El BCE ordena su casa supervisora: qué cambia de verdad con el nuevo Volume III del marco legal bancario

Hay publicaciones regulatorias que cambian las reglas del juego y otras que, sin cambiar una coma del Derecho material, te enseñan dónde está de verdad el poder. El nuevo Legal Framework for Banking Supervision Volume III, publicado por el Banco Central Europeo en agosto de 2026, pertenece a la segunda categoría. No es una norma nueva. No inventa obligaciones. Y, sin embargo, dice bastante sobre cómo funciona hoy la supervisión bancaria europea cuando bajamos del eslogan al procedimiento.

La señal importante no está en el titular del documento, bastante sobrio incluso para Fráncfort. Está en la selección. El BCE ha reunido en este tercer volumen las piezas menos vistosas y, precisamente por eso, más reveladoras del Mecanismo Único de Supervisión: reglas internas de procedimiento, ética, acceso público a documentos, transmisión de información supervisora, restricciones a derechos de interesados y normas sobre el uso de servicios del Eurosistema por autoridades competentes. Traducido: cómo decide, cómo se revisa lo que decide, qué puede ocultar, qué debe enseñar, cómo comparte datos y bajo qué condiciones limita derechos cuando ejerce tareas prudenciales.

Si trabajas en cumplimiento, privacidad, asuntos regulatorios o gobernanza de una entidad supervisada, aquí está el quid: este volumen no amplía formalmente tus obligaciones, pero sí reduce la excusa favorita del sector —“no está claro cómo opera el supervisor”— y ofrece pistas útiles para tres frentes muy concretos en 2026: gestión de información supervisora, estrategia de acceso a expedientes y defensa procedimental frente a decisiones del BCE o de las autoridades nacionales competentes en el marco del SSM.

No hay derecho nuevo, pero sí una cartografía mucho más útil del poder supervisor

Conviene empezar por una precisión básica para no vender humo. El propio documento incorpora un disclaimer nítido: es una herramienta documental “sin efecto legal” y las versiones auténticas de los actos son las publicadas en el Official Journal y disponibles en EUR-Lex. El BCE lo dice expresamente porque sabe lo que suele pasar con estas compilaciones: más de uno las trata como si fueran fuente normativa autónoma. No lo son.

Entonces, ¿por qué importa una compilación así? Porque ordena materiales dispersos que, en la práctica, condicionan el margen de maniobra de bancos, asesores y equipos de defensa regulatoria. El volumen anterior era de diciembre de 2023. El salto hasta agosto de 2026 no es trivial. No estamos ante una simple reedición cosmética: el tercer volumen actualiza y agrupa actos que ayudan a entender el lado menos visible de la supervisión, desde la Administrative Board of Review creada por la Decisión 2014/360/EU (ECB/2014/16) hasta las reglas internas sobre restricciones de derechos de interesados contenidas en la Decisión (EU) 2021/1486 (ECB/2021/42).

Hay una ironía fina aquí. Durante años, la conversación pública sobre supervisión bancaria europea se ha concentrado en capital, gobernanza, riesgos, remedios, sanciones y, últimamente, resiliencia operativa. Todo eso importa, claro. Pero una buena parte de las batallas reales se libran en preguntas bastante menos glamourosas: quién ve qué documento, con qué procedimiento se adopta una decisión, qué órgano revisa un acto supervisor, cuándo puede limitarse el acceso de un interesado a sus datos y qué canales se usan para mover información entre autoridades. No queda tan bien en una presentación comercial. Sí importa cuando empiezan las fricciones con el supervisor.

Lo que el Volume III pone en primer plano: procedimiento, ética, acceso y datos

El índice del documento merece leerse casi como un mapa político. El volumen se divide en cuatro grandes bloques: Internal bodies & rules of procedure, Ethics, Public access to documents y Other relevant legal acts. Esa arquitectura no es neutral. Sugiere que el BCE quiere ofrecer una visión más completa de la supervisión no solo como potestad jurídica, sino como ecosistema institucional con mecanismos de autocontrol, transparencia y circulación de información.

En el primer bloque aparece, entre otros textos, la Decisión 2004/257/EC del BCE, de 19 de febrero de 2004, por la que se adoptan las Reglas de Procedimiento del BCE (ECB/2004/2), junto con las Reglas de Procedimiento del Consejo de Supervisión de 21 de junio de 2014. También figura la Decisión (EU) 2014/427 del BCE, de 6 de febrero de 2014, sobre el nombramiento de representantes del BCE en el Consejo de Supervisión (ECB/2014/4); la Decisión 2014/360/EU, de 14 de abril de 2014, por la que se crea el Administrative Board of Review; y el Reglamento (EU) n.º 673/2014 del BCE, de 2 de junio de 2014, que establece un Panel de Mediación y sus reglas de procedimiento (ECB/2014/26).

El bloque de ética reúne la Guideline (EU) 2015/856, de 12 de marzo de 2015, que fija los principios de un marco ético para el SSM (ECB/2015/12), el Código de Conducta para altos cargos del BCE de 5 de diciembre de 2018 y el Código de Conducta para los miembros del Consejo de Supervisión de 12 de noviembre de 2014.

La sección de acceso público a documentos incluye dos actos que cualquier equipo jurídico debería tener en favoritos y no enterrados en un repositorio polvoriento: la Decisión 2004/258/EC del BCE, de 4 de marzo de 2004, sobre acceso público a documentos del BCE (ECB/2004/3), y la Decisión (EU) 2015/811, de 27 de marzo de 2015, sobre acceso público a documentos del BCE que están en posesión de autoridades nacionales competentes (ECB/2015/16).

Y luego llega el bloque más interesante para lectores de privacidad, compliance y supervisión tecnológica. Ahí aparecen, entre otros, la Decisión (EU) 2022/134, de 19 de enero de 2022, que fija reglas comunes para la transmisión por el BCE de información supervisora a autoridades y organismos (ECB/2022/2); la Decisión (EU) 2023/1680, de 17 de agosto de 2023, sobre la notificación de planes de financiación de entidades supervisadas por las autoridades nacionales al BCE (ECB/2023/19, refundición); y, sobre todo, la Decisión (EU) 2021/1486, de 7 de septiembre de 2021, que adopta normas internas sobre restricciones de derechos de los interesados en conexión con las tareas del BCE relativas a la supervisión prudencial de entidades de crédito (ECB/2021/42).

Si tu función toca GDPR, ya ves por qué la categoría sugerida no es un capricho editorial del todo disparatado. Este volumen no trata principalmente de protección de datos, pero sí toca uno de los puntos más sensibles: cómo un supervisor europeo limita derechos de acceso, información o incluso determinadas garantías cuando maneja datos personales en expedientes prudenciales.

Privacidad y supervisión: el texto que más debería interesar a DPO, legal y relaciones con el supervisor

La pieza más delicada del volumen, desde una óptica de privacidad, es la Decisión (EU) 2021/1486 (ECB/2021/42). No porque sea nueva —no lo es; data del 7 de septiembre de 2021—, sino porque su inclusión subraya algo que muchas entidades siguen gestionando de forma compartimentada: la protección de datos en supervisión no se agota en una política de privacidad bonita ni en un registro de actividades. También implica entender cuándo el BCE puede restringir derechos de los interesados por razones ligadas a sus tareas prudenciales.

Aquí el marco jurídico relevante no es el GDPR en sentido estricto, que se aplica a responsables y encargados en el ámbito general, sino el régimen de protección de datos aplicable a las instituciones y órganos de la UE, particularmente el Reglamento (EU) 2018/1725. Ese reglamento permite restricciones a ciertos derechos y obligaciones cuando se cumplan las condiciones de su artículo 25. La Decisión ECB/2021/42 es, precisamente, la norma interna que operacionaliza ese tipo de restricciones en el contexto supervisor del BCE.

¿Qué significa esto en la práctica? Que una solicitud de acceso de un interesado relacionada con materiales de supervisión, investigaciones internas o flujos de información prudencial no se analiza igual que una petición estándar dirigida a un banco comercial. Puede haber límites basados en la protección de objetivos de supervisión, investigaciones, cooperación con autoridades nacionales o europeas, y derechos de terceros. Para los equipos de defensa de entidades y sus asesores, eso obliga a separar dos planos que a menudo se mezclan de forma torpe: el derecho de acceso a datos personales y el derecho de acceso a documentos administrativos. No son lo mismo, no tienen el mismo objeto y no se contestan con la misma base jurídica.

La confusión no es teórica. Se ve en expedientes donde se intenta usar el lenguaje del GDPR para forzar la apertura de materiales que están mucho más cerca de la lógica de secreto supervisor, deliberación interna o protección de funciones públicas. Y también se ve en el movimiento contrario: organizaciones que invocan confidencialidad de forma demasiado amplia, como si cualquier referencia a supervisión bancaria suspendiera por arte de magia toda obligación de transparencia o de información. Ni una cosa ni la otra.

El valor del Volume III está en que vuelve visible esa frontera. No la resuelve mágicamente, pero la pone delante del lector con el acto exacto, el número exacto y la fecha exacta. Parece menor. No lo es cuando preparas una respuesta a un requerimiento, diseñas una estrategia contenciosa o revisas cómo tratas datos compartidos con autoridades.

Acceso a documentos: donde la transparencia se encuentra con la prudencia, y casi nunca salen abrazados

La otra zona caliente es el acceso público a documentos. La Decisión 2004/258/EC (ECB/2004/3) sigue siendo la referencia básica para solicitar documentos del BCE. La Decisión (EU) 2015/811 (ECB/2015/16) añade una dimensión que en la práctica complica bastante el tablero: regula el acceso a documentos del BCE que están en posesión de autoridades nacionales competentes.

Esto importa mucho más de lo que parece. En el SSM, buena parte de la supervisión opera de forma integrada entre el BCE y las autoridades nacionales. La documentación no siempre “vive” donde uno creería. Un expediente puede tener piezas en Fráncfort, en la autoridad nacional competente, en equipos conjuntos de supervisión y en canales internos del Eurosistema. Cuando una entidad o un tercero solicita acceso, la pregunta no es solo si el documento existe, sino quién lo posee, quién es el autor, qué régimen aplica y qué excepciones pueden invocarse.

Para bancos y despachos, eso tiene una consecuencia operativa muy clara: si la estrategia de acceso documental no distingue entre documentos del BCE, documentos nacionales y documentos del BCE en manos de una autoridad nacional, es muy fácil equivocarse en el destinatario, en la base jurídica y en las expectativas de éxito. Y cuando te equivocas aquí, pierdes tiempo, credibilidad y a veces plazos útiles en un procedimiento paralelo.

La tensión entre transparencia y secreto supervisor no es nueva. Tampoco la va a resolver una compilación. Pero el hecho de que el BCE mantenga juntas estas decisiones con las reglas internas del Consejo de Supervisión y con el régimen de revisión administrativa transmite una idea institucional bastante clara: el acceso a información no es un derecho aislado, sino parte del equilibrio de poderes dentro del aparato supervisor.

Dicho sin adornos: si quieres entender cuánto puede ver una entidad, cómo puede impugnar una decisión y con qué materiales, no basta con leer las bases prudenciales sustantivas. Tienes que leer la cocina. Y este volumen va justo de eso.

El Administrative Board of Review sigue siendo más relevante de lo que muchos bancos admiten

La Decisión 2014/360/EU (ECB/2014/16), que crea el Administrative Board of Review, es uno de esos textos que rara vez aparecen en la primera diapositiva de una presentación a consejo, pero que deberían estar más presentes en cualquier estrategia de litigación o prelitigación supervisora. Este órgano revisa administrativamente determinadas decisiones del BCE antes de que el asunto escale, en su caso, a la jurisdicción de la UE.

No es un detalle procedimental menor. En supervisión bancaria europea, la calidad del proceso importa tanto como el fondo, y a veces más de lo que al supervisor le gustaría admitir. Un expediente mal motivado, un problema de competencia, una deficiencia en el respeto de garantías procedimentales o una base documental insuficiente pueden abrir grietas reales en una decisión prudencial. El Administrative Board of Review no sustituye al Tribunal General ni al Tribunal de Justicia, pero sí ofrece una vía específica de revisión que las entidades deberían evaluar con más disciplina y menos automatismo.

¿La novedad de 2026? No una reforma del órgano, sino que el BCE vuelve a colocarlo en una compilación estructurada junto al resto de engranajes del sistema. Es una manera de recordar que la supervisión del SSM no es solo autoridad vertical; también tiene mecanismos internos de control y mediación, incluido el Panel de Mediación establecido por el Reglamento (EU) n.º 673/2014 (ECB/2014/26), pensado para resolver desacuerdos entre el Consejo de Supervisión y el Consejo de Gobierno.

Para el sector, la lectura práctica es sencilla: si una entidad significativa sigue abordando los procedimientos del BCE como si fueran meros intercambios técnicos y no procesos administrativos sofisticados con vías de revisión propias, juega con desventaja. Y en 2026, con mayor presión sobre gobernanza, riesgos tecnológicos, calidad de datos e interacción supervisor-entidad, esa desventaja sale cara.

Ética supervisora: menos vistosa que una sanción, pero mucho más estructural

El bloque de ética puede parecer, a primera vista, el rincón noble y algo decorativo del volumen. Error. La Guideline (EU) 2015/856 (ECB/2015/12), el Código de Conducta para altos cargos del BCE de 2018 y el Código de Conducta para miembros del Consejo de Supervisión de 2014 importan porque la legitimidad del supervisor ya no depende solo de tener competencias, sino de demostrar independencia, gestión de conflictos de interés y disciplina interna.

Esto no es una cuestión de relaciones públicas. En los últimos años, la exigencia política y judicial sobre integridad institucional en la UE ha crecido. Cuando un supervisor concentra poder técnico, acceso a información sensible y capacidad de imponer medidas con fuerte impacto patrimonial, su marco ético deja de ser atrezzo corporativo. Se convierte en una condición de resistencia jurídica y reputacional.

Para las entidades supervisadas, la utilidad de este bloque no está en fiscalizar la vida interna del BCE por curiosidad morbosa, sino en entender qué estándares invoca la propia institución sobre independencia y conducta de sus responsables. Ese conocimiento puede pesar en expedientes complejos, en alegaciones sobre imparcialidad o en la forma de estructurar reuniones, contactos y trazabilidad documental con equipos supervisores.

Hay un mensaje más profundo aquí. Mientras al sector se le exige cultura de riesgo, líneas de defensa y gobernanza robusta, el supervisor compila y exhibe sus propias capas de procedimiento y ética. No porque se haya vuelto sentimental. Porque sabe que en 2026 la supervisión sin explicabilidad institucional empieza a tener peor defensa pública.

La pieza menos comentada y más útil: cómo se mueve la información supervisora entre autoridades

La Decisión (EU) 2022/134 (ECB/2022/2), de 19 de enero de 2022, merece mucha más atención de la que suele recibir. Establece reglas comunes sobre la transmisión por el BCE de información supervisora a autoridades y organismos para llevar a cabo las tareas que le confiere el Reglamento (EU) n.º 1024/2013, la base legal del SSM.

En un momento en que los bancos están sometidos simultáneamente a presión prudencial, exigencias de resiliencia operativa y crecientes expectativas sobre calidad de datos, saber cómo circula la información supervisora no es una curiosidad académica. Afecta a confidencialidad, gobernanza documental, consistencia de mensajes a distintas autoridades y anticipación de usos secundarios de información originalmente entregada en un contexto concreto.

Piensa en la cantidad de datos que hoy se mueven entre funciones prudenciales, resolución, AML, autoridades macroprudenciales o incluso órganos con intereses estadísticos o de estabilidad financiera. El sistema europeo se ha hecho más integrado, sí, pero esa integración tiene peajes: más puntos de transferencia, más riesgo de incoherencias, más necesidad de controles de acceso y más preguntas sobre finalidad y minimización.

Aquí aflora una tensión regulatoria interesante entre dos impulsos legítimos: compartir más para supervisar mejor y restringir lo suficiente para no convertir el ecosistema supervisor en una máquina opaca de circulación infinita de datos. El Volume III no resuelve esa tensión, pero la documenta. Y eso ya es bastante más útil que muchos discursos sobre “cooperación reforzada”.

Para equipos de cumplimiento y privacidad de entidades financieras, la consecuencia es clara: no basta con mapear transferencias de datos personales dentro del grupo o hacia proveedores. También hay que mapear con precisión los flujos hacia autoridades, el contexto de cada entrega, las bases legales aplicables y las posibles retransmisiones dentro del sistema institucional europeo. Quien no tenga ese mapa en 2026 está gestionando a ciegas una parte material de su riesgo regulatorio.

Por qué esta publicación sí encaja en la conversación GDPR, aunque no sea una guía de protección de datos

Que la fuente venga del BCE y hable de supervisión bancaria puede llevar a algunos a pensar que el ángulo GDPR está forzado. No del todo. Lo correcto es afinar: el documento no es una novedad del GDPR, pero sí es una novedad editorial relevante para quienes operan en la intersección entre supervisión y protección de datos.

El motivo principal es la convivencia de varias capas normativas. Las entidades de crédito están sujetas al GDPR para gran parte de sus tratamientos; el BCE, como institución de la UE, se rige por el Reglamento (EU) 2018/1725; y el intercambio de información prudencial añade, además, su propio régimen de confidencialidad y secreto profesional. Cuando un caso mezcla datos personales, expediente supervisor y peticiones de acceso o impugnación, aplicar solo el reflejo “esto es GDPR” suele ser insuficiente y a veces directamente erróneo.

El Volume III ayuda a salir de ese simplismo porque coloca, en un mismo paquete consultable, normas sobre procedimiento, acceso a documentos y restricciones de derechos de interesados. Ese ensamblaje permite leer mejor los conflictos de frontera: cuándo un derecho individual cede ante una necesidad de supervisión; cuándo la confidencialidad prudencial no puede convertirse en caja negra absoluta; y cómo se articulan canales de revisión o acceso sin desarmar la función pública del supervisor.

Para DPOs de bancos significativos, esto tiene una derivada práctica inmediata: revisar sus protocolos de respuesta cuando el origen del dato, la finalidad del tratamiento o el custodio documental está vinculado al BCE, a una autoridad nacional competente o a un equipo conjunto de supervisión. Si esas respuestas siguen diseñadas como si todo ocurriera dentro del perímetro clásico banco-cliente-empleado, falta medio mapa.

Implicaciones para entidades financieras españolas: menos teoría, más preparación de expedientes

Para las entidades españolas bajo el paraguas del SSM, el nuevo volumen no exige una remediación normativa urgente. No hay un plazo nuevo ni una obligación ex novo. Pero sí debería activar varias revisiones internas bastante terrenales.

La primera es documental. Muchas entidades han mejorado su gobierno del dato por exigencias de BCBS 239, DORA o supervisión tecnológica, pero siguen teniendo lagunas en la trazabilidad de expedientes con autoridades. No siempre está claro qué materiales se enviaron al Banco de España, cuáles al BCE, cuáles circularon en el equipo conjunto de supervisión y bajo qué clasificación de confidencialidad. Cuando aparece una disputa procedimental, ese desorden se paga. Y se paga mal, porque obliga a reconstruir a posteriori algo que debió diseñarse desde el principio.

La segunda es jurídica. Los equipos de secretaría del consejo, regulación, litigación y privacidad deberían revisar juntos —sí, juntos, no en compartimentos estancos— qué vías existen para solicitar acceso documental, cómo se gestiona una eventual revisión ante el Administrative Board of Review y de qué manera se diferencian las respuestas a solicitudes de derechos de protección de datos frente a peticiones de acceso a documentos administrativos. En muchas organizaciones, esas piezas están repartidas entre departamentos que apenas se hablan salvo cuando hay incendio.

La tercera es de gobernanza con el supervisor. La publicación confirma una tendencia que el BCE lleva años consolidando: institucionalizar mejor sus procedimientos y dejar más claras sus propias reglas internas. Eso debería empujar a las entidades a profesionalizar también su lado de la interlocución. Menos improvisación en reuniones, más minutas robustas, más control de versiones de documentos enviados y más disciplina sobre quién afirma qué en nombre de la entidad.

La cuarta toca directamente a privacidad. Las funciones de DPO y legal no deberían limitarse a reaccionar a derechos de acceso de clientes o empleados. También deben entender cómo encaja la información remitida o generada en contextos prudenciales, qué restricciones pueden existir y cómo preservar consistencia entre obligaciones de cooperación con autoridades y principios de protección de datos. No es glamuroso. Es, sin embargo, una fuente recurrente de tropiezos.

Lo que el BCE dice sin decirlo: la supervisión europea madura cuando se vuelve más legible

La mejor lectura de este Volume III es institucional. El BCE no presume aquí de nuevas facultades ni de grandes reformas doctrinales. Hace algo más sobrio y probablemente más inteligente: vuelve más legible el andamiaje que sostiene su función supervisora. Eso suele ocurrir cuando un sistema ha superado la fase adolescente.

El SSM nació formalmente con el Reglamento (EU) n.º 1024/2013 y lleva operativo desde 2014. Doce años después, en 2026, la supervisión bancaria europea ya no puede presentarse como un experimento de arquitectura comunitaria. Es poder administrativo consolidado. Y el poder consolidado necesita dos cosas si quiere aguantar la presión política y judicial: procedimiento inteligible y trazabilidad de sus propios límites.

Por eso esta compilación importa más de lo que aparenta. Porque expone los mecanismos internos de nombramiento, mediación, revisión, ética, acceso y restricciones de derechos. Es decir, expone dónde se somete el supervisor a reglas cuando supervisa a otros. Que nadie espere romanticismo institucional. Esto no convierte al BCE en una máquina transparente y autocontenida por arte de magia. Pero sí eleva el coste de la opacidad perezosa y de la improvisación administrativa.

Y esa elevación del coste tiene consecuencias para el sector. Una entidad que conozca bien estas capas procedimentales puede defenderse mejor, cooperar con más precisión y gestionar con más inteligencia sus fricciones con el supervisor. La alternativa es seguir leyendo el ecosistema prudencial solo a través de ratios, decisiones SREP y cartas de seguimiento. Eso es ver la fachada y perderse la estructura portante.

Qué deberían hacer ahora compliance, legal, DPO y asuntos regulatorios

No hace falta dramatizar ni convertir una compilación documental en un apocalipsis de cumplimiento. Pero sí conviene aprovecharla para hacer un trabajo que muchas entidades han ido posponiendo porque nunca parecía urgente. Ahora ya no hay demasiada excusa.

Primero, localiza dentro de tu organización quién es dueño de la relación procedimental con el BCE y con la autoridad nacional competente. Si la respuesta es “depende del tema”, probablemente tienes un problema de gobernanza. Segundo, revisa las políticas y playbooks de gestión documental vinculados a supervisión: clasificación, custodia, trazabilidad, acceso interno y coordinación entre legal, compliance, regulación y negocio. Tercero, separa de forma explícita los flujos de respuesta a solicitudes de acceso a datos personales y a solicitudes de acceso a documentos. Cuarto, evalúa si tus equipos conocen de verdad las vías de revisión administrativa disponibles dentro del ecosistema BCE, empezando por el Administrative Board of Review. Quinto, contrasta tus prácticas de compartición de información con autoridades con la lógica de finalidad, necesidad y control de retransmisión que subyace a la Decisión (EU) 2022/134 y al régimen europeo de protección de datos aplicable.

Nada de esto es especialmente exótico. Tampoco es opcional si una entidad quiere presentarse ante el supervisor como una organización seria. En 2026, los bancos ya no pueden permitirse una gobernanza brillante en PowerPoint y deshilachada en el expediente real.

El Volume III del BCE no cambia la ley. Cambia algo más modesto, pero muy útil: la visibilidad del tablero. Y en supervisión bancaria, ver bien el tablero suele ser la diferencia entre gestionar un procedimiento y simplemente padecerlo.