RGPD en el cribado de sanciones y PEP: datos, base jurídica y decisiones

El cribado de sanciones y PEP puede utilizar datos de clientes, información sobre titulares reales, registros públicos y conclusiones de analistas sobre personas identificables. Cuando se aplica el RGPD de la UE, la empresa necesita una finalidad definida y una base jurídica adecuada para ese tratamiento. También debe atender a la exactitud, la transparencia, los derechos, la seguridad y la conservación. Un objetivo de cumplimiento o una política interna de cribado no resuelven por sí solos estas cuestiones.¹

Esta guía aborda el marco del RGPD de la UE, con fuentes consultadas el 21 de octubre de 2026. Para cada empresa también deben identificarse las normas nacionales de prevención del blanqueo, las medidas de sanciones aplicables y los requisitos sectoriales. La guía práctica de cribado de sanciones explica el proceso de control en su conjunto; esta página se centra en el tratamiento de los datos personales durante ese proceso.

Distinga la obligación, la política de la empresa y la base jurídica

Empiece por la actividad: dar de alta a un cliente, revisar a un titular real o comprobar a un proveedor. Identifique de quién necesita datos personales y para qué. Las restricciones por sanciones y las obligaciones de prevención del blanqueo sobre identificación de PEP pertenecen a marcos jurídicos distintos; su alcance debe analizarse por separado.

Una obligación legal no tiene por qué exigir un producto de software o un método de cotejo concretos. Explique por qué el tratamiento elegido es necesario para cumplir la obligación real. Una exigencia de una ley extranjera o una petición comercial no deben tratarse sin más como una obligación del Derecho de la UE o de un Estado miembro a efectos del artículo 6.3.¹

Para el artículo 6.1.f, documente el interés, las alternativas menos intrusivas, las expectativas razonables, las posibles consecuencias y las garantías. Las comprobaciones de riesgos empresariales pueden someterse a este análisis, pero su resultado favorable no está garantizado. Las autoridades públicas no pueden recurrir a esta base cuando tratan datos en el ejercicio de sus funciones.²

El consentimiento es una de las posibles bases, no un requisito universal para el cribado. Debe cumplir las condiciones aplicables: ser libre, específico, informado e inequívoco. Si la empresa no puede permitir realmente que se retire porque el tratamiento es obligatorio por ley, es poco probable que el consentimiento resulte adecuado para esa finalidad. El consentimiento del artículo 6 no está sujeto en todos los casos al requisito de consentimiento explícito que establecen otras disposiciones del RGPD.²

Seleccione datos que ayuden a aclarar la identidad

Decida qué información es necesaria para cada grupo de personas. Los nombres y, cuando estén disponibles, las fechas de nacimiento, los cargos, los países o las relaciones de titularidad pueden ayudar a distinguir las coincidencias potenciales. Esto no convierte todos esos datos en necesarios en todos los casos ni justifica pedir sistemáticamente números de documentos de identidad a todo el mundo.

Mantenga diferenciados los datos aportados por el cliente, la información de las fuentes y las conclusiones del analista. Registre la procedencia de la información y cuándo se comprobó. La falta de identificadores debe quedar reflejada como una incertidumbre, sin sustituirla por la suposición de que un nombre similar corresponde a la misma persona.

La limitación de la finalidad, la minimización y la exactitud se aplican tanto a la información utilizada como a la generada. Vincular erróneamente a alguien con una persona sancionada es, en sí mismo, un problema de calidad de los datos. Un registro de una sociedad también puede contener datos personales de administradores o propietarios; el nombre de la empresa no describe por sí solo todo el tratamiento.¹

Evalúe la información sensible y la relativa a infracciones penales

No determine la categoría de los datos solo por la etiqueta «PEP». El hecho de ocupar un cargo público no implica automáticamente una opinión política, pero un cargo en un partido, la información contextual o una inferencia pueden revelar opiniones políticas u otra categoría del artículo 9. Evalúe qué revela realmente la información. Cuando se aplica el artículo 9, no basta con una base del artículo 6: también debe cumplirse una condición pertinente del artículo 9.2.¹³

Del mismo modo, un registro de sanciones no es automáticamente un registro de condenas penales, pero su contenido puede referirse a infracciones, condenas o medidas de seguridad conexas. El artículo 10 no se limita a las bases de datos oficiales de antecedentes penales. Cuando resulta aplicable, el tratamiento debe realizarse bajo el control de una autoridad pública o estar autorizado por el Derecho de la UE o de un Estado miembro que establezca garantías adecuadas, además de contar con la base del artículo 6. No dé por hecho que el interés legítimo basta para resolver este requisito.¹³

Que los datos sean públicos no supone una exención general. Una designación pública, un perfil político o un resultado de búsqueda siguen necesitando una finalidad lícita, el cumplimiento de las condiciones pertinentes y las demás protecciones aplicables del RGPD.

Planifique cómo se informará a las personas

El artículo 13 se refiere a los datos obtenidos de la persona, a la que generalmente debe informarse en el momento de recogerlos; el artículo 14 se refiere a los obtenidos por otras vías. Que el contacto de una empresa cliente reciba la información no resuelve por sí solo cómo debe informarse a cada titular real o administrador de un proveedor.

En el caso del artículo 14, la información debe facilitarse generalmente en un plazo razonable y, como máximo, un mes después de obtener los datos. Pueden aplicarse plazos anteriores: a más tardar en la primera comunicación con la persona o cuando los datos se comuniquen por primera vez a otro destinatario, según corresponda. La información debe incluir los elementos aplicables sobre finalidades, base jurídica, categorías, fuentes, destinatarios, conservación y derechos.¹⁴

No es necesariamente preciso enviar un mensaje por cada comprobación repetida si el tratamiento ya se ha explicado debidamente. Sin embargo, una declaración vaga en la web de que «pueden realizarse comprobaciones de antecedentes» no es automáticamente suficiente. Revise qué información se facilita realmente, a quién y cuándo.

Las excepciones del artículo 14 tienen condiciones. Evalúe y documente el supuesto concreto y las garantías exigidas. Las restricciones legales pertinentes también pueden afectar a la divulgación de información. Invocar «prevención del blanqueo», las posibles molestias o un gran número de personas comprobadas no basta para omitir de forma general la información de protección de datos. Informar con carácter general sobre el cribado y revelar una investigación concreta son cuestiones distintas.⁴

Asigne responsabilidades entre la empresa y el proveedor

Identifique las operaciones de tratamiento antes de atribuir las funciones de responsable y encargado. Un proveedor puede seguir las instrucciones del cliente para una operación y determinar finalidades propias para otra. Las etiquetas del contrato no deciden la función real. Las directrices del Comité Europeo de Protección de Datos (CEPD) explican estas distinciones funcionales.⁵

Cuando se recurre a un encargado, deben abordarse los requisitos del artículo 28, las instrucciones, los subencargados y la asistencia para atender derechos y suprimir datos. Si las partes actúan como responsables independientes o corresponsables, analice las responsabilidades y los acuerdos de comunicación de datos pertinentes. Compartir datos dentro de un grupo empresarial tampoco está permitido sin límites.¹⁵

Al contratar, determine dónde se alojan los datos y desde dónde se accede a ellos, quién los recibe, las medidas de seguridad y las posibles transferencias internacionales. Un contrato del artículo 28 no resuelve por sí solo los requisitos de transferencia del capítulo V. Verifique el mecanismo y las garantías correspondientes a la configuración real; no los deduzca de la ubicación del proveedor ni de una etiqueta de «cumplimiento del RGPD».¹

Revise la automatización y el riesgo para la privacidad antes de implantar el proceso

El artículo 22 se refiere a decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o afecten de modo similar y significativo a la persona. Generar coincidencias potenciales no es lo mismo que decidir denegar una cuenta o poner fin a una relación. Evalúe el proceso real y sus consecuencias: que un analista pulse «aprobar» sin una valoración real no convierte necesariamente la decisión en humana.¹⁶

El artículo 22 contiene excepciones y garantías, por lo que afirmar que «todas las decisiones automatizadas están prohibidas» resulta demasiado amplio. Determine si se aplica la disposición y si se cumplen una excepción pertinente y las protecciones exigidas. Las excepciones se refieren a la necesidad para un contrato, la autorización por el Derecho aplicable de la UE o de un Estado miembro, o el consentimiento explícito, cada una con sus condiciones. El artículo 22.3 establece garantías específicas para las excepciones de contrato y consentimiento, y el artículo 22.4 impone límites adicionales a las categorías especiales de datos. Una función de puntuación del proveedor no resuelve estas cuestiones para el proceso del comprador.¹

Evalúe si el tratamiento puede entrañar un alto riesgo conforme al artículo 35, teniendo en cuenta su naturaleza, alcance, contexto y fines, así como las listas y orientaciones de las autoridades de control aplicables. Pueden ser relevantes la escala, la elaboración de perfiles, la información sensible y los efectos sobre las personas. El uso de software o IA no determina por sí solo si es necesaria una evaluación de impacto relativa a la protección de datos (EIPD). Si es obligatoria, complétela antes de iniciar el tratamiento. Si el alto riesgo residual no puede mitigarse suficientemente, evalúe la obligación de consulta previa del artículo 36 antes de continuar.¹

Atienda las impugnaciones sin mantener una acusación falsa

Prepare un procedimiento para las solicitudes de acceso, rectificación, limitación, oposición y supresión. Los derechos aplicables y sus excepciones dependen del tratamiento y de la base jurídica. Ante una oposición del artículo 21 al tratamiento basado en el interés legítimo por motivos relacionados con la situación particular de la persona, deje de tratar los datos salvo que la empresa acredite motivos legítimos imperiosos que prevalezcan sobre sus intereses, derechos y libertades, o que el tratamiento sea necesario para reclamaciones jurídicas. Oponerse no es lo mismo que solicitar la supresión. Aplique los requisitos de respuesta del artículo 12 y las restricciones legales pertinentes.⁷

Cuando alguien cuestione una coincidencia, compruebe la identidad y la exactitud de la vinculación. Rectifique una relación incorrecta entre el cliente y el perfil candidato, y revise las decisiones o comunicaciones posteriores. Cuando corresponda, el artículo 19 exige comunicar la rectificación, supresión o limitación a los destinatarios, con las condiciones que establece.¹

Resolver un falso positivo no significa que nunca haya habido datos personales. Tampoco obliga automáticamente a borrar todo registro de la revisión. Determine qué rectificaciones y qué documentación mínima de la decisión son necesarias y lícitas, qué tratamiento debe limitarse mientras se comprueba la exactitud y qué datos deben eliminarse. No prometa borrar una inscripción en la lista de una autoridad externa cuando el error está en la propia decisión de coincidencia de la empresa.

Defina una regla de conservación para cada categoría de registros

Evite un único plazo para todo lo que se denomina «datos de cribado». Separe la finalidad, la norma aplicable, la fecha de inicio, la fecha de revisión y el procedimiento de supresión de cada categoría.

El artículo 5 exige limitar el plazo de conservación. Una obligación legal de conservar o una necesidad debidamente justificada relativa a reclamaciones jurídicas pueden afectar a la supresión, pero «auditoría» no justifica conservar sin límite. Compruebe cada excepción y su alcance. La guía de PEP en Alemania ofrece un ejemplo nacional de conservación documental; sus plazos no deben trasladarse a todos los procesos de la UE ni a todos los registros de los proveedores.¹

Tres situaciones ficticias de cribado

Una entidad regulada comprueba a un titular real

El equipo identifica la obligación de prevención del blanqueo aplicable, la persona pertinente y los datos necesarios; después evalúa el tratamiento conforme al artículo 6. Revisa por separado cualquier información de los artículos 9 o 10. El expediente reúne la investigación de la coincidencia potencial, el resultado, la forma de informar y la norma de conservación aplicable. No se da por hecho que la información facilitada a la empresa cliente cubra automáticamente al titular real.

Una empresa amplía las comprobaciones de proveedores por su política interna

La empresa quiere comprobar a personas vinculadas a sus proveedores. Separa las obligaciones de sanciones aplicables de las comprobaciones internas adicionales, define la finalidad y evalúa si el interés legítimo u otra base pueden amparar el tratamiento añadido. Considera un grupo de personas más reducido y datos menos intrusivos. Si el análisis no lo permite, debe cambiar la política, en lugar de utilizarla como autorización por sí sola.

Una persona cuestiona una coincidencia por similitud de nombre

El analista comprueba la identidad cuestionada, rectifica la vinculación errónea y sigue el procedimiento de derechos. La empresa evalúa los destinatarios, los efectos posteriores y si debe limitarse el tratamiento mientras se verifica la exactitud. Toda documentación de revisión que se conserve debe tener una justificación definida. No se deniega información a la persona por el mero hecho de que nunca haya sido cliente.

Evalúe el software según las decisiones que su equipo debe explicar

Checklynx agrupa los resultados de las fuentes en perfiles y presenta información enriquecida y estructurada para su revisión. Ese contexto puede ayudar a los equipos a comparar coincidencias potenciales; no establece la base jurídica del comprador, no concede una exención de transparencia ni decide cuánto tiempo debe conservarse cada registro.

Al evaluar software de cribado de sanciones o software de cribado PEP, pregunte cómo ayuda la configuración propuesta a seleccionar los datos necesarios, conocer su procedencia, documentar las decisiones y atender el acceso y la rectificación. Verifique la conservación, la supresión, la seguridad, los subencargados y las transferencias en la documentación y los contratos vigentes. La guía para elegir software aborda el proceso de contratación en su conjunto. La política de privacidad de Checklynx describe sus prácticas; esta guía no modifica esas condiciones.

Preguntas frecuentes

¿Una lista pública de sanciones elimina las obligaciones del RGPD?

No. La disponibilidad pública no establece la base jurídica, no elimina los deberes de transparencia ni determina las condiciones aplicables a la información sensible o relativa a infracciones penales. Evalúe el tratamiento real y la información utilizada.

¿Puede la política de la empresa exigir comprobaciones más amplias que la ley?

Una empresa puede proponer controles de riesgo adicionales, pero el tratamiento de datos personales sigue necesitando una base válida propia y debe cumplir los demás requisitos aplicables. La política no puede crear esa base con la mera declaración de que el cribado es obligatorio.

¿Debe borrarse todo resultado de cribado cuando no hay coincidencia?

No automáticamente. Rectifique las vinculaciones inexactas, elimine los datos innecesarios y determine si existe una finalidad lícita vigente o una obligación de conservación para un registro limitado y exacto de la decisión. La ausencia de coincidencia tampoco justifica conservar indefinidamente.

¿Comprar software de cribado hace que el proceso cumpla el RGPD?

No. El software, los contratos y los controles técnicos forman parte de la configuración. La empresa sigue teniendo que establecer la finalidad, el alcance, la base jurídica, los requisitos aplicables a los datos y las responsabilidades operativas para su uso.