Las plataformas de crowdfunding deben cumplir con la normativa de protección de datos para garantizar la privacidad y la seguridad de la información de usuarios e inversores, un aspecto especialmente sensible dado el volumen de datos personales y financieros que este tipo de plataformas gestiona habitualmente. En este artículo explicamos las principales obligaciones derivadas de la LOPDGDD y del RGPD que deben cumplir estas plataformas.
Por qué la protección de datos es especialmente relevante en crowdfunding
Las plataformas de crowdfunding gestionan, de forma simultánea, datos de identificación de inversores y promotores, información financiera sensible vinculada a las operaciones realizadas, y, en muchos casos, documentación adicional exigida por la normativa de prevención del blanqueo de capitales, como copias de documentos de identidad o justificantes de origen de fondos. Esta combinación de datos personales y financieros convierte a estas plataformas en un objetivo especialmente atractivo para incidentes de seguridad, y exige un nivel de protección reforzado.
Base jurídica del tratamiento de datos
Toda plataforma debe identificar correctamente la base jurídica que legitima cada tratamiento de datos personales que realiza: la ejecución del contrato con el usuario para gestionar su registro e inversiones, el cumplimiento de obligaciones legales, como las derivadas de la normativa de prevención del blanqueo de capitales o de las obligaciones fiscales de retención e información, y, en su caso, el consentimiento del usuario para tratamientos adicionales, como el envío de comunicaciones comerciales sobre nuevas oportunidades de inversión.
Información a los usuarios
La plataforma debe facilitar a los usuarios información clara sobre qué datos personales recoge, con qué finalidad los trata, durante cuánto tiempo los conserva y con quién los comparte, normalmente a través de una política de privacidad accesible y redactada en un lenguaje comprensible, evitando textos excesivamente técnicos que dificulten su comprensión real por parte del usuario.
Derechos de los interesados
Los usuarios de la plataforma, tanto inversores como promotores, tienen reconocidos los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad de sus datos personales, que la plataforma debe estar en condiciones de atender en los plazos establecidos por la normativa, contando para ello con procedimientos internos claros que permitan identificar y responder a este tipo de solicitudes de forma ágil.
Conservación de datos y obligaciones legales contrapuestas
Un aspecto particularmente delicado en este sector es la tensión entre el derecho del usuario a solicitar la supresión de sus datos y las obligaciones legales de conservación que recaen sobre la plataforma, derivadas tanto de la normativa fiscal como de la normativa de prevención del blanqueo de capitales, que exigen conservar determinada documentación durante plazos específicos con independencia de la voluntad del usuario. Conviene que la plataforma tenga claramente definidos estos plazos de conservación obligatoria para poder gestionar correctamente las solicitudes de supresión que reciba.
Encargados de tratamiento y terceros proveedores
Las plataformas suelen apoyarse en proveedores tecnológicos externos para alojamiento, procesamiento de pagos o herramientas de verificación de identidad, lo que exige formalizar adecuadamente los correspondientes contratos de encargo de tratamiento con cada uno de estos proveedores, verificando además que ofrecen garantías suficientes de seguridad y, en caso de transferencias internacionales de datos, que cumplen con los mecanismos legales exigidos para ese tipo de transferencias.
Medidas de seguridad exigibles
Dado el carácter sensible de la información gestionada, las plataformas deben implementar medidas de seguridad técnicas y organizativas adecuadas al riesgo del tratamiento, que pueden incluir cifrado de datos sensibles, control de accesos diferenciado según el perfil de cada empleado, y procedimientos de auditoría periódica de la seguridad de sus sistemas, especialmente relevantes cuando gestionan información financiera y documentación de identidad de un volumen elevado de usuarios.
Notificación de brechas de seguridad
En caso de producirse una brecha de seguridad que afecte a datos personales, la plataforma está obligada, cuando el riesgo para los derechos y libertades de los afectados así lo exija, a notificar el incidente a la autoridad de control competente en un plazo de setenta y dos horas desde que tenga conocimiento de él, y, en determinados casos de riesgo elevado, a comunicar también el incidente directamente a los usuarios afectados.
Designación de un delegado de protección de datos
Dependiendo del volumen y la naturaleza de los tratamientos realizados, una plataforma de crowdfunding puede estar obligada a designar un delegado de protección de datos, encargado de supervisar el cumplimiento normativo en esta materia y de actuar como punto de contacto tanto con los usuarios como con la autoridad de control, función que conviene valorar desde las primeras fases de diseño de la plataforma.
Preguntas frecuentes
¿Puede una plataforma utilizar los datos de un inversor para enviarle información sobre nuevos proyectos?
Depende de la base jurídica del tratamiento: si el envío de información sobre nuevas oportunidades se considera comunicación comercial, normalmente requerirá el consentimiento específico del usuario, salvo que pueda ampararse en el interés legítimo dentro de los límites que marca la normativa para usuarios ya registrados.
¿Las obligaciones de protección de datos son distintas según el tipo de crowdfunding?
El marco general de protección de datos resulta aplicable a todas las modalidades, aunque el volumen y la sensibilidad de la información tratada puede variar, siendo habitualmente mayor en equity crowdfunding y crowdlending, dadas las obligaciones reforzadas de verificación de identidad propias de estas modalidades reguladas.
Conclusión
La protección de datos personales es un pilar esencial del cumplimiento normativo de cualquier plataforma de crowdfunding, dada la combinación de información personal y financiera sensible que gestiona. En LRB Tax & Legal ayudamos a plataformas a diseñar e implementar un marco de cumplimiento en materia de protección de datos conforme a la LOPDGDD y al RGPD.
