Reporte de actividades sospechosas · Lección 4 de 5
Conservación de registros, protección de datos e intercambio de información
9 min de lectura
Todo control de un programa ALA/CFT carece de valor para un examinador, una UIF o un tribunal si la empresa no puede demostrar qué hizo y por qué. Al mismo tiempo, los equipos de cumplimiento manejan algunos de los datos personales más sensibles de la empresa: documentos de identidad, historiales financieros y sospechas. Gestionar bien un programa significa conservar los registros adecuados durante el tiempo necesario, protegerlos, compartirlos solo cuando esté permitido y eliminarlos cuando termine la obligación.
Qué registros conservar
La Recomendación 11 (Conservación de registros) establece el mínimo. Las empresas deben conservar todos los registros necesarios sobre transacciones nacionales e internacionales durante al menos cinco años después de la transacción, y los registros obtenidos mediante la debida diligencia del cliente, los archivos de cuentas, la correspondencia comercial y los resultados de cualquier análisis durante al menos cinco años después de que termine la relación comercial o de que se realice una transacción ocasional. Los registros de transacciones deben ser suficientes para reconstruir transacciones individuales, de modo que puedan servir como prueba para un proceso penal, y deben estar disponibles con rapidez para las autoridades competentes.
Para una empresa de criptoactivos, «suficientes para reconstruir» significa algo más que una entrada en un libro mayor. La tabla que sigue es una buena práctica, no una lista de campos establecida por el estándar.
| Registro | Contenido específico de criptoactivos |
|---|---|
| Debida diligencia del cliente | Pruebas de identidad, resultados de verificación, beneficiarios finales, historial de puntuaciones de riesgo, pruebas del origen de los fondos, pruebas de titularidad de la dirección para billeteras autogestionadas |
| Transacciones | Cadena, activo y contrato del token, txid, altura del bloque, hora UTC, direcciones de envío y recepción, importes, valor en moneda fiduciaria, referencias de cuentas internas y órdenes |
| Datos de la Travel Rule | Mensajes enviados y recibidos, VASP contraparte, resultados de validación de datos, decisiones sobre datos faltantes |
| Detección y análisis | Resultados de detección, informes de exposición del análisis tal como estaban en ese momento, versiones de etiquetas |
| Datos de acceso | Direcciones IP, identificadores de dispositivos, resultados de geolocalización |
| Alertas e investigaciones | Alerta, pasos, pruebas, decisión y justificación, resultados de aseguramiento de calidad |
| Reportes | Reportes internos, decisiones del MLRO de presentar o no presentar, STR y acuses de recibo, solicitudes y respuestas de la UIF y de las autoridades policiales |
| Pruebas del programa | Evaluaciones de riesgos, políticas, registros de capacitación, informes de auditoría, decisiones de ajuste |
A menudo se pasa por alto la fila sobre análisis. Las etiquetas de atribución cambian, por lo que un nuevo análisis de exposición realizado hoy puede dar un resultado distinto al que motivó una decisión hace dos años. Conserve una captura o exportación del resultado en el que se basó, junto con su fecha.
Durante cuánto tiempo y desde cuándo
Cinco años es el mínimo internacional, no un plazo fijo. La legislación nacional puede exigir más tiempo, y algunos registros deben conservarse más allá de su fecha habitual:
- las órdenes de conservación por investigaciones, solicitudes de preservación, litigios o revisiones regulatorias prevalecen sobre la eliminación;
- el momento que inicia el plazo es importante: cinco años desde el fin de una relación pueden significar décadas en el caso de un cliente de larga data;
- los registros del programa (evaluaciones de riesgos, auditorías) se conservan para demostrar qué sabía e hizo la empresa en cada momento.
La protección de datos empuja en el sentido contrario: cuando termina el período de conservación y no se aplica ninguna orden de conservación, los datos personales deben eliminarse o anonimizarse. Un calendario de conservación especifica cada tipo de registro, el hecho que inicia el plazo, su duración y quién confirma su eliminación.
-- Registros de clientes cuyo período de conservación venció y que no están sujetos a una orden de conservación (SQL estándar)
SELECT c.customer_id, c.relationship_end_date
FROM customers c
LEFT JOIN legal_holds h
ON h.customer_id = c.customer_id AND h.released_at IS NULL
WHERE c.relationship_end_date < CURRENT_DATE - INTERVAL '5' YEAR
AND h.customer_id IS NULL;
-- La sintaxis de los intervalos varía según el motor (p. ej., DATEADD, DATE_SUB)La consulta enumera relaciones cerradas hace más de cinco años que no están sujetas a una orden de conservación vigente; son candidatas a revisión para su eliminación. La cifra de cinco años es un valor provisional que representa el período más largo aplicable en los países donde opera la empresa. Una persona debe revisar la lista, porque a veces las órdenes de conservación se registran tarde.
Principios de protección de datos
Las leyes de protección de datos varían, pero la mayoría se basa en principios establecidos inicialmente a nivel internacional en las Directrices de privacidad de la OCDE (1980, revisadas en 2013) y reflejados también en ISO/IEC 29100 (marco de privacidad) y en el Marco de privacidad del NIST (2020).
| Principio | Qué significa para los datos ALA/CFT |
|---|---|
| Base jurídica y especificación de la finalidad | Los datos recopilados para cumplir las obligaciones ALA/CFT se utilizan con ese fin |
| Limitación del uso | No se reutilizan para marketing ni para elaborar perfiles no relacionados sin una base jurídica independiente |
| Minimización de datos (limitación de la recopilación) | Se recopilan los datos que necesita el enfoque basado en riesgos, no todo lo que está disponible |
| Exactitud (calidad de los datos) | Se mantienen actualizados los datos de los clientes; se corrigen los errores, incluidas las atribuciones incorrectas |
| Limitación del almacenamiento | Se eliminan los datos cuando termina el período de conservación y no se aplica ninguna orden de conservación |
| Medidas de seguridad | Se protege contra la pérdida, el uso indebido y el acceso no autorizado |
| Transparencia y participación individual | Se informa a los clientes sobre el uso de los datos y se les permite acceder a ellos, dentro de los límites de las normas que prohíben alertar al cliente |
| Rendición de cuentas | Alguien es responsable y puede demostrar el cumplimiento |
Los datos en cadena son públicos, pero cuando una empresa vincula una dirección con un cliente, esa dirección y su historial se convierten en datos personales en poder de la empresa. El análisis de las billeteras de los clientes debe incluirse en una evaluación de impacto sobre la protección de datos.
Conciliación de las obligaciones ALA y de privacidad
Ambos regímenes están diseñados para coexistir. Desde febrero de 2018, la Recomendación 2 pide a los países que coordinen sus esfuerzos para que los requisitos ALA/CFT sean compatibles con las normas de protección de datos y privacidad. En la práctica:
- La obligación legal como base. La recopilación y conservación de datos ALA suele estar justificada por la propia obligación legal, por lo que el consentimiento no es la base y no puede retirarse para obligar a eliminar los datos.
- Solicitudes de acceso y prohibición de alertar al cliente. Cuando un cliente solicita sus datos personales, la respuesta no debe revelar un STR, una investigación ni una solicitud de las autoridades policiales. La mayoría de los regímenes prevén una excepción; la empresa necesita un procedimiento para que el personal la aplique de manera coherente.
- Transferencias transfronterizas. La supervisión a nivel de grupo y los mensajes de la Travel Rule trasladan datos personales entre países; la empresa verifica que cada transferencia esté permitida y protegida.
- Protección de la contraparte. Antes de enviar datos de la Travel Rule, la empresa verifica que la VASP contraparte pueda protegerlos (véase la lección Identificación y verificación de la contraparte).
La minimización también se aplica dentro del área de cumplimiento. Los investigadores no deben incorporar al expediente de un caso los historiales completos de clientes no relacionados solo porque compartan una contraparte; basta con una referencia al caso vinculado. Las respuestas a órdenes de entrega incluyen lo que se solicitó, no la cuenta completa. Además, los datos recopilados para un fin, como las huellas de dispositivos obtenidas para prevenir el fraude, pueden utilizarse para la supervisión ALA cuando la ley lo permite, pero esa reutilización debe documentarse, no darse por sentada.
Intercambio de información
El intercambio tiene tres ámbitos distintos, con reglas diferentes.
Dentro de un grupo. La Recomendación 18 exige programas a nivel de grupo, incluidas políticas para compartir la información necesaria para la DDC y la gestión del riesgo de LA/FT. La revisión de noviembre de 2017 de su Nota Interpretativa aclaró que esto incluye información sobre transacciones inusuales o sospechosas y su análisis; al mismo tiempo, se modificó la Recomendación 21 para que las normas que prohíben alertar al cliente no impidan este intercambio. Siguen aplicándose las salvaguardas de confidencialidad y uso.
Entre VASP no relacionadas. La Travel Rule exige el intercambio. Más allá de eso, compartir información de clientes o sospechas con otra empresa requiere una base jurídica; algunos países la establecen mediante autorizaciones específicas y otros no. Informar a una empresa no relacionada que se presentó un reporte generalmente constituye alertar al cliente. Compartir direcciones vinculadas a un hackeo, sin datos personales sobre los clientes, es una práctica común y de menor riesgo.
Con asociaciones y autoridades. Las asociaciones público-privadas operan bajo marcos jurídicos específicos. La Guía sobre el intercambio de información del sector privado (noviembre de 2017) del GAFI, su Balance de la situación sobre la puesta en común de datos, el análisis colaborativo y la protección de datos (julio de 2021) y su informe Colaboración en la lucha contra los delitos financieros: protección de datos, tecnología e intercambio de información del sector privado (julio de 2022) describen cómo ese intercambio puede cumplir los requisitos de protección de datos, incluso mediante tecnologías que mejoran la privacidad y permiten realizar análisis conjuntos sin exponer los datos sin procesar.
Almacenamiento seguro y acceso
Los registros de cumplimiento requieren controles proporcionales a su sensibilidad, a menudo alineados con un estándar de seguridad de la información como ISO/IEC 27001:
- Acceso según necesidad de conocer, con el registro de STR y las notas de casos restringidos al equipo de cumplimiento y a los gerentes designados;
- cifrado en el almacenamiento y durante la transmisión, y autenticación sólida;
- registros de auditoría sobre quién consultó o exportó registros, sujetos a revisión periódica;
- integridad: almacenamiento de escritura única o exportaciones con hash para las pruebas, de modo que pueda demostrarse que los registros no se modificaron;
- capacidad de recuperación: capacidad probada de obtener el expediente completo de un cliente, con las transacciones y las capturas del análisis, en los días siguientes a una solicitud;
- controles de externalización: la empresa sigue siendo responsable cuando los registros están en manos de un proveedor o proveedor de servicios en la nube.
Enfoque del examen: Requisitos de la R.11 (al menos cinco años, registros de transacciones suficientes para reconstruirlas, registros de DDC, archivos de cuentas, correspondencia y resultados de análisis conservados después de que termina la relación, disponibilidad rápida); registros específicos de criptoactivos, incluidas las capturas fechadas de análisis y los datos de la Travel Rule; órdenes de conservación y momentos que inician los plazos; principios básicos de protección de datos y su aplicación a los datos ALA; R.2 y la compatibilidad entre las normas ALA y de privacidad; gestión de solicitudes de acceso sin alertar al cliente; los tres ámbitos de intercambio (dentro del grupo conforme a la R.18 y los cambios de 2017, entre VASP no relacionadas y en asociaciones) y los documentos del GAFI sobre intercambio; almacenamiento seguro, control de acceso, integridad y capacidad de recuperación.