El Banco Central Europeo y las autoridades nacionales se convierten en corresponsables del tratamiento de datos.

El Consejo de Gobierno del Banco Central Europeo (BCE) ha adoptado la Decisión (UE) 2026/1942 (BCE/2026/18), publicada en el Diario Oficial de la Unión Europea el 14 de agosto de 2026, por la que se establece cómo se tratan los datos personales en la supervisión prudencial de las entidades de crédito. En el nuevo marco, el BCE y las autoridades nacionales competentes (ANC) actúan como corresponsables del tratamiento de esos datos en el Mecanismo Único de Supervisión (MUS). La decisión, firmada por la presidenta del BCE, Christine Lagarde, en Fráncfort del Meno, se adoptó el 30 de julio de 2026.

El texto aplica las disposiciones sobre corresponsabilidad del tratamiento del Reglamento (UE) 2018/1725 (artículo 28) y del RGPD (Reglamento (UE) 2016/679, artículo 26) en el ámbito de la supervisión bancaria conforme al Reglamento (UE) n.º 1024/2013 del Consejo, el Reglamento del MUS. Asigna las responsabilidades respectivas del BCE y de cada ANC cuando se tratan datos personales en tareas de supervisión, sustituyendo los acuerdos caso por caso por un marco único acordado en consulta con las ANC. Se dirige a las ANC de los Estados miembros participantes y surte efecto el día de su notificación a las mismas.

Siete tareas de supervisión cubiertas

La decisión se aplica al tratamiento de datos personales en siete bloques de trabajo de supervisión dentro del MUS:

• procedimientos de idoneidad para entidades supervisadas significativas;
• procedimientos de autorización, incluidas participaciones cualificadas, sucursales y servicios transfronterizos;
• supervisión continua de entidades supervisadas significativas;
• ejecución y sanciones;
• inspecciones sobre el terreno de entidades supervisadas significativas;
• control de la supervisión de entidades supervisadas menos significativas;
• supervisión de entidades supervisadas menos significativas.

Fuera de ese ámbito, el BCE o la ANC correspondiente sigue siendo el único responsable del tratamiento de las denuncias de infracciones del Derecho de la Unión o nacional presentadas a través de mecanismos de denuncia de irregularidades, y las ANC que traten datos sobre bases jurídicas distintas del Reglamento del MUS actúan en solitario. Ciertos procedimientos de ejecución y sanción también quedan excluidos.

Responsabilidades claras respecto de los interesados

Cada corresponsable del tratamiento debe publicar un aviso de protección de datos en su sitio web, y el responsable del tratamiento que inicia una operación de tratamiento informa al interesado. Para los datos presentados a través del portal del Sistema de Gestión de la Información (IMAS), ese responsable es el BCE; en otros casos, el organismo responsable varía según la tarea, correspondiendo a la ANC pertinente los procedimientos de idoneidad y autorización, y al BCE la supervisión continua, la ejecución, las inspecciones sobre el terreno y el control de la supervisión de las entidades supervisadas menos significativas.

Los interesados podrán ejercer sus derechos frente a cada corresponsable. Un responsable que tenga conocimiento de una violación de datos personales deberá notificarlo a los demás corresponsables en un plazo de 24 horas, y el responsable encargado gestiona la violación; el BCE deberá informar en todos los casos al Supervisor Europeo de Protección de Datos, salvo que sea improbable que la violación entrañe un riesgo para las personas.

Responsabilidad, indemnización y revisión

Los corresponsables son solidariamente responsables de los daños causados por las infracciones, y la indemnización se distribuye según el grado real de responsabilidad. Los desacuerdos sobre la indemnización los resuelve un panel independiente que emite una recomendación motivada y no vinculante en un plazo de tres meses, notificada al Presidente del BCE; el Consejo de Gobierno deberá revisar los acuerdos a más tardar cinco años después de que la decisión surta efectos.

Qué datos, y de quién

Siete anexos detallan, para cada tarea supervisora, la finalidad, la base jurídica, los interesados y las categorías de datos. Abarcan al personal, a los miembros de los órganos de dirección, a los accionistas, a los clientes y sus avalistas, a los acreedores, a los proveedores de servicios, a los consultores y a los auditores externos de las entidades supervisadas, así como a los familiares cercanos y allegados de las personas designadas en las evaluaciones de idoneidad. Las categorías de datos tratados incluyen datos de identificación y contacto, datos profesionales y financieros, antecedentes penales e información sobre investigaciones y procedimientos, e incluso grabaciones sonoras de la voz de la persona designada.

Para los bancos y los clientes bancarios de la zona del euro, la decisión aporta seguridad jurídica: toda persona cuyos datos sean tratados en el marco de la supervisión del MUS dispone ahora de un punto de contacto claro para ejercer sus derechos y de una autoridad definida responsable de las violaciones y la indemnización. Es la primera vez que la distribución de las funciones de protección de datos entre Fráncfort y los supervisores nacionales se codifica en un único acto jurídico.

Fuente: Diario Oficial de la Unión Europea, serie L, 14 de agosto de 2026 (referencia oficial: CELEX L_202601942 — Decisión (UE) 2026/1942 (BCE/2026/18)).