Necesito asesoramiento sobre protección de datos y wallets de clientes

¿Tienes razón?

Si gestionas wallets de clientes, la respuesta sobre si incumples la normativa de protección de datos no es binaria: depende de tres factores clave que determinan tu posición legal y las medidas que debes adoptar.

1) Control de claves privadas y activos. Si tu empresa guarda o puede recuperar las claves privadas de los clientes, es muy probable que la normativa te ubique como responsable del tratamiento respecto de los datos vinculados a esas wallets. Si solo registras direcciones sin poder mover activos, tu responsabilidad es menor, pero no inexistente.

2) Finalidad del tratamiento. Para qué usas los datos marca el régimen: custodia, ejecución de órdenes, prevención de fraude, cumplimiento de obligaciones de blanqueo y fiscalidad. Cada finalidad exige bases jurídicas distintas y documentación específica.

3) Datos que manejas. No solo es la dirección de una wallet: incluye identidad del titular, documentos de identificación, historial de transacciones, registros de comunicación y metadatos. Algunos tratamientos serán categorías comunes de datos personales; otros, cuando impliquen un elevado riesgo para derechos y libertades, exigirán evaluaciones de impacto.

Si al cruzar esas tres dimensiones tu actividad entra en el circuito de custodia o en la prestación de servicios con acceso a claves, debes aplicar medidas técnicas y legales específicas y documentarlas. Si no conservas claves y tu actividad es meramente informativa, tus obligaciones siguen presentes pero son más limitadas.

Cómo se soluciona

1. Mapear datos y flujos. Extrae ahora mismo un inventario: qué datos recoges (nombre, NIF, direcciones on-chain, direcciones IP, identificadores de dispositivos), de dónde vienen, quién accede y con qué finalidad. Hazlo en un documento que puedas exportar.

1. Clasificar tu rol. Decide si eres responsable o encargado del tratamiento frente a cada dato. ¿Quién decide finalidades y medios? Si la empresa toma esas decisiones, eres responsable; si actúas por instrucciones de un tercero, serás encargado. Documenta la razón.

1. Revisar contratos con clientes. Incluye en las condiciones la información exigida por la Ley de Protección de Datos: base jurídica, derechos del interesado, destinatarios, periodo de conservación y medidas de seguridad. Si custodias fondos, explica la política de claves y la responsabilidad por pérdidas.

1. Contratos con proveedores. Si usas servicios de terceros (nodos, custodios, servicios cloud), firma contratos de encargado del tratamiento con cláusulas mínimas: descripción del servicio, instrucciones por escrito, medidas técnicas y organizativas, subencargados y forma de devolver o destruir datos. Guarda evidencias.

1. Evaluación de Impacto (EIPD). Si tu servicio implica tratamiento a gran escala de datos sensibles o seguimiento sistemático on-chain, evalúa el riesgo y documenta medidas mitigadoras: seudonimización, cifrado, separación de funciones, control de accesos.

1. Medidas técnicas y organizativas. Implanta cifrado en reposo y en tránsito, gestión robusta de claves (HSM o módulos seguros), registros de acceso, autenticación multifactor, políticas de copia de seguridad y rotación de claves administrativas.

1. Política de notificaciones y gestión de incidentes. Define procedimientos para detectar, contener y notificar brechas de seguridad a la autoridad de protección de datos y a los interesados cuando corresponda.

1. Formación y roles. Designa un delegado de protección de datos si procede, asigna responsables de cumplimiento y forma a empleados sobre manejo seguro de claves y datos.

1. Transparencia y consentimiento. Redacta avisos claros en la web y en la contratación, explicando qué datos recoges y la base legal. Para tratamientos no contractuales, solicita el consentimiento cuando sea la base adecuada.

1. Auditoría y revisión periódica. Programa revisiones regulares de las políticas, pruebas de intrusión y revisiones de logs.

Qué puedes hacer hoy solo: prepara el inventario de datos y copia de los contratos con proveedores, descarga los registros de actividad. Cuándo necesitas ayuda profesional: para redactar contratos, preparar la EIPD y certificar medidas técnicas.

Qué puede pasar

1) Se arregla con una carta o ajuste contractual. Muchas incidencias surgen por falta de transparencia; un aviso al cliente con la rectificación de la política y la oferta de medidas (mejoras en seguridad, cláusulas de responsabilidad) suele resolver quejas menores.

2) Acuerdo y supervisión administrativa. La Agencia Española de Protección de Datos puede requerir documentación. Un acuerdo con la autoridad o un plan de cumplimiento a menudo implica medidas correctoras y multas, y evita litigio privado si acometes las correcciones propuestas.

3) Procedimiento sancionador o judicial. Si el tratamiento causa daño real (pérdidas económicas por claves expuestas, divulgación de datos sensibles), puedes enfrentar sanciones administrativas y reclamaciones civiles. En una demanda por daños, la capacidad de demostrar que aplicaste medidas técnicas y contractuales será determinante.

Y si ganas, ¿cobras? Una sentencia favorable que reconozca daños no garantiza recuperación si el demandado es insolvente o guarda activos fuera del alcance. Por eso es clave identificar y documentar la trazabilidad on-chain desde el inicio.

Errores que arruinan el caso

• No conservar documentación: borrar logs, contratos o registros de acceso elimina la prueba de que aplicaste medidas.
• Confiar en pantallazos: los exportes nativos (CSV, JSON) de logs y wallets valen más.
• Usar proveedores sin contrato: dejar nodos o servicios cloud sin cláusula de encargado te vuelve responsable en prácticas.
• Guardar claves privadas en correo o en almacenamiento no cifrado.
• Ignorar el deber de información: si no informaste correctamente al cliente sobre quién gestiona qué, perderás argumentos de defensa.