¿De quién es tu dato patrimonial cuando delegas la gestión?

La propiedad de tu información patrimonial no viene resuelta por defecto. Los activos son inequívocamente tuyos, pero el registro consolidado de esos activos, el histórico de valoraciones y las series de rentabilidad son algo distinto: un producto elaborado que, salvo pacto expreso, queda en manos de quien lo elabora.

Es una distinción que casi nunca se plantea al firmar y que determina por completo el margen de maniobra años después. Este artículo trata de dónde está exactamente la línea y de cómo se desplaza a favor de la familia.

Tres cosas que no son lo mismo

Confundirlas es el origen de casi todos los sustos.

La titularidad del activo no admite discusión. Las acciones, las participaciones de un fondo, el inmueble o la participada son de su titular, y la normativa de servicios de inversión impone la separación entre los activos del cliente y los de la entidad. Nadie discute esto.

El acceso al dato es la capacidad de consultarlo mientras dura la relación. Suele ser excelente: portales, informes periódicos, aplicaciones. Es lo que la familia percibe como «tener sus datos», y es exactamente lo que desaparece el día que termina el contrato.

La propiedad del dato elaborado es la capacidad de conservarlo, reutilizarlo y llevárselo. Es la que casi nunca está escrita.

Un ejemplo aclara la diferencia. Que tu proveedor custodie tus fondos no significa que te vaya a entregar la serie mensual de valoración consolidada de los últimos ocho años en un fichero utilizable. Lo primero es una obligación regulada. Lo segundo, sin cláusula, es una cortesía.

Por qué la normativa de protección de datos no te ampara

Muchas familias asumen que el RGPD les garantiza recuperar su información. En el contexto patrimonial esa protección falla por dos motivos independientes, y basta con uno para dejarla sin efecto.

El primero es el sujeto. La Agencia Española de Protección de Datos es explícita: el RGPD no regula el tratamiento de datos relativos a personas jurídicas, y la protección que otorga se aplica exclusivamente a las personas físicas en relación con el tratamiento de sus datos personales (AEPD). En cuanto el patrimonio está estructurado a través de una sociedad holding, una sociedad patrimonial o cualquier vehículo societario, cosa habitual en este segmento, el titular deja de estar amparado. No es una dificultad procedimental: el derecho sencillamente no le corresponde.

El segundo es el objeto. Cuando el titular sí es una persona física, el derecho a la portabilidad del artículo 20 del RGPD cubre los datos que el interesado facilitó al responsable, incluidos los derivados de su actividad, pero deja fuera los datos inferidos o generados por el análisis posterior del responsable (Grupo de Trabajo del Artículo 29). Los extractos que tú aportaste entran. La valoración consolidada, la serie de rentabilidad y la atribución de resultados son producto del análisis del proveedor.

Es decir: justo la información que costaría años reconstruir es la que queda fuera del amparo legal.

Responsable y encargado: la pregunta que conviene hacer

Hay una segunda capa jurídica que casi nadie revisa y que revela mucho sobre la relación real.

En el tratamiento de datos personales, el responsable determina los fines y los medios, y el encargado trata los datos por cuenta del responsable y siguiendo sus instrucciones, con un contrato de encargo del tratamiento entre ambos (artículo 28 del RGPD).

Trasladado a una relación patrimonial, la pregunta es sencilla y muy reveladora: ¿tu proveedor trata tu información como encargado, siguiendo tus instrucciones, o como responsable, decidiendo él los fines? Un proveedor que actúa como encargado bajo contrato de encargo está estructuralmente al servicio de la familia. Un proveedor que actúa como responsable de su propio tratamiento tiene una posición mucho más autónoma sobre lo que hace con esa información.

Pedir el contrato de encargo del tratamiento antes de firmar cuesta un correo y ordena la conversación entera.

Las cuatro formas de dependencia

La dependencia de un proveedor no es un fenómeno único. Se manifiesta en cuatro planos que conviene evaluar por separado, porque se corrigen de forma distinta.

Dependencia de formato. La información existe y te la entregan, pero en PDF o a través de un visor que se apaga al terminar la relación. Formalmente has recibido tus datos. Operativamente no puedes hacer nada con ellos.

Dependencia de histórico. Te entregan la foto de hoy, no la película. Sin la serie temporal no hay rentabilidad comparable, ni medición de riesgo, ni cálculo de plusvalías.

Dependencia de conectividad. Las conexiones con bancos y custodios están dadas de alta a nombre del proveedor, no de la familia. Al terminar, se cae toda la alimentación automática y hay que rehacerla desde cero.

Dependencia de conocimiento. El criterio de clasificación de activos, las reglas de consolidación entre vehículos y el tratamiento de los ilíquidos viven en la cabeza de un equipo externo. Es la más difícil de detectar y la más costosa de reponer.

Lo que sí protege: el contrato

Si la normativa de protección de datos no cubre el caso, la protección tiene que ser contractual. Estas son las cláusulas que hacen el trabajo.

Entrega del histórico completo a la terminación, con plazo cierto, en formato estructurado y legible por máquina, y sin coste asociado. La ausencia de coste importa: una entrega tarifada a discreción del saliente es una barrera de salida encubierta.

Definición de qué incluye ese histórico: posiciones, movimientos, fechas y precios de adquisición, valoraciones sucesivas y documentación asociada. Sin enumeración, la entrega se cumple con lo mínimo.

Titularidad de las conexiones con entidades a nombre de la familia o de su vehículo, no del proveedor.

Contrato de encargo del tratamiento conforme al artículo 28 del RGPD cuando haya datos de personas físicas.

Ausencia de exclusividad que impida contratar servicios en paralelo, que es lo que permite montar cualquier alternativa sin romper antes.

El sector financiero regulado ya trabaja así. El reglamento europeo de resiliencia operativa digital obliga a las entidades financieras a dotarse de estrategias de salida documentadas frente a sus proveedores tecnológicos, con planes completos, suficientemente probados y revisados de forma periódica, contemplando de forma expresa la posibilidad de internalizar el servicio (Reglamento UE 2022/2554, artículo 28). Un banco no puede depender de un proveedor sin plan de salida probado. La pregunta razonable es por qué un patrimonio familiar sí debería.

Cómo medir tu nivel de dependencia hoy

Cinco preguntas que se responden en una tarde y dan un diagnóstico bastante fiable.

1. Si mañana terminase la relación, ¿en qué formato recibiría la información y en qué plazo? Si la respuesta no está en el contrato, la dependencia es alta.
2. ¿Existe en algún sistema controlado por la familia la serie histórica de valoraciones, o solo en el del proveedor?
3. ¿A nombre de quién están dadas de alta las conexiones con las entidades?
4. ¿Están documentados los criterios de consolidación y valoración de los ilíquidos, o son conocimiento tácito de un equipo externo?
5. ¿Podría la familia calcular hoy, por su cuenta, la rentabilidad del patrimonio total sin usar el informe del proveedor?

Una respuesta negativa a la quinta pregunta suele bastar para explicar por qué la relación se percibe como difícil de cambiar.

La alternativa estructural

La forma robusta de resolver esto no es desconfiar del proveedor ni cambiarlo por otro. Es cambiar dónde vive la capa de dato.

Cuando la consolidación la contrata la familia, las conexiones están a su nombre y el histórico se acumula en un sistema propio, la propiedad del dato deja de ser una cuestión negociable. Los asesores siguen aportando su criterio, y ese criterio se puede contrastar contra una base que no elabora ninguno de ellos.

Esa es la función que cubre VUMI, y conviene delimitarla: es la capa de dato, no la de criterio. La conectividad con bancos y custodios es API propia, sin depender de terceros para la capa de conectividad, en modo de solo lectura y directamente desde la fuente, de modo que la información no pasa por la reinterpretación de un intermediario. Junto a las cuentas y las inversiones financieras conviven el inmobiliario, las participadas y el resto de activos en una sola vista, que es precisamente la parte del patrimonio que ningún depositario custodia y la que más trazabilidad pierde al cambiar de proveedor. En el plano de garantías, VUMI opera con certificación ISO/IEC 27001, servidores en la Unión Europea y contrato de encargo del tratamiento conforme al artículo 28 del RGPD.

La prueba de que el planteamiento es coherente es sencilla: las mismas cláusulas que este artículo recomienda exigir a cualquier proveedor deben poder exigírsele también a la plataforma que consolida. Un proveedor de capa de dato que no acepte pactar la entrega del histórico en formato utilizable está reproduciendo el problema que dice resolver.

Preguntas frecuentes

¿De quién son los datos de mi patrimonio cuando trabajo con un asesor externo?

Los activos son del titular sin discusión. La información elaborada sobre esos activos, consolidación, histórico de valoraciones y series de rentabilidad, pertenece a quien la elabora salvo que el contrato disponga otra cosa. Por eso la entrega de esa información al terminar la relación debe pactarse expresamente.

¿Puedo reclamar mis datos por el RGPD si mi patrimonio está en una sociedad?

No. La AEPD establece que el RGPD no regula el tratamiento de datos de personas jurídicas y que su protección se aplica exclusivamente a personas físicas. Si el titular es una sociedad holding o patrimonial, no cabe invocar el derecho de portabilidad del artículo 20.

¿El derecho de portabilidad cubre las valoraciones que ha calculado mi proveedor?

En general no. El derecho cubre los datos que el interesado facilitó, incluidos los derivados de su actividad, pero excluye los datos inferidos o generados por el análisis posterior del responsable. Una valoración consolidada o una serie de rentabilidad elaborada por el proveedor entran en esa categoría excluida.

¿Qué es el contrato de encargo del tratamiento y por qué debería pedirlo?

Es el contrato previsto en el artículo 28 del RGPD que regula la relación cuando un tercero trata datos personales por cuenta de otro y siguiendo sus instrucciones. Pedirlo aclara si el proveedor actúa como encargado al servicio de la familia o como responsable con criterio propio sobre los fines del tratamiento.

¿Cómo sé si estoy en una situación de dependencia excesiva?

Una prueba rápida: intenta calcular la rentabilidad de tu patrimonio total sin usar ningún informe del proveedor. Si no es posible, la dependencia es estructural. Conviene revisar además el formato de entrega pactado, si existe histórico fuera de sus sistemas y a nombre de quién están las conexiones con las entidades.

¿Qué cláusulas debo incluir para proteger la propiedad de mi información?

Entrega del histórico completo a la terminación, con plazo, en formato estructurado y legible por máquina y sin coste; enumeración de qué incluye ese histórico; titularidad de las conexiones a nombre de la familia; contrato de encargo del tratamiento cuando haya datos personales; y ausencia de exclusividad que impida contratar en paralelo.

¿Un PDF con toda la información cumple con la entrega de mis datos?

Cumple la letra y falla el propósito. Un PDF no es procesable, así que reconstruir a partir de él exige transcribir a mano. Por eso conviene especificar en el contrato un formato estructurado y legible por máquina, en la práctica CSV o Excel, con una fila por operación.

¿Cambiar de proveedor resuelve el problema de dependencia?

No por sí solo, porque el proveedor nuevo puede reproducir la misma arquitectura. Lo que lo resuelve es que la capa de consolidación la contrate y la controle la familia, con las conexiones a su nombre y el histórico acumulándose en un sistema propio, con independencia de quién asesore en cada momento.

Fuentes

• Agencia Española de Protección de Datos, respuesta sobre la aplicación del RGPD a los datos de personas jurídicas
• Reglamento (UE) 2016/679 (RGPD), artículos 20 y 28
• Grupo de Trabajo del Artículo 29, directrices sobre el derecho a la portabilidad de los datos (WP242 rev.01)
• Reglamento (UE) 2022/2554 (DORA), artículo 28, sobre estrategias de salida en contratos con proveedores de servicios TIC
• OpenWealth y finReg360, «Descubriendo al family office español», mayo de 2025 (40 grupos familiares, más de 11.850 millones de euros agregados)

Enlaces entrantes propuestos

• `acceso-solo-lectura-plataforma-consolidacion` → en la sección sobre límites del acceso, anchor: «de quién es tu dato patrimonial»
• `rgpd-proteccion-datos-patrimoniales` → en el apartado de responsable y encargado, anchor: «la propiedad del dato elaborado»
• `checklist-seguridad-cfo-proveedor-wealthtech` → en el bloque de riesgo contractual, anchor: «las cláusulas que protegen tu información»