La semana en que «cumple con el RGPD» dejó de ser suficiente
Por Zanket GroupPublicado: 7 de julio de 2026
En pocas palabras
El 29 de junio de 2026, el Tribunal Supremo de Estados Unidos dictaminó que la ley que limitaba la capacidad del presidente para destituir a los comisionados de la Federal Trade Commission vulneraba el principio constitucional de separación de poderes. La decisión importa mucho más allá de la propia FTC: la Unión Europea se apoya en parte en la existencia de una supervisión independiente en Estados Unidos cuando evalúa si los datos personales europeos pueden transferirse a empresas estadounidenses participantes en el EU-US Data Privacy Framework.
El marco no desapareció de la noche a la mañana. Sigue formalmente vigente mientras no sea retirado o anulado.
Pero la sentencia volvió a abrir una pregunta que parecía relativamente resuelta:
¿Hasta qué punto puede Europa confiar en la independencia de los reguladores estadounidenses al evaluar la protección de los datos transferidos al otro lado del Atlántico?
El 30 de junio, la organización de privacidad noyb pidió a la Comisión Europea que preparara una derogación ordenada de la actual decisión de adecuación, argumentando que la sentencia socava una de las premisas importantes en las que se apoya. noyb también reconoció expresamente que la decisión sigue siendo jurídicamente válida por ahora.
Esa distinción importa.
No se trata de que las transferencias de datos entre la UE y Estados Unidos se hayan vuelto ilegales de repente.
Se trata de que una base jurídica vuelve a ser incierta.
Para ExtMoney, esa incertidumbre afecta mucho menos a los datos financieros principales porque diseñamos deliberadamente el producto para que la mayor parte de esa información no necesite cruzar el Atlántico.
Espera, ¿qué ocurrió realmente?
Desde 2023, el EU-US Data Privacy Framework proporciona un mecanismo de adecuación que permite transferir datos personales desde la UE a empresas estadounidenses participantes sin tener que establecer un mecanismo de transferencia distinto para cada operación.
Una parte de ese sistema es la supervisión.
Las empresas estadounidenses participantes asumen compromisos de privacidad y organismos como la Federal Trade Commission tienen responsabilidades de cumplimiento. La independencia importa porque el derecho europeo de protección de datos concede mucho peso a una supervisión efectiva e independiente.
Entonces llegó Trump v. Slaughter.
El 29 de junio de 2026, el Tribunal Supremo concluyó que la protección legal que permitía destituir a los comisionados de la FTC únicamente por causa justificada era contraria a la separación constitucional de poderes. En la práctica, eso concede al presidente mucho más control sobre la permanencia de los comisionados de la FTC en sus cargos.
Al día siguiente, noyb escribió a la Comisión Europea afirmando que esto crea un problema serio para el marco UE–EE. UU. y pidiendo una vía ordenada hacia la derogación de la decisión de adecuación.
Eso no significa que el Tribunal Supremo haya invalidado el EU-US Data Privacy Framework.
No lo hizo.
Tampoco significa que una empresa europea ya no pueda utilizar de repente un proveedor cloud estadounidense.
Lo que ha cambiado es el grado de certeza detrás de una frase que se había vuelto rutinaria:
“Nos apoyamos en el EU-US Data Privacy Framework.”
Ya no suena tan estable y definitivo como hace un mes.
Y no es la primera vez.
Safe Harbor fue invalidado en 2015. Privacy Shield siguió en 2020. Ahora, algo más de una década después de la primera de esas decisiones, la arquitectura jurídica que sostiene los flujos transatlánticos de datos vuelve a enfrentarse a una cuestión seria.
Por qué no construimos ExtMoney alrededor de ese puente
La infraestructura principal de ExtMoney funciona en servidores ubicados en Alemania.
Para las partes del producto donde realmente vive tu historial financiero —transacciones, cuentas, saldos, deudas y cálculos de patrimonio neto— nuestra arquitectura predeterminada mantiene esos datos en Europa.
Eso significa que no necesitamos un mecanismo de transferencia transatlántica simplemente para guardar el saldo de tu cuenta o calcular tu patrimonio neto.
Aquí es donde dos expresiones que suelen tratarse como equivalentes resultan significar cosas distintas:
Cumple con el RGPD
y
Alojado en la UE
El cumplimiento del RGPD se refiere a si los datos se procesan de acuerdo con los requisitos legales aplicables.
La residencia de los datos responde a otra pregunta, mucho más sencilla:
¿Dónde están realmente los datos?
Una cosa no sustituye a la otra.
Alojarse en la UE no convierte automáticamente a un servicio en conforme con el RGPD, y cumplir con el RGPD no significa necesariamente que cada byte permanezca dentro de Europa.
Pero mantener los datos financieros principales en Europa reduce desde el principio el número de transferencias internacionales que requieren una justificación jurídica y técnica adicional.
Esa es la diferencia que nos importa.
No necesitamos tus datos financieros para ganar dinero
La arquitectura de privacidad empieza mucho antes del cifrado.
Empieza con el modelo de negocio.
ExtMoney gana dinero con suscripciones.
No con publicidad.
No vendiendo acceso a tus patrones de gasto.
No creando perfiles publicitarios a partir de lo que compras.
No construyendo silenciosamente un segundo modelo de negocio alrededor de tu comportamiento financiero.
Esto importa porque los incentivos de producto terminan convirtiéndose en decisiones de ingeniería.
Si recoger otra categoría de datos no aporta nada a la función que el usuario pidió —y no existe un negocio publicitario esperando utilizar esos datos más tarde— tenemos muchas menos razones para recogerlos.
Nuestro objetivo es sencillo:
Recoger lo que el producto necesita. Protegerlo correctamente. Conservarlo solo mientras exista una razón para hacerlo.
Debajo de ese principio hay medidas de seguridad deliberadamente poco llamativas:
- TLS 1.3 para datos en tránsito;
- cifrado AES-256 para las copias de seguridad;
- copias de seguridad almacenadas por separado de la infraestructura principal;
- autenticación de dos factores;
- ninguna telemetría publicitaria oculta basada en el comportamiento financiero.
Ninguna de estas medidas es una función mágica de privacidad.
Ese es precisamente el punto.
La buena seguridad suele estar formada por capas aburridas, cada una haciendo correctamente una sola tarea.
Algunos datos sí cruzan el Atlántico
Podríamos detener el artículo aquí y dejar la impresión de que cada byte procesado por ExtMoney permanece para siempre dentro de Europa.
Sería una historia de marketing más limpia.
Pero no sería verdad.
Algunas funciones de ExtMoney se benefician realmente de grandes modelos de lenguaje, incluidas ciertas partes del análisis financiero asistido por IA. Dependiendo del proveedor utilizado, parte de ese procesamiento puede realizarse fuera de la UE.
Por eso, nuestra afirmación útil de privacidad no es:
“Tus datos nunca salen de Europa.”
Sino:
“Sabemos exactamente cuándo salen, por qué salen y qué enviamos.”
Cuando necesitamos un procesador externo, aplicamos varias reglas.
1. El proveedor se identifica
Los procesadores externos deben identificarse como subencargados del tratamiento, junto con la razón por la que reciben datos.
“Socios de confianza” no es una respuesta útil a la pregunta:
¿Quién puede procesar realmente mi información?
2. No dependemos ciegamente de un único mecanismo de transferencia
Las Cláusulas Contractuales Tipo son una herramienta independiente de transferencia prevista por el RGPD y pueden utilizarse para determinados envíos fuera del EEE.
Sin embargo, no hacen que cada transferencia sea automáticamente segura ni eliminan la necesidad de evaluar las circunstancias concretas y, cuando sea necesario, aplicar salvaguardias adicionales.
Esa distinción es importante.
El objetivo no es encontrar una frase jurídica que nos permita dejar de pensar en el problema.
El objetivo es reducir primero la transferencia al mínimo y después aplicar a lo que quede las protecciones jurídicas y técnicas adecuadas.
3. Los datos se minimizan antes de salir
Un modelo de IA externo normalmente no necesita saber quién eres para realizar la tarea que le pedimos.
Por eso, la información identificativa puede sustituirse por tokens opacos antes de que la solicitud abandone nuestra infraestructura.
Por ejemplo:
Eugene Kononenko → USER_7F21
El modelo externo ve el token.
La correspondencia entre ese token y el valor real permanece bajo nuestro control.
Cuando la respuesta vuelve, el valor original puede volver a asociarse localmente cuando sea necesario.
Eso es tokenización/pseudonimización, no una afirmación de que el procesador externo no reciba en absoluto información sensible.
El principio es más sencillo:
Si un procesador no necesita una información para hacer su trabajo, no se la envíes.
El consentimiento no es una casilla. Es un comprobante.
Una política de privacidad que dice:
“Pedimos tu consentimiento.”
es una promesa.
Un sistema que puede responder:
- a qué aceptaste;
- cuándo lo aceptaste;
- qué versión del texto viste;
- a qué función se aplicaba el consentimiento;
ofrece un comprobante.
Construimos ExtMoney siguiendo ese segundo modelo.
Los eventos de consentimiento para funciones como:
- procesamiento de voz;
- escaneo de recibos;
- información asistida por IA;
- marketing;
se registran en un historial append-only de consentimiento vinculado al texto exacto mostrado en ese momento.
Esto importa porque el lenguaje de privacidad cambia.
Seis meses después, la pregunta útil no es:
“¿Qué dice hoy nuestra pantalla de consentimiento?”
Sino:
“¿A qué aceptó exactamente este usuario en aquella fecha?”
Son preguntas muy diferentes.
Decir no debería significar realmente no
El consentimiento también debe cambiar el comportamiento del producto.
Si un usuario desactiva una función opcional de IA, eso no debería significar:
“Apagar el botón pero seguir haciendo casi el mismo procesamiento en segundo plano.”
Significa que el procesamiento opcional de IA se detiene.
Eso no implica que todas las funciones útiles deban desaparecer.
Por ejemplo, la detección de anomalías de ExtMoney puede funcionar mediante métodos estadísticos sin requerir un LLM. La IA puede añadir una capa adicional de explicación o interacción, pero la funcionalidad base no tiene por qué depender de ella.
Es un principio importante de producto:
Las decisiones de privacidad no deberían ser decisiones falsas.
Un usuario debería poder rechazar una capa opcional de procesamiento y seguir teniendo un producto útil.
Cuatro preguntas de privacidad que vale la pena hacer a cualquier app financiera
1. ¿Dónde viven realmente los datos?
No te quedes solo con:
“¿Cumplís con el RGPD?”
Pregunta:
“¿Dónde se almacenan mis transacciones y los datos de mis cuentas?”
Ambas preguntas importan, pero responden a cosas distintas.
2. ¿Cómo gana dinero la empresa?
Una política de privacidad dice lo que una empresa promete hacer.
El modelo de negocio revela qué incentivos económicos tiene.
Pregunta si el producto se financia mediante:
- suscripciones;
- publicidad;
- comisiones de recomendación;
- venta de productos financieros;
- datos de comportamiento;
- o una combinación de estos modelos.
Ninguna opción demuestra automáticamente buenas o malas prácticas de privacidad.
Pero deberías conocer la respuesta.
3. ¿Qué ocurre cuando rechazo una función opcional?
Si rechazas el procesamiento de IA, ¿dejan los datos de enviarse al proveedor de IA?
Si retiras tu consentimiento de marketing, ¿se detiene el procesamiento de marketing?
El comportamiento del producto después de tu “no” dice más que el diseño del botón de consentimiento.
4. ¿Quiénes son los subencargados?
Pregunta nombres.
Pregunta qué hace cada uno.
Qué datos recibe.
Dónde tiene lugar el procesamiento.
Una respuesta concreta es más útil que un párrafo sobre “socios de confianza cuidadosamente seleccionados”.
Dónde limitamos nuestras propias afirmaciones
El marketing de privacidad se vuelve peligroso cuando cada decisión de arquitectura se presenta como una garantía absoluta.
Por eso hay varias cosas que conviene decir claramente.
No somos abogados
Nada de esto constituye asesoramiento jurídico.
El entorno legal de las transferencias internacionales de datos puede cambiar y nuestras prácticas de cumplimiento tendrán que evolucionar con él.
Diseñamos la arquitectura para reducir dependencias innecesarias de transferencias internacionales.
No afirmamos que eso haga a ExtMoney inmune a futuros cambios regulatorios.
Parte del procesamiento sigue saliendo de la UE
Eso es cierto hoy.
Lo importante es que intentamos que esas transferencias sean:
- necesarias;
- limitadas;
- divulgadas;
- minimizadas;
- protegidas mediante el mecanismo de transferencia y las salvaguardias apropiadas.
Preferimos explicar las excepciones antes que ocultarlas detrás de un eslogan más limpio.
Alojamiento en la UE no significa privacidad perfecta
Mantener los datos principales en Alemania elimina parte de la complejidad transfronteriza innecesaria.
Pero no resuelve todos los problemas de privacidad o seguridad.
Un mal control de acceso en un servidor alemán sigue siendo un mal control de acceso.
Una mala política de retención en Europa sigue siendo una mala política de retención.
La residencia de datos es una capa.
No es todo el sistema.
Un registro append-only de consentimiento no impone por sí solo buenas decisiones
Registrar correctamente el consentimiento proporciona evidencia de lo que ocurrió.
Pero la ingeniería todavía tiene que comprobar ese consentimiento en los puntos adecuados del sistema.
Un buen esquema hace posible el buen comportamiento.
No sustituye la disciplina.
ExtMoney es nuevo
Aquí describimos la arquitectura que construimos y los principios que hay detrás.
Todavía no es una afirmación respaldada por diez años de operación ni por años de escrutinio regulatorio a gran escala.
También merece la pena decirlo claramente.
“Cumple con el RGPD” sigue importando. Simplemente no es toda la pregunta.
La lección del debate actual sobre las transferencias de datos entre la UE y Estados Unidos no es que el cumplimiento del RGPD haya dejado de importar.
No ha ocurrido eso.
La lección es que:
las etiquetas de cumplimiento por sí solas no cuentan lo suficiente sobre cómo una app financiera maneja tus datos.
También deberías poder preguntar:
¿Dónde se almacenan?
¿Cuándo salen de allí?
¿Quién los recibe?
¿Por qué los necesitan?
¿Qué ocurre cuando digo que no?
¿Cómo gana dinero la empresa?
Esas respuestas describen la arquitectura real de privacidad detrás de la página de política de privacidad.
Para ExtMoney, el objetivo es sencillo:
Alojar por defecto en la UE los datos financieros principales. Financiarse mediante suscripciones en lugar de mediante los datos del usuario. Ser explícitos sobre los casos en los que el procesamiento externo sigue siendo necesario. Y mantener un registro de aquello a lo que el usuario realmente dio su consentimiento, no solo una casilla indicando que lo hizo.
Ese es el estándar hacia el que estamos construyendo.
Y si quieres saber cómo funciona técnicamente cualquiera de estas partes, pregúntanos. Podemos profundizar.