Identificador digital de Bizum: funcionamiento y obligaciones para empresas

El identificador digital de Bizum permite registrarse o entrar en una web o aplicación con el número de móvil y una validación en la aplicación bancaria. No es un pago y tampoco debe presentarse como una identidad pública universal: es un servicio de autenticación cuya disponibilidad, datos y condiciones dependen de la integración ofrecida por Bizum y la entidad correspondiente.

Qué recibe realmente la empresa

Bizum explica que el usuario puede autorizar los datos necesarios para el registro o acceso y consultar o retirar permisos. La empresa integradora debe confirmar en la documentación técnica y contractual qué atributos recibe, quién los comunica, durante cuánto tiempo se conservan y qué ocurre cuando el usuario retira el permiso. No debe inferir que recibe datos financieros o una verificación apta para cualquier obligación de identificación.

El banco autentica; la empresa conserva sus obligaciones

Cuando la empresa usa los datos para crear una cuenta, prestar un servicio, prevenir fraude o mantener un historial, trata datos personales. El reparto de responsabilidades entre comercio, banco, Bizum y proveedores depende de los fines y medios reales; no se resuelve con una etiqueta genérica de «encargado» o con un consentimiento para todo.

Lista de comprobación antes de integrar

1. Mapear el flujo: datos solicitados, recibidos, almacenados, compartidos y eliminados.
2. Definir finalidad y base jurídica: distinguir creación de cuenta, autenticación, ejecución contractual, seguridad y usos opcionales.
3. Actualizar la información de privacidad: explicar actores, datos, finalidad, conservación, derechos y transferencias, si existen.
4. Minimizar: solicitar solo los atributos necesarios para cada caso de uso.
5. Revisar contratos y proveedores: documentar funciones, instrucciones, seguridad, incidencias, subencargados y retorno o borrado.
6. Diseñar seguridad y recuperación: proteger sesiones y cuentas, registrar accesos relevantes y ofrecer un método alternativo seguro.
7. Fijar conservación: separar los datos necesarios para la cuenta de los registros técnicos o de seguridad.
8. Valorar el riesgo: una evaluación de impacto no es automática por usar Bizum; procede cuando el tratamiento previsto pueda entrañar alto riesgo.

Decisión práctica

Antes de activar el servicio, la empresa debería poder responder por escrito qué problema resuelve, qué datos entran, con qué base se usan y cuándo se borran. NRRO puede revisar el flujo, los contratos y los textos legales de una integración concreta; la validación técnica y de seguridad debe coordinarse con el proveedor responsable.

Fuentes oficiales

• Bizum: identificador digital.
• Reglamento general de protección de datos.

Revisado el 26 de agosto de 2026. La asignación de responsabilidades exige revisar la integración y los contratos reales.