Marco regulatorio
España cuenta con un marco antiblanqueo estructurado, centrado en la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo. Esta ley, que transpuso la 3.ª directiva europea antiblanqueo, ha sido sustancialmente modificada por el Real Decreto-ley 7/2021 para integrar las exigencias de la 4.ª y la 5.ª directiva (AMLD4 y AMLD5), y por la Ley 4/2023 para transponer la AMLD6. El Real Decreto 304/2014 constituye el reglamento de desarrollo que detalla las obligaciones de diligencia debida.
El SEPBLAC (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias) es el órgano central del dispositivo antiblanqueo español. Dependiente del Banco de España, el SEPBLAC acumula dos funciones: unidad de inteligencia financiera (UIF) y órgano de supervisión. Como UIF, recibe y analiza las declaraciones de operaciones sospechosas. Como órgano de supervisión, controla el cumplimiento de las obligaciones PBC-FT por parte de los sujetos obligados y puede iniciar procedimientos sancionadores.
La Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (CPBCIM), presidida por el secretario de Estado de Economía, es el órgano de coordinación política en materia de prevención del blanqueo. Aprueba las orientaciones estratégicas y las instrucciones relativas a la aplicación de la ley.
El marco español se caracteriza por un enfoque basado en el riesgo, alineado con las recomendaciones del GAFI. España es objeto de evaluaciones mutuas periódicas por parte del GAFI y del Comité MONEYVAL del Consejo de Europa, cuyos resultados influyen en los ajustes legislativos y reglamentarios.
Entidades sujetas
El artículo 2 de la Ley 10/2010 define un amplio perímetro de sujetos obligados:
- Entidades de crédito: bancos comerciales, cajas de ahorros, cooperativas de crédito
- Empresas de servicios de inversión: sociedades de valores, agencias de valores, sociedades gestoras de carteras
- Entidades aseguradoras y reaseguradoras: para las actividades de seguro de vida y de capitalización
- Entidades de pago y de dinero electrónico: prestadores de servicios de pago, fintechs
- Sociedades gestoras de instituciones de inversión colectiva (SGIIC)
- Prestadores de servicios sobre activos virtuales: plataformas de intercambio de criptoactivos, registradas ante el Banco de España
- Promotores inmobiliarios y agentes de la propiedad inmobiliaria: tanto para la venta como para el alquiler cuando el canon mensual supere los 10 000 euros
- Profesiones jurídicas y contables: notarios, abogados, procuradores, auditores de cuentas
- Subastadores y marchantes de arte: para transacciones superiores a 10 000 euros
- Casinos y establecimientos de juego: casinos presenciales y operadores de juego en línea autorizados por la DGOJ
- Comerciantes de bienes de alto valor: para pagos en efectivo superiores a 10 000 euros o en dinero electrónico superiores a 10 000 euros
España ha introducido una particularidad al someter también a las fundaciones y asociaciones declaradas de utilidad pública, debido a los riesgos identificados de desvío con fines de financiación del terrorismo.
Medidas de diligencia debida
Diligencia debida normal (CDD)
Las medidas de diligencia debida normal están detalladas en los artículos 3 a 6 de la Ley 10/2010 y en el título II del Real Decreto 304/2014:
Identificación formal: para las personas físicas residentes en España, el DNI (Documento Nacional de Identidad) es el documento de referencia. Para los ciudadanos extranjeros residentes en España, el NIE (Número de Identidad de Extranjero) acompañado de la tarjeta de residencia o del pasaporte. Para los no residentes, el pasaporte vigente. Para las personas jurídicas, el NIF (Número de Identificación Fiscal), el extracto del Registro Mercantil, los estatutos sociales y la identificación de los administradores.
Identificación del titular real: toda persona física que posea directa o indirectamente más del 25 % del capital o de los derechos de voto, o que ejerza un control por cualquier otro medio. La ley española exige la consulta del Registro de Titularidades Reales, accesible a los sujetos obligados desde 2022.
Conocimiento del objeto y de la naturaleza de la relación de negocios: determinación del perfil de riesgo, de la actividad profesional, del origen de los fondos y del volumen de operaciones previsible.
Seguimiento continuo: examen de las transacciones realizadas en el marco de la relación de negocios para verificar su coherencia con el perfil del cliente. Actualización de los documentos e informaciones a intervalos regulares o ante eventos desencadenantes.
Umbrales para transacciones ocasionales: las obligaciones de diligencia se aplican a las operaciones puntuales superiores a 15 000 euros, a las transferencias de fondos superiores a 1 000 euros y a las operaciones de cambio superiores a 1 000 euros.
Diligencia debida reforzada (EDD)
Las medidas de diligencia debida reforzada son obligatorias en los siguientes casos:
- Personas con responsabilidad pública (PEP): la definición española está alineada con la directiva europea y cubre funciones nacionales, extranjeras y de organizaciones internacionales.
- Banca corresponsal con entidades de terceros países: medidas específicas que incluyen la evaluación del dispositivo PBC-FT del corresponsal.
- Relaciones con países de alto riesgo: países que figuran en la lista europea o identificados por el GAFI.
- Operaciones inusualmente complejas: transacciones cuyas características no corresponden al perfil del cliente.
- Sectores y productos de riesgo elevado: definidos por el análisis nacional de riesgos español, incluyendo en particular el sector inmobiliario, las transferencias de fondos y los activos virtuales.
Documentos requeridos
Para personas físicas:
- DNI (residentes españoles) o pasaporte/NIE (extranjeros) vigente
- Justificante de domicilio (certificado de empadronamiento, factura de servicios)
- NIF o NIE a efectos fiscales
- En su caso, documentación sobre el origen de los fondos para las PEP y las operaciones de riesgo
Para personas jurídicas:
- NIF (Número de Identificación Fiscal)
- Inscripción en el Registro Mercantil o registro equivalente
- Estatutos sociales (escritura de constitución) actualizados
- Documentos de identidad de los administradores y representantes legales
- Extracto del Registro de Titularidades Reales
- En su caso, poderes de representación (poder notarial)
Para fundaciones y asociaciones:
- Inscripción en el registro de fundaciones o de asociaciones
- Estatutos y documentos de gobernanza
- Identificación de los miembros del patronato o del consejo de administración
Período de conservación: 10 años después del fin de la relación de negocios o de la ejecución de la transacción.
Obligaciones declarativas
Comunicación por indicio: los sujetos obligados deben comunicar al SEPBLAC toda operación o tentativa de operación respecto de la cual existan indicios o la certeza de que está relacionada con el blanqueo de capitales o la financiación del terrorismo. La comunicación debe realizarse a través del sistema en línea del SEPBLAC, sin demora tras la detección del indicio.
Comunicación sistemática: determinadas operaciones deben declararse de forma sistemática al SEPBLAC, con independencia de todo sospecha. Esto incluye las operaciones en efectivo superiores a determinados umbrales y las transferencias de fondos transfronterizas según las modalidades definidas por la regulación.
Limitación de los pagos en efectivo: España impone una limitación estricta de los pagos en efectivo a 1 000 euros para las transacciones en las que intervenga un profesional (uno de los límites más bajos de Europa). Para los no residentes, el umbral es de 10 000 euros. Esta medida, introducida por la Ley 11/2021, tiene como objetivo combatir el fraude fiscal y el blanqueo.
Prohibición de revelación: el sujeto obligado no puede informar al cliente ni a terceros de que se ha efectuado una comunicación o de que un análisis está en curso.
En 2024, el SEPBLAC recibió más de 15 000 comunicaciones por indicio, procedentes principalmente del sector bancario (aproximadamente el 65 %) y de los notarios (aproximadamente el 15 %).
Sanciones por incumplimiento
Sanciones administrativas:
- Infracciones muy graves: multa de hasta el importe más elevado entre 10 millones de euros, el 10 % de la cifra de negocios anual total o el doble del beneficio obtenido. Retirada de autorización, prohibición de ejercer una actividad, cierre temporal o definitivo de establecimiento.
- Infracciones graves: multa de hasta 5 millones de euros o el 5 % de la cifra de negocios. Suspensión temporal de la actividad.
- Infracciones leves: multa de hasta 60 000 euros. Reprensión pública o privada.
Sanciones penales:
- El blanqueo de capitales (artículo 301 del Código Penal) se castiga con 6 meses a 6 años de prisión y multa proporcional
- Para los casos cualificados (bienes procedentes de delitos graves, organización criminal), la pena se agrava
- La financiación del terrorismo se castiga con 5 a 10 años de prisión
- Las personas jurídicas pueden ser condenadas a multas, disolución o suspensión de actividad
Publicación de las sanciones: las sanciones por infracciones graves y muy graves se publican en el BOE (Boletín Oficial del Estado) y en el sitio web del SEPBLAC. La publicación incluye la identidad del infractor, la naturaleza de la infracción y el importe de la sanción, lo que genera un riesgo reputacional considerable que se suma a las consecuencias económicas directas.
Responsabilidad del órgano de control interno: la Ley 10/2010 exige que cada sujeto obligado designe un representante ante el SEPBLAC y establezca un órgano de control interno (OCI) responsable de la aplicación de las políticas y procedimientos PBC-FT. El incumplimiento de estas obligaciones organizativas puede dar lugar a sanciones independientes de las que pudieran derivarse de las infracciones sustantivas. En 2024, el SEPBLAC intensificó sus actuaciones de supervisión, realizando más de 200 inspecciones sobre el terreno, con especial atención al sector inmobiliario y a los prestadores de servicios sobre activos virtuales.
Cómo CheckFile le acompaña
El marco KYC español impone una verificación documental minuciosa, con especificidades ligadas a los documentos de identidad nacionales (DNI, NIE) y al Registro de Titularidades Reales. CheckFile ofrece una solución de verificación documental mediante inteligencia artificial concebida para responder a las exigencias de la Ley 10/2010 y del Real Decreto 304/2014.
La plataforma CheckFile verifica automáticamente la autenticidad de los DNI y NIE españoles, los pasaportes y más de 6 000 tipos de documentos internacionales. La IA analiza los elementos de seguridad (hologramas, marcas de agua, impresión en talla dulce, zonas MRZ y códigos de barras bidimensionales), extrae los datos y los valida de forma cruzada con la información declarada por el cliente. La detección de fraudes documentales (falsificación, contrafacción, documentos robados) alcanza una precisión superior al 99 %.
Para satisfacer las exigencias de auditoría del SEPBLAC, CheckFile proporciona una pista de auditoría con marca de tiempo y completa, archivada durante los 10 años exigidos por la regulación española. La solución se integra mediante API a las plataformas de onboarding, a los sistemas bancarios y a las herramientas de cumplimiento existentes, permitiendo una automatización fluida del proceso de verificación. El tratamiento es conforme al RGPD y a la LOPDGDD española, con alojamiento europeo de los datos.
Preguntas frecuentes
¿Qué documentos se requieren para el KYC en España?
Para los residentes españoles, el DNI (Documento Nacional de Identidad) es el documento de referencia. Los extranjeros residentes en España deben presentar su NIE y tarjeta de residencia o pasaporte. Para las personas jurídicas, se requiere el NIF, la inscripción en el Registro Mercantil, los estatutos, los documentos de identidad de los administradores y el extracto del Registro de Titularidades Reales. El período de conservación es de 10 años.
¿Cuáles son las sanciones por incumplimiento KYC en España?
Las sanciones por infracciones muy graves pueden alcanzar los 10 millones de euros o el 10 % de la cifra de negocios anual. El blanqueo se castiga con 6 meses a 6 años de prisión. España aplica además uno de los límites de pago en efectivo más bajos de Europa (1 000 euros para profesionales). Las sanciones graves y muy graves se publican oficialmente.
¿Con qué frecuencia deben actualizarse las verificaciones KYC en España?
El Real Decreto 304/2014 exige una actualización proporcionada al riesgo. Los clientes de riesgo elevado (PEP, países de alto riesgo) se revisan anualmente. Los de riesgo medio, cada 3 años, y los de riesgo bajo, cada 5 años. Todo evento significativo (cambio de administrador, modificación del accionariado, operación inusual) impone una actualización inmediata. El SEPBLAC controla sistemáticamente la tenencia de los expedientes durante sus inspecciones.