GDPR en fintech: qué le das a una app cuando la conectas a tu banco

Última actualización: 11 de septiembre de 2026

Entidades financieras
Actualizado septiembre 2026

Cuando conectas una app de finanzas a tu cuenta bancaria no le estás dando el saldo: le estás dando el histórico completo de tus movimientos, que es el documento más revelador que existe sobre tu vida. Dónde compras, qué medicación pagas, a qué partido donas, si juegas. Lo que regula eso no es solo el RGPD: es el RGPD más la PSD2, dos normas que usan la misma palabra —consentimiento— para dos cosas distintas. El Comité Europeo de Protección de Datos tuvo que publicar unas directrices enteras en 2020 para aclararlo, y de esa diferencia depende lo que la app puede hacer con tus datos.

Qué le estás dando exactamente a la app

La PSD2, que en España se traspuso por el Real Decreto-ley 19/2018, creó dos figuras nuevas que antes no existían. Las dos se conectan a tu banco, pero no hacen lo mismo ni necesitan lo mismo, y conviene saber cuál tienes delante antes de pulsar «autorizar».

La asimetría salta a la vista. Un iniciador de pagos necesita saber una operación; un agregador necesita leerlo todo. Por eso el riesgo de privacidad no está repartido por igual, y por eso merece la pena mirar dos veces antes de conectar el segundo tipo. Si estás valorando uno, en el análisis de los agregadores financieros están los pros y los contras con nombres concretos, y las alternativas que no necesitan conexión bancaria, en las apps de control de gastos.

El consentimiento de la PSD2 no es el del RGPD

Esta es la confusión que más veces se cuela, incluso en textos escritos por profesionales, y tiene consecuencias prácticas.

El artículo 94.2 de la PSD2 exige el «consentimiento explícito» del usuario para que un proveedor acceda y trate sus datos de pago. Suena idéntico al consentimiento del RGPD, pero el Comité Europeo de Protección de Datos, en sus Directrices 06/2020 adoptadas el 15 de diciembre de 2020, dejó claro que no lo es: ese consentimiento explícito de la PSD2 debe entenderse como un requisito de naturaleza contractual, no como una base legal de tratamiento independiente.

En román paladino: lo que el artículo 94.2 te garantiza es que, al firmar con el proveedor, sepas exactamente qué categorías de datos va a tratar y para qué, y que esas cláusulas estén claramente diferenciadas dentro del contrato. Pero la base que legitima el tratamiento no es tu consentimiento revocable a la manera del RGPD, sino la ejecución de ese contrato.

Los datos de gente que nunca dio permiso

Hay un problema que casi nadie plantea y que las directrices del CEPD sí abordan: en tu extracto no solo hay datos tuyos. Están los de todas las personas que te han transferido dinero o a las que se lo has transferido tú. Esa gente no ha contratado nada con la fintech ni le ha dado permiso para nada. En la jerga de las directrices son los silent party data, los datos de la parte silenciosa.

La respuesta del CEPD fue que el proveedor no necesita el consentimiento de esas personas para tratar sus datos cuando presta el servicio que tú le has pedido: puede apoyarse en el interés legítimo. Lo cual es razonable —sin eso el open banking sería inviable— pero deja una conclusión incómoda: al conectar tu cuenta estás exponiendo información de terceros que no han opinado. Ese interés legítimo no es un cheque en blanco, y el uso sigue limitado al servicio prestado, pero el dato viaja igual.

Cómo comprobar en dos minutos que la fintech está autorizada

Todo lo anterior solo aplica si el proveedor está dentro del sistema. Si no lo está, no tienes ni marco ni reclamación, tienes un problema. Con el RDL 19/2018 la competencia para autorizar estas entidades pasó al Banco de España, que mantiene el registro público. Comprobarlo es gratis y lleva dos minutos.

Y hay una segunda prueba, aún más rápida, que no requiere consultar ningún registro. El artículo 39 del mismo real decreto-ley prohíbe al proveedor de información sobre cuentas solicitar credenciales sensibles como tu contraseña o tu PIN: tiene que acceder por una interfaz segura, de modo que tú te autenticas en el entorno de tu banco, no en el de la app.

El artículo 39 impone además el límite de finalidad: el proveedor solo puede usar, almacenar y acceder a la información de tus cuentas para el servicio que le has contratado. Perfilarte para vender publicidad, cederte a un tercero o alimentar un scoring que no has pedido queda fuera de ese permiso. Si sospechas que ha pasado, la reclamación no va al Banco de España sino a la Agencia Española de Protección de Datos, que es gratuita y no necesita abogado.

Y si acaban saliendo cargos que no reconoces

La PSD2 recortó a la mitad lo que puede costarte un instrumento de pago perdido o robado. El artículo 46 del RDL 19/2018 fija en 50 € el máximo que soportas por las operaciones no autorizadas derivadas de la pérdida o sustracción del instrumento —antes eran 150 €— siempre que avises sin demora y no haya actuado por tu parte fraude ni negligencia grave. A partir de la notificación, ni un euro.

La discusión, cuando llega, casi siempre gira alrededor de esa «negligencia grave», que es donde las entidades intentan colocar el caso para no devolver. Cómo se reclama, con qué plazos y qué pasa si te dicen que no está en la guía para reclamar a tu banco. Y si lo que te ha pasado es que un algoritmo ha decidido por ti, el terreno es otro: lo tratamos en RGPD y decisiones automatizadas de tu banco. El resto de fichas y guías están en la sección de entidades financieras.