KYC en España: normativa e identificación no presencial
Qué exige la Ley 10/2010 para identificar clientes a distancia en España, qué métodos admite y qué evidencia debe conservar una entidad obligada.
Grabar un vídeo del cliente, leer su DNI y obtener una coincidencia facial alta no basta para afirmar que un alta remota cumple la normativa española de prevención del blanqueo. El artículo 21 del Reglamento exige que la relación no presencial encaje en una vía admitida, y los procedimientos seguros de identificación necesitan autorización previa del Sepblac. Primero se elige la vía; la tecnología se implementa dentro de ella.
La entidad tiene que decidir qué fundamento reglamentario usa y demostrar que el procedimiento cumple sus condiciones. Después le quedan el titular real, el propósito, el riesgo, el screening y el seguimiento. Si todo acaba en un KYC aprobado, el expediente no dice qué obligación se cumplió ni quién resolvió una excepción.
En breve
«KYC» es una etiqueta operativa; las obligaciones concretas nacen de la Ley 10/2010, su Reglamento y el régimen sectorial aplicable.
La identificación a distancia no se limita a vídeo: el artículo 21 prevé varias circunstancias alternativas.
Videoconferencia asistida y vídeo-identificación no asistida tienen autorizaciones y cautelas propias del Sepblac.
Identificar el documento y el rostro no sustituye la comprobación del titular real, el propósito de la relación ni el seguimiento.
La entidad mantiene plena responsabilidad aunque externalice tecnología o ejecución.
A quién se aplica el KYC de la Ley 10/2010
La Ley 10/2010 enumera sus sujetos obligados en el artículo 2: entre otros, entidades de crédito, aseguradoras en determinados ramos, empresas de servicios de inversión, entidades de pago y otros sectores que define la norma. Una empresa que no figura en esa lista puede verificar clientes por fraude, por contrato o por su regulación sectorial. Lo que no debería hacer es presentar ese proceso como una obligación de esta ley.
Para los sujetos obligados, los artículos 3 a 6 de la ley forman una cadena:
identificar al cliente y comprobar su identidad mediante documentos fehacientes según la Ley 10/2010;
identificar al titular real y adoptar medidas para comprobarlo;
conocer el propósito e índole de la relación y la actividad declarada;
seguir la relación y mantener información actualizada.
La intensidad de cada paso depende del riesgo y hay que justificarla por escrito. Si la diligencia debida no se puede aplicar, el artículo 7 impide establecer o ejecutar la relación.
Las cuatro vías del artículo 21 para el canal no presencial
El artículo 21 del Real Decreto 304/2014 admite relaciones u operaciones a distancia cuando concurre al menos una de estas circunstancias:
identidad acreditada conforme a la normativa aplicable sobre firma electrónica;
copia del documento admitido, expedida por fedatario público;
primer ingreso desde una cuenta a nombre del mismo cliente en una entidad domiciliada en España, la UE o un país tercero equivalente;
otro procedimiento seguro previamente autorizado por el Sepblac.
Cada letra es una ruta jurídica con sus propias condiciones, así que una empresa no puede mezclarlas libremente como si sumara puntos. Además, el artículo exige obtener, dentro del mes siguiente al establecimiento de la relación, una copia de los documentos necesarios para la diligencia debida.
La Ley añade otra regla: si los datos del cliente no cuadran con otra información accesible o que la entidad ya tiene, procede la identificación presencial. El flujo tiene que detectar esa discrepancia y escalarla. Bajar el umbral biométrico para que pase va en contra de lo que busca el control.
Videoconferencia y vídeo-identificación no son el mismo procedimiento
La autorización de videoconferencia del Sepblac rige desde el 1 de marzo de 2016 y cubre la interacción en línea con personal formado para ello. Exige, entre otros elementos, análisis de riesgo previo, procedimiento documentado y probado, grabación con fecha y hora, consentimiento para el procedimiento y la grabación, privacidad, exhibición de anverso y reverso del documento, imágenes utilizables y reglas para interrumpir la sesión ante indicios o mala comunicación.
La autorización de vídeo-identificación rige desde el 1 de junio de 2017 y cubre procesos sin interacción en línea con un operador. Como la revisión se hace después, añade cautelas: un único dispositivo, transmisión directa en formato digital sin alteración, grabación inmediata en secuencia y rechazo de archivos pregrabados aportados por el cliente, entre otras condiciones.
En las dos rutas la entidad debe verificar la autenticidad, vigencia e integridad del documento y que corresponde al cliente. Si externaliza la ejecución, la responsabilidad sigue siendo suya. Contratar un SDK de vídeo, por tanto, todavía no es implantar el procedimiento autorizado.
Evidencia mínima por etapa
Etapa | Pregunta de cumplimiento | Evidencia técnica útil | Decisión que conserva la entidad |
|---|---|---|---|
Aplicabilidad | ¿Somos sujeto obligado y qué régimen rige? | Clasificación de producto y cliente | Alcance jurídico |
Ruta remota | ¿Qué letra del artículo 21 usamos? | Evento y versión del flujo | Admisión de la vía |
Documento | ¿Es fehaciente, vigente e íntegro? | Capturas, campos, controles, fuente | Aceptar, repetir o escalar |
Presentante | ¿El titular corresponde al cliente? | Face Match, liveness, vídeo | Umbral y revisión |
Titular real | ¿Qué persona física controla o se beneficia? | Fuentes y estructura | Resolución del UBO |
Riesgo | ¿Qué diligencia necesita el caso? | PEP, sanciones, señales y perfil | Aprobar, reforzar o rechazar |
Seguimiento | ¿La operativa sigue siendo congruente? | Alertas y actualización | Continuar o examinar |
Esta matriz es una propuesta de control interno. La norma no prescribe esos nombres de estado, pero las obligaciones y la documentación que exige sí tienen que poder demostrarse.
Qué documento es fehaciente
El artículo 6 del Reglamento considera para personas físicas españolas el DNI. Para extranjeros enumera tarjeta de residencia, TIE, pasaporte y, para ciudadanos de la UE o del EEE, documento oficial de identidad expedido por la autoridad de origen, además de otros casos descritos en la norma. Los documentos deben estar vigentes.
El propio Sepblac aclara que, para un cliente español, el pasaporte es una alternativa excepcional y temporal cuando existan causas justificadas, y la entidad debe documentarlas. Un catálogo global que admite «passport» para cualquier nacionalidad sin una regla local puede aprobar un documento que la política española no acepta por la vía ordinaria.
Conservación y acceso al expediente
El artículo 25 de la Ley y el artículo 28 del Reglamento establecen conservación durante diez años desde el fin de la relación o la operación ocasional para la documentación de diligencia debida. Transcurridos cinco años, la ley restringe el acceso a órganos de control interno, unidades técnicas y, cuando corresponda, defensa legal.
Guardar las imágenes es solo una parte. El expediente debe conservar resultados, análisis, fuentes, decisiones y versiones de reglas, íntegros y fáciles de localizar, con una política de acceso que cambie al cumplirse el quinto año. Mantenerlo todo diez años a la vista de cualquiera en la interfaz operativa mezcla la conservación obligatoria con el acceso general.
Cómo encajar biometría, documento y AML
Orchestrator de Biometric.Vision puede encadenar verificación documental, rostro, vivacidad y rutas de revisión. AML Screening puede devolver candidatos de sanciones, PEP y otras fuentes declaradas, repetir búsquedas y conservar los resultados. A la entidad le toca configurar la vía legal, resolver coincidencias, identificar al titular real y aprobar el riesgo.
Un diseño auditable evita el estado genérico passed y conserva estados separados, por ejemplo route_authorized, document_verified, presenter_bound, ubo_resolved, screening_reviewed y risk_approved, cada uno con su evidencia y su responsable. Estos nombres son una recomendación de arquitectura, no terminología normativa.
Antes de pasar a producción, pruebe ataques y fallos reales del canal, documente los resultados y compruebe que una discrepancia nunca termina en aprobación automática. La automatización sirve para que cada responsable decida con evidencia suficiente y una ruta clara.
Fuentes
¿Quieres reforzar las verificaciones de tus clientes?
500 verificaciones gratis al mes sin tarjeta, sin contrato, sin llamada comercial.
