Una de las preocupaciones más comunes cuando trabajamos con tecnologías que tratan con datos personales y financieros, es determinar quién es el responsable del tratamiento y del almacenamiento de esos datos.
En este artículo analizaremos qué datos intervienen en la agregación bancaria, quienes participan, y cuál es la responsabilidad de cada uno de estos actores frente a los datos tratados.
¿Qué es la agregación bancaria?
La agregación de cuentas bancarias es una tecnología que permite a aquellas entidades que disponen de la autorización correspondiente (AISP, proveedores de servicios de agregación), acceder y leer las cuentas bancarias, tanto de usuarios del tipo empresa como particulares, debiendo mediar en todo caso, con anterioridad a dicho acceso, el consentimiento expreso de los usuarios para que la entidad acceda a sus cuentas.
Esta tecnología es muy útil para realizar análisis de comportamiento y salud financiera, realizar scores de crédito, aplicaciones de finanzas personales (PFM) o aplicaciones de gestión de finanzas empresariales (BFM).
👉 Lee más: Todo sobre Agregación Bancaria
Qué datos intervienen en la agregación bancaria
Como hemos comentado, la agregación bancaria nos permite leer y extraer los datos bancarios de particulares o empresas, obteniendo así datos de la cuenta, datos personales, productos financieros asociados, entre otros.
Es decir, todos aquellos datos financieros y transaccionales que aparecen en la banca online de una persona. Con esta tecnología no se busca obtener datos sensibles, sin embargo, estos podrían aparecer de forma indirecta en los conceptos o categorías proporcionadas por cada banco. Cabe mencionar que dentro de Unnax contamos con procedimientos de seguridad que excluyen esos datos sensibles de nuestras lecturas.
Quiénes son los responsables del tratamiento del dato en la agregación bancaria
En el servicio de agregación bancaria, siendo éste un servicio sujeto a autorización administrativa, la entidad que obtiene dicha autorización -por ejemplo, Unnax- es la entidad que tendrá el rol de responsable del dato, en tanto en cuanto es la entidad que presta el servicio al usuario.
Cuando hablamos de “responsable del tratamiento del dato” nos estamos refiriendo al responsable de decidir qué finalidad y tratamiento se va a dar a los datos obtenidos mediante el servicio de agregación. En este sentido, el responsable del tratamiento deberá solicitar a los usuarios los consentimientos necesarios para poder prestarles el servicio.
En cualquier caso, lo mencionado en los puntos anteriores no excluye el hecho de que puedan existir otros modelos en los que el rol de responsable pueda configurarse de otra manera, todo ello dependiendo del modelo de negocio que pretenda operarse.
Ejemplo de roles de tratamiento en un servicio de agregación bancaria en modelos de negocio de 3 letras
Para modelos en los que intervengan 3 letras (B2B2C), la entidad prestadora del servicio de agregación bancaria recopila los datos financieros con la única finalidad de cederlos al merchant para que este pueda ofrecer otros servicios relacionados con la agregación a sus clientes.
Una vez que el merchant ha recibido los datos, este asume el rol de responsable sobre el tratamiento de esos datos. Es decir, en este punto, la compañía regulada que ofrece el servicio de agregación (AIS) deja de ser responsable de esos datos y ahora es el merchant el único encargado de lo que pase con esos datos.
Fines alternativos de tratamiento de datos
Los datos obtenidos en el servicio de agregación bancaria se pueden utilizar para aquellas finalidades que el responsable del dato designe y para cuyas tenga el previo consentimiento del usuario, por este motivo, siempre debe comunicarse correctamente al usuario la finalidad del tratamiento y por tanto el uso que se le va a dar a los datos obtenidos, explicitando estas cuestiones en los consentimientos, políticas de privacidad y en los términos y condiciones del servicio.
Es decir, si por ejemplo un merchant necesita los datos para un score de crédito y meses más tarde volver a leer los datos para utilizarlos con fines de marketing, podrá hacerlo siempre y cuando haya obtenido el consentimiento del usuario para que sus datos sean utilizados para esas finalidades.
Tokenización de credenciales para lectura recurrente
Cuando Unnax tokeniza las credenciales del usuario final para hacer lectura recurrente, ¿quién guarda el token, Unnax o el merchant?
El proveedor del servicio de agregación bancaria es, conforme a la normativa aplicable, quien debe garantizar la confidencialidad y la integridad de las credenciales de seguridad personalizadas del usuario que consume el servicio, incluidos los códigos de autenticación.
Tratamiento de datos en Unnax
En Unnax nos encontramos en continuo análisis de las necesidades de nuestros clientes para poder en todos los casos, asegurar que se cumplen las expectativas de nuestros clientes para con el servicio, así como un cumplimiento total del marco regulatorio aplicable al tratamiento de los datos y así ofrecerles el mejor servicio de agregación bancaria.
“Algo que sin duda nos diferencia en el mercado con respecto a otros proveedores de servicios de agregación, es que somos una compañía claramente orientada al cumplimiento de la regulación aplicable. En este sentido, toda la compañía es muy consciente de la responsabilidad que tenemos en la gestión del dato de los usuarios que consumen el servicio de agregación bancaria de Unnax. Es posible tener una buena experiencia de usuario a la vez que se cumple con la normativa, por cuanto la primera no debe depender únicamente de cuántos consentimientos se soliciten a un usuario.” – Estefanía Ramos, Chief Compliance Officer en Unnax.
