El BCE pone orden en sus datos: la nueva decisión sobre supervisión prudencial cambia más de lo que parece

La supervisión bancaria europea genera montañas de datos personales. Nombres de consejeros, historiales profesionales, correos, registros disciplinarios, denuncias internas, documentación de idoneidad, entrevistas, evaluaciones de riesgo, expedientes sancionadores. Durante años, buena parte de ese tratamiento se apoyó en una mezcla conocida: competencias amplias del supervisor, prácticas internas y la idea de que, si el BCE supervisa, ya encontrará cobertura jurídica por el camino. La nueva Decisión (UE) 2026/1942 del Banco Central Europeo, de 30 de julio de 2026, publicada en el Diario Oficial el 14 de agosto de 2026 como ECB/2026/18, cambia ese equilibrio. Y lo cambia en un punto delicado: ya no basta con tratar datos porque supervisar exige tratar datos. Ahora el BCE ordena con más precisión quién trata qué, para qué, durante cuánto tiempo y bajo qué base jurídica.

Eso importa mucho más de lo que sugiere el título oficial, que suena a somnífero administrativo. Para las entidades significativas y para cualquier grupo bancario que interactúe de forma intensa con el Mecanismo Único de Supervisión, esta decisión reordena tres frentes a la vez: gobernanza interna, diseño documental de las bases jurídicas y flujos transfronterizos de información. Traducción menos diplomática: si tu banco sigue tratando las peticiones del BCE como simples requerimientos de supervisor y no como un circuito de tratamiento de datos con lógica propia, vas tarde.

La decisión no sustituye al RGPD. Tampoco inventa un régimen paralelo. Opera sobre el terreno específico del BCE como institución de la Unión cuando trata datos personales en supervisión prudencial, con el armazón del derecho europeo de protección de datos aplicable a las instituciones y organismos de la UE. Pero su efecto práctico cae directamente sobre las entidades supervisadas porque son ellas quienes alimentan, corrigen, completan y discuten esos tratamientos. Dicho de otro modo: aunque la decisión vaya formalmente dirigida al BCE, sus consecuencias operativas se sienten en Fráncfort, Madrid, París, Milán y dondequiera que un equipo de compliance reciba una request supervisora un viernes a las 18:42.

Tesis editorial

Mi tesis es simple: la Decisión (UE) 2026/1942 no es un ajuste cosmético de privacidad; es una pieza de arquitectura institucional que obliga a los bancos a profesionalizar cómo entregan, documentan y limitan datos personales en la relación con el supervisor. Quien la trate como un anexo jurídico sin consecuencias de proceso cometerá el error clásico del sector: pensar que la protección de datos es un problema de cláusulas cuando aquí lo que está en juego son flujos, roles, trazabilidad, minimización y defensa probatoria.

El BCE, además, manda una señal política que conviene leer sin ingenuidad. La supervisión bancaria europea quiere ser más intensiva, más basada en datos, más transversal y, previsiblemente, más apoyada en analítica avanzada. Eso eleva la tensión entre dos impulsos legítimos: pedir más información para supervisar mejor y limitar el tratamiento para no convertir la prudencial en una aspiradora de datos. La decisión es, en el fondo, un intento de que ese equilibrio no dependa solo de la buena fe del supervisor ni de la resignación del supervisado.

Y hay otro detalle nada menor. En 2026 hablar de datos en supervisión prudencial ya no significa solo expedientes en PDF y hojas Excel con nombres tachados a medias. Significa repositorios centralizados, intercambio con autoridades nacionales competentes, cooperación europea, herramientas analíticas, procesos de investigación y, en determinados casos, exposición indirecta a modelos de IA para clasificación, priorización o detección de patrones. Si el BCE pone por escrito un régimen más nítido para su tratamiento, está anticipando una realidad que la banca conoce bien: el problema ya no es si se tratan muchos datos, sino si alguien puede explicar con precisión por qué se tratan así y no de otra manera.

Qué hace realmente la Decisión (UE) 2026/1942

El texto, identificado como CELEX 32026D1942, se refiere al tratamiento de datos personales en el contexto de la supervisión prudencial de entidades de crédito. Conviene detenerse en dos palabras: contexto y prudencial. No estamos ante una norma general de privacidad del BCE, sino ante una decisión que organiza el tratamiento en el perímetro supervisor. Ese matiz delimita el tipo de datos afectados y, sobre todo, la lógica de necesidad y proporcionalidad que el BCE tendrá que acreditar.

La base material de esa supervisión sigue estando en el Reglamento (UE) n.º 1024/2013, el llamado Reglamento del MUS, que confiere al BCE funciones específicas relativas a políticas de supervisión prudencial sobre entidades de crédito. Ahí están, entre otros, el artículo 4 sobre funciones atribuidas al BCE y el artículo 6 sobre cooperación en el MUS. La novedad no es que el BCE supervise. La novedad es que formaliza mejor cómo trata los datos personales que necesita para hacerlo.

En el plano de protección de datos, el marco aplicable a las instituciones, órganos y organismos de la Unión es el Reglamento (UE) 2018/1725. Ese reglamento contiene piezas clave que cualquier banco debería tener presentes al analizar esta decisión: artículo 5 sobre licitud del tratamiento; artículo 9 sobre transmisión de datos personales a destinatarios establecidos en la Unión que no sean instituciones u organismos de la Unión; artículos 14 y 15 sobre información a los interesados; artículo 25 sobre restricciones; artículo 31 sobre registros de actividades de tratamiento; y artículo 33 sobre seguridad del tratamiento. La decisión del BCE aterriza ese régimen general al terreno supervisor.

Eso se traduce en varias consecuencias concretas.

Primero, la base jurídica ya no puede formularse en bloque. El banco no debería conformarse con citar genéricamente “obligación regulatoria” cuando remite información al BCE. Tendrá que distinguir si responde a una solicitud de información, a una evaluación de idoneidad, a una inspección in situ, a una investigación sancionadora, a una revisión de gobernanza interna o a un proceso de autorización. Cada uno de esos supuestos tiene finalidades distintas, categorías de datos potencialmente distintas y periodos de retención que no tendrían por qué ser idénticos.

Segundo, la minimización deja de ser una teoría simpática para presentaciones internas. Si el BCE estructura mejor sus finalidades, la entidad supervisada tendrá menos excusa para seguir entregando paquetes documentales sobredimensionados. La minimización, formulada en el artículo 4.1.c del Reglamento 2018/1725 y con espejo funcional en el artículo 5.1.c del RGPD, exige que los datos sean adecuados, pertinentes y limitados a lo necesario. La palabra peligrosa aquí es “necesario”. Mucha información que hoy se remite “por si acaso” no supera esa prueba.

Tercero, la decisión empuja a revisar retenciones y borrados. En supervisión prudencial existe una tendencia natural a conservarlo todo porque cualquier dato puede ser útil en el futuro. El derecho de protección de datos no comparte ese entusiasmo archivístico. El principio de limitación del plazo de conservación aparece en el artículo 4.1.e del Reglamento 2018/1725 y en el artículo 5.1.e del RGPD. Si el BCE define mejor sus lógicas de conservación, los bancos tendrán que hacer lo mismo en sus copias espejo, repositorios de respuesta al supervisor, data rooms regulatorios y correos internos con anexos sensibles que nadie purga nunca. El sector financiero llama a eso “histórico”. Un auditor puede llamarlo otra cosa.

Cuarto, los flujos transfronterizos dentro del ecosistema supervisor se vuelven más visibles. La cooperación entre BCE y autoridades nacionales competentes forma parte del ADN del MUS. La cuestión no es si hay transferencias o comunicaciones de datos, sino cómo se justifican, documentan y limitan. Para grupos con presencia en varios Estados miembros, esto obliga a mapear mejor qué datos salen de la entidad, a qué autoridad llegan, bajo qué canal, con qué clasificación y quién conserva copia operativa.

Lo que cambia para la gobernanza del dato en los bancos

La lectura superficial dirá que esta es una decisión del BCE para el BCE. La lectura útil dice algo distinto: obliga a las entidades significativas a ordenar su propia gobernanza de datos supervisorios. Y ese es un terreno donde muchas casas siguen viviendo de soluciones provisionales que se eternizaron.

El primer cambio afecta al inventario de tratamientos. Los bancos que mantienen un registro RGPD razonable suelen clasificar “relación con supervisores” como una entrada amplia, a veces incrustada dentro de “cumplimiento regulatorio”. Eso ya no basta. Si un banco quiere sostener que aplica minimización, limitación de finalidad y retención proporcional, necesita desagregar el tratamiento. Por ejemplo: remisión de información de fit and proper; gestión de requerimientos prudenciales ordinarios; investigaciones supervisoras; intercambio con JST; inspecciones in situ; procedimientos sancionadores; denuncias o investigaciones internas compartidas con el supervisor; gestión de acceso a portales o entornos colaborativos del BCE. Sin esa granularidad, no hay base seria para discutir necesidad ni periodos de conservación.

El segundo cambio recae en el modelo de responsabilidad interna. En demasiadas entidades, la información al supervisor pasa por una combinación de Secretaría General, Regulación, Compliance, Riesgos, Recursos Humanos y negocio, con el DPO entrando al final para “revisar” lo que ya se ha enviado o está a punto de enviarse. Mal enfoque. La decisión del BCE refuerza la idea de que las respuestas supervisoras no son solo un acto regulatorio; son también un acto de tratamiento de datos de alto impacto interno. Eso exige un circuito ex ante: quién valida la pertinencia, quién revisa datos sensibles, quién aplica redacciones cuando proceda, quién justifica que se comparten datos de terceros, quién decide no compartir información superflua y quién conserva evidencia de esas decisiones.

El tercer cambio es técnico, pero nada secundario: la segregación de repositorios. Muchas entidades almacenan documentación remitida al supervisor en carpetas compartidas, plataformas documentales generales o buzones funcionales con permisos heredados. Si la decisión empuja a un tratamiento más estructurado por finalidades, esas prácticas quedan aún más indefendibles. Un repositorio supervisorio debería tener, como mínimo, control de acceso por función, trazabilidad de descarga, política de retención propia, clasificación de sensibilidad y procedimiento de borrado o archivo seguro. Esto ya no es fetichismo de seguridad. Es la diferencia entre poder demostrar cumplimiento o improvisar explicaciones cuando llegue una auditoría interna, una inspección o una reclamación de un interesado.

El cuarto cambio toca un nervio incómodo: datos de empleados y directivos. La supervisión prudencial no vive solo de ratios y capital. Vive también de personas. Idoneidad de miembros del órgano de administración, evaluaciones de reputación, conflictos de interés, desempeño de funciones clave, información sobre conductas, medidas disciplinarias, antecedentes profesionales o entrevistas. Aquí el banco debe hilar fino porque la presión supervisora no elimina las exigencias del RGPD ni de la normativa laboral nacional. Compartir con el BCE información sobre individuos puede ser lícito y necesario, sí, pero requiere una delimitación robusta de finalidad, acceso y retención. Y también una comunicación interna bien hecha. Lo contrario genera dos problemas a la vez: fricción laboral y exposición regulatoria.

La batalla silenciosa: base jurídica, transparencia y restricciones

Uno de los puntos más interesantes de este movimiento del BCE está en cómo reabre una vieja discusión: qué base jurídica opera realmente cuando un supervisor trata datos personales de una entidad supervisada y de las personas vinculadas a ella. La respuesta rápida suele ser “misión de interés público” o “cumplimiento de una obligación legal”. Correcto, pero insuficiente.

En el régimen del Reglamento (UE) 2018/1725, artículo 5.1.a, el tratamiento es lícito si es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos a la institución u organismo de la Unión. Para el banco, en cambio, la remisión de datos al supervisor se apoya habitualmente en el espejo del artículo 6.1.c del RGPD —cumplimiento de obligación legal— o del artículo 6.1.e —misión realizada en interés público— según el rol y el diseño normativo nacional aplicable. La decisión del BCE obliga a dejar de mezclar ambos planos como si fueran idénticos. No lo son.

Esto tiene consecuencias prácticas muy concretas en la documentación interna y en las notas de privacidad. Si tu entidad informa a consejeros, altos cargos o empleados de que ciertos datos podrán compartirse con autoridades supervisoras, esa información debería reflejar finalidades específicas, categorías de destinatarios y una lógica de conservación coherente. El artículo 13 del RGPD obliga a proporcionar, entre otros elementos, fines del tratamiento, base jurídica, destinatarios y plazo de conservación o criterios para determinarlo. Muchos avisos internos siguen redactados como si el supervisor fuera un destinatario abstracto y único. No lo es. El BCE, la autoridad nacional competente, el equipo conjunto de supervisión y otros actores institucionales participan en circuitos distintos.

Luego está la cuestión de las restricciones a los derechos de los interesados. En entornos supervisores, no siempre es posible ofrecer transparencia completa o acceso inmediato a todos los datos tratados. El artículo 25 del Reglamento 2018/1725 permite restringir determinadas obligaciones y derechos cuando tal limitación respete la esencia de los derechos y libertades fundamentales y sea una medida necesaria y proporcionada para proteger, entre otros fines, objetivos importantes de interés público general de la Unión, incluida la supervisión. El espejo en el RGPD está en el artículo 23. El BCE, por tanto, puede apoyarse en restricciones bien justificadas. Pero eso no autoriza a los bancos a esconderse detrás del supervisor para negar cualquier información a empleados o directivos afectados. La entidad debe saber cuándo la restricción es propia del BCE, cuándo es propia y cómo se fundamenta.

Aquí aparece una ironía regulatoria bastante europea: el mismo ecosistema que exige a los bancos explicaciones milimétricas sobre sus decisiones de riesgo ahora tiene que aplicarse esa disciplina a sí mismo cuando trata datos personales en supervisión. Bienvenido sea. La asimetría absoluta nunca fue una política de privacidad muy elegante.

Flujos transfronterizos: el verdadero dolor operativo

Si hay un punto donde esta decisión va a doler en la operativa diaria, es en los flujos transfronterizos y multi-actor. En el MUS, la información no viaja en línea recta. Pasa entre entidad, autoridad nacional competente, BCE, equipos conjuntos de supervisión, servicios jurídicos, unidades de investigación y, en algunos casos, otras autoridades de la Unión o nacionales. Esa complejidad no es accidental; es estructural.

La consecuencia inmediata para los bancos es que su mapa de transferencias y comunicaciones necesita más resolución. No basta con anotar que “se comparten datos con autoridades competentes”. Hay que poder responder preguntas bastante menos poéticas: qué categorías exactas de datos salen; si incluyen datos de desempeño, evaluaciones internas o elementos disciplinarios; si se transmiten por portal seguro, correo cifrado o repositorio dedicado; qué autoridades reciben copia; si existen transferencias posteriores; y qué retención se aplica en cada nodo del circuito interno del banco.

Para grupos bancarios con presencia fuera de la UE, la situación se complica aún más aunque la decisión del BCE se mueva en el ámbito de la Unión. ¿Por qué? Porque la documentación que una filial o matriz extracomunitaria prepara para responder a exigencias supervisoras europeas puede implicar flujos internos internacionales. Ahí el banco debe reconciliar varios regímenes a la vez: RGPD para la entidad europea, normativa local para la entidad tercera y, potencialmente, restricciones de secreto bancario o laboral en la jurisdicción de origen. No es un problema teórico. Es la clase de fricción que bloquea respuestas supervisoras cuando nadie ha acordado de antemano qué puede salir y bajo qué mecanismo.

Además, la cooperación prudencial convive con otros canales de intercambio regulatorio: prevención de blanqueo, resolución, sanciones, protección del consumidor, ciberincidentes. El riesgo está en la reutilización lateral de información: datos recabados para una finalidad supervisora prudencial que terminan circulando por otros procesos internos sin una justificación clara. La decisión del BCE, al segmentar mejor el tratamiento prudencial, hace menos defendible esa promiscuidad funcional. Y hace bien. Cuando todo sirve para todo, la finalidad deja de significar algo.

Impacto regulatorio cruzado

La forma inteligente de leer esta decisión no es aislarla en el estante de GDPR. Hay que cruzarla con el resto del paisaje regulatorio que este año ya condiciona a bancos y aseguradoras.

DORA es el primer cruce evidente. El Reglamento (UE) 2022/2554 exige marcos de gestión del riesgo TIC, clasificación de incidentes, pruebas de resiliencia y una gobernanza más estricta sobre terceros TIC. No regula bases jurídicas de datos personales, pero sí fuerza a crear inventarios, flujos y controles técnicos que pueden reutilizarse para el perímetro supervisorio. El artículo 5 de DORA pone la responsabilidad final en el órgano de dirección; el artículo 8 exige identificación, clasificación y documentación de funciones, activos y dependencias TIC; el artículo 28 y siguientes ordenan la gestión de terceros proveedores TIC. ¿La conexión práctica? Si tu banco ya ha mapeado activos, repositorios y terceros críticos por DORA, tiene una base magnífica para identificar dónde viven los datos remitidos al BCE y qué proveedores tocan ese circuito. Si no lo ha hecho, la decisión del BCE le encuentra con el trabajo a medio hacer.

NIS2 añade otra capa. La Directiva (UE) 2022/2555, especialmente su artículo 21, obliga a adoptar medidas de gestión de riesgos de ciberseguridad, incluyendo políticas de análisis de riesgos, gestión de incidentes, seguridad de la cadena de suministro, cifrado y controles de acceso. Aunque el sector financiero tiene interacciones complejas entre NIS2 y DORA, el mensaje operativo es el mismo: los canales usados para información supervisora son infraestructura crítica de cumplimiento. Si un incidente expone documentación remitida al BCE, el banco no solo afronta un problema de confidencialidad; puede activar deberes bajo el artículo 33 del RGPD, obligaciones sectoriales y un daño supervisor reputacional nada trivial.

RGPD, por supuesto, sigue siendo el pilar para las entidades supervisadas. El artículo 5 fija principios; el artículo 6 las bases jurídicas; el artículo 9 condiciona categorías especiales de datos; el artículo 24 exige responsabilidad proactiva; el artículo 30 impone el registro de actividades; el artículo 32 exige seguridad; el artículo 35 plantea evaluaciones de impacto cuando el tratamiento pueda entrañar alto riesgo. Aquí hay una pregunta útil que muchos bancos no se hacen: tu circuito de recopilación y remisión de datos para supervisión prudencial requiere una EIPD específica o una revisión de una EIPD ya existente? Si incluye tratamiento sistemático de información sobre empleados, directivos y conductas, acceso multi-jurisdiccional y repositorios centralizados, al menos merece análisis formal.

AI Act entra por la puerta lateral, pero entra. El Reglamento europeo de IA no convierte de golpe toda analítica bancaria en “alto riesgo”, aunque sí clasifica ciertos sistemas usados en empleo o acceso a servicios esenciales bajo regímenes exigentes. La conexión real con esta decisión está en el uso creciente de herramientas para clasificar requerimientos, priorizar expedientes, resumir documentación o detectar patrones en la relación con supervisores. Si un banco usa IA generativa o modelos analíticos para preparar respuestas al BCE, anonimizar documentos, extraer perfiles de directivos o identificar asuntos relevantes, el riesgo es doble: filtración de datos y errores de contexto. La recomendación básica aquí no requiere fuegos artificiales: prohibición de cargar expedientes supervisorios en herramientas no aprobadas; segmentación de entornos; registro de prompts; revisión humana obligatoria; y validación jurídica de cualquier extracción automatizada que afecte a personas. El sector ya ha aprendido que “copiar en el chatbot y luego lo revisamos” no es una política. Es una invitación al incidente.

eIDAS 2.0 tiene relevancia más indirecta, pero no despreciable. Los procesos de firma, autenticación y sellado electrónico para intercambios regulatorios ganan peso cuanto más se formalizan los flujos de datos. La fiabilidad del canal y la integridad documental dejan de ser asuntos de TI para convertirse en elementos de defensa jurídica. Cuando haya que demostrar qué se remitió, quién lo autorizó y si hubo alteraciones, la identidad electrónica y el sellado temporal pueden ahorrar muchas discusiones.

NIST CSF 2.0, aunque no sea derecho europeo, aporta una lente útil porque su estructura de Govern, Identify, Protect, Detect, Respond y Recover encaja bastante bien con el problema real. En particular, el nuevo énfasis en Govern sirve para una pregunta simple: quién gobierna el tratamiento de datos supervisorios como riesgo operativo y no solo como trámite legal. Si la respuesta es “depende”, ya tienes el diagnóstico.

IA en banca y seguros: donde esta decisión se vuelve más delicada

La pieza más subestimada del nuevo escenario es la interacción con IA. No porque la decisión del BCE hable necesariamente de inteligencia artificial en términos grandilocuentes, sino porque la operativa supervisora actual crea un incentivo clarísimo para automatizar. Los bancos quieren resumir requerimientos, clasificar evidencias, detectar incoherencias entre respuestas, extraer datos de expedientes de idoneidad y preparar borradores. Todo eso ahorra tiempo. También multiplica el riesgo de tratamiento opaco de datos personales.

En banca y seguros, los riesgos concretos son bastante terrenales. Primer riesgo: contaminación de datos. Si un equipo usa una herramienta de IA no segregada para tratar documentación prudencial con datos de empleados, directivos o terceros, la organización puede perder control sobre el destino del contenido. Segundo riesgo: alucinación regulatoria. El modelo produce una síntesis convincente pero falsa sobre una base jurídica, un hecho o una instrucción previa del supervisor. En un expediente prudencial, esa clase de error no es divertida. Tercer riesgo: inferencias indebidas. Un sistema analítico puede generar perfiles o puntuaciones no previstos originalmente cuando procesa patrones de desempeño o conducta de individuos. Cuarto riesgo: sesgo. Si la IA ayuda a priorizar expedientes de idoneidad o a destacar supuestas banderas rojas, un sesgo mal calibrado puede contaminar decisiones internas antes de remitir información al supervisor.

Los controles recomendados no son exóticos; lo sorprendente es cuántas entidades todavía no los han cerrado. Hacen falta políticas de uso de IA con prohibiciones explícitas sobre datos supervisorios, evaluación jurídica previa de casos de uso, aislamiento de entornos, registro de entradas y salidas, revisión humana obligatoria, clasificación documental previa y criterios de borrado de datos de entrenamiento o caché. Si el caso de uso afecta a empleo, desempeño o evaluación de personas, el listón debe subir. Mucho.

La ironía aquí es casi literaria: el sector que pasa el día examinando el riesgo de modelo para crédito, mercado o fraude a veces introduce IA generativa en compliance como si fuera una calculadora elegante. No lo es. Y esta decisión del BCE hace que esa ligereza sea más arriesgada porque acota mejor la expectativa de control sobre los datos tratados en supervisión.

Implicaciones para entidades financieras españolas

Para las entidades españolas bajo supervisión europea directa o integradas en grupos significativos, la decisión tiene un impacto inmediato en la relación entre función de cumplimiento, secretaría del consejo, recursos humanos, riesgos, seguridad de la información y DPO. El Banco de España sigue siendo actor clave dentro del MUS para muchas interacciones, pero cuando el BCE estructura su tratamiento de datos en supervisión prudencial, la entidad española necesita alinear mejor sus circuitos de remisión y conservación.

Hay tres frentes particularmente sensibles en España.

El primero son los expedientes de honorabilidad e idoneidad de consejeros y altos cargos. Estos expedientes suelen concentrar información personal delicada, evaluaciones internas, documentación profesional y, a veces, incidentes o conflictos de interés. La entidad debe revisar si sus avisos de privacidad, sus matrices de acceso y sus repositorios permiten una separación razonable entre finalidad societaria, finalidad de cumplimiento interno y finalidad de remisión supervisora.

El segundo frente es el de las investigaciones internas y canales de denuncia. Cuando una investigación laboral o de compliance termina interesando al supervisor prudencial, la tentación de compartir el expediente completo es alta. Error frecuente. Antes de remitir documentación conviene evaluar necesidad, relevancia, posible seudonimización parcial, datos de terceros no implicados y riesgo de desbordamiento de finalidad. El hecho de que el supervisor pueda pedir información no convierte en necesaria cualquier línea del informe interno.

El tercer frente es tecnológico. Muchas entidades españolas han acelerado en 2025 y 2026 la implantación de plataformas documentales, herramientas de clasificación y automatización de respuestas regulatorias bajo el paraguas de DORA. Si esos mismos entornos soportan documentación del BCE, deben revisarse permisos, retenciones, cifrado, registro de actividad y contratos con proveedores. El artículo 28 de DORA sobre gestión de riesgo de terceros TIC y el artículo 32 del RGPD sobre seguridad del tratamiento se tocan aquí de forma muy concreta. No es elegante descubrir que un proveedor SaaS no segmenta adecuadamente un repositorio usado para remisiones supervisoras cuando el problema ya se ha materializado.

Qué deberían hacer ahora los bancos, sin teatro de consultora

La prioridad no es redactar una nota solemne diciendo que la entidad “toma en consideración” la nueva decisión del BCE. La prioridad es bajar al proceso.

Empieza por mapear los tratamientos supervisorios reales, no los teóricos. Revisa los últimos 12 meses de interacción con el BCE y con la autoridad nacional competente: requerimientos, inspecciones, fit and proper, investigaciones, remisiones ad hoc, intercambios por portal seguro, repositorios colaborativos. Identifica qué categorías de datos personales se movieron, de qué sistemas salieron y quién autorizó cada entrega.

Después, reconstruye la base jurídica y la finalidad por subproceso. Si tu inventario dice simplemente “cumplimiento regulatorio”, no tienes inventario; tienes una manta. Divide y vincula cada subproceso a sus deberes normativos concretos. Ahí entra el Reglamento del MUS, la normativa sectorial bancaria aplicable y el RGPD. Documenta también cuándo la entidad actúa por obligación legal propia y cuándo coopera por requerimiento supervisor específico.

El tercer paso es limpiar los repositorios. No hace falta convertirlo en una cruzada estética. Hace falta saber qué documentación remitida al supervisor se conserva, dónde, con qué acceso y durante cuánto tiempo. Si hay buzones funcionales con años de anexos sensibles, carpetas compartidas sin trazabilidad o copias locales en portátiles, el problema no es jurídico; es operativo y de seguridad.

Luego toca revisar avisos de privacidad y protocolos internos. Consejeros, altos cargos, funciones clave y empleados potencialmente afectados deben recibir información comprensible sobre estos flujos, con el nivel de detalle exigible por el artículo 13 del RGPD. Si existen restricciones a determinados derechos por motivos supervisores, la entidad debe saber cuándo aplican, con qué base y bajo qué coordinación con el BCE o la autoridad nacional competente.

El quinto frente es IA y automatización. Si se usan herramientas para analizar o preparar documentación supervisora, exige inventario de casos de uso, revisión de proveedor, restricciones de datos, logs y validación humana. Nada de experimentos silenciosos en equipos bajo presión. La urgencia regulatoria es un pésimo criterio para improvisar arquitectura.

Y, por último, lleva el asunto al órgano de dirección o al comité competente si la entidad está bajo supervisión significativa. No porque todo deba escalarse al consejo como ritual, sino porque aquí convergen riesgo regulatorio, operacional, reputacional y tecnológico. DORA ya ha elevado el listón de responsabilidad del órgano de dirección. Esta decisión del BCE da una razón adicional para que la conversación no se quede encerrada entre el DPO y dos abogados agotados.

Lo que revela este movimiento del BCE sobre la supervisión europea en 2026

La decisión dice algo sobre protección de datos, sí. Pero también dice algo más interesante sobre la dirección de viaje del supervisor europeo. El BCE quiere una supervisión más intensiva y basada en información, sin regalar flancos jurídicos innecesarios. Quiere poder tratar datos personales en ese contexto con una arquitectura más sólida y menos dependiente de inercias. Eso no es ideología; es autodefensa institucional.

Para los bancos, la lección es incómoda porque rompe una costumbre muy arraigada: considerar que la relación con el supervisor justifica por sí misma amplias excepciones operativas. Cada vez justifica menos. No porque el supervisor vaya a pedir menos, sino porque la sofisticación del entorno regulatorio obliga a pedir, tratar, transferir y conservar mejor. DORA aprieta en resiliencia. RGPD sigue apretando en responsabilidad proactiva. NIS2 endurece expectativas de ciberhigiene y gobierno. AI Act encarece la improvisación con modelos. Y ahora el BCE ajusta su propio perímetro de tratamiento prudencial. La suma no da para excusas.

Hay, además, una conclusión estratégica que conviene no perder de vista: el dato regulatorio se está convirtiendo en una categoría de gobernanza propia. No es solo dato de clientes, ni solo dato de empleados, ni solo documentación jurídica. Es un activo híbrido, de alta sensibilidad, sujeto a múltiples regímenes y con fuerte exposición transfronteriza. Las entidades que sigan gestionándolo como un subproducto administrativo verán crecer el coste de cumplimiento, el riesgo de incidente y la fragilidad probatoria.

La Decisión (UE) 2026/1942 no resolverá por sí sola todas esas tensiones. Pero sí deja una advertencia bastante clara: la era en la que la supervisión prudencial podía tratar datos personales bajo un paraguas genérico y un archivo sin demasiadas preguntas se está cerrando. Ya iba siendo hora.