Aquí va una de las preguntas que más le llega a cualquiera que trabaje en compliance: "¿Mi empresa tiene obligaciones por la Ley 10/2010?" La respuesta corta es: probablemente sí, y más de lo que crees.
La Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo no es exclusiva del sector bancario. El artículo 2 dibuja un perímetro de sujetos obligados que abarca desde asesores fiscales hasta casinos, pasando por joyerías, gestorías, promotores inmobiliarios y —desde las reformas de 2023 y 2025— también los proveedores de servicios sobre criptoactivos.
Vamos a ver quién está dentro, quién se suele pensar que está fuera (y no lo está), y qué consecuencias tiene equivocarse.
¿Qué significa exactamente ser "sujeto obligado"?
Cuando la ley te etiqueta como sujeto obligado, no es solo un título. Significa que tienes que implementar un sistema completo de prevención del blanqueo: identificar a tus clientes, vigilar sus operaciones, reportar las sospechosas y mantener todo documentado durante al menos diez años.
No es una lista de recomendaciones. Son obligaciones legales cuyo incumplimiento puede derivar en sanciones millonarias, publicación en el BOE con nombre y apellidos, e incluso suspensión de la actividad. El SEPBLAC, que es quien supervisa todo esto en España, ha endurecido notablemente su actividad inspectora desde 2022.
La pregunta correcta no es "¿me aplicará a mí?", sino "¿puedo demostrar que no me aplica?". Si no tienes una respuesta clara, ya tienes un problema.
La lista completa de sujetos obligados
El artículo 2 de la Ley 10/2010 establece tres grandes bloques. Te los detallo sector a sector para que no haya dudas:
Bloque 1: Entidades del sector financiero
Este es el bloque que todo el mundo conoce, pero tiene más matices de los que parece:
- Entidades de crédito: bancos, cajas rurales, cooperativas de crédito y establecimientos financieros de crédito.
- Aseguradoras del ramo de vida y sus corredores cuando intermedien en seguros de vida o productos de inversión vinculados a seguros.
- Empresas de servicios de inversión (ESIs): agencias y sociedades de valores, sociedades gestoras de carteras.
- Gestoras de fondos: IICs, fondos de pensiones, capital riesgo y entidades de inversión colectiva de tipo cerrado.
- Sociedades de garantía recíproca.
- Entidades de pago y de dinero electrónico —esto incluye muchos fintechs que en los últimos años han tenido que implementar KYC desde cero.
- Casas de cambio de moneda (personas que ejerzan profesionalmente actividades de cambio).
- Servicios postales cuando operen con giros o transferencias.
- Intermediarios en la concesión de préstamos o créditos que actúen de forma profesional.
- Gestores de sistemas de pago y liquidación de valores, incluyendo operadores de tarjetas de crédito o débito emitidas por terceros.
- Proveedores de servicios sobre criptoactivos (intercambio, custodia y emisión). Incorporados por la reforma de 2023, reforzados en 2025 con la transposición parcial del marco MiCA. Si gestionas un exchange, una wallet o tokenizan activos, estás dentro.
Bloque 2: Profesionales y empresas no financieras
Este es el bloque que más sorpresas da. Mucha gente no sabe que está aquí:
- Promotores inmobiliarios y quienes intermedien profesionalmente en la compraventa o el arrendamiento de inmuebles (agencias, brokers, portales especializados con intermediación activa).
- Auditores de cuentas, contables externos y asesores fiscales cuando presten servicios a clientes de forma continuada o en operaciones concretas de cierta relevancia.
- Notarios y registradores de la propiedad, mercantiles y de bienes muebles.
- Abogados y procuradores, pero ojo: no en cualquier actividad. Solo cuando participen en operaciones concretas como la compraventa de inmuebles o entidades comerciales, la gestión de fondos y valores del cliente, la apertura de cuentas o la creación de sociedades y fiducias.
- Casinos, tanto presenciales como online (juego con licencia española).
- Joyerías y comercios de metales o piedras preciosas que operen de forma profesional.
- Galerías de arte, anticuarios y comercios de antigüedades.
- Concesionarios de vehículos de lujo —sí, los concesionarios de coches de alta gama tienen obligaciones PBC específicas.
- Gestoras de loterías y juego de azar presencial o electrónico.
- Empresas de depósito, custodia o transporte profesional de fondos.
- Prestadores de servicios a sociedades: quienes se dediquen profesionalmente a constituir empresas, actuar como administradores en nombre de terceros, proporcionar domicilios sociales o actuar como socios fiduciarios.
- Intermediarios digitales que faciliten transacciones financieras internacionales —novedad que entró en vigor en 2025 y que afecta a una categoría de plataformas que antes quedaban en zona gris.
Bloque 3: Otros sujetos obligados
- Fundaciones y asociaciones, en los términos específicos del artículo 39 de la ley (especialmente aquellas que capten o transfieran fondos de forma relevante).
- Personas físicas que realicen movimientos de medios de pago en los términos del artículo 34 (operadores de movimientos transfronterizos de efectivo o instrumentos similares por encima de 10.000 €).
Los sectores que más se "olvidan" de que están obligados
Con años de experiencia revisando expedientes sancionadores del SEPBLAC, hay un patrón claro: los sectores que más incumplen no son los que desconocen la norma, sino los que asumen erróneamente que no les aplica. Los candidatos habituales:
Asesores y gestorías
El asesor fiscal que lleva la contabilidad de 40 pymes y no tiene ni un procedimiento de KYC. Es un clásico. El criterio clave es si prestas servicios de forma profesional y continuada: si sí, probablemente eres sujeto obligado.
Agencias inmobiliarias pequeñas
El sector inmobiliario acumula el mayor número de expedientes sancionadores del SEPBLAC después del financiero. Muchas agencias de barrio siguen sin tener ni el manual de procedimientos ni el registro de operaciones mínimamente organizado.
Abogados en operaciones societarias
El matiz de "solo en determinadas operaciones" crea una falsa sensación de seguridad. Si participas habitualmente en compraventas de empresas, reestructuraciones o constitución de sociedades para terceros, probablemente tienes obligaciones que no estás cumpliendo.
Plataformas crypto y fintechs
Las reformas de 2023 y 2025 han dejado claro que el sector crypto ya no es un limbo regulatorio. Si operas un exchange, una wallet custodial o cualquier servicio de intercambio de criptoactivos en España, estás sujeto a las mismas obligaciones KYC y de reporte que un banco, con la misma supervisión del SEPBLAC —y en algún caso también de la CNMV.
¿Qué pasa si te pillan sin cumplir?
El régimen sancionador del Título X de la Ley 10/2010 es más contundente de lo que muchos esperan. Las infracciones se graduán en leves, graves y muy graves. Las multas orientativas:
- Infracciones leves: hasta 60.000 €
- Infracciones graves: entre 60.001 € y 1.500.000 € (o el doble del beneficio obtenido si es mayor)
- Infracciones muy graves: entre 1.500.001 € y 10.000.000 € (o hasta el 10% del volumen de negocio anual en el caso de entidades financieras)
A eso hay que sumar que las sanciones muy graves se publican en el BOE y en la web del SEPBLAC —con el nombre de la empresa y la descripción del incumplimiento— durante al menos cinco años. En el mundo en que vivimos, ese impacto reputacional puede ser más devastador que la multa en sí.
En 2024, el SEPBLAC intensificó la supervisión sobre tres áreas concretas: entidades de pago y dinero electrónico, proveedores de servicios crypto, y el sector inmobiliario. Si estás en alguno de esos tres, la probabilidad de recibir una inspección es significativamente más alta que hace cinco años.
El horizonte de 2027: lo que cambia con la AMLA europea
Si eres sujeto obligado hoy, tienes que tener en el radar lo que viene. En mayo de 2024, la Unión Europea aprobó el paquete AML/CFT más ambicioso de su historia:
- Reglamento (UE) 2024/1624: norma única de PBC de aplicación directa en todos los Estados miembro, sin necesidad de transposición. Entra en vigor a partir de 2027 y amplía el perímetro de sujetos obligados —especialmente en el ámbito del fútbol profesional y los gestores de grandes patrimonios— y endurece los requisitos de diligencia debida.
- Reglamento (UE) 2024/1620: crea la AMLA (Anti-Money Laundering Authority) con sede en Frankfurt. Esta nueva autoridad tendrá supervisión directa sobre las entidades de mayor riesgo de la UE, especialmente las del sector financiero y crypto.
La implicación práctica es clara: los procedimientos que hoy son suficientes para una inspección del SEPBLAC puede que no lo sean en 2027. Las empresas que vayan construyendo su sistema de compliance de forma progresiva y documentada llegarán en mucho mejor posición que las que quieran ponerse al día en el último trimestre.
Conclusión
Ser sujeto obligado no es ninguna deshonra; es simplemente una consecuencia de operar en sectores donde existe un riesgo relevante de que fluya dinero sucio. La ley lo reconoce y te pide que seas parte de la solución.
Lo importante es saberlo. Si tu empresa encaja en alguna de las categorías del artículo 2 de la Ley 10/2010 y todavía no tienes implementado un sistema de prevención —KYC, manual de procedimientos, representante ante el SEPBLAC, formación del personal y registros— es el momento de ponerse manos a la obra, no de esperar a recibir el requerimiento.
Y si ya tienes algo montado pero es informal o está desactualizado, el SEPBLAC no es indulgente con los parches de última hora. Un sistema de compliance bien construido y auditado vale mucho más que uno improvisado el día antes de una inspección.