| Informe | 2017-0204 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el sistema «Registro de Agentes de Alto Riesgo (RAAR)»
El informe jurídico de la Agencia Española de Protección de Datos (AEPD), referenciado como 2017-0204, evalúa el cumplimiento de los requisitos legales para autorizar el sistema de intercambio de información «Registro de Agentes de Alto Riesgo (RAAR)», destinado a prevenir el blanqueo de capitales y la financiación del terrorismo. Este sistema, regulado por el artículo 33.2 de la Ley 10/2010 y el artículo 61.2 de su Reglamento, permite a los sujetos obligados compartir datos sobre operaciones sospechosas rechazadas, con el fin de evitar que estas se repitan ante otros sujetos obligados.
Contexto y requisitos legales
El sistema RAAR debe cumplir con los siguientes requisitos mínimos:
Finalidad exclusiva: Solo puede incluir información sobre operaciones previamente comunicadas al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales y rechazadas, con el objetivo de prevenir el blanqueo o la financiación del terrorismo.
Acceso restringido: Solo los sujetos obligados ante los que podría repetirse la operativa sospechosa pueden acceder a los datos.
Control interno: El acceso debe limitarse a los órganos de control interno de las entidades adheridas.
Exclusión de otros usos: Los datos no pueden incorporarse a otros sistemas de detección de fraude ajenos a la prevención del blanqueo o el terrorismo.
Análisis de las normas de funcionamiento
La AEPD revisó las normas de funcionamiento del RAAR, presentadas por la asociación promotora, y detectó deficiencias graves en versiones anteriores que impedían emitir un informe favorable. Aunque se introdujeron mejoras en la versión revisada (octubre de 2017), persistían cuestiones críticas:
Carácter obligatorio de la adhesión: Las normas establecían que todos los miembros de la asociación debían adherirse al sistema, lo que generaba contradicciones en su redacción.
Funciones de control de la asociación: La asociación asumía un papel de supervisión activa, exigiendo a las entidades adheridas que presentaran declaraciones responsables mensuales sobre la evaluación de agentes incluidos en el registro. Además, se facultaba al «Servicio de Control del RAAR» para requerir información, imponer sanciones (como la expulsión de la asociación) e incluso denunciar incumplimientos ante el Banco de España.
Desnaturalización del sistema: El RAAR dejaba de ser un mecanismo de intercambio de información para convertirse en una herramienta de control coercitivo por parte de la asociación, lo que excedía su finalidad legal. Esto implicaba:
La asociación actuaba como un sujeto obligado (no reconocido por la Ley 10/2010) en lugar de como un encargado del tratamiento.
Se exigía a las entidades que demostraran que sus operaciones con agentes registrados no coincidían con las operaciones de riesgo anotadas en el RAAR, lo que implicaba una evaluación constante no prevista en la normativa.
Se permitía a las entidades denunciar conductas sospechosas al Servicio de Control, que podía adoptar medidas sin intervención de la Comisión de Prevención del Blanqueo de Capitales.
Impacto del Reglamento General de Protección de Datos (RGPD)
La entrada en vigor del RGPD (2018) introdujo cambios relevantes:
Se eliminó la obligación de notificar los tratamientos a un registro general, pero se mantuvo la obligación de llevar un registro de actividades del tratamiento (artículo 30 RGPD).
Se reguló la corresponsabilidad en el tratamiento de datos (artículo 26 RGPD), lo que afectaba al papel de la asociación en el sistema.
El concepto de «fichero» perdió relevancia, ya que el RGPD se aplica a cualquier tratamiento automatizado o no automatizado de datos personales.
Conclusión y recomendaciones
La AEPD concluyó que el sistema RAAR, tal como estaba diseñado en las normas de funcionamiento, no cumplía con los requisitos del artículo 33.2 de la Ley 10/2010, ya que:
Alteraba la finalidad legal: El sistema iba más allá del intercambio de información para convertirse en un mecanismo de supervisión y control coercitivo por parte de la asociación, lo que no estaba amparado por la normativa.
Excedía las funciones de la asociación: Esta asumía un papel de sujeto obligado o de órgano centralizado de prevención, sin tener facultades legales para ello.
Vulneraba los principios de protección de datos: Se incumplían los principios de finalidad limitada y minimización de datos, ya que se recogía y procesaba información adicional no prevista en la ley.
Para que el sistema pudiera ser autorizado, la AEPD recomendó:
Suprimir las disposiciones que otorgaban funciones de control coercitivo a la asociación (artículos 6.3.2º, 6.4.2º y 3º, 6 bis, 6 ter y 6 quáter).
Clarificar el papel de la asociación, limitándolo a un encargado del tratamiento y no a un responsable con facultades sancionadoras.
Ajustar las normas para garantizar que el sistema se ciñera estrictamente a su finalidad de intercambio de información entre sujetos obligados.
En resumen, el informe de la AEPD subraya la importancia de que los sistemas de intercambio de información en materia de prevención del blanqueo de capitales respeten los límites legales y los principios de protección de datos, evitando que se conviertan en herramientas de control externo ajenas a su propósito original.