← Casos · Piloto 2025–26

Orden ECM/1101/2026 · Artículo 3

Orden ECM/1101/2026, de 16 de octubre, por la que se crea y regula el Consejo Nacional para la Prevención del Blanqueo de Capitales, la Financiación del Terrorismo y la Financiación de la Proliferación de Armas de Destrucción Masiva.

Probablemente válido

En el BOE: Artículo 3 ↗
Norma: Orden · 16/10/2026 · Ministerio de Economía, Comercio y Empresa
Tipo: Confidencialidad

Argumento de nulidad

El art. 3.1.b) atribuye al Consejo, de forma abstracta y permanente, la función de cauce para el intercambio de información 'estratégica, táctica y operativa' no solo entre autoridades y sujetos obligados, sino también 'entre sujetos obligados', sin distinguir categorías, supuestos ni procedimiento. La Ley 10/2010 admite el intercambio entre sujetos obligados solo en supuestos tasados. El art. 32 ter.1 lo limita a sujetos 'pertenecientes a una misma categoría', con comunicación previa de sesenta días a la Comisión. El art. 32 ter.2 restringe el acceso a los casos en que la persona sea cliente o sea necesario para la identificación previa. El art. 32 ter.7 exige autorización de la Comisión para sistemas multicategoría. El art. 33.1 solo permite intercambios por 'riesgos extraordinarios', con acuerdo de la Comisión que fije el tipo de operación y las categorías, 'previo dictamen conforme de la Agencia Española de Protección de Datos'. El art. 33.2 se limita a operaciones del art. 18 rechazadas. Un 'cauce' general de información táctica y operativa entre privados, residenciado en un órgano consultivo con vocales de los sujetos obligados, no encaja en ninguno de esos supuestos. La remisión del art. 3.2 es solo parcial: remite a los arts. 32 ter y 33, y a 'la normativa vigente' en abstracto, sin concretar supuestos ni garantías. La Orden crea así una vía permanente no prevista en la ley, con riesgo de afectar a clientes (exclusión o 'de-risking') con efectos frente a terceros, lo que choca con el art. 22.3 Ley 40/2015. También puede chocar con el deber de no revelación y con la reserva de ley en materia de datos y secreto. Adicionalmente, el art. 3.1.f) ('ser informado sobre todas aquellas actuaciones y programas') choca con el carácter reservado que el art. 44.2.g) da al Plan Anual de Inspección. El ataque es más fuerte contra la parte 'entre sujetos obligados' y 'táctica y operativa' que contra el precepto entero. Aun así, la cláusula del art. 3.2 debilita mucho la tesis de nulidad: lo más probable es una interpretación conforme y no una anulación.

Texto legal clave

Ley 10/2010, art. 32 ter.2: «Los sujetos obligados solo podrán acceder a la información facilitada por otro sujeto obligado en los supuestos en que la persona a la que se refieran los datos sea su cliente o el acceso a la información sea necesario para el cumplimiento de las obligaciones de identificación previas...»; art. 33.1: «la Comisión ..., previo dictamen conforme de la Agencia Española de Protección de Datos, podrá acordar el intercambio de información...». Orden, art. 3.2: «se realizará de acuerdo con lo previsto en los artículos 32 ter y 33».

Mejor defensa de la validez

El art. 3.2 de la Orden sujeta expresamente la función b) a los arts. 32 ter y 33 de la Ley 10/2010 y a los principios de necesidad, proporcionalidad, confidencialidad y seguridad. También exige respetar la normativa de protección de datos y el secreto profesional. La Orden no crea una habilitación nueva de intercambio: remite al régimen legal, y esa cláusula de salvaguarda permite una interpretación conforme a la ley que conserva la norma (principio de conservación del reglamento).
La función b) dice 'servir como cauce', no 'autorizar' ni 'acordar' intercambios. El Consejo es un órgano asesor y consultivo (art. 1 de la Orden) creado conforme al art. 22.3 Ley 40/2015, sin competencias decisorias. Esa norma añade que sus acuerdos 'no podrán tener efectos directos frente a terceros'. El Consejo ordena un foro; la base jurídica de cada intercambio sigue siendo la que ya dan la Ley y el RGPD.
Hay cobertura legal orgánica. El art. 44.2.i) de la Ley 10/2010 atribuye a la Comisión la función de 'servir de cauce de colaboración entre la Administración Pública y las organizaciones representativas de los sujetos obligados'. El art. 44.3 prevé que 'reglamentariamente' puedan establecerse otros Comités dependientes de la Comisión. El Consejo depende de la Comisión, por lo que la Orden concreta la colaboración reglamentaria que la Ley prevé.
El art. 32 ter.7 permite a la Comisión autorizar sistemas comunes entre varias categorías de sujetos obligados. El art. 33.1 le permite acordar intercambios por riesgos extraordinarios, previo dictamen conforme de la AEPD. El Consejo puede ser el espacio donde se canalicen y preparen esas decisiones, sin sustituir a la Comisión.
El intercambio de información 'estratégica' (tipologías, tendencias, buenas prácticas) no implica datos personales ni operaciones concretas. Queda fuera del ámbito restrictivo de los arts. 32 ter y 33. El flujo autoridad→sujeto obligado tampoco está limitado por esos preceptos, que solo regulan los intercambios entre sujetos obligados.
No hay vulneración de la reserva de ley (arts. 18.4 y 53.1 CE). La Orden no regula el tratamiento de datos ni limita derechos. Las bases de legitimación y garantías ya están en ley (arts. 32 bis, 32 ter y 33, con los arts. 6.1.c y 6.1.e RGPD). Es una norma organizativa dictada en ejercicio de la potestad de autoorganización, sin contenido innovador ad extra.
La remisión a la 'normativa vigente' en el art. 3.2 no es una delegación en blanco. Es una cláusula recordatoria que no reduce las garantías legales, que siguen siendo directamente aplicables. La jurisprudencia suele rechazar la nulidad de reglamentos que se limitan a reiterar o remitir a la ley y no contradicen su contenido.

Quién podría usarlo

Un cliente o sujeto afectado por un intercambio de información entre entidades (cancelación de relaciones, rechazo de operaciones) podría impugnar ese acto de aplicación, o reclamar ante la AEPD o en vía civil. En el proceso contencioso invocaría el recurso indirecto del art. 26 LJCA contra el art. 3.1.b), alegando que se intercambió información sin el acuerdo de la Comisión y el dictamen de la AEPD que exige el art. 33.1. Un sujeto obligado sancionado por revelación o por tratamiento indebido podría usar el mismo argumento como defensa o para sostener la falta de cobertura legal del intercambio.

Pendiente de comprobar

Texto íntegro y vigente a 30-10-2026 de los arts. 18, 24, 26 ter y 46 de la Ley 10/2010. El triaje cita el art. 46 para la prohibición de revelación, pero las remisiones cruzadas de los arts. 32.2 y 33 apuntan al art. 24; hay que confirmar en cuál está y con qué redacción. El extracto aportado no incluye esos artículos.
Si la Comisión o su Comité Permanente han adoptado acuerdos del art. 33.1 o autorizaciones del art. 32 ter.7 que den cobertura a intercambios multicategoría, y si hay comunicaciones previas del art. 32 ter.1.
Texto completo de la Orden (arts. 2, 4 y 5): régimen de confidencialidad y secreto de los vocales no permanentes, reglas de las comisiones técnicas y del comité ejecutivo, y si hay protocolos de intercambio de información operativa.
Procedimiento de elaboración: el preámbulo solo menciona el trámite de audiencia. Verificar si se recabó informe de la AEPD (art. 36.4 LOPDGDD) y dictamen del Consejo de Estado cuando proceda. La omisión de un informe preceptivo podría ser un vicio formal autónomo (art. 47.2 Ley 39/2015).
Jurisprudencia del TS y del TC sobre reserva de ley en protección de datos (STC 292/2000 y STC 76/2019) y sobre reglamentos organizativos con cláusulas de remisión o salvaguarda a la ley. Doctrina sobre el art. 22.3 Ley 40/2015 y los efectos frente a terceros de los órganos colegiados sin competencias decisorias.
Marco UE: Reglamento (UE) 2024/1624 (AMLR), cuyo art. 75 regula las asociaciones de intercambio de información entre entidades obligadas y que se aplica desde julio de 2027, y la Directiva (UE) 2024/1640. Comprobar si la Ley 10/2010 está en proceso de adaptación y cómo afecta al art. 32 ter.
Jurisdicción y plazos: contra una orden ministerial el recurso directo corresponde en principio a la Audiencia Nacional (art. 11.1.a LJCA), con casación posterior ante el TS. Calcular el plazo de dos meses del art. 46.1 LJCA desde la fecha de publicación en el BOE (BOE-A-2026-21952). Vencido, solo cabe el recurso indirecto del art. 26 LJCA.