Marco regulatorio
Portugal ha reforzado considerablemente su dispositivo antiblanqueo en los últimos años, especialmente bajo el impulso de las directivas europeas y de las evaluaciones mutuas del GAFI. El texto fundacional es la Lei n.º 83/2017, de 18 de agosto, que transpuso la 4.ª directiva europea antiblanqueo (AMLD4) y sustituyó a la anterior Lei n.º 25/2008. Esta ley ha sido modificada por la Lei n.º 58/2020 para integrar los requisitos de la AMLD5, y por modificaciones posteriores para la transposición de la AMLD6.
El Banco de Portugal es la autoridad de supervisión prudencial para las entidades de crédito, las sociedades financieras, las entidades de pago y las entidades de dinero electrónico. Es responsable de la supervisión del cumplimiento de las obligaciones PBC-FT en el sector financiero y dispone de poderes de control y sanción. La ASF (Autoridade de Supervisão de Seguros e Fundos de Pensões) supervisa el sector de los seguros y de los fondos de pensiones. La CMVM (Comissão do Mercado de Valores Mobiliários) supervisa los mercados de valores y las sociedades gestoras.
La UIF (Unidade de Informação Financeira), dependiente de la Polícia Judiciária, es la unidad de inteligencia financiera portuguesa. Recibe y analiza las comunicaciones de operaciones sospechosas (comunicações de operações suspeitas) transmitidas por las entidades sujetas y decide sobre su remisión a las autoridades judiciales.
El DCIAP (Departamento Central de Investigação e Ação Penal) es el departamento del ministerio público especializado en la persecución de infracciones económicas y financieras, incluido el blanqueo de capitales. El sistema portugués se caracteriza por una coordinación estrecha entre la UIF, el DCIAP y las autoridades de supervisión sectoriales.
Entidades sujetas
El artículo 4 de la Lei 83/2017 define las entidades sujetas (entidades obrigadas):
- Entidades de crédito: bancos comerciales, cajas de ahorros (caixas económicas), cajas de crédito agrícola mutuo (caixas de crédito agrícola mútuo)
- Sociedades financieras: sociedades de crédito especializado, sociedades de factoring, sociedades de leasing
- Entidades de pago y de dinero electrónico: fintechs, operadores de servicios de pago
- Entidades aseguradoras y reaseguradoras: para las actividades de seguro de vida y de capitalización
- Sociedades gestoras de activos y empresas de inversión: SGFIM, sociedades de capital riesgo
- Prestadores de servicios sobre activos virtuales: plataformas de intercambio de criptoactivos registradas ante el Banco de Portugal
- Profesiones jurídicas: abogados (advogados), solicitadores, notarios (notários)
- Profesiones contables: revisores oficiales de cuentas (revisores oficiais de contas), contabilistas certificados
- Agentes inmobiliarios: mediadores imobiliários
- Comerciantes de bienes de alto valor: para transacciones en efectivo superiores a 10 000 euros
- Casinos y operadores de juego: casinos presenciales, operadores de juego en línea autorizados por el SRIJ
- Organizaciones sin ánimo de lucro: fundaciones y asociaciones de utilidad pública, en determinadas condiciones
Portugal ha extendido también las obligaciones a los prestadores de servicios a sociedades y trusts (trust and company service providers), conforme a la AMLD5.
Medidas de diligencia debida
Diligencia debida estándar (CDD)
Las obligaciones de diligencia estándar (dever de identificação e diligência) están detalladas en los artículos 23 a 34 de la Lei 83/2017:
Identificación del cliente: para los residentes portugueses, el Cartão de Cidadão (tarjeta de ciudadano, que combina documento de identidad, tarjeta de seguridad social, tarjeta sanitaria y tarjeta fiscal) es el documento de referencia. Para los extranjeros residentes en Portugal, el título de residencia o el pasaporte. Para las personas jurídicas, la inscripción en el Registo Comercial y el número de identificación de persona jurídica (NIPC).
Verificación de identidad: la verificación debe realizarse mediante medios fiables e independientes. El Banco de Portugal ha emitido instrucciones específicas (Aviso n.º 2/2018) que detallan los medios aceptables de verificación, incluyendo la verificación presencial, la verificación a distancia por videoidentificación bajo condiciones estrictas, y el uso del sistema Chave Móvel Digital (firma digital móvil portuguesa) para la identificación electrónica.
Identificación del beneficiario efectivo (beneficiário efetivo): toda persona física que posea directa o indirectamente más del 25 % del capital o de los derechos de voto, o que ejerza un control efectivo por cualquier otro medio. Portugal ha establecido el RCBE (Registo Central do Beneficiário Efetivo), un registro central de beneficiarios efectivos accesible a las entidades sujetas, administrado por el IRN (Instituto dos Registos e do Notariado).
Evaluación del objeto y de la naturaleza de la relación de negocios: comprensión de la actividad del cliente, del origen de los fondos y de la finalidad de las operaciones.
Supervisión continua: actualización periódica de la información y supervisión de las transacciones para detectar cualquier incoherencia.
Diligencia debida reforzada (EDD)
Las medidas de diligencia reforzada (medidas reforçadas de diligência) se aplican en las siguientes situaciones:
- Personas políticamente expuestas (PEP — pessoas politicamente expostas): la definición abarca funciones nacionales, extranjeras e internacionales, así como familiares directos y asociados conocidos. Aprobación de la dirección, clarificación del origen del patrimonio y de los fondos, supervisión reforzada.
- Terceros países de alto riesgo: países identificados por la Comisión Europea o el GAFI.
- Banca corresponsal con entidades de terceros países: evaluación del dispositivo PBC-FT del establecimiento corresponsal.
- Operaciones complejas o inusuales: transacciones cuyo importe, modalidades o partes no corresponden al perfil del cliente.
- Programa Golden Visa: Portugal aplica medidas de diligencia reforzada específicas al programa de autorización de residencia para inversión (ARI), debido a los riesgos identificados de blanqueo en este sector. Se requieren controles adicionales sobre el origen de los fondos y la verificación de la identidad de los inversores.
Documentos requeridos
Para personas físicas:
- Cartão de Cidadão (residentes portugueses) o pasaporte/título de residencia (extranjeros)
- NIF (Número de Identificação Fiscal)
- Justificante de domicilio reciente (comprovativo de morada)
- En su caso, documentación sobre el origen de los fondos (para PEP e inversores del programa ARI)
Para personas jurídicas:
- NIPC (Número de Identificação de Pessoa Coletiva)
- Certidão permanente del Registo Comercial (extracto del registro mercantil en línea)
- Pacto social (estatutos) actualizado
- Documentos de identidad de los gerentes o administradores
- Inscripción en el RCBE (Registo Central do Beneficiário Efetivo)
- En su caso, poderes de representación
Para entidades no residentes:
- Equivalente del extracto del registro mercantil del país de origen, apostillado o legalizado
- Identificación de los beneficiarios efectivos según las exigencias de la ley portuguesa
Período de conservación: 7 años después del fin de la relación de negocios o de la ejecución de la transacción (Portugal ha optado por una duración superior al mínimo de 5 años previsto por la directiva).
Obligaciones declarativas
Comunicación de operaciones sospechosas: las entidades sujetas deben comunicar a la UIF (a través del sistema en línea) toda operación o tentativa de operación de la que sepan, sospechen o tengan motivos razonables para sospechar que está vinculada al blanqueo de capitales o a la financiación del terrorismo. La comunicación debe realizarse inmediatamente tras la formación de la sospecha.
Obligación de no ejecución: cuando existe una sospecha, la entidad sujeta debe abstenerse de ejecutar la transacción sospechosa hasta haber comunicado a la UIF, salvo que la abstención pueda comprometer la persecución del cliente o que la transacción no pueda razonablemente ser diferida.
Comunicación sistemática: determinadas operaciones deben comunicarse al Banco de Portugal de manera sistemática, en particular las transferencias de fondos transfronterizas por encima de ciertos umbrales y las operaciones en efectivo superiores a 15 000 euros.
Deber de no divulgación (dever de não divulgação): la entidad sujeta no puede informar al cliente ni a terceros de la comunicación efectuada a la UIF.
En 2024, la UIF recibió aproximadamente 8 000 comunicaciones de operaciones sospechosas, un volumen en crecimiento constante que refleja la mayor sensibilización del sector financiero portugués.
Sanciones por incumplimiento
Sanciones administrativas:
- Infracciones muy graves: multa de 50 000 a 5 000 000 de euros para personas jurídicas, o hasta el 10 % de la cifra de negocios anual. Para personas físicas, multa de 25 000 a 5 000 000 de euros. Prohibición de ejercer funciones directivas.
- Infracciones graves: multa de 25 000 a 2 500 000 de euros para personas jurídicas. Suspensión temporal de actividad.
- Infracciones leves: multa de 5 000 a 500 000 de euros.
Sanciones penales:
- El blanqueo de capitales (artículo 368-A del Código Penal) se castiga con 2 a 12 años de prisión
- La financiación del terrorismo (artículo 5-A de la Lei 52/2003) se castiga con 8 a 15 años de prisión
- La no comunicación de una operación sospechosa puede constituir una infracción penal
Publicación de las sanciones: las resoluciones sancionadoras se publican en los sitios web de las autoridades de supervisión, con identificación de la entidad sancionada, lo que conlleva un riesgo reputacional significativo que se suma a las consecuencias económicas directas.
Responsabilidad del compliance officer: la Lei 83/2017 exige que cada entidad sujeta designe un responsable del cumplimiento PBC-FT, que debe estar debidamente cualificado y disponer de los medios necesarios para el ejercicio de sus funciones. El Banco de Portugal evalúa la idoneidad de los compliance officers durante sus inspecciones y puede exigir su sustitución en caso de deficiencias graves. Portugal ha reforzado considerablemente su supervisión desde la evaluación mutua del GAFI, con un aumento notable de las inspecciones sobre el terreno en los sectores bancario e inmobiliario, así como en el ámbito de los prestadores de servicios sobre activos virtuales registrados desde 2023.
Cómo CheckFile le acompaña
El marco KYC portugués presenta especificidades, en particular el Cartão de Cidadão multifunción, el registro RCBE de beneficiarios efectivos y las exigencias reforzadas vinculadas al programa Golden Visa. CheckFile ofrece una solución de verificación documental mediante inteligencia artificial adaptada a estas particularidades.
La plataforma verifica automáticamente la autenticidad del Cartão de Cidadão portugués, de los títulos de residencia y de más de 6 000 tipos de documentos internacionales. La IA analiza los elementos de seguridad del documento (chip, hologramas, tintas ópticamente variables), extrae los datos biográficos y realiza una validación cruzada con la información declarada. Para las verificaciones vinculadas al programa Golden Visa, CheckFile permite un análisis reforzado de los documentos financieros que acreditan el origen de los fondos de inversión.
CheckFile genera una pista de auditoría completa y con marca de tiempo, archivada durante los 7 años exigidos por la legislación portuguesa. La integración mediante API se adapta a los sistemas bancarios portugueses y a las plataformas de onboarding, automatizando el proceso de verificación manteniendo al mismo tiempo la calidad requerida por el Banco de Portugal. El tratamiento es conforme al RGPD con alojamiento europeo de los datos.
Preguntas frecuentes
¿Qué documentos se requieren para el KYC en Portugal?
Para los residentes portugueses, el Cartão de Cidadão es el documento de referencia, acompañado del NIF. Para los extranjeros, se requiere el título de residencia o el pasaporte junto con el NIF. Para las personas jurídicas, son necesarios el NIPC, la certidão permanente del registro mercantil, los estatutos, los documentos de identidad de los directivos y la inscripción en el RCBE. El período de conservación es de 7 años después del fin de la relación de negocios.
¿Cuáles son las sanciones por incumplimiento KYC en Portugal?
Las sanciones por infracciones muy graves pueden alcanzar los 5 millones de euros o el 10 % de la cifra de negocios anual. El blanqueo se castiga con 2 a 12 años de prisión. La financiación del terrorismo se sanciona con 8 a 15 años de prisión. Las sanciones se publican con identificación de la entidad sancionada, lo que conlleva un riesgo reputacional importante.
¿Con qué frecuencia deben actualizarse las verificaciones KYC en Portugal?
La frecuencia de actualización se basa en el riesgo. Los clientes de riesgo elevado (PEP, inversores del Golden Visa, países de alto riesgo) son revisados anualmente. Los de riesgo estándar, cada 3 años, y los de riesgo bajo, cada 5 años. Los eventos desencadenantes (cambio de beneficiario efectivo, operación inusual, información de fuente externa) imponen una actualización inmediata del expediente.