Servicios de Cumplimiento en Lituania

Cumplimiento AML/KYC — El Marco Lituano

La Ley de Prevención del Blanqueo de Capitales y la Financiación del Terrorismo (PPTFPĮ)

La Ley de Prevención del Blanqueo de Capitales y la Financiación del Terrorismo (Pinigų plovimo ir teroristų finansavimo prevencijos įstatymas — PPTFPĮ) es la principal ley contra el blanqueo de capitales en Lituania. Transforma la Cuarta y la Quinta Directivas de la UE contra el Blanqueo de Capitales (4AMLD — Directiva 2015/849; 5AMLD — Directiva 2018/843) y las Recomendaciones del Grupo de Acción Financiera Internacional (GAFI) en la legislación lituana. La Ley de Lituania contra el Blanqueo de Capitales y la Financiación del Terrorismo (PPTFPĮ) ha sido modificada para implementar los requisitos pertinentes de la UE en materia de prevención del blanqueo de capitales y la financiación del terrorismo, incluidas las disposiciones relativas a la transparencia de la titularidad real y la identificación de las entidades obligadas. La información sobre la titularidad real de las entidades jurídicas lituanas se mantiene a través de JANGIS, un subsistema de JADIS. El acceso a la información sobre la titularidad real se rige por la legislación lituana y de la UE aplicable y no debe describirse como acceso público irrestricto en todos los casos.

Entidades obligadas — quién debe cumplir

La PPTFPĮ establece una lista de ‘entidades obligadas’ (įpareigotieji subjektai): personas y empresas que deben implementar un programa AML. La lista de entidades obligadas ha sido ampliada bajo la 5AMLD. En Lituania incluye:

• Entidades de crédito e instituciones financieras — bancos, instituciones de pago (EMIs), entidades de dinero electrónico, empresas de inversión, compañías de seguros
• Proveedores de servicios de criptoactivos (CASP, por sus siglas en inglés): empresas que prestan servicios regulados de criptoactivos conforme al Reglamento (UE) 2023/1114 (MiCA), incluidos los de custodia, intercambio, ejecución de órdenes y otros servicios autorizados. La autorización CASP en Lituania la concede generalmente el Banco de Lituania. El anterior régimen transitorio nacional de proveedores de servicios de activos virtuales (VASP, por sus siglas en inglés) de Lituania finalizó el 31 de diciembre de 2025, y el registro anterior como VASP ya no autoriza los servicios regulados de criptoactivos. Los CASP deben cumplir con los requisitos aplicables en materia de prevención del blanqueo de capitales y la financiación del terrorismo (PBC/FT) según la legislación lituana y de la UE.
• Firmas y auditores de cuentas — auditores legales y sociedades de auditoría
• Contables y asesores fiscales — personas que prestan servicios de contabilidad, teneduría de libros o asesoría fiscal
• Profesionales jurídicos — abogados, notarios y otros profesionales jurídicos cuando asisten a clientes en determinadas transacciones (inmuebles, constitución de empresas, gestión de fondos de clientes)
• Agentes inmobiliarios — agencias y agentes individuales
• Comerciantes de artículos de alto valor — que comercian con bienes mediante pago en efectivo de €10.000 o más por transacción
• Proveedores de servicios de juego — operadores de casinos presenciales y en línea
• Operadores de plataformas de crowdfunding y proveedores de servicios a empresas y trusts

Los cinco pilares del programa AML

Toda entidad obligada debe implementar un programa AML basado en el riesgo conforme al Artículo 12 PPTFPĮ. El programa debe abordar cinco áreas fundamentales:

• Evaluación de riesgos — una evaluación escrita de los riesgos de blanqueo de capitales y financiación del terrorismo a los que se enfrenta la entidad, considerando sus clientes, productos, servicios, transacciones y exposición geográfica. La evaluación de riesgos debe actualizarse ante cualquier cambio material en el modelo de negocio de la entidad o cuando el FNTT o el Banco de Lituania publiquen evaluaciones de riesgo nacionales o sectoriales actualizadas.
• Diligencia debida del cliente (KYC) — procedimientos para identificar y verificar a los clientes antes de establecer una relación de negocio. La DDC estándar se aplica a todos los clientes; la Diligencia Debida Reforzada (DDR) se aplica a los clientes de alto riesgo, incluidas las Personas Políticamente Expuestas (PPEs), los clientes de jurisdicciones de alto riesgo y las relaciones no presenciales. La DDC simplificada está disponible para clientes de bajo riesgo en las circunstancias específicas definidas en el Artículo 10 PPTFPĮ.
• Seguimiento continuo — monitorización continua de las relaciones de negocio y las transacciones para garantizar que sean coherentes con el conocimiento que tiene la entidad del cliente y el patrón de actividad esperado. Las transacciones inusuales o incoherentes deben ser objeto de un examen adicional.
• Comunicación de operaciones sospechosas — un proceso para identificar y comunicar las transacciones y actividades sospechosas al FNTT a través del sistema de comunicación FORSIS del FNTT. La obligación de comunicación se aplica sin alertar al cliente de que se ha presentado una comunicación.
• Controles internos: políticas documentadas de prevención del blanqueo de capitales y la financiación del terrorismo (PBC/FT), procedimientos de debida diligencia del cliente, seguimiento de transacciones, notificación de transacciones sospechosas, formación adecuada del personal, designación de personal responsable y revisiones de cumplimiento independientes basadas en el riesgo cuando sea necesario. Según el artículo 19 de la Ley de PBC/FT de Lituania, la documentación de identificación del cliente y los registros de transacciones pertinentes deben conservarse generalmente durante ocho años, mientras que la correspondencia comercial debe conservarse generalmente durante cinco años. Otras categorías de registros pueden estar sujetas a diferentes períodos de conservación legales. Se requiere una función de auditoría independiente cuando sea apropiado para la naturaleza y el tamaño de la entidad obligada; una auditoría interna anual obligatoria no debe presentarse como un requisito legal universal para todas las entidades obligadas.

La Diligencia Debida del Cliente (KYC) en la Práctica

El marco de diligencia debida del cliente (DDC) conforme a la PPTFPĮ distingue tres niveles de diligencia en función del riesgo evaluado del cliente y de la transacción. La correcta calibración de la DDC al nivel de riesgo es lo que separa un programa AML eficaz de uno que es incumplidor (diligencia insuficiente) u operativamente disfuncional (diligencia excesiva aplicada uniformemente a todos los clientes).

DDC estándar — Artículo 9 PPTFPĮ

La DDC estándar debe aplicarse a todos los nuevos clientes al inicio de la relación de negocio y de forma continua. La DDC estándar exige: identificación del cliente (persona física o jurídica) y verificación de la identidad mediante fuentes fiables e independientes; identificación y verificación de los beneficiarios efectivos de los clientes personas jurídicas (UBOs, tal como se definen en el Artículo 2(9) PPTFPĮ, de conformidad con la definición de la 5AMLD); obtención de información sobre la naturaleza y finalidad de la relación de negocio propuesta; y seguimiento continuo de la relación y las transacciones.

Para los clientes que son personas jurídicas, la debida diligencia incluye la identificación y verificación de la entidad jurídica, la comprensión de su estructura de propiedad y control, la identificación de sus beneficiarios finales y la verificación de la autoridad de las personas que actúan en su nombre. La documentación pertinente puede incluir un extracto de registro, documentos constitutivos, documentos de identificación y registros de beneficiarios finales. En Lituania, la información sobre accionistas y participantes se gestiona a través de JADIS, mientras que la información sobre beneficiarios finales se gestiona a través de JANGIS. Las entidades obligadas no deben basarse exclusivamente en la información del registro cuando se requiera una verificación adicional según las normas aplicables de prevención del blanqueo de capitales y la financiación del terrorismo basadas en el riesgo.

Diligencia Debida Reforzada (DDR) — Artículo 11 PPTFPĮ

La Diligencia Debida Reforzada es obligatoria para los clientes y situaciones de alto riesgo conforme a la PPTFPĮ. La DDR exige todos los pasos de la DDC estándar más medidas adicionales. Las situaciones que activan la DDR incluyen:

• Personas Políticamente Expuestas (PPEs) — personas físicas que ocupan o han ocupado funciones públicas prominentes. El estatuto de PPE activa la DDR durante la vigencia de la relación más 12 meses tras el cese de la PPE en su función. La DDR para PPEs exige: establecer el origen del patrimonio y el origen de los fondos; obtener la aprobación de la alta dirección para establecer la relación; y un seguimiento continuo reforzado.
• Clientes o transacciones que involucran a terceros países de alto riesgo — países identificados por la Comisión Europea como países con deficiencias estratégicas en materia AML. Actualmente, aproximadamente 20 países figuran en la lista de alto riesgo de la UE.
• Las relaciones con clientes que no se establecen de forma presencial deben evaluarse según sus riesgos reales de blanqueo de capitales y financiación del terrorismo, así como los métodos de identificación utilizados. La identificación remota no exige automáticamente una debida diligencia reforzada en todos los casos. Cuando la institución utiliza identificación electrónica legalmente reconocida, servicios de confianza cualificados u otros métodos de verificación remota que cumplan con la normativa, puede llevar a cabo la debida diligencia con el cliente sin clasificar automáticamente la relación como de alto riesgo. Se requieren medidas adicionales de verificación o de debida diligencia reforzada cuando la legislación aplicable o la evaluación de riesgos individual así lo justifiquen.
• Relaciones de corresponsalía bancaria — cuando una entidad de crédito lituana establece una relación de corresponsalía con una entidad de crédito de un país no comunitario.
• Transacciones complejas o de importe inusualmente elevado sin finalidad económica aparente.

DDC simplificada — Artículo 10 PPTFPĮ

La DDC simplificada está disponible para los clientes de bajo riesgo en circunstancias específicas en que la PPTFPĮ permite un nivel reducido de verificación: incluidas las sociedades cotizadas en mercados regulados de la UE, las autoridades públicas y los clientes que presentan un bajo riesgo según la evaluación de riesgos documentada de la entidad. La DDC simplificada no significa la ausencia de DDC: significa un nivel reducido de verificación, aplicado de forma coherente con una justificación de riesgo documentada.

Cumplimiento del RGPD en Lituania

El Reglamento General de Protección de Datos de la UE (Reglamento 2016/679 — RGPD) se aplica directamente y sin transposición nacional en Lituania. Rige el tratamiento de datos personales de residentes en la UE por cualquier organización que esté establecida en la UE o que ofrezca bienes o servicios a residentes en la UE. La autoridad de supervisión lituana es la Inspección Estatal de Protección de Datos (Valstybinė duomenų apsaugos inspekcija — VDAI).

A quién se aplica el RGPD en Lituania

Toda empresa lituana que trate datos personales (es decir, que recopile, almacene, utilice, transmita o elimine información sobre personas físicas identificables) está sujeta al RGPD. No existe umbral de tamaño: una empresa unipersonal que almacena direcciones de correo electrónico de clientes está sujeta al RGPD. El RGPD se aplica a los datos de los empleados, los datos de los clientes, los datos de los proveedores, los datos de los visitantes del sitio web y cualquier otro dato personal que maneje la empresa.

Los seis requisitos de cumplimiento del RGPD que implementamos

• Base jurídica del tratamiento — toda actividad de tratamiento debe tener una base jurídica conforme al Artículo 6 RGPD: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, misión de interés público o intereses legítimos. Los intereses legítimos (Art. 6(1)(f)) es la base más comúnmente aplicable en el tratamiento B2B, pero requiere una prueba de ponderación documentada.
• Avisos de privacidad — las personas cuyos datos son tratados deben ser informadas del tratamiento conforme a los Artículos 13–14 RGPD. Las políticas de privacidad del sitio web, los avisos de privacidad para empleados y los avisos de tratamiento de datos de clientes deben estar actualizados, ser completos y estar accesibles.
• Derechos de los interesados — los interesados tienen derecho a acceder a sus datos, rectificarlos, suprimirlos (‘derecho al olvido’), limitar el tratamiento y oponerse al tratamiento. Las empresas deben tener procedimientos documentados para gestionar estas solicitudes dentro del plazo legal de respuesta de 30 días.
• Acuerdos de tratamiento de datos (ATD) — cuando una empresa lituana utiliza encargados del tratamiento externos (servicios en la nube, proveedores de nóminas, plataformas de email marketing), debe existir un Acuerdo de Tratamiento de Datos (ATD) conforme al Artículo 28 RGPD con cada encargado.
• Notificación de brechas de datos — el Artículo 33 RGPD exige la notificación a la VDAI en el plazo de 72 horas desde que se tenga conocimiento de una brecha de datos personales que suponga un riesgo para los derechos de los interesados. Las brechas que supongan un alto riesgo también deben notificarse a los interesados afectados. Debe existir un plan de respuesta ante brechas.
• Delegado de Protección de Datos (DPD) — un DPD es obligatorio conforme al Artículo 37 RGPD para las autoridades públicas, las empresas cuya actividad principal implique la monitorización sistemática a gran escala y las empresas cuya actividad principal implique el tratamiento a gran escala de datos sensibles. Para otras empresas, el nombramiento voluntario de un DPD o un acuerdo de DPD como servicio es aconsejable.

Actuación de la VDAI — multas e investigaciones

La VDAI ha incrementado progresivamente su actividad de control. Las multas conforme al RGPD son escalonadas: hasta €10 millones o el 2% del volumen de negocio mundial anual por infracciones técnicas (seguridad inadecuada, no nombramiento de un DPD, deficiencias en la llevanza de registros); y hasta €20 millones o el 4% del volumen de negocio mundial anual por infracciones sustantivas (tratamiento ilícito, vulneración de los derechos de los interesados, transferencias internacionales no autorizadas). En la práctica, las multas de la VDAI para las empresas lituanas han oscilado habitualmente entre €2.000 y €50.000 para la mayoría de las infracciones, pero el máximo se ha aplicado en casos graves. Las investigaciones de la VDAI se inician frecuentemente a raíz de reclamaciones de los interesados, que pueden presentarse directamente ante la VDAI en línea.

Servicios de Cumplimiento que Ofrecemos

Autoridades Supervisoras y Régimen Sancionador

Comprender qué autoridad supervisa qué obligación (y cuáles son las consecuencias del incumplimiento) es esencial para priorizar las inversiones en cumplimiento. Las tres autoridades supervisoras con mayor relevancia comercial para las empresas lituanas son:

Precios de servicios de cumplimiento

El diseño e implementación de los programas de cumplimiento tienen precios fijos para alcances definidos. Los retainers de asesoría continua de cumplimiento se presupuestan tras una evaluación inicial de las obligaciones de cumplimiento y la madurez actual de la entidad.

Preguntas frecuentes