que han ido adquiriendo los aspectos relativos a privacidad y protección de datos desde la entrada en vigor en mayo de 2018 del Nuevo Reglamento de Protección de Datos, el nuevo Anteproyecto de Ley de prevención de blanqueo de capitales y financiación del terrorismo intensifica su legislación en materia de privacidad.

En concreto, el Anteproyecto de Ley por el que se modifica la Ley 10/2010 de 28 de abril de prevención del blanqueo de capitales y de la financiación del terrorismo (en adelante “Ley 10/2010”) y mediante el que se trasponen Directivas de la Unión Europea, entre ellas la V Directiva en materia de prevención de blanqueo de capitales y financiación del terrorismo, trata en varios de sus artículos el tema de la privacidad. A continuación se detallan las principales novedades al respecto:

Tratamiento de datos

Artículo 15. Estipula que el tratamiento y cesión de los datos de las personas con responsabilidad pública quedará sujeto a lo dispuesto en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante “LOPDGDD”). A tal efecto, se mantiene el hecho de que no será preciso informar a los afectados acerca de la inclusión de sus datos en los ficheros de tratamiento de datos.
Artículo 32. De este artículo destacar dos aspectos:
- Recoge una modificación orientada a regular que el tratamiento de datos de carácter personal que resulte necesario para el cumplimiento de las obligaciones establecidas en el Capítulo II (medidas de diligencia debida), se encuentre amparado por lo dispuesto en el artículo 8.1 de la LOPDGDD, no precisando del consentimiento del interesado. Esto implica que el tratamiento de datos personales se considera fundado en el cumplimiento de una obligación legal exigible, como es la Ley 10/2010.
- Establece que los datos recopilados por los sujetos obligados para el cumplimiento de las obligaciones recogidas en el Capítulo II no podrán ser utilizados para fines distintos de los relacionados con la prevención del blanqueo de capitales y la financiación del terrorismo sin el consentimiento del interesado, salvo que el tratamiento de dichos datos sea necesario para la gestión ordinaria de la relación de negocios.
Artículo 32 ter. Las disposiciones en materia de protección de datos y obligaciones de información a las que se refiere el Capítulo III de la Ley 10/2010, según el Anteproyecto de Ley, pasarán a recogerse en un nuevo artículo 32 ter. De nuevo, no será necesario el consentimiento del cliente para el tratamiento de datos que resulte necesario para el cumplimiento de esta obligación de información. El cliente tampoco tendrá acceso a los derechos de acceso, rectificación, supresión, limitación, potabilidad y oposición (entre otros).

Establecimiento de la relación de negocios

Artículo 11. En relación al establecimiento de la relación de negocios, los sujetos obligados deberán facilitar a los nuevos clientes la información requerida en el artículo 11 de la LOPDGDD. Dicha información contendrá, en particular, un aviso general sobre las obligaciones legales de los sujetos obligados con respecto al tratamiento de datos personales a efectos de prevención del blanqueo de capitales y la financiación del terrorismo. Esto supone:
- Facilitar cliente la información básica sobre la identidad del responsable del tratamiento, la finalidad del tratamiento de los datos y la posibilidad de ejercer los derechos de acceso, rectificación, supresión, limitación, potabilidad y oposición, principalmente.
- Facilitar al cliente una dirección electrónica o cualquier otro medio para acceder de forma sencilla e inmediata al resto de información. Esto es de aplicación también en el caso de que los datos no hayan sido obtenidos del propio cliente, a quién también habrá que proporcionarle información sobre las categorías de los datos obtenidos y las fuentes de obtención de los mismos.

Sistemas comunes de información

Artículo 32 bis. Mediante este nuevo artículo, se faculta a los sujetos obligados pertenecientes a una misma categoría (por ejemplo, entidades de crédito, entidades aseguradoras, empresas de servicio de inversión, etc.) a crear sistemas comunes de información, almacenamiento y, en su caso, acceso a la información y documentación recopilada, únicamente, para el cumplimiento de las obligaciones del Capítulo II, relativas al conocimiento de los clientes, exceptuando poder descansar sobre este sistema las labores de seguimiento continuo de la relación de negocios. Cada uno de los sujetos obligados adscritos al sistema tendrán la condición de corresponsables del tratamiento a los efectos previstos en el artículo 26 del Reglamento (UE) 2016/679 (RGPD) y 29 de la LOPDGDD. El sistema de información incorporará medidas que garanticen la trazabilidad del acceso al mismo.
Como recoge el Anteproyecto de Ley, la comunicación de datos a estos sistemas, así como su acceso se encuentran amparados bajo el cumplimiento de una obligación legal como es el Capítulo II de la Ley 10/2010, si bien, los sujetos obligados sólo podrán acceder a la información facilitada por otro sujeto obligado en los supuestos en que la persona a la que se refieran los datos sea su cliente o el acceso a la información sea necesario para el cumplimiento de las obligaciones de identificación previas al establecimiento de la relación de negocio. En este supuesto, sólo se accederá a los datos necesarios a tal efecto.

En base a lo anterior y a la espera de aprobación definitiva del Anteproyecto de Ley, se puede concluir que con esta ley, por un lado, se estrecha el vínculo existente entre el blanqueo de capitales y la protección de datos y, por otro, que varios de los principios y elementos fundamentales en los que se basa la legislación de protección de datos quedan desactivados en en beneficio de la lucha contra el blanqueo de capitales y financiación del terrorismo, prevaleciendo lo dispuesto en la normativa que regula ésta última.

Gema Rodríguez Fernández