Aviso legal: Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Los requisitos de MiFID II, el RGPD y la normativa nacional aplicable varían según el tipo de entidad, la jurisdicción y la actividad desarrollada. Consulta con asesoramiento jurídico cualificado para orientación específica a tu organización.
En 2024, las autoridades nacionales competentes del Espacio Económico Europeo dictaron 294 sanciones específicamente bajo MiFID II y MiFIR, por un importe total de casi 44,5 millones de euros, según el Informe Anual de Sanciones 2024 de la ESMA (Autoridad Europea de Valores y Mercados). Considerando todas las regulaciones financieras de la UE en conjunto, los supervisores impusieron más de 970 sanciones por un importe agregado superior a 100 millones de euros ese mismo año. MiFID II/MiFIR fue, junto con el Reglamento sobre Abuso de Mercado, uno de los dos regímenes con mayor actividad sancionadora. Muchas de esas acciones tuvieron su origen en fallos en la grabación y conservación de comunicaciones con clientes. Esa categoría incluye ahora, de forma explícita, las videollamadas.
El asesoramiento híbrido ya no es una solución temporal de pandemia. Es el modelo habitual. Gestores de patrimonio, asesores de inversiones y responsables de cumplimiento normativo celebran reuniones con clientes en plataformas de vídeo cada día. La ESMA, la FCA (Autoridad de Conducta Financiera del Reino Unido), BaFin (Autoridad Federal de Supervisión Financiera alemana) y la CNMV (Comisión Nacional del Mercado de Valores) en España esperan que la misma disciplina que se aplica desde hace años a la grabación telefónica se extienda ahora a cada videollamada en la que se discutan o presten servicios de inversión.
El problema es que la mayoría de las plataformas de vídeo no se diseñaron con este requisito en mente. Este artículo explica qué exige realmente MiFID II en materia de grabación de vídeo, cómo se relaciona con el RGPD y qué aspecto tiene una infraestructura de vídeo que cumple la normativa en la práctica.
El paso del asesoramiento por teléfono a la videoconferencia ha sido un cambio estructural y duradero. El trabajo híbrido posterior al COVID aceleró una transición que ya estaba en marcha, y los supervisores han adaptado sus expectativas en consecuencia.
Bajo MiFID II, las videollamadas se consideran «comunicaciones electrónicas» a efectos de la obligación de grabación del artículo 16(7). La ESMA ha sido coherente en este punto: la expectativa regulatoria no se limita a las llamadas telefónicas. Cualquier comunicación realizada a través de una plataforma que pueda dar lugar a la prestación de servicios de inversión o a la ejecución de una operación está dentro del ámbito de aplicación, independientemente del canal utilizado. El alcance es, sin embargo, más acotado de lo que puede parecer a primera vista. El artículo 16(7) se aplica específicamente a las comunicaciones relacionadas con los servicios de gestión de órdenes de clientes (recepción, transmisión y ejecución de órdenes) y con las operaciones por cuenta propia. Las llamadas de verificación KYC (verificación de identidad del cliente) y AML (prevención del blanqueo de capitales) se rigen por normas distintas, y las reuniones de comités internos que no impliquen la recepción ni la ejecución de órdenes de clientes quedan fuera del ámbito de aplicación.
Las empresas exclusivamente de asesoramiento en inversión pueden acogerse a la exención de discrecionalidad nacional prevista en el artículo 3 de MiFID II. Esta exención sustituye la obligación plena de grabación por el requisito de elaborar notas contemporáneas. En España, las Empresas de Asesoramiento Financiero (EAF), anteriormente denominadas EAFI, supervisadas por la CNMV, son el tipo de entidad que con más frecuencia puede acogerse a esta excepción nacional. La CNMV establece las condiciones específicas bajo las cuales puede aplicarse. Consulta con asesoramiento jurídico cualificado si tu empresa podría estar incluida en este supuesto antes de decidir qué sesiones requieren el régimen completo del artículo 16(7).
En España, las obligaciones de grabación aplican principalmente a las Empresas de Servicios de Inversión (ESI) — incluyendo Sociedades de Valores, Agencias de Valores y Sociedades Gestoras de Carteras — así como a las entidades de crédito que prestan servicios de inversión y a las Sociedades Gestoras de Instituciones de Inversión Colectiva (SGIIC) en el ámbito de sus actividades MiFID. Las entidades de crédito españolas están sometidas, además, a la supervisión dual del Banco de España en materia prudencial y de la CNMV en materia de servicios de inversión.
La FCA ha aplicado requisitos equivalentes en su marco SYSC 10A. Las empresas con actividad en el Reino Unido deben tener en cuenta que, desde el Brexit y tras la declaración de política PS25/13 de la FCA de octubre de 2025, las normas de grabación han quedado incorporadas al FCA Handbook como un régimen autónomo del Reino Unido. Los requisitos sustantivos son similares, pero la base jurídica es ahora FCA SYSC 10A, no la Directiva 2014/65/UE directamente. Las entidades con actividad transfronteriza UE/Reino Unido se enfrentan a obligaciones de doble jurisdicción.
Las multas bajo MiFID II pueden alcanzar 5 millones de euros o el 10 % del volumen de negocios anual, aplicándose la cifra que resulte mayor. Más allá de las sanciones económicas, las empresas se exponen a la revocación de su autorización, a un mayor escrutinio supervisor y a un daño reputacional de difícil cuantificación, aunque fácil de prevenir con las medidas adecuadas.
El problema concreto es que las plataformas diseñadas para la colaboración empresarial general (como Zoom, Microsoft Teams o Cisco Webex) no se construyeron de serie para cumplir estos requisitos. La grabación suele depender de la acción del usuario o de la programación de la sesión. Los servidores predeterminados pueden estar en Estados Unidos. La inmutabilidad, el registro de la cadena de custodia y la integración mediante API con sistemas de archivo son funciones que, o no existen, o requieren herramientas adicionales significativas. Para las empresas que necesitan videollamadas que los supervisores bancarios acepten realmente, esto supone una carencia real.
El artículo 16(7) de la Directiva 2014/65/UE es la disposición central. Obliga a las empresas de inversión a grabar las conversaciones telefónicas y las comunicaciones electrónicas relacionadas con las operaciones concluidas al operar por cuenta propia y con la prestación de servicios de gestión de órdenes de clientes que cubran la recepción, transmisión y ejecución de órdenes.
En España, estas obligaciones están transpuestas y son exigibles en virtud de la Ley 6/2023 del Mercado de Valores y de los Servicios de Inversión (LMV), que derogó la anterior legislación en la materia. La CNMV, como autoridad nacional competente, supervisa su aplicación y ha desarrollado requisitos de organización interna en este ámbito a través de su Circular 1/2021. La CNMV, como miembro de la ESMA, aplica directamente las orientaciones y preguntas y respuestas de la ESMA en su práctica supervisora. Las entidades españolas pueden invocar la Q&A 2416 de la ESMA con la misma autoridad que una orientación emitida directamente por la CNMV.
El segundo subpárrafo del artículo 16(7) extiende la obligación más allá de las operaciones completadas. Aquí es donde muchas empresas interpretan mal el ámbito de aplicación. Según confirmó la ESMA en la Q&A 2416 (respuesta publicada en junio de 2025), las comunicaciones destinadas a concluir transacciones también deben grabarse, aunque la operación no llegue a ejecutarse finalmente. El ámbito abarca cualquier conversación que pueda dar lugar a una transacción, no solo las que efectivamente la producen.
Lo que hay que capturar va más allá de un simple flujo de audio o vídeo:
El plazo de conservación según el artículo 16(7) es de un mínimo de cinco años, ampliable a siete a petición de la autoridad competente. BaFin, por ejemplo, puede solicitar la ampliación a siete años; la CNMV dispone de la misma facultad. Las empresas con actividad en Alemania deben planificar por defecto con un horizonte de siete años. Lo más prudente, con carácter general, es no tratar el período de cinco años como un límite máximo fiable.
Los requisitos de accesibilidad implican que las grabaciones deben ponerse a disposición de los supervisores con rapidez a su solicitud y deben mantenerse legibles y sin degradación durante todo el período de conservación. La capacidad de búsqueda por nombre de cliente, fecha y asesor es una expectativa operativa, no un añadido opcional.
La infraestructura de grabación bajo control de la empresa es un requisito firme. Las orientaciones de la ESMA en sus Q&A son claras: las empresas de inversión no pueden depender de los dispositivos propios de los participantes para capturar las grabaciones. Si un cliente se une a una videollamada desde su propio dispositivo y la graba localmente, esa grabación no satisface las obligaciones de la empresa bajo el artículo 16(7). La plataforma de la empresa debe capturar y conservar la sesión de forma independiente.
La pregunta más frecuente que afrontan los responsables de cumplimiento al implementar flujos de trabajo de grabación de vídeo es cómo conciliar la obligación de grabación imperativa de MiFID II con los principios de consentimiento y minimización de datos del Reglamento General de Protección de Datos (RGPD).
En España, el RGPD se aplica conjuntamente con la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Para el caso específico de la grabación de videollamadas en el contexto del asesoramiento en inversiones, la base jurídica y el análisis del conflicto entre conservación regulatoria y derechos de los interesados son equivalentes a los descritos anteriormente. La Agencia Española de Protección de Datos (AEPD) es la autoridad de control competente en España para los aspectos relativos al RGPD y la LOPDGDD. La AEPD ha publicado orientaciones específicas sobre el uso de herramientas de videoconferencia que las entidades financieras deben tener en cuenta en su evaluación de conformidad.
El cumplimiento normativo de las grabaciones de vídeo no se limita a capturar la llamada. También exige protegerla frente a manipulaciones, controlar el acceso y mantener una cadena de custodia completa desde su creación hasta su supresión.
Usa esta lista como punto de partida al evaluar plataformas de vídeo para el cumplimiento de MiFID II en 2026. No es exhaustiva, y tu equipo jurídico debe realizar una evaluación completa frente a los requisitos nacionales aplicables.
La plataforma la construimos desde cero pensando en el cumplimiento normativo empresarial. La arquitectura da respuesta a cada uno de los requisitos descritos anteriormente. Ten en cuenta que la documentación de la plataforma no sustituye a tu propia evaluación jurídica y técnica antes de tratar cualquier solución como conforme para las obligaciones específicas de tu empresa.
Grabar una sesión es solo el primer paso. Para que la plataforma encaje en el sistema de cumplimiento de tu empresa, tiene que conectar con los sistemas de archivo, vigilancia y eDiscovery sin intervención manual.
La API REST y los eventos de webhook actúan como capa de integración. Tres eventos de webhook clave activan los flujos de trabajo de cumplimiento: session.started, session.ended y recording.available. Así funciona el archivo en la práctica:
recording.available se activa automáticamente al finalizar una sesión.Los metadatos de sesión (identificadores de sesión, listas de participantes, marcas de tiempo, configuración de sala) pueden combinarse con datos del CRM para crear un archivo de cumplimiento con capacidad de búsqueda. Para las empresas con plataformas de vigilancia existentes, esto significa que las grabaciones de vídeo se integran junto a los registros telefónicos y de chat en una interfaz de cumplimiento unificada.
| Requisito | Zoom | Microsoft Teams | Cisco Webex | Digital Samba |
|---|---|---|---|---|
| Grabación automática del lado del servidor | Parcial: aplicable por administrador mediante política de grupo; posible elusión con grabación local | Parcial: aplicable por administrador mediante política de reunión; lagunas en algunos tipos de sesión | Parcial: requiere configuración por administrador | Sí: nativa, del lado del servidor, con política aplicada por sala |
| Cubre llamadas entre pares y no programadas | Parcial: solo sesiones programadas por defecto | No: las llamadas P2P y los chats privados no se capturan | Parcial | Sí: todos los tipos de sala configurables |
| Residencia de datos exclusivamente en la UE (nativa) | Parcial: por defecto en EE. UU.; almacenamiento en la UE mediante configuración regional en planes de pago | No: requiere configuración específica de tenant en la UE | Sí: residencia de datos completa en la UE (Fráncfort/Ámsterdam); aprobación EDPS julio de 2023 | Sí: Países Bajos (producción), Alemania (copia de seguridad); ningún dato fuera de la UE |
| Exposición a la Cloud Act de EE. UU. | Sí: empresa constituida en EE. UU. | Sí: empresa constituida en EE. UU. | Parcial: el alojamiento en la UE reduce la exposición; producto de controles soberanos con gestión de claves en la UE | Ninguna: sede en la UE (España); ninguna entidad estadounidense trata datos de grabaciones o sesiones |
| Cifrado AES-256 en reposo | Sí | Sí | Sí | Sí |
| Cifrado de extremo a extremo (E2EE) | Opcional: deshabilita la grabación en la nube | Limitado: condiciona la grabación de cumplimiento | Opcional: deshabilita la grabación del lado del servidor | Sí: configurable por sala |
| Almacenamiento con evidencia de integridad / verificación de integridad | Sí, pero requiere herramientas de terceros | Sí, pero requiere herramientas de terceros | Sí, pero requiere herramientas de terceros | Sí, pero requiere herramientas de terceros |
| Registro de auditoría inalterable para acceso a grabaciones | Sí, pero requiere herramientas de terceros | Sí, pero requiere herramientas de terceros | Sí, pero requiere herramientas de terceros | Sí, pero requiere herramientas de terceros |
| Conservación configurable hasta 7 años | Sí: configurable por administrador | Sí: configurable mediante Microsoft Purview | Sí: configurable mediante Control Hub | Sí: bajo control del cliente a través del panel de control o la API |
| API REST / webhook para exportación a sistemas de archivo | Sí | Sí | Sí | Sí: webhook recording.available |
| Opción de despliegue en instalaciones propias | No | No | Parcial: gateway en instalaciones propias | Sí: totalmente en instalaciones propias con claves de cifrado bajo control del cliente |
| ATD conforme al artículo 28 del RGPD disponible | Sí | Sí | Sí | Sí |
Nota: Los grabadores de cumplimiento certificados, como ASC Technologies, Theta Lake, NICE, Verint y Global Relay, son el enfoque establecido en el sector para extender cualquier plataforma de videoconferencia hasta cubrir los requisitos de MiFID II en materia de evidencia de integridad y conservación de grado auditoría. Reconocidos por la ESMA. Evalúa todas las plataformas frente a tus requisitos regulatorios y con el asesoramiento de abogados cualificados.
Sí. Las videollamadas se consideran «comunicaciones electrónicas» a efectos del artículo 16(7) de MiFID II. Cualquier comunicación realizada a través de una plataforma que pueda dar lugar a la prestación de servicios de inversión o a la ejecución de una operación queda dentro del ámbito de aplicación, independientemente del canal utilizado. La obligación no solo alcanza a las llamadas que dan lugar a una operación: también se extiende a las comunicaciones destinadas a concluir transacciones, aunque la operación no llegue a ejecutarse. Quedan fuera del ámbito las llamadas de verificación KYC/AML, que se rigen por regímenes normativos distintos, y las reuniones de comités internos que no impliquen la recepción ni la ejecución de órdenes de clientes.
El artículo 16(7) de MiFID II establece un período mínimo de conservación de cinco años desde la fecha de la grabación. Las autoridades nacionales competentes — entre ellas la CNMV en España y BaFin en Alemania — pueden ampliar ese plazo a siete años a su solicitud. Cualquier empresa bajo investigación activa o revisión supervisora puede recibir esa solicitud. Lo más prudente es planificar con un horizonte de siete años por defecto, en lugar de tratar los cinco años como un límite máximo. El plazo de conservación comienza en la fecha de creación de la grabación, no en la fecha de la operación.
La base jurídica para grabar es el artículo 6(1)(c) del RGPD: el tratamiento es necesario para el cumplimiento de una obligación legal. MiFID II establece exactamente esa obligación. No hace falta obtener el consentimiento del participante, y no se debe basar en él, porque el consentimiento puede retirarse. La obligación de transparencia del RGPD sí se mantiene: los participantes deben ser informados al inicio de cada sesión de que la llamada está siendo grabada y con qué finalidad. En cuanto a la conservación, MiFID II opera como lex specialis — la norma más específica prevalece sobre la general — y el período de cinco a siete años que establece define qué se considera «necesario» a efectos del principio de limitación del plazo de conservación del RGPD. En España, la LOPDGDD complementa el RGPD con obligaciones adicionales, aunque el análisis para la grabación de videollamadas en contexto financiero es equivalente al descrito.
Las multas por incumplimiento de MiFID II pueden alcanzar 5 millones de euros o el 10 % del volumen de negocios anual, aplicándose la cifra que resulte mayor. Cuando la infracción genere un beneficio cuantificable, la sanción puede llegar hasta el doble de ese beneficio. Más allá de la sanción económica, las empresas se exponen a la revocación de su autorización, a un mayor escrutinio supervisor y a daño reputacional. En 2024, las autoridades nacionales competentes del EEE impusieron 294 sanciones específicamente bajo MiFID II y MiFIR, por un importe total de casi 44,5 millones de euros.
La CNMV (Comisión Nacional del Mercado de Valores) es la autoridad nacional competente en España para la supervisión de MiFID II. Es la CNMV quien puede solicitar que el período de conservación de las grabaciones se amplíe de cinco a siete años, y quien puede requerir acceso a esas grabaciones en el marco de una investigación o revisión supervisora. La CNMV ha desarrollado los requisitos de organización interna para las empresas de servicios de inversión mediante su Circular 1/2021. Como miembro de la ESMA, aplica directamente las orientaciones y Q&A de la ESMA — incluida la Q&A 2416 sobre el ámbito de las comunicaciones que deben grabarse — con la misma autoridad que si fueran orientaciones propias. La CNMV también supervisa las condiciones específicas bajo las cuales las EAF pueden acogerse a la exención del artículo 3.
No, durante el período de conservación regulatoria. El artículo 17(3)(b) del RGPD establece que el derecho de supresión no se aplica cuando el tratamiento es necesario para el cumplimiento de una obligación legal. MiFID II obliga a conservar las grabaciones durante cinco años (o hasta siete, si la autoridad competente lo solicita), y esa obligación prevalece sobre el derecho al olvido del cliente. Una vez transcurrido el período de conservación aplicable, las grabaciones deben suprimirse de forma segura. Los clientes sí pueden ejercer su derecho de acceso (artículo 15 del RGPD) para solicitar una copia de su grabación en cualquier momento durante el período de conservación.
Las plataformas de uso general como Zoom, Microsoft Teams o Cisco Webex no se diseñaron de serie para cumplir los requisitos de MiFID II. La grabación suele depender de la acción del usuario o de la programación de la sesión. Los servidores predeterminados pueden estar en Estados Unidos. La inmutabilidad, el registro de la cadena de custodia y la integración mediante API con sistemas de archivo son funciones que, o no existen, o requieren herramientas adicionales significativas. Una plataforma diseñada para el cumplimiento normativo ofrece: grabación automática del lado del servidor sin intervención del usuario, cifrado AES-256 en reposo con verificación de integridad, residencia de datos exclusivamente en la UE, control de acceso basado en roles, registros de auditoría inalterables y exportación mediante API REST o webhooks a los sistemas de archivo de cumplimiento del sector (NICE, Verint, Global Relay).
Las obligaciones de grabación de MiFID II han incluido siempre las videollamadas. Lo que ha cambiado es el volumen de actividad de asesoramiento en vídeo que ahora cae dentro del ámbito de aplicación, y la intensidad de la actividad sancionadora que se aplica a las empresas que no tratan el vídeo como el canal de comunicación regulado que es.
Una plataforma de vídeo de uso general con grabación opcional no es infraestructura conforme. Lo que el cumplimiento de MiFID II exige realmente en 2026 es: grabación automática del lado del servidor, cifrado con verificación de integridad, residencia de datos en la UE, control de acceso basado en roles, registro de auditoría completo e integración mediante API con tu sistema de archivo de cumplimiento existente. Para eso construimos Digital Samba.
Solicita una demo para ver las funciones de grabación, cifrado y cumplimiento en acción. Descarga nuestro informe de seguridad para obtener información técnica completa sobre arquitectura, especificaciones de cifrado y documentación de subencargados.
¿Necesitas el ATD para tu proceso de due diligence? Escríbenos a security@digitalsamba.com.