En una frase. Las fintech españolas y europeas operando en España acumulan sanciones AEPD crecientes por scoring automatizado opaco, verificación de identidad invasiva y deficiencias en información, con multas típicas entre 30.000 EUR y 1,2 M EUR.
Puntos clave
- 89 procedimientos AEPD a fintech entre 2023 y 2025 (+62% interanual), una de las tendencias destacadas del tracker de sanciones AEPD 2025.
- Wizink: 65.000 EUR (2024). Klarna España: en procedimiento.
- BBVA fintech, Bnext, Bizum: expedientes archivados o multas menores.
- Art. 22 RGPD (decisiones automatizadas) — incumplimiento más sancionado.
- KYC y verificación biométrica: nuevo foco AEPD desde 2025.
1. Marco regulatorio combinado
Las fintech operan bajo varias normativas concurrentes:
- RGPD + LOPDGDD: protección de datos.
- Reglamento PSD2 y RTS asociados: pagos electrónicos.
- Ley 10/2010 prevención blanqueo: KYC.
- Reglamento DORA: resiliencia operativa desde enero 2025.
- Reglamento MICA: criptoactivos desde diciembre 2024.
La AEPD coordina con Banco de España y Sepblac en muchos expedientes.
2. Decisiones automatizadas (art. 22 RGPD)
Concesión de crédito instantáneo, aprobación BNPL (Buy Now Pay Later) y bloqueo de cuentas por scoring de fraude son decisiones automatizadas del art. 22 RGPD. Requisitos:
- Información específica sobre la lógica aplicada.
- Derecho a obtener intervención humana.
- Derecho a expresar punto de vista e impugnar.
- Salvaguardas adicionales para categorías especiales.
Sanciones por incumplimiento: 50.000-300.000 EUR. La banca tradicional acumula multas muy superiores por el mismo motivo, como detallamos en sanciones AEPD a banca y sector financiero.
3. Casos sancionados relevantes
| Entidad | Importe (EUR) | Año | Motivo |
|---|---|---|---|
| Wizink | 65.000 | 2024 | Acceso indebido empleado |
| Plataforma BNPL X | 180.000 | 2024 | Art. 22 incumplido |
| Neobanco europeo | 220.000 | 2025 | Información insuficiente |
| Pasarela pagos | 90.000 | 2023 | Cookies marketing sin base |
| Crowdlending | 45.000 | 2024 | Conservación excesiva |
4. KYC y verificación biométrica
La verificación de identidad por selfie + DNI es tratamiento biométrico (categoría especial art. 9 RGPD). Requiere:
- Base jurídica adicional (consentimiento explícito o art. 9.2.g interés público).
- EIPD obligatoria conforme al listado AEPD.
- Conservación limitada al plazo de la Ley 10/2010 de prevención del blanqueo (10 años desde fin relación) salvo eliminación tras KYC válido.
- Información clara sobre proveedor del servicio (suelen ser Onfido, Veriff, IDnow, todos fuera de España).
5. Open banking y consentimiento
PSD2 introduce el “consentimiento explícito” para acceso a cuentas vía API por TPP. Este consentimiento debe distinguirse del consentimiento RGPD. Buenas prácticas:
- Pantalla de consentimiento separada y específica.
- Información sobre datos accedidos, finalidad y plazo.
- Revocación inmediata desde la app del banco.
- Registro de consentimientos con timestamp.
6. BNPL y scoring de crédito
Klarna, Aplazame, Sequra y otras plataformas BNPL realizan scoring instantáneo para aprobar pagos a plazos. La AEPD investiga desde 2024 si:
- La información facilitada cumple art. 13 y 22 RGPD.
- El scoring usa variables proxy discriminatorias.
- La conservación de datos tras impago es proporcional.
- Las consultas a bureaus de crédito están justificadas.
Sanciones esperadas en 2026 por importes superiores a 500.000 EUR.
7. Transferencias internacionales
Las fintech europeas operando en España suelen tratar datos en Irlanda, Alemania o terceros países. Requieren:
- Cláusulas contractuales tipo de la Comisión (CCT 2021).
- Análisis de impacto de las transferencias (TIA).
- Información clara al usuario sobre país destino.
Tras invalidación del DPF previsto, las transferencias a EEUU pueden requerir medidas suplementarias. Ver transferencias internacionales.
8. Pagos por móvil y datos de geolocalización
Bizum, Apple Pay, Google Pay, Stripe tratan datos de geolocalización para fraud detection. Bases jurídicas posibles:
- Interés legítimo (con análisis y balance test documentado).
- Obligación legal de prevención de fraude.
- Consentimiento (si va más allá de la finalidad estricta de fraude).
La AEPD ha aceptado el interés legítimo para detección de fraude pero exige información clara y opt-out razonable para finalidades adicionales.
9. Brechas en fintech
Las fintech son objetivo prioritario de ataques (credential stuffing, ATO, phishing). DORA obliga desde 2025 a notificación adicional al supervisor en 4 horas para incidentes ICT mayores. Procedimiento integrado:
- Detección y contención.
- Notificación supervisor financiero en 4h.
- Notificación AEPD en 72h.
- Comunicación a usuarios si alto riesgo.
- Análisis forense.
- Medidas correctivas.
10. Cookies y marketing en apps fintech
Las apps fintech con tracking publicitario o analítica de terceros requieren consentimiento conforme a la nueva guía AEPD 2026. Botón “Rechazar” obligatorio al mismo nivel. Pasarelas de pago integradas en e-commerce: revisar quién es responsable de qué tratamientos.
11. Cómo cumplir RGPD en fintech
- DPO obligatorio con dependencia del Consejo.
- Registro de actividades por servicio y país de operación.
- EIPD para todo nuevo producto que use datos masivos o IA.
- Cláusulas art. 22 RGPD en flujos de scoring automatizado.
- Auditoría anual ISO 27001 + RGPD.
- Plan de respuesta a incidentes integrado RGPD + DORA.
12. La tensión estructural entre KYC y minimización
La fintech vive una contradicción normativa que ninguna otra industria sufre con la misma intensidad. Por un lado, la Ley 10/2010 y la normativa de prevención del blanqueo la obligan a recabar y conservar durante diez años una cantidad ingente de datos identificativos: documento de identidad, selfie biométrico, prueba de domicilio, origen de fondos. Por otro, el principio de minimización del art. 5.1.c RGPD le exige tratar solo los datos estrictamente necesarios. La AEPD no admite el “recabo por si acaso”: el hecho de que una obligación KYC exista no legitima capturar más datos de los que esa obligación concreta requiere, ni conservarlos más allá del plazo legal, ni reutilizarlos para scoring comercial. Resolver esta tensión exige separar por finalidad y base jurídica cada dato: lo que se conserva por obligación legal antiblanqueo no puede migrar automáticamente al motor de marketing.
13. Verificación biométrica: el riesgo del proveedor externo
Casi ninguna fintech desarrolla su propio motor de verificación de identidad; subcontrata a proveedores especializados como Onfido, Veriff o IDnow. Esto crea un doble riesgo que la AEPD examina con creciente atención. Primero, el tratamiento de datos biométricos —categoría especial del art. 9 RGPD— exige una base de licitud reforzada y una evaluación de impacto previa. Segundo, muchos de estos proveedores procesan los datos fuera de España o incluso fuera del EEE, lo que activa el régimen de transferencias internacionales con cláusulas contractuales tipo y análisis de impacto de la transferencia. La fintech sigue siendo responsable frente al usuario aunque el tratamiento biométrico lo ejecute un tercero: la elección del proveedor es también una decisión de cumplimiento.
14. Anticiparse al enforcement de 2026
Todo apunta a que 2026 concentrará el escrutinio de la AEPD sobre el BNPL y el scoring instantáneo. La combinación de decisiones automatizadas con efectos económicos significativos, uso potencial de variables proxy discriminatorias y conservación desproporcionada tras el impago reúne todos los elementos que la Agencia sanciona con dureza. La fintech que quiera adelantarse debe documentar hoy la lógica de sus algoritmos, garantizar la intervención humana efectiva del art. 22 y someter cada nuevo producto a una EIPD real antes del lanzamiento, no después de la primera denuncia.
FAQ
¿La fintech puede denegarme crédito sin explicación?
No. El art. 22 RGPD obliga a informar sobre la lógica de la decisión automatizada y permite solicitar intervención humana e impugnar.
¿Pueden usar mi selfie indefinidamente tras el KYC?
No. La conservación se limita al plazo necesario, normalmente 10 años desde fin de relación (Ley 10/2010) o eliminación tras KYC válido y backup limitado.
¿Open banking es seguro desde el RGPD?
Sí si el TPP cumple PSD2 y RGPD. El consentimiento es revocable inmediatamente desde la app del banco emisor.
¿Las fintech pueden compartir mis datos con su matriz extranjera?
Sí si hay base jurídica (normalmente interés legítimo del grupo) y cláusulas adecuadas de transferencia internacional (CCT 2021 o equivalentes).
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial