Un sistema que todo lo ve: qué es el CAT y por qué asigna un identificador único
El Consolidated Audit Trail (CAT) nació en 2012 con una misión clara: sustituir el mosaico de registros comerciales fragmentados por una única base de datos unificada que permitiera a los reguladores detectar fraudes y manipulaciones del mercado. Tras el flash crash de 2010, Washington necesitaba una herramienta de supervisión a la altura de unos mercados cada vez más complejos. Pero lo que empezó como un proyecto de transparencia se ha convertido en el mayor repositorio de datos financieros personales jamás creado por el Gobierno estadounidense.
El CAT no se limita a guardar transacciones anónimas. Recopila nombre, dirección, fecha de nacimiento, número de la Seguridad Social y el historial completo de operaciones de cada inversor. Y lo ata todo con un hilo invisible: el Customer and Account Identifier (CCID), un código único que sigue a cada persona a lo largo de toda su vida financiera, sin importar cuántas cuentas abra o con qué brókeres opere. A diferencia del número de la Seguridad Social, que al menos puede ocultarse parcialmente, el CCID está diseñado precisamente para maximizar su utilidad como herramienta de vigilancia.
El sistema está preparado para soportar al menos 3.000 usuarios simultáneos entre personal de la SEC, empleados de organismos autorreguladores (SRO) y contratistas externos. Una puerta tan ancha multiplica los riesgos. La Oficina del Inspector General de la SEC acaba de confirmar que un antiguo empleado accedió y compartió información no pública sin autorización, el último eslabón de una cadena de brechas internas que afectan desde la CIA hasta la Oficina de Protección Financiera del Consumidor (CFPB).
La amenaza no es solo interna. En 2015, piratas informáticos vinculados al Estado chino robaron 22 millones de registros de la Oficina de Gestión de Personal. A finales de 2024, los mismos actores penetraron en el Departamento del Tesoro y comprometieron a nueve empresas de telecomunicaciones. Los adversarios extranjeros saben que el Gobierno recopila estos datos y también que no puede protegerlos.
Además, una aplicación moderada de inteligencia artificial sobre los datos del CAT permitiría reconstruir con precisión la cartera actual de cualquier inversor: lo que se compró y nunca se vendió se posee. Esto transforma la herramienta en algo para lo que el Congreso nunca dio permiso: un inventario gubernamental en tiempo real de las inversiones de los ciudadanos. La cartera de un inversor es una ventana a su conciencia: puede revelar convicciones religiosas, políticas o circunstancias personales, porque la gente opera en bolsa cuando se casa, pierde el empleo o se prepara para morir.
El CCID es una etiqueta permanente de vigilancia que sigue al inversor en cada operación, cada cuenta y cada bróker, de por vida.
La Lógica de Washington
Entender por qué la SEC construyó el CAT exige ponerse en la piel del regulador estadounidense. Tras la crisis financiera de 2008 y el flash crash de 2010, la desconfianza hacia unos mercados opacos era máxima. La Ley Dodd-Frank dotó a la Comisión de nuevos poderes para reconstruir cada operación bursátil y detectar a los manipuladores. El CAT era la respuesta técnica a un problema real: sin un seguimiento unificado, los reguladores estaban ciegos. La asignatura pendiente era cómo hacerlo sin convertir la base de datos en un arma de vigilancia masiva.
La coalición que sostiene esta arquitectura es amplia: demócratas partidarios de una supervisión estricta, republicanos preocupados por la integridad del mercado y una industria financiera que, en un principio, vio en el CAT una forma de reducir sus propias cargas de reporte. Sin embargo, en los últimos años la American Securities Association —un lobby que agrupa a firmas de valores regionales— ha liderado la oposición. Su presidente, Christopher Iacovella, sostiene que el CCID carece de base legal y que el sistema es una bomba de relojería para la privacidad.
Qué significa esto para los inversores españoles
Cualquier ciudadano español que opere con cuentas de inversión en Estados Unidos —ya sea a través de brókeres estadounidenses o de filiales de bancos españoles como Santander o BBVA— está dentro del alcance del CAT. Sus datos quedan vinculados a un CCID y pasan a engrosar una base de datos que almacena cada movimiento. En un escenario de brecha masiva, la información financiera de miles de españoles podría verse expuesta, con implicaciones directas sobre la privacidad y la seguridad jurídica.
La normativa europea de protección de datos (GDPR) impone restricciones severas a la recogida indiscriminada de datos personales, pero la SEC opera bajo jurisdicción estadounidense. Eso significa que el conflicto legal está servido. De momento, ni el Gobierno español ni la CNMV se han pronunciado, pero Bruselas ya ha mostrado en el pasado su malestar con programas de vigilancia financiera extraterritoriales. El debate amenaza con escalar si el Congreso de Estados Unidos no pone límites claros al uso del CCID.
Ficha del Caso
- El caso: La Oficina del Inspector General de la SEC confirma que un ex empleado accedió y compartió información no pública, lo que reaviva las críticas contra el sistema CAT y su identificador CCID, capaz de seguir todas las operaciones financieras de un inversor de por vida.
- Datos clave: El CAT fue creado en 2012 y almacena nombre, dirección, fecha de nacimiento, número de la Seguridad Social e historial de transacciones. Soporta más de 3.000 usuarios simultáneos. Los precedentes de brechas masivas incluyen la CIA (2016) y el Tesoro (2024).
- Para España: Los inversores españoles con cuentas en EE. UU. están sujetos al mismo seguimiento, lo que podría chocar con el GDPR y exponer sus datos en caso de un ciberataque. La CNMV y el Gobierno aún no se han pronunciado oficialmente.
