Salvaguardas de datos de clientes que puede mostrar a un regulador, un banco y un auditor

El artículo no fija una lista de productos ni de configuraciones. El nivel de seguridad sigue el estado de la técnica, los costes de aplicación, la naturaleza del tratamiento y el riesgo para las personas, sobre todo de destrucción, pérdida, alteración o comunicación no autorizada, accidental o ilícita (art. 32(2)).

Qué significa en una fintech

• Cifrado del archivo KYC, de las bases de datos de clientes y de las copias, con claves gestionadas aparte de los datos.
• Accesos: mínimo privilegio, MFA, registro de accesos a los expedientes de clientes y retirada de permisos al salir.
• Restauración: copias separadas de la red y de las cuentas principales, y una prueba de restauración con resultado registrado.
• Verificación: pruebas y revisiones periódicas de las medidas, con fechas y conclusiones.

La adhesión a un código de conducta o a una certificación aprobados conforme a los artículos 40 y 42 puede servir como elemento para demostrar el cumplimiento (art. 32(3)), y las medidas en sí se siguen examinando.

Para un grupo en varias jurisdicciones construimos un único mapa de medidas con el requisito que cumple cada una.

Conservación de datos KYC según el RGPD y la PDPA

El RGPD permite conservar datos identificables solo el tiempo que exige la finalidad (art. 5(1)(e)). El plazo de conservación de los registros KYC lo fija la ley de prevención del blanqueo del país que le concedió la licencia. La PDPA obliga expresamente a dejar de conservar los datos personales, o a anonimizarlos, cuando la finalidad ya no se cumple y su conservación deja de ser necesaria por motivos legales o de negocio (s. 25).

Cubrimos la parte técnica: dónde está el archivo, quién puede abrirlo, cómo se eliminan los registros al vencer el plazo y cómo lo muestra el registro. Su equipo de cumplimiento fija el plazo por categoría de documento; el enlace con PBC/FT lo lleva nuestra práctica de cumplimiento.

Una fintech tiene muchos encargados: KYC, nube, CRM, pagos, soporte. Comprobamos que cada contrato lleve la obligación de seguridad y que el proveedor pueda acreditarla.

Una sola descripción de medidas técnicas y organizativas, ligada a configuraciones reales, sirve de anexo a los contratos de encargo, de apartado del registro de actividades y de base para los cuestionarios bancarios. La actualizamos tras cada corrección.

La EIPD la realiza el responsable, con el asesoramiento del DPD. Nosotros preparamos su parte técnica; el DPD y su abogado valoran la parte jurídica, incluida la base de legitimación.

Antes de lanzar un producto nuevo, por ejemplo un alta en línea con reconocimiento facial, revisamos la arquitectura: qué datos se recogen, dónde se guardan, quién los ve y cómo se eliminan. Si llega a producirse una brecha, consulte nuestra página de respuesta a incidentes.