TL;DR para el DPD
Si entre sus clientes hay bancos, intermediarios financieros, asesores fiscales, notarios, abogados, auditores o agentes inmobiliarios, todos son sujetos obligados en materia de blanqueo. Desde el 10 de julio de 2027 podrán intercambiar información entre sí y con las autoridades sobre casos sospechosos. Las reglas para hacerlo sin vulnerar el RGPD se están escribiendo ahora, y la consulta llegará pocos meses antes de que la facultad sea operativa.
Qué han anunciado
El 1 de julio de 2026, desde Bruselas y Fráncfort, el EDPB y AMLA - la Autoridad europea de lucha contra el blanqueo, con sede en Fráncfort - comunicaron que trabajarán juntos en directrices conjuntas dedicadas a las asociaciones para el intercambio de información. La pregunta que responden se enuncia sin rodeos: cómo compartir información para combatir la delincuencia financiera protegiendo al mismo tiempo los datos personales.
La base normativa es el art. 75 del reglamento antiblanqueo, que permite a las empresas y profesionales sujetos a la normativa intercambiar información entre sí y con las autoridades públicas, dentro de límites definidos. Esa facultad se aplicará a partir del 10 de julio de 2027. Un equipo de redacción mixto, con miembros del EDPB y de AMLA, dirigirá los trabajos.
El calendario, que es la parte útil
- Antes de finales de 2026: un evento conjunto EDPB-AMLA para recoger las primeras posiciones de los operadores sobre los aspectos que conviene aclarar.
- Primera mitad de 2027: consulta pública sobre el borrador de directrices.
- 10 de julio de 2027: la facultad de intercambio del art. 75 pasa a ser aplicable.
Las fechas dejan poco margen
Entre el final de la consulta y la entrada en aplicación pasarán pocos meses. Los sujetos obligados tendrán que construir sus procesos con el texto definitivo aún reciente, y quien espere a las directrices para empezar a pensarlo llegará tarde.
Por qué el problema existe de verdad
Porque el intercambio de información antiblanqueo es uno de los tratamientos más delicados que existen. Afecta a personas que no están investigadas ni condenadas: simplemente un análisis interno las ha considerado sospechosas. Los datos viajan entre sujetos privados, no solo hacia las autoridades. Y por definición el interesado no sabe nada, porque el deber de confidencialidad antiblanqueo impide informarle.
Sumados, esos tres elementos describen justo el escenario que el RGPD vigila con más atención: un tratamiento opaco, de alto impacto sobre el interesado, sobre datos que pueden equivaler a una acusación. Sin reglas precisas el riesgo no es teórico: es la formación de listas privadas de personas indeseadas, construidas sobre sospechas nunca verificadas e imposibles de rebatir por quien acaba en ellas.
Qué puede hacer ya un DPD
No hay nada que aplicar hoy, pero mucho que preparar. Tres cosas son útiles ahora y no dependen del texto final.
- Compruebe si sus clientes son sujetos obligados: el universo es más amplio de lo que se cree e incluye profesiones que no se consideran tales hasta que alguien se lo dice.
- En el registro de actividades, revise cómo se describe hoy el tratamiento antiblanqueo: en la mayoría de los casos se detiene en la comunicación a la unidad de inteligencia financiera y no contempla ningún intercambio horizontal.
- Ponga en agenda el evento de finales de 2026 y la consulta de 2027: es el material que necesitará para actualizar las evaluaciones de impacto antes del 10 de julio, no después.
La observación que conviene hacer al cliente
Que un intercambio esté permitido por el reglamento antiblanqueo no lo hace automáticamente lícito conforme al RGPD: quedan por definir base jurídica, minimización, plazos de conservación y seguridad. Las directrices conjuntas existen precisamente porque los dos planos no coinciden, y el primero en descubrirlo sobre el terreno será quien se haya movido sin esperarlas.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
