Firmas
Algunas consideraciones sobre los datos personales y el canal de denuncias
Javier Puyol es socio director de Puyol Abogados & Partners. Foto: Carlos Berbell/Confilegal.
26/8/2021 06:46
|
Actualizado: 26/11/2021 13:06
|
Los programas de denuncia de irregularidades internos generalmente se establecen con vistas a poner en marcha unos principios de gobierno corporativo adecuados en el funcionamiento diario de las sociedades.
La denuncia de irregularidades se diseña como un mecanismo adicional para que los empleados informen de malas conductas de manera interna a través de un canal específico, basada en el principio de la delación o puesta en conocimiento del empresario de conductas presuntamente irregulares cometidas por personas sujetas al Modelo de Cumplimiento.
El Canal de Denuncias se establece de manera complementaria a otras vías de comunicación que son habituales en cualquier empresa u organización, como pueden ser las llevadas a cabo a través de los representantes de los empleados, de los mandos o directivos, del personal de control de calidad, o, de los auditores internos, cuya función es precisamente informar acerca de conductas.
La denuncia de irregularidades debería contemplarse como un complemento, y no como un sustituto, de la gestión interna llevada a cabo a través de los medios anteriormente indicados.
Adicionalmente, a los mismos, y con relación al Canal de Denuncias como un instrumento del moderno «Compliance», debe valorarse su funcionamiento y su compatibilidad con relación a las normas sobre protección de datos de carácter personal, y así, debe tenerse presente el Dictamen 1/2006 del Grupo de Trabajo del artículo 29, que llevó a cabo una serie de pronunciamientos fundamentales sobre o, una serie de aspectos determinantes en aras de la implantación en el seno de cualquier empresa del Canal Ético o de Denuncias.
Así entre los aspectos que se destacaban, en el mismo, cabe señalar los siguientes:
a). La aplicación de las normas de protección de datos a los programas de denuncia de irregularidades implica el tratamiento de la cuestión de la legitimidad de los sistemas de denuncia de irregularidades.
Esta legitimación se concretaba en el hecho de que el establecimiento del sistema de denuncia de irregularidades fuera necesario para el cumplimiento de una obligación de naturaleza jurídica a la que estuviera sujeto el responsable del tratamiento, este caso la contemplada en el número 4º del apartado 5º del artículo 31 bis del Código Penal, donde se señala que:
“Los modelos de organización y gestión … deberán cumplir los siguientes requisitos: 4.º Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención”
Consecuentemente con ello, el establecimiento de un sistema de denuncia de irregularidades es necesario y se justifica sobre la base de un interés legítimo perseguido por el responsable del tratamiento, o en su caso, por el responsable del tratamiento o por el tercero a quien se divulgan los datos, siempre que dichos intereses legítimos no se vean anulados por los intereses o las libertades y derechos fundamentales del interesado.
b). La aplicación de los principios de calidad de datos y proporcionalidad.
La aplicación de estos principios en el Canal de Denuncias conlleva que los datos personales deben tratarse de forma leal y lícita, y que, además, deben ser recogidos, y recogerse u obtenerse con fines determinados, explícitos y legítimos, y, al mismo tiempo, no deberán utilizarse con fines incompatibles con la propia naturaleza y esencia que justifica la existencia del propio Canal de Denuncias.
Asimismo, los datos tratados a consecuencia de este deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que se recaben a los efectos del tratamiento ulterior de los mismos.
Cuando se combinan todos estos principios se puede afirmar que dichos datos de carácter personal son tratados conforme al «principio de proporcionalidad» que debe regir cualquier tratamiento de datos personales.
OBLIGACIÓN DEL RESPONSABLE DEL TRATAMIENTO
Complementariamente a ello, debe tenerse presente que constituye una obligación por parte del responsable del tratamiento, conforme se establece en el artículo 32 del Reglamento (UE) 2016/679 el adoptar aquellas medidas técnicas y organizativas adecuadas y suficientes, que permitan preservar el funcionamiento del Canal de Denuncia, así como el tratamiento ulterior de los datos obtenidos a consecuencia del normal funcionamiento del mismo.
Al hilo de ello, es importante señalar, también, la necesidad proceder a concretar y a determinar las personas sujetas al Modelo de Cumplimiento que tienen acceso a informar de supuestas infracciones legales o éticas, incorrecciones o mala conducta a través de programas de denuncia de irregularidades, evaluando la procedencia de limitar el número de personas elegibles para informar de supuestos delitos que puedan haber sido cometidos, y ello también es extensible a la persona que puede ser denunciada mediante dicha vía de comunicación.
En todo caso, con relación a estos aspectos, es decir, quien puede ostentar la cualidad de denunciante o de denunciado en cada modelo de cumplimiento, se deben atender a las concretas circunstancias que en cada caso puedan concurrir, dada la diversidad de supuestos a los que nos que nos podemos encontrar en la configuración de cada modelo de funcionamiento del Canal de Denuncias.
C). El carácter confidencial o anónimo de las comunicaciones o denuncias.
Otra cuestión importante para tener presente viene constituida tal como indicó el citado Grupo de Trabajo en su momento, por el carácter anónimo o confidencial que debía revestir el hecho de la denuncia o la comunicación que se llevara a cabo.
EL ANONIMATO NO ES UNA BUENA SOLUCIÓN
Se decía a tales efectos, que el anonimato podría no ser una buena solución, tanto para el denunciante como para la organización, por una serie de razones, que se justificaban de la manera siguiente:
a). Que el anonimato no impide que otros adivinen con éxito quién planteó la cuestión.
b). Que es más difícil investigar la cuestión si no se pueden realizar preguntas de seguimiento.
c). Que es más fácil organizar la protección del denunciante frente a represalias, especialmente si dicha protección está dispuesta por ley, si las cuestiones se plantean de manera abierta.
d). Que los informes anónimos pueden llevar a las personas a centrarse en el denunciante, tal vez sospechando que plantea la cuestión con malicia.
e). Que la organización corre el riesgo de desarrollar una cultura de recibir informes anónimos de mala fe.
f). Que el clima societario dentro la realización podría deteriorarse si los empleados son conscientes de que informes anónimos relativos a ellos podrían cursarse a través del programa en cualquier momento.
Esta cuestión fue refrendada en un dictamen del año 2007 por la Agencia Española de Protección de Datos, la cual se decantaba abiertamente por el carácter preferencial de la denuncia confidencial antes que anónima.
Sin embargo, esta cuestión hoy en día ha quedado plenamente solventada sobre la base del contenido del artículo 24 de la Ley Orgánica 3/2018, de 5 de diciembre, cuando no solo reconoce la creación de sistemas de información de denuncias internas, sino que, además, se afirma:
“Será lícita la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de información”.
DENUNCIA ANÓNIMA O CONFIDENCIAL
Consecuentemente con ello, la denuncia o comunicación que se efectúe por medio de este Canal de Denuncia puede revestir de forma indistinta el carácter de anónima o confidencial, según las circunstancias concurrentes en cada caso.
El Grupo de Trabajo del artículo 29 señalo, asimismo, que por lo que respecta a las normas de protección de datos, los informes anónimos plantean un problema específico con respecto al requisito esencial de que los datos personales sólo deberían recopilarse de manera leal, y ello es lo que justifica el hecho de que abogue por denuncias de naturaleza confidencial, antes que, de carácter anónimo, ya que estas últimas no satisfacen el indicado requisito de la lealtad.
Como norma, el Grupo de Trabajo considera que sólo las comunicaciones formuladas en la que el denunciante se encuentra completamente identificado deberían comunicarse a través del Canal de Denuncias de irregularidades para satisfacer este requisito de lealtad.
Por contrapartida a ello, debe tenerse presente algunos denunciantes podrían no encontrarse siempre en situación o tener disposición psicológica para presentar comunicaciones en las que se identificaran.
También se debe ser consciente del hecho de que las quejas anónimas son una realidad dentro de las sociedades, incluso y especialmente en ausencia de sistemas de denuncia de irregularidades confidenciales y organizados, y que esta realidad no puede ignorarse.
CONDICIONES PARA QUE SEAN VÁLIDAS LAS DENUNCIAS
Por ello, debe considerarse que los programas de denuncias de irregularidades podrían llevarse a cabo mediante la presentación de informes anónimos en las siguientes condiciones:
a). Los programas de denuncia de irregularidades deberían estar creados de tal manera que no fomenten los informes anónimos como la manera habitual de presentar una queja.
b). El programa debería informar al denunciante, en el momento de establecer el primer contacto con el programa, de que su identidad se mantendrá confidencial en todas las etapas del proceso y, en concreto, que no se divulgará a terceros, ni a la persona incriminada y a los mandos directivos del empleado.
c). Si, a pesar de esa información, la persona que informa al programa sigue queriendo permanecer en el anonimato, el informe se aceptará en el programa.
d). También es necesario informar a los denunciantes de que podría ser necesario divulgar su identidad a las personas pertinentes implicadas en cualquier investigación posterior o procedimiento judicial incoado como consecuencia de la investigación llevada a cabo por el programa de denuncia de irregularidades.
c). No todos los datos obtenidos en el Canal de Denuncias pueden ser inicialmente objeto de tratamiento.
Hoy en día debe prestarse especial atención a que el artículo 24 de la Ley Orgánica 3/2018, en los términos antes transcritos, que la gestión de los datos personales en el Canal de Denuncias sólo está expresamente previsto para aquellas acciones u omisiones que puedan suponer una infracción de la normativa general o sectorial, pero se guarda silencio en lo referente a la vulneración de la normativa que se encuentre incluida en las políticas internas, o en los códigos de conducta o éticos que puede implementar cualquier empresa o responsable del tratamiento.
Este hecho es trascendente, toda vez que el tratamiento de los datos obtenidos como consecuencia de las denuncias o comunicaciones efectuadas en dicho Canal, derivadas de dichas políticas y/o códigos, de acuerdo con el tenor literal del precepto no estarían amparadas por el sistema de información de las denuncias internas de acuerdo con el citado precepto.
Probablemente ello se deba a una pura omisión del legislador, que sin duda debe provocar consecuencias en el funcionamiento de dicho Canal, máxime cuando es un medio reconocido en base a lo dispuesto en el número 4º, del apartado 5º del artículo 31 bis del Código Penal.
Tal vez la mejor de las soluciones posibles consiste en legitimar los tratamientos de dichos datos personales que versen sobre conductas irregulares más allá de la infracción de la normativa general o sectorial mediante una previsión normativa especial al respecto, no solo para legalizar dichos tratamientos, sino tener en consideración todas aquellas consecuencias que se pueden derivar de la recepción de datos personales y/o informaciones que pueden ser consideradas como irregulares o antijurídicas.
Ello es especialmente relevante, si se tiene en consideración que por su propia naturaleza los datos recogidos en dicho Canal están especialmente vinculados a situaciones de conflicto, pues no hay que olvidar que versan sobre conductas irregulares, y la fuente de información acerca del alcance y del contenido de estas debe permitir cualquier tipo de investigación que determine la existencia o no de responsabilidades, sin vicios o contingencias algunas que contaminen dicha investigación.
Otras Columnas por Javier Puyol Montero:
