Sanction screening y RGPD — cómo conciliar la verificación con la protección de datos personales

Situación jurídica a fecha de: 2026-05-20.

Tienes la obligación de comprobar a tus contrapartes y clientes frente a las listas de sanciones de la UE — pero, al mismo tiempo, oyes que no puedes simplemente «hurgar en los datos ajenos». Es un temor frecuente entre los propietarios de empresas ajenas al sector financiero. La buena noticia: esas dos obligaciones —la sancionadora y la de protección de datos personales— no se contradicen. El Reglamento General de Protección de Datos (RGPD) contempla expresamente el supuesto en el que tratas datos porque así lo exige la ley.

TL;DR

• El sanction screening es un tratamiento de datos personales, pero tiene una base jurídica clara en el RGPD — el artículo 6.1.c (obligación legal del responsable del tratamiento).
• La base de la obligación de screening son los reglamentos de la UE directamente aplicables en España, entre otros el Reglamento (UE) n.º 269/2014 del Consejo¹ y el n.º 833/2014² — no necesitas el consentimiento de la persona verificada.
• Solo recoges los datos imprescindibles para la identificación — el principio de minimización.
• Tienes un deber de información, pero con excepciones — cuando informar comprometería la finalidad del tratamiento.
• Conservas los resultados de la verificación tanto tiempo como exija la ley o un interés legítimo — por regla general, no menos que la duración de la relación de negocios.
• La solución on-premise hace que los datos no salgan de tu infraestructura — algo más sencillo de demostrar como conforme al RGPD.

¿Es el sanction screening un tratamiento de datos personales?

Sí — sin excepciones. Cuando introduces el nombre, los apellidos o el número identificativo de una contraparte o de un cliente en un sistema que verifica las listas de sanciones, estás tratando datos personales en el sentido del RGPD. Esto ocurre incluso cuando lo haces una sola vez, de forma puntual, antes de firmar un contrato.

El RGPD define el tratamiento de manera amplia: es cualquier operación realizada sobre datos personales — recogida, conservación, consulta, cotejo. Comprobar si Juan Pérez figura en la lista consolidada de la UE³ o en una lista nacional⁴ cumple esa definición. Aquí no importa que «solo estés cotejando» — sigue siendo tratamiento.

Muchas empresas, por este motivo, posponen la implantación del screening por temor a infringir el RGPD. Es un error en sentido contrario. La falta de verificación te expone a responsabilidad en virtud de los reglamentos sancionadores de la UE — y la sanción administrativa por incumplir sus disposiciones se gradúa, en su caso, en función del contenido económico de la operación⁵, impuesta por el Tesoro Público como autoridad nacional competente en materia de sanciones financieras internacionales⁶.

Base jurídica del tratamiento — la obligación legal del responsable

El RGPD no prohíbe el tratamiento de datos — solo exige que tengas una base jurídica para ello. En el caso del sanction screening, esa base es el artículo 6.1.c del RGPD: el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.

¿De dónde nace esa obligación legal? Directamente de los reglamentos del Consejo de la Unión Europea. Los reglamentos de la UE son de aplicación directa en todos los Estados miembros — sin necesidad de una ley nacional independiente que transponga su contenido⁷. El Reglamento 269/2014¹ y el Reglamento 833/2014² imponen a cualquier sujeto —incluidas las empresas no financieras— la prohibición de realizar operaciones con personas y entidades sometidas a sanciones. Para respetar esa prohibición, tienes que verificar. Para verificar, tienes que tratar datos.

De forma análoga operan las normas nacionales de aplicación del régimen sancionador en España: la Ley 19/2003, de 4 de julio, sobre el régimen jurídico de los movimientos de capitales y las transacciones económicas con el exterior, que constituye el núcleo administrativo de la aplicación de las sanciones financieras⁸.

Conclusión práctica importante: no tienes que pedir a la contraparte el consentimiento para tratar sus datos con fines de screening. El consentimiento (artículo 6.1.a del RGPD) es voluntario y revocable — y el screening debe ser posible con independencia de que la contraparte «quiera» o no ser verificada. La base de la letra c) elimina ese problema: tienes una obligación legal, luego tienes derecho a tratar los datos.

Conviene saber también que el Reglamento 833/2014 alcanza no solo a las personas físicas de la lista, sino también a las entidades en las que una persona de la lista posee más del 50 % de la participación o ejerce control sobre ellas⁹. La verificación de los socios es tratamiento de datos de personas adicionales — y la misma base (artículo 6.1.c) la cubre.

El principio de minimización de datos en el screening

La base jurídica te permite tratar datos — pero no te da derecho a recoger todo lo que puedas recoger. El RGPD obliga a limitar el alcance de los datos tratados a lo necesario para alcanzar la finalidad. En el caso del screening de sanciones, la finalidad es concreta: comprobar si una persona o entidad figura en las listas de sanciones.

¿Qué significa esto en la práctica? Para la verificación necesitas identificadores suficientes para reconocer al sujeto de forma inequívoca:

• Personas físicas: nombre, apellidos, fecha de nacimiento y, opcionalmente, país de residencia o nacionalidad.
• Personas jurídicas: denominación social completa, país del domicilio social, número de identificación (NIF, número del Registro Mercantil o su equivalente extranjero).

No recoges el historial de compras de la contraparte, sus datos de salud ni nada que no sea necesario para verificar la identidad. La minimización de datos no es solo una obligación — también es una simplificación del proceso. Cuantos menos datos conservas, menor es la superficie de potenciales problemas de seguridad.

En la práctica, un buen sistema de screening de sanciones impone por sí mismo la minimización: admite determinados campos identificativos, los coteja con la lista y devuelve un resultado. No registra datos que no necesita.

El deber de información frente a contrapartes y clientes

El RGPD impone al responsable el deber de informar a las personas cuyos datos trata — incluida la finalidad y la base del tratamiento. Es la regla general. Su cumplimiento en el contexto del screening es más sencillo de lo que parece.

En la mayoría de situaciones de negocio, la información sobre el screening puede y debe figurar en la cláusula informativa del contrato o de las condiciones generales. Si la contraparte firma un contrato contigo, añades un párrafo indicando que los datos identificativos se tratan con el fin de verificarlos frente a las listas de sanciones sobre la base de los reglamentos de la UE vigentes. Con eso basta.

Existen, no obstante, situaciones en las que informar plenamente puede colisionar con la finalidad del screening. El RGPD contempla la limitación del deber de información cuando facilitar la información pudiera dificultar la consecución de esa finalidad — por ejemplo, cuando se sospecha que la contraparte está vinculada a una entidad sometida a sanciones y avisarla previamente podría dar lugar a maniobras deliberadas de elusión. La decisión de acogerse a esa excepción debe estar documentada y motivada.

Regla práctica: describe el screening en tu cláusula informativa general (política de privacidad, modelo de contrato). No tienes que enviar un escrito independiente a cada contraparte antes de cada comprobación.

Cuánto tiempo conservar los resultados de la verificación

El sanction screening no es una actuación única — el resultado de la verificación forma parte de tu documentación de compliance. Surge la pregunta: ¿cuánto tiempo conservar los resultados?

Ninguna norma sancionadora fija expresamente el plazo de conservación del registro de coincidencias. Aquí se aplica el principio general del RGPD: conservas los datos no más tiempo del necesario para los fines del tratamiento. Al mismo tiempo, la ley te obliga a disponer de documentación por si hubiera una inspección o un procedimiento administrativo.

En la práctica, esto implica al menos dos plazos de referencia:

1. Durante la vigencia de la relación de negocios — mientras colaboras activamente con la contraparte, la verificas con regularidad y conservas los resultados como prueba de la diligencia debida.
2. Tras el fin de la relación — conservas la documentación de la verificación durante el plazo que resulte del riesgo de responsabilidad: por analogía con los plazos de prescripción de las acciones o de los procedimientos administrativos. En todo caso, fija el plazo concreto conforme a la normativa española aplicable (incluidos los plazos contables y mercantiles de conservación de documentación).

La decisión concreta sobre el plazo de conservación debe figurar en tu política de sanciones interna y ser proporcionada a la escala de la actividad y al riesgo. Importante: si llevas un registro de coincidencias (MATCH o POSSIBLE), esos registros tienen un valor probatorio especial — no los elimines sin una justificación meditada. Qué campos debe contener el registro y cuánto tiempo conservarlo lo explicamos en el artículo Registro de coincidencias de sanciones — cómo llevarlo.

Encontrarás más sobre el proceso de verificación de la contraparte paso a paso en nuestra guía.

Por qué el on-premise favorece la conformidad con el RGPD

Cuando utilizas un sistema de screening en la nube, los datos personales de tus contrapartes acaban en los servidores del proveedor — es decir, en manos de un encargado del tratamiento externo. Según el RGPD, tienes la obligación de celebrar con ese encargado un contrato de encargo del tratamiento (DPA) y, si los servidores del proveedor están fuera del EEE (por ejemplo, en EE. UU.), se añaden además los requisitos relativos a la transferencia de datos a terceros países.

La solución on-premise invierte ese esquema. El sistema de screening se instala en tu infraestructura — en tus servidores o en los de tu centro de datos. Los datos personales de las contrapartes no salen de tu organización. No se los entregas a nadie. El único lugar donde se tratan eres tú — como responsable.

Desde la perspectiva del RGPD, esto supone una simplificación notable:

• No es necesario celebrar un contrato de encargo (DPA) con el proveedor de screening.
• No hay riesgo de transferencia de datos fuera del EEE.
• Es más fácil demostrar el control sobre los datos ante una eventual inspección de la autoridad de control.

Sanqto opera en modelo on-premise — el sistema se instala en la red del cliente y los datos de las contrapartes y los clientes permanecen exclusivamente bajo su control. El resultado de la verificación se devuelve en tres estados: MATCH, POSSIBLE o CLEAR, lo que permite una clasificación rápida sin exportar datos personales al exterior.

Si operas en el sector asegurador o inmobiliario —sectores especialmente sensibles a la protección de los datos de los clientes—, la arquitectura on-premise es una solución digna de consideración. Lee más sobre el screening de sanciones para empresas aseguradoras y agencias inmobiliarias.

Falso positivo y datos personales — cautela al clasificar

Un falso positivo es la situación en la que el sistema devuelve un resultado MATCH o POSSIBLE para una persona que no es un sujeto sometido a sanciones — por ejemplo, porque tiene el mismo nombre y apellidos que alguien de la lista. Es algo técnicamente inevitable en cualquier sistema de screening que funcione por cotejo textual.

El problema está en que una clasificación errónea conduce a tratar los datos de una persona no vinculada a las sanciones en un contexto que puede perjudicarla — la negativa a celebrar un contrato, el bloqueo de un pago, una marca en el registro. Esto genera el riesgo de vulnerar los derechos de esa persona derivados del RGPD.

Algunas reglas que reducen ese riesgo:

No adoptes decisiones automatizadas basadas únicamente en el algoritmo. El RGPD limita expresamente la adopción de decisiones basadas únicamente en el tratamiento automatizado cuando la decisión produce efectos significativos. Un resultado POSSIBLE o MATCH debe ser verificado por una persona — un empleado de compliance o el responsable de ese proceso. Cómo resolver metódicamente estos casos lo explicamos en el artículo sobre los falsos positivos en el screening de sanciones.

Documenta la resolución. Cuando, tras el análisis, determines que una coincidencia es un falso positivo, registra esa conclusión. Es tu prueba de diligencia debida — tanto ante el Tesoro Público en caso de inspección de sanciones como ante la autoridad de protección de datos (en España, la AEPD) en caso de reclamación de la persona cuyos datos trataste.

Conserva los datos de un falso positivo solo el tiempo necesario. Si concluyes que un resultado POSSIBLE es un error y la relación de negocios con la contraparte se desarrolla con normalidad, valora suprimir o anonimizar el registro una vez finalizado el proceso de aclaración — salvo que la normativa exija conservar la documentación durante un plazo determinado.

Descubre más sobre cómo funciona el proceso de sanction screening y cómo clasificar los resultados de la verificación.

Preguntas frecuentes

¿Necesito el consentimiento de la contraparte para comprobarla en una lista de sanciones?

No. La base del tratamiento de datos en el sanction screening es la obligación legal (artículo 6.1.c del RGPD), no el consentimiento. El consentimiento es voluntario y revocable — no sirve como base para una verificación que debes realizar con independencia de la voluntad de la contraparte. Los reglamentos de la UE —como el 269/2014¹ o el 833/2014²— te obligan directamente, sin que tengas elección en este punto.

¿Qué incluir en la cláusula informativa sobre el screening?

Indica la finalidad del tratamiento (verificación frente a las listas de sanciones), la base jurídica (cumplimiento de una obligación legal derivada de los reglamentos de la UE), las categorías de datos tratados (datos identificativos: nombre, apellidos, denominación social, números de identificación) y el plazo de conservación. No tienes que enumerar por su nombre cada lista de sanciones — basta con una fórmula general sobre las «listas de sanciones vigentes en virtud del Derecho de la UE y del Derecho nacional».

¿Qué hago si la contraparte exige la supresión de sus datos tras el fin de la relación?

Tienes derecho a denegarla — o a aplazar su ejecución — si la normativa te exige conservar la documentación durante un plazo determinado. Invoca la obligación legal e indica el plazo de conservación estimado. Si la solicitud de supresión llegara durante una relación de negocios activa, cuando el screening sigue siendo necesario, puedes denegarla, explicando que el tratamiento de datos es necesario para cumplir una obligación legal.

¿Tengo que notificar el tratamiento de datos a la autoridad de protección de datos por el screening?

En la mayoría de los casos, no — la obligación general de notificar el tratamiento a la autoridad de control se suprimió con la entrada en vigor del RGPD. Sí debes, en cambio, llevar tu propio registro de actividades de tratamiento (cuando emplees a más de 250 personas o cuando el tratamiento pueda entrañar un riesgo para los derechos de las personas) e incluir en él el screening de sanciones como una actividad de tratamiento independiente.

¿El on-premise me exime de las obligaciones del RGPD frente a los empleados que operan el sistema?

No. Los datos en un sistema on-premise siguen siendo tratados por ti — eres el responsable. Tienes, por tanto, todas las obligaciones del responsable: el deber de información, las medidas técnicas y organizativas adecuadas y la atención a las solicitudes de ejercicio de derechos. El on-premise solo elimina la necesidad de encomendar los datos a un proveedor de software externo.

¿Y si mi contraparte es una empresa extranjera? ¿Sigue aplicándose el RGPD?

Sí, si el domicilio o la residencia del sujeto tratado está en el EEE o si tu empresa tiene su domicilio en España. El RGPD tiene un amplio alcance territorial. Al mismo tiempo, la obligación sancionadora —derivada de los reglamentos de la UE y de la normativa nacional de aplicación⁸— alcanza a toda operación realizada por un sujeto que opera en España, con independencia de la nacionalidad de la otra parte.

Qué hacer en concreto — lista de pasos

1. Inventaría las actividades de tratamiento. Añade a tu registro de actividades de tratamiento una nueva entrada: «Verificación de contrapartes y clientes frente a las listas de sanciones de la UE y nacionales». Indica la finalidad, la base jurídica (artículo 6.1.c del RGPD), el alcance de los datos y el plazo de conservación previsto.

2. Actualiza la cláusula informativa. Añade al modelo de contrato, a las condiciones generales o a la política de privacidad un párrafo sobre el tratamiento de los datos identificativos con fines de screening de sanciones. Basta en la inmensa mayoría de los casos.

3. Limita el alcance de los datos recogidos. Comprueba qué datos necesita realmente tu sistema para la verificación. Elimina los campos que recoges y que no utilizas en el proceso de screening.

4. Implanta un procedimiento de gestión de falsos positivos. Designa a la persona responsable de la verificación manual de los resultados MATCH y POSSIBLE. Elabora un modelo de nota aclaratoria e incorpóralo al registro de coincidencias.

5. Establece una política de conservación de los resultados. Decide y documenta cuánto tiempo conservas los resultados de la verificación — por separado para los resultados CLEAR (plazo más corto) y para los MATCH y POSSIBLE (más largo, como documentación probatoria).

6. Evalúa la arquitectura del sistema. Si utilizas una herramienta en la nube, asegúrate de tener un contrato de encargo (DPA) vigente con el proveedor y comprueba la ubicación de los servidores. Si los datos se tratan fuera del EEE — evalúa el riesgo y los mecanismos de transferencia.

7. Vincula la política de sanciones con la política de privacidad. Ambas políticas deben ser coherentes: los procedimientos de sanciones describen cómo verificas; la política de privacidad describe para qué y sobre qué base tratas los datos en esa verificación.

Cómo puede ayudar Sanqto

Sanqto es un software de sanction screening que se instala directamente en tu infraestructura — el modelo on-premise significa que los datos de las contrapartes y los clientes no salen de la red de tu empresa. Eliminas así la necesidad de encomendar los datos a un encargado del tratamiento externo. El sistema devuelve el resultado en tres estados — MATCH, POSSIBLE o CLEAR — lo que te da una base clara para decidir y documentar en el registro de coincidencias. En el paquete de implantación encontrarás modelos de documentos listos para usar: la política de sanciones, el registro de coincidencias y el procedimiento de gestión de falsos positivos — listos para adaptar a tu perfil de actividad. Lee qué es la obligación de sanction screening y a quién afecta antes de decidir qué herramienta elegir.

Base jurídica

• Reglamento (UE) n.º 269/2014 del Consejo, de 17 de marzo de 2014, relativo a la adopción de medidas restrictivas respecto de acciones que menoscaban o amenazan la integridad territorial, la soberanía y la independencia de Ucrania — CELEX 32014R0269
• Reglamento (UE) n.º 833/2014 del Consejo, de 31 de julio de 2014, relativo a medidas restrictivas motivadas por acciones de Rusia que desestabilizan la situación en Ucrania — CELEX 32014R0833
• Ley 19/2003, de 4 de julio, sobre régimen jurídico de los movimientos de capitales y de las transacciones económicas con el exterior y sobre determinadas medidas de prevención del blanqueo de capitales — BOE-A-2003-13471
• Reglamento (UE) n.º 765/2006 del Consejo, de 18 de mayo de 2006, relativo a la adopción de medidas restrictivas con respecto a Belarús — CELEX 32006R0765
• Lista consolidada de la UE (FSD) — publicada por la Comisión Europea (DG FISMA) — finance.ec.europa.eu
• España no mantiene una lista nacional autónoma de sanciones — se aplican la lista consolidada de la UE, la de la ONU y, en su caso, la lista OFAC SDN
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD) — CELEX 32016R0679

Notas

Información, no asesoramiento jurídico. Este artículo tiene finalidad meramente informativa y no constituye asesoramiento jurídico. La valoración jurídica de un caso concreto debe realizarse con un abogado experto en derecho de sanciones internacionales y comercio exterior. Situación jurídica: 20 de mayo de 2026.