Videoconferencia para servicios de inversión: qué exige MiFID II

Aviso legal: Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Los requisitos de MiFID II, el RGPD y la normativa nacional aplicable varían según el tipo de entidad, la jurisdicción y la actividad desarrollada. Consulta con asesoramiento jurídico cualificado para orientación específica a tu organización.

En 2024, las autoridades nacionales competentes del Espacio Económico Europeo dictaron 294 sanciones específicamente bajo MiFID II y MiFIR, por un importe total de casi 44,5 millones de euros, según el Informe Anual de Sanciones 2024 de la ESMA (Autoridad Europea de Valores y Mercados). Considerando todas las regulaciones financieras de la UE en conjunto, los supervisores impusieron más de 970 sanciones por un importe agregado superior a 100 millones de euros ese mismo año. MiFID II/MiFIR fue, junto con el Reglamento sobre Abuso de Mercado, uno de los dos regímenes con mayor actividad sancionadora. Muchas de esas acciones tuvieron su origen en fallos en la grabación y conservación de comunicaciones con clientes. Esa categoría incluye ahora, de forma explícita, las videollamadas.

El asesoramiento híbrido ya no es una solución temporal de pandemia. Es el modelo habitual. Gestores de patrimonio, asesores de inversiones y responsables de cumplimiento normativo celebran reuniones con clientes en plataformas de vídeo cada día. La ESMA, la FCA (Autoridad de Conducta Financiera del Reino Unido), BaFin (Autoridad Federal de Supervisión Financiera alemana) y la CNMV (Comisión Nacional del Mercado de Valores) en España esperan que la misma disciplina que se aplica desde hace años a la grabación telefónica se extienda ahora a cada videollamada en la que se discutan o presten servicios de inversión.

El problema es que la mayoría de las plataformas de vídeo no se diseñaron con este requisito en mente. Este artículo explica qué exige realmente MiFID II en materia de grabación de vídeo, cómo se relaciona con el RGPD y qué aspecto tiene una infraestructura de vídeo que cumple la normativa en la práctica.

Por qué los servicios financieros necesitan videoconferencia específica

El paso del asesoramiento por teléfono a la videoconferencia ha sido un cambio estructural y duradero. El trabajo híbrido posterior al COVID aceleró una transición que ya estaba en marcha, y los supervisores han adaptado sus expectativas en consecuencia.

Bajo MiFID II, las videollamadas se consideran «comunicaciones electrónicas» a efectos de la obligación de grabación del artículo 16(7). La ESMA ha sido coherente en este punto: la expectativa regulatoria no se limita a las llamadas telefónicas. Cualquier comunicación realizada a través de una plataforma que pueda dar lugar a la prestación de servicios de inversión o a la ejecución de una operación está dentro del ámbito de aplicación, independientemente del canal utilizado. El alcance es, sin embargo, más acotado de lo que puede parecer a primera vista. El artículo 16(7) se aplica específicamente a las comunicaciones relacionadas con los servicios de gestión de órdenes de clientes (recepción, transmisión y ejecución de órdenes) y con las operaciones por cuenta propia. Las llamadas de verificación KYC (verificación de identidad del cliente) y AML (prevención del blanqueo de capitales) se rigen por normas distintas, y las reuniones de comités internos que no impliquen la recepción ni la ejecución de órdenes de clientes quedan fuera del ámbito de aplicación.

Las empresas exclusivamente de asesoramiento en inversión pueden acogerse a la exención de discrecionalidad nacional prevista en el artículo 3 de MiFID II. Esta exención sustituye la obligación plena de grabación por el requisito de elaborar notas contemporáneas. En España, las Empresas de Asesoramiento Financiero (EAF), anteriormente denominadas EAFI, supervisadas por la CNMV, son el tipo de entidad que con más frecuencia puede acogerse a esta excepción nacional. La CNMV establece las condiciones específicas bajo las cuales puede aplicarse. Consulta con asesoramiento jurídico cualificado si tu empresa podría estar incluida en este supuesto antes de decidir qué sesiones requieren el régimen completo del artículo 16(7).

En España, las obligaciones de grabación aplican principalmente a las Empresas de Servicios de Inversión (ESI) — incluyendo Sociedades de Valores, Agencias de Valores y Sociedades Gestoras de Carteras — así como a las entidades de crédito que prestan servicios de inversión y a las Sociedades Gestoras de Instituciones de Inversión Colectiva (SGIIC) en el ámbito de sus actividades MiFID. Las entidades de crédito españolas están sometidas, además, a la supervisión dual del Banco de España en materia prudencial y de la CNMV en materia de servicios de inversión.

La FCA ha aplicado requisitos equivalentes en su marco SYSC 10A. Las empresas con actividad en el Reino Unido deben tener en cuenta que, desde el Brexit y tras la declaración de política PS25/13 de la FCA de octubre de 2025, las normas de grabación han quedado incorporadas al FCA Handbook como un régimen autónomo del Reino Unido. Los requisitos sustantivos son similares, pero la base jurídica es ahora FCA SYSC 10A, no la Directiva 2014/65/UE directamente. Las entidades con actividad transfronteriza UE/Reino Unido se enfrentan a obligaciones de doble jurisdicción.

Las multas bajo MiFID II pueden alcanzar 5 millones de euros o el 10 % del volumen de negocios anual, aplicándose la cifra que resulte mayor. Más allá de las sanciones económicas, las empresas se exponen a la revocación de su autorización, a un mayor escrutinio supervisor y a un daño reputacional de difícil cuantificación, aunque fácil de prevenir con las medidas adecuadas.

El problema concreto es que las plataformas diseñadas para la colaboración empresarial general (como Zoom, Microsoft Teams o Cisco Webex) no se construyeron de serie para cumplir estos requisitos. La grabación suele depender de la acción del usuario o de la programación de la sesión. Los servidores predeterminados pueden estar en Estados Unidos. La inmutabilidad, el registro de la cadena de custodia y la integración mediante API con sistemas de archivo son funciones que, o no existen, o requieren herramientas adicionales significativas. Para las empresas que necesitan videollamadas que los supervisores bancarios acepten realmente, esto supone una carencia real.

Requisitos de grabación de MiFID II: lo que dice la ley

El artículo 16(7) de la Directiva 2014/65/UE es la disposición central. Obliga a las empresas de inversión a grabar las conversaciones telefónicas y las comunicaciones electrónicas relacionadas con las operaciones concluidas al operar por cuenta propia y con la prestación de servicios de gestión de órdenes de clientes que cubran la recepción, transmisión y ejecución de órdenes.

En España, estas obligaciones están transpuestas y son exigibles en virtud de la Ley 6/2023 del Mercado de Valores y de los Servicios de Inversión (LMV), que derogó la anterior legislación en la materia. La CNMV, como autoridad nacional competente, supervisa su aplicación y ha desarrollado requisitos de organización interna en este ámbito a través de su Circular 1/2021. La CNMV, como miembro de la ESMA, aplica directamente las orientaciones y preguntas y respuestas de la ESMA en su práctica supervisora. Las entidades españolas pueden invocar la Q&A 2416 de la ESMA con la misma autoridad que una orientación emitida directamente por la CNMV.

El segundo subpárrafo del artículo 16(7) extiende la obligación más allá de las operaciones completadas. Aquí es donde muchas empresas interpretan mal el ámbito de aplicación. Según confirmó la ESMA en la Q&A 2416 (respuesta publicada en junio de 2025), las comunicaciones destinadas a concluir transacciones también deben grabarse, aunque la operación no llegue a ejecutarse finalmente. El ámbito abarca cualquier conversación que pueda dar lugar a una transacción, no solo las que efectivamente la producen.

Lo que hay que capturar va más allá de un simple flujo de audio o vídeo:

• Flujos de audio y vídeo, junto con cualquier actividad de pantalla compartida
• Identidad de los participantes: nombre, cargo y empresa, según corresponda
• Marcas de tiempo de inicio y fin, y duración de la sesión
• Metadatos de la sesión: identificador de sala o reunión, método de conexión, eventos de entrada y salida de participantes
• Mensajes de chat intercambiados durante la sesión

El plazo de conservación según el artículo 16(7) es de un mínimo de cinco años, ampliable a siete a petición de la autoridad competente. BaFin, por ejemplo, puede solicitar la ampliación a siete años; la CNMV dispone de la misma facultad. Las empresas con actividad en Alemania deben planificar por defecto con un horizonte de siete años. Lo más prudente, con carácter general, es no tratar el período de cinco años como un límite máximo fiable.

Los requisitos de accesibilidad implican que las grabaciones deben ponerse a disposición de los supervisores con rapidez a su solicitud y deben mantenerse legibles y sin degradación durante todo el período de conservación. La capacidad de búsqueda por nombre de cliente, fecha y asesor es una expectativa operativa, no un añadido opcional.

La infraestructura de grabación bajo control de la empresa es un requisito firme. Las orientaciones de la ESMA en sus Q&A son claras: las empresas de inversión no pueden depender de los dispositivos propios de los participantes para capturar las grabaciones. Si un cliente se une a una videollamada desde su propio dispositivo y la graba localmente, esa grabación no satisface las obligaciones de la empresa bajo el artículo 16(7). La plataforma de la empresa debe capturar y conservar la sesión de forma independiente.

La intersección con el RGPD: cómo cumplir ambas obligaciones

La pregunta más frecuente que afrontan los responsables de cumplimiento al implementar flujos de trabajo de grabación de vídeo es cómo conciliar la obligación de grabación imperativa de MiFID II con los principios de consentimiento y minimización de datos del Reglamento General de Protección de Datos (RGPD).

• Base jurídica para la grabación. El artículo 6(1)(c) del RGPD establece una base jurídica para el tratamiento cuando es necesario para el cumplimiento de una obligación legal. El artículo 16(7) de MiFID II es precisamente esa obligación legal. No se requiere el consentimiento explícito del participante, y no debe basarse en él, porque el consentimiento puede retirarse. La base de obligación legal es la correcta y adecuada para la grabación regulatoria.
• La transparencia sigue siendo obligatoria. Los artículos 13 y 14 del RGPD exigen que los interesados sean informados sobre el tratamiento de sus datos personales. Para las grabaciones de videollamadas, esto significa que los participantes deben ser informados al inicio de la sesión de que la llamada está siendo grabada y con qué finalidad. El enfoque habitual es una comunicación automatizada al comenzar la sesión: «Esta llamada está siendo grabada a efectos de cumplimiento normativo conforme a los requisitos de MiFID II». Esto satisface el requisito de transparencia del RGPD sin necesidad de consentimiento activo.
• Derechos de los interesados durante el período de conservación. Los clientes pueden ejercer su derecho de acceso del artículo 15 para solicitar una copia de su grabación. Sin embargo, el derecho de supresión del artículo 17 no prevalece sobre la obligación de conservación de MiFID II. Cuando una obligación legal exige conservar los datos, el responsable del tratamiento no está obligado a atender una solicitud de supresión. El artículo 17(3)(b) del RGPD lo establece expresamente. La grabación debe conservarse durante todo el período regulatorio.
• El conflicto de conservación se resuelve a favor de MiFID II. El principio de limitación del plazo de conservación del RGPD exige que los datos personales no se conserven más tiempo del necesario. El requisito de conservación de cinco a siete años de MiFID II es la obligación legal específica que define qué se entiende por «necesario» en este contexto. MiFID II opera como lex specialis — es decir, la norma más específica prevalece sobre la general. Las empresas no deben suprimir grabaciones para cumplir el RGPD si MiFID II exige su conservación.
• Consideraciones transfronterizas. Cuando un cliente está domiciliado en una jurisdicción de la UE distinta a la del asesor, se aplican los requisitos de residencia de datos de ambas jurisdicciones. Las grabaciones deben almacenarse dentro de la infraestructura de la UE y, donde la legislación nacional imponga requisitos adicionales, deben respetarse también.

En España, el RGPD se aplica conjuntamente con la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Para el caso específico de la grabación de videollamadas en el contexto del asesoramiento en inversiones, la base jurídica y el análisis del conflicto entre conservación regulatoria y derechos de los interesados son equivalentes a los descritos anteriormente. La Agencia Española de Protección de Datos (AEPD) es la autoridad de control competente en España para los aspectos relativos al RGPD y la LOPDGDD. La AEPD ha publicado orientaciones específicas sobre el uso de herramientas de videoconferencia que las entidades financieras deben tener en cuenta en su evaluación de conformidad.

Requisitos de cifrado, integridad y registro de auditoría

El cumplimiento normativo de las grabaciones de vídeo no se limita a capturar la llamada. También exige protegerla frente a manipulaciones, controlar el acceso y mantener una cadena de custodia completa desde su creación hasta su supresión.

• Requisitos de cifrado. Las grabaciones deben estar protegidas frente al acceso no autorizado (confidencialidad) y frente a su alteración (integridad). La base normativa del cifrado en reposo es el artículo 32 del RGPD, que exige medidas técnicas y organizativas adecuadas para proteger los datos personales. El cifrado AES-256 para las grabaciones almacenadas y los datos de copia de seguridad es el estándar actual del sector. El artículo 76 del Reglamento Delegado de la Comisión 2017/565 establece el marco de política y calidad para las grabaciones, incluidos los requisitos de almacenamiento a prueba de manipulaciones, pero el estándar de cifrado específico deriva del artículo 32 del RGPD.
• Verificación de integridad. Un hash criptográfico generado en el momento de la captura ofrece un mecanismo con evidencia de integridad: si el archivo de grabación se altera posteriormente, el hash dejará de coincidir. Algunos supervisores interpretan el requisito de «no degradación» como la necesidad de almacenamiento de solo adición o compatible con WORM (escritura única, lectura múltiple).
• Requisitos del registro de auditoría. Cada acceso a una grabación debe quedar registrado: quién accedió, cuándo, desde qué sistema y con qué finalidad declarada. Esta cadena de custodia constituye el registro probatorio del tratamiento correcto durante todo el ciclo de conservación. El propio registro de auditoría debe almacenarse de forma separada de las grabaciones y estar protegido frente a modificaciones.
• Cadena de custodia desde la creación hasta la supresión. Las empresas deben poder acreditar la custodia continua y controlada de cada grabación desde su creación hasta su supresión segura al vencer el período de conservación. La supresión debe quedar documentada: una marca de tiempo de supresión, confirmación de que el contenido fue destruido de forma segura y un registro de metadatos retenido que acredite cuándo se creó la grabación y cuándo fue destruida.

Políticas de conservación de datos para grabaciones de vídeo financieras

• La referencia de los cinco años. El artículo 16(7) de MiFID II establece un período mínimo de conservación de cinco años desde la fecha de la grabación. El plazo comienza en la fecha de creación de la grabación, no en la fecha en que se completa una operación o se ejecuta una orden.
• Planificar con siete años. Las autoridades competentes pueden ampliar la obligación de conservación a siete años a su solicitud. BaFin y la CNMV disponen de esta facultad y pueden ejercerla. Cualquier empresa bajo investigación activa o revisión supervisora puede recibir esa solicitud. Lo más prudente es planificar con un horizonte de siete años por defecto.
• Copias de seguridad y redundancia. Las copias de seguridad de las grabaciones deben estar separadas geográficamente del almacenamiento principal, cifradas con los mismos estándares que el almacenamiento primario, y someterse a pruebas de restauración con regularidad. Una copia de seguridad que no pueda restaurarse con éxito no es una copia de seguridad conforme.
• Supresión segura. Una vez transcurrido el período de conservación aplicable, las grabaciones deben suprimirse de forma segura para que la recuperación sea imposible. El evento de supresión debe quedar registrado, incluyendo la fecha, el identificador de la grabación y la confirmación de que la destrucción se completó. Los registros de metadatos (fecha, participantes, duración, marca de tiempo de supresión) deben conservarse tras la supresión del contenido como prueba de un tratamiento conforme durante todo el ciclo de vida.

Lista de evaluación: cómo elegir una plataforma para el cumplimiento normativo

Usa esta lista como punto de partida al evaluar plataformas de vídeo para el cumplimiento de MiFID II en 2026. No es exhaustiva, y tu equipo jurídico debe realizar una evaluación completa frente a los requisitos nacionales aplicables.

Infraestructura de grabación

• Grabación automática del lado del servidor, no iniciada por el usuario ni dependiente de la acción de los participantes
• Configuración de obligatoriedad por tipo de sala
• El archivo de salida incluye audio, vídeo y pantalla compartida combinados en formato MP4

Cifrado e integridad

• Cifrado AES-256 en reposo para todas las grabaciones y copias de seguridad
• TLS 1.3 / DTLS-SRTP para los flujos multimedia en tránsito
• Almacenamiento con evidencia de integridad (hash criptográfico o compatible con WORM)

Control de acceso y registro de auditoría

• Control de acceso basado en roles (RBAC) para reproducción, descarga y supresión de grabaciones
• Registros de acceso inalterables: quién accedió a cada grabación, cuándo, desde qué sistema
• Registros almacenados de forma separada del almacenamiento de grabaciones en producción

Conservación y supresión

• Períodos de conservación configurables (mínimo 5 años, hasta 7)
• Supresión segura con prueba documentada de destrucción
• Conservación de metadatos tras la supresión del contenido

Residencia de datos en la UE

• Todas las grabaciones almacenadas dentro de la infraestructura de la UE
• Ningún dato transferido a infraestructura de terceros países sin las garantías adecuadas
• Subencargados del tratamiento identificados, con ubicaciones en la UE confirmadas en el acuerdo de tratamiento de datos (ATD)

Integración con sistemas de archivo

• API REST o exportación basada en webhooks a sistemas de archivo de cumplimiento (NICE, Verint, Global Relay)
• Metadatos de sesión accesibles junto al contenido de la grabación

ATD y documentación de cumplimiento

• Acuerdo de tratamiento de datos (ATD) conforme al artículo 28 del RGPD disponible
• Documento de arquitectura de seguridad equivalente disponible para revisión regulatoria

Cómo responde Digital Samba a los requisitos de cumplimiento financiero

La plataforma la construimos desde cero pensando en el cumplimiento normativo empresarial. La arquitectura da respuesta a cada uno de los requisitos descritos anteriormente. Ten en cuenta que la documentación de la plataforma no sustituye a tu propia evaluación jurídica y técnica antes de tratar cualquier solución como conforme para las obligaciones específicas de tu empresa.

• Infraestructura de grabación. La API de grabaciones permite la captura del lado del servidor de forma automática, basada en políticas y sin depender de la acción de ningún participante. Los responsables de cumplimiento pueden configurar la grabación automática a nivel de sala, de modo que cada sesión con clientes quede capturada sin que los anfitriones tengan que iniciar la grabación manualmente. El resultado es un archivo MP4 combinado (audio, vídeo y pantalla compartida) accesible a través de la API REST o el panel de control.
• Cifrado en reposo. El cifrado AES-256 se aplica a todas las grabaciones almacenadas y a los datos de copia de seguridad.
• Cifrado en tránsito. TLS 1.3 es el estándar para todo el tráfico web (mínimo TLS 1.2), con DTLS-SRTP para los flujos multimedia. HSTS se aplica en todos los servicios web.
• Control de acceso. RBAC con roles de anfitrión, moderador y participante se aplica del lado del servidor. Las claves de API con alcance restringido limitan el acceso de integración a operaciones específicas. La autenticación por token en cada sesión asegura que solo puedan unirse participantes previamente autorizados.
• Registro de auditoría. La plataforma registra eventos de autenticación, accesos a la API, acciones administrativas y eventos de seguridad. Los registros de auditoría se almacenan de forma separada de los sistemas en producción.
• Residencia de datos en la UE. La infraestructura de producción principal está alojada en los Países Bajos (Leaseweb NL); la infraestructura de copia de seguridad, en Alemania (Leaseweb DE). Scaleway y Exoscale son subencargados del tratamiento adicionales con infraestructura en la UE. Ningún dato de aplicación o sesión se almacena fuera de la UE. La lista completa de subencargados está disponible en el ATD previa solicitud. Digital Samba tiene su sede en España, bajo jurisdicción de la UE, lo que elimina la exposición a la Cloud Act de Estados Unidos: ninguna entidad estadounidense trata datos de grabaciones o sesiones.
• Copia de seguridad y recuperación. Copias de seguridad diarias con retención rotativa de 90 días, cifradas con AES-256 y separadas geográficamente de Países Bajos a Alemania. Las pruebas de restauración trimestrales confirman la recuperabilidad.
• Integración con sistemas de archivo. La API REST da acceso programático a grabaciones, metadatos de sesión y datos de participantes. Las empresas pueden exportar a sus propios sistemas de archivo o vigilancia según un calendario fijo o cuando se produce un evento, a través de webhooks.
• Despliegue en las instalaciones propias. Para las empresas que requieren control total de la infraestructura (banca privada con requisitos estrictos de soberanía de datos), Digital Samba ofrece una implantación on-premises en la que el cliente gestiona todos los componentes de la plataforma en su propia infraestructura.
• E2EE para sesiones internas. Para llamadas del consejo de administración, debates internos de estrategia o sesiones en las que no se requiere grabación regulatoria, el cifrado de extremo a extremo (E2EE) ofrece máxima confidencialidad. El E2EE deshabilita la grabación del lado del servidor por diseño. Los responsables de cumplimiento pueden configurarlo por sala: E2EE activado para llamadas internas, E2EE desactivado con grabación automática para las sesiones de asesoramiento a clientes.
• ATD. Disponible previa solicitud, que cubre la grabación de vídeo como actividad de tratamiento. Conforme al artículo 28 del RGPD con todos los proveedores de infraestructura. Escríbenos a security@digitalsamba.com para solicitarlo.

Integración con la infraestructura de cumplimiento financiero

Grabar una sesión es solo el primer paso. Para que la plataforma encaje en el sistema de cumplimiento de tu empresa, tiene que conectar con los sistemas de archivo, vigilancia y eDiscovery sin intervención manual.

La API REST y los eventos de webhook actúan como capa de integración. Tres eventos de webhook clave activan los flujos de trabajo de cumplimiento: session.started, session.ended y recording.available. Así funciona el archivo en la práctica:

1. El webhook recording.available se activa automáticamente al finalizar una sesión.
2. La capa de integración de la empresa descarga la grabación a través de la API REST.
3. El archivo se incorpora al sistema de archivo (NICE, Verint, Global Relay o equivalente).
4. El sistema de archivo confirma la correcta incorporación.
5. La grabación se elimina opcionalmente del almacenamiento de Digital Samba, pasando el sistema de archivo a ser el depositario oficial de la copia.

Los metadatos de sesión (identificadores de sesión, listas de participantes, marcas de tiempo, configuración de sala) pueden combinarse con datos del CRM para crear un archivo de cumplimiento con capacidad de búsqueda. Para las empresas con plataformas de vigilancia existentes, esto significa que las grabaciones de vídeo se integran junto a los registros telefónicos y de chat en una interfaz de cumplimiento unificada.

Comparativa de plataformas: Zoom, Teams, Webex y Digital Samba

Nota: Los grabadores de cumplimiento certificados, como ASC Technologies, Theta Lake, NICE, Verint y Global Relay, son el enfoque establecido en el sector para extender cualquier plataforma de videoconferencia hasta cubrir los requisitos de MiFID II en materia de evidencia de integridad y conservación de grado auditoría. Reconocidos por la ESMA. Evalúa todas las plataformas frente a tus requisitos regulatorios y con el asesoramiento de abogados cualificados.

Preguntas frecuentes

¿Obliga MiFID II a grabar las videollamadas con clientes?

Sí. Las videollamadas se consideran «comunicaciones electrónicas» a efectos del artículo 16(7) de MiFID II. Cualquier comunicación realizada a través de una plataforma que pueda dar lugar a la prestación de servicios de inversión o a la ejecución de una operación queda dentro del ámbito de aplicación, independientemente del canal utilizado. La obligación no solo alcanza a las llamadas que dan lugar a una operación: también se extiende a las comunicaciones destinadas a concluir transacciones, aunque la operación no llegue a ejecutarse. Quedan fuera del ámbito las llamadas de verificación KYC/AML, que se rigen por regímenes normativos distintos, y las reuniones de comités internos que no impliquen la recepción ni la ejecución de órdenes de clientes.

¿Cuánto tiempo hay que conservar las grabaciones de videollamadas?

El artículo 16(7) de MiFID II establece un período mínimo de conservación de cinco años desde la fecha de la grabación. Las autoridades nacionales competentes — entre ellas la CNMV en España y BaFin en Alemania — pueden ampliar ese plazo a siete años a su solicitud. Cualquier empresa bajo investigación activa o revisión supervisora puede recibir esa solicitud. Lo más prudente es planificar con un horizonte de siete años por defecto, en lugar de tratar los cinco años como un límite máximo. El plazo de conservación comienza en la fecha de creación de la grabación, no en la fecha de la operación.

¿Cómo afecta el RGPD a la obligación de grabación bajo MiFID II?

La base jurídica para grabar es el artículo 6(1)(c) del RGPD: el tratamiento es necesario para el cumplimiento de una obligación legal. MiFID II establece exactamente esa obligación. No hace falta obtener el consentimiento del participante, y no se debe basar en él, porque el consentimiento puede retirarse. La obligación de transparencia del RGPD sí se mantiene: los participantes deben ser informados al inicio de cada sesión de que la llamada está siendo grabada y con qué finalidad. En cuanto a la conservación, MiFID II opera como lex specialis — la norma más específica prevalece sobre la general — y el período de cinco a siete años que establece define qué se considera «necesario» a efectos del principio de limitación del plazo de conservación del RGPD. En España, la LOPDGDD complementa el RGPD con obligaciones adicionales, aunque el análisis para la grabación de videollamadas en contexto financiero es equivalente al descrito.

¿Qué sanciones prevé MiFID II por incumplimiento de las normas de grabación?

Las multas por incumplimiento de MiFID II pueden alcanzar 5 millones de euros o el 10 % del volumen de negocios anual, aplicándose la cifra que resulte mayor. Cuando la infracción genere un beneficio cuantificable, la sanción puede llegar hasta el doble de ese beneficio. Más allá de la sanción económica, las empresas se exponen a la revocación de su autorización, a un mayor escrutinio supervisor y a daño reputacional. En 2024, las autoridades nacionales competentes del EEE impusieron 294 sanciones específicamente bajo MiFID II y MiFIR, por un importe total de casi 44,5 millones de euros.

¿Qué papel tiene la CNMV en la supervisión del cumplimiento de la grabación MiFID II?

La CNMV (Comisión Nacional del Mercado de Valores) es la autoridad nacional competente en España para la supervisión de MiFID II. Es la CNMV quien puede solicitar que el período de conservación de las grabaciones se amplíe de cinco a siete años, y quien puede requerir acceso a esas grabaciones en el marco de una investigación o revisión supervisora. La CNMV ha desarrollado los requisitos de organización interna para las empresas de servicios de inversión mediante su Circular 1/2021. Como miembro de la ESMA, aplica directamente las orientaciones y Q&A de la ESMA — incluida la Q&A 2416 sobre el ámbito de las comunicaciones que deben grabarse — con la misma autoridad que si fueran orientaciones propias. La CNMV también supervisa las condiciones específicas bajo las cuales las EAF pueden acogerse a la exención del artículo 3.

¿Pueden los clientes solicitar la supresión de sus grabaciones al amparo del RGPD?

No, durante el período de conservación regulatoria. El artículo 17(3)(b) del RGPD establece que el derecho de supresión no se aplica cuando el tratamiento es necesario para el cumplimiento de una obligación legal. MiFID II obliga a conservar las grabaciones durante cinco años (o hasta siete, si la autoridad competente lo solicita), y esa obligación prevalece sobre el derecho al olvido del cliente. Una vez transcurrido el período de conservación aplicable, las grabaciones deben suprimirse de forma segura. Los clientes sí pueden ejercer su derecho de acceso (artículo 15 del RGPD) para solicitar una copia de su grabación en cualquier momento durante el período de conservación.

¿En qué se diferencia una plataforma de videoconferencia convencional de una diseñada para el cumplimiento normativo en servicios de inversión?

Las plataformas de uso general como Zoom, Microsoft Teams o Cisco Webex no se diseñaron de serie para cumplir los requisitos de MiFID II. La grabación suele depender de la acción del usuario o de la programación de la sesión. Los servidores predeterminados pueden estar en Estados Unidos. La inmutabilidad, el registro de la cadena de custodia y la integración mediante API con sistemas de archivo son funciones que, o no existen, o requieren herramientas adicionales significativas. Una plataforma diseñada para el cumplimiento normativo ofrece: grabación automática del lado del servidor sin intervención del usuario, cifrado AES-256 en reposo con verificación de integridad, residencia de datos exclusivamente en la UE, control de acceso basado en roles, registros de auditoría inalterables y exportación mediante API REST o webhooks a los sistemas de archivo de cumplimiento del sector (NICE, Verint, Global Relay).

Qué aspecto tiene la infraestructura de vídeo que cumple la normativa en 2026

Las obligaciones de grabación de MiFID II han incluido siempre las videollamadas. Lo que ha cambiado es el volumen de actividad de asesoramiento en vídeo que ahora cae dentro del ámbito de aplicación, y la intensidad de la actividad sancionadora que se aplica a las empresas que no tratan el vídeo como el canal de comunicación regulado que es.

Una plataforma de vídeo de uso general con grabación opcional no es infraestructura conforme. Lo que el cumplimiento de MiFID II exige realmente en 2026 es: grabación automática del lado del servidor, cifrado con verificación de integridad, residencia de datos en la UE, control de acceso basado en roles, registro de auditoría completo e integración mediante API con tu sistema de archivo de cumplimiento existente. Para eso construimos Digital Samba.

Solicita una demo para ver las funciones de grabación, cifrado y cumplimiento en acción. Descarga nuestro informe de seguridad para obtener información técnica completa sobre arquitectura, especificaciones de cifrado y documentación de subencargados.

¿Necesitas el ATD para tu proceso de due diligence? Escríbenos a security@digitalsamba.com.