1. No category

Legitimación del Canal de Denuncia en
cumplimiento de la LOPD.
Línea Whistleblowing
Lluch Consulting & Training, S.L.
Canal de Denuncia o Línea Whistleblowing, sistema de denuncia interna o canal de
comunicación directo para que los empleados, clientes, proveedores, socios comerciales y
otras partes interesadas (stakeholders), puedan denunciar el incumplimiento tanto de
normas internas de una entidad como de otras regulaciones que rigen su actividad.
Legitimación del Canal de Denuncia - Línea
Whistleblowing, en cumplimiento de la LOPD
El pasado 31 de Marzo de 2015 se ha publicado en el Boletín
Oficial del Estado la Ley Orgánica 1/2015 de 30 de marzo por la que se
modifica el Código Penal, que entrará en vigor el 1 de Julio de 2015, la
cual introduce claridad y detalle en el régimen de la responsabilidad
penal de las personas jurídicas en España, esta figura ya entró en vigor,
en nuestro ordenamiento jurídico, en diciembre de 2010.
La Fiscalía General del Estado publicó una circular que intentaba
aportar algo de luz a este asunto, creando más debate sobre la
implantación de un “Compliance Program”.
De esta forma, entre todas las medidas de carácter legal, técnico y
organizativo que debían adoptar las empresas en la elaboración de un
programa de “Compliance” se encontraba la creación de un canal de
denuncia o Whistleblowing, que permitiera la comunicación de posibles
incumplimientos de las normas internas de la empresa y/o de las normas
legales que debían obedecer. Estos sistemas permitían a las empresas
implantar las pertinentes medidas de investigación, y sancionar todos
aquellos hechos punibles que se detectaran.
La complejidad de la gestión de estos canales, y el tratamiento de
información sensible que se llevaba a cabo en los mismos, implicó la
elaboración de un estudio jurídico por parte de la Agencia Española de
Protección de Datos (AEPD), Informe Jurídico 128/2007.
Entre las principales conclusiones que se alcanzaban en el mismo
pueden destacarse, que los canales de denuncia debían disponer de
legitimación jurídica para el tratamiento de los datos, de esta forma el
informe señalaba que:
“debe señalarse que no existe en el ordenamiento jurídico español
una previsión general similar a la impuesta a las empresas de
servicios de inversión, las entidades de crédito y las personas o
entidades que actúen en el Mercado de Valores, tanto recibiendo o
ejecutando órdenes como asesorando sobre inversiones en
valores” por el artículo 79.1 d) de la Ley del Mercado de Valores,
consistente en “Disponer de los medios adecuados para realizar su
actividad y tener establecidos los controles internos oportunos para
garantizar una gestión prudente y prevenir los incumplimientos de
los deberes y obligaciones que la normativa del Mercado de
Valores les impone”, lo que hubiera permitido fundar el tratamiento
en los artículos 6.1 y 11.2 a) de la Ley Orgánica 15/1999.
“la Agencia consideró la posible aplicación en estos
procedimientos de la legitimación conferida por el artículo 7 b) de
la Directiva, que permite el tratamiento de los datos “necesario
para la ejecución de un contrato en el que el interesado sea parte
o para la aplicación de medidas precontractuales adoptadas a
petición del interesado… dado que la Ley española no impone el
deber jurídico de implantar estos procedimientos y que la regla del
interés legítimo ha de venir referenciada al reconocimiento del
mismo por una norma legal aplicable al caso”
1
“existiese pleno conocimiento de la existencia de los mecanismos
descritos por parte de las personas cuyos datos pudieran ser
tratados por los mismos, quedando la existencia de dichos
procedimientos incorporada a la relación contractual como parte
integrante de la misma, el tratamiento de los datos pudiese
considerarse necesario para el desarrollo y control adecuado de la
relación contractual, lo que permitiría considerar el mismo
amparado en la Ley Orgánica 15/1999”
“debería partirse del establecimiento de procedimientos que
garanticen el tratamiento confidencial de las denuncias
presentadas a través de los sistemas de “whistleblowing”, de forma
que se evite la existencia de denuncias anónimas, garantizándose
así la exactitud e integridad de la información contenida en dichos
sistemas.”
“El documento del Grupo de Trabajo señala que “Los datos
personales tratados por un programa de denuncia de
irregularidades deberían eliminarse, inmediatamente, y
normalmente en un plazo de dos meses desde la finalización de la
investigación de los hechos alegados en el informe”.
“En este sentido, sería imprescindible que se establezca un plazo
máximo para la conservación de los datos relacionados con las
denuncias, a fin de evitar el mantenimiento de los mismos por un
período superior que perjudique los derechos del denunciado y del
propio denunciante,
garantizada.”
cuya
confidencialidad
debe
quedar
El pasado 21 de Abril de 2015 tuvo lugar la 7ª Sesión Anual
Abierta de la AEPD, planteándose la consulta de si la Agencia había
cambiado las conclusiones en relación con el tratamiento de los datos en
el marco de un canal de denuncias (informe 128/2007), tras la
publicación de Ley Orgánica 1/2015 de 30 de marzo por la que se
modifica el Código Penal. En particular, la consulta planteaba si estaría
legitimado el tratamiento de los datos de clientes y proveedores en el
marco de la prevención de delitos. A lo que respondió:
“ha venido considerando posible el establecimiento de los canales
de denuncia siempre que se cumplan los requisitos establecidos
en la Ley Orgánica de Protección de Datos de Carácter personal.
La legitimación para el establecimiento de estos canales podría
fundarse en el Art 7 f) de la Directiva 95/46/CE. Por ello, la mera
referencia al colectivo afectado no sería suficiente para dar una
respuesta definitiva a la cuestión, siendo necesario conocer qué
tipo de actuaciones serían susceptibles de denunciarse en estos
medios.
La reforma de la legislación penal podría ayudar a justiciar el
interés legítimo prevalente, pero no bastaría por si sola para fundar
el tratamiento.
En particular la Agencia ha considerado necesario que las
denuncias tengan carácter confidencial y no anónimo, si bien
cabría la contratación de un encargado del tratamiento que
2
conservase los datos identificativos de los denunciantes sin
comunicarlos en ningún caso a la empresa.”
•
Información y funcionalidad del Canal de Denuncias Línea Whistleblowing
•
Una Línea de Denuncias – Línea Whistleblowing, es el medio por
el cual todos los ejecutivos y empleados de la Entidad incluyendo,
empleados temporales, indefinidos y por contrato, clientes, proveedores,
socios comerciales y otras partes interesadas (stakeholders), puedan
informar de comportamientos, acciones o hechos que puedan constituir
violaciones tanto de las normas internas de una compañía como de las
leyes, normativas o códigos éticos que rigen la actividad de dicha
entidad.
Un Canal de Denuncias – Línea Whistleblowing, debe utilizarse
solamente para comunicar preocupaciones que guarden relación con las
siguientes áreas:
• Contabilidad.
• Controles internos.
• Auditoría.
• Irregularidades financieras, incluidas las relacionadas con
transacciones bancarias.
• Sobornos.
• Medioambiente.
• Acoso sexual.
Incumplimiento de los estándares profesionales por parte de las
organizaciones, o de cualquier miembro interno o externo de la
Entidad.
Etc.
Compatibilidad con las normas sobre protección de
datos.
a) Tanto dicha entidad en donde se han producidos los hechos
denunciados, como Lluch Consulting & Training, S.l., como
entidad gestora Canal de Denuncias - Línea Whistleblowing, se
comprometen al cumplimiento del secreto y confidencialidad de
la información efectuada en dicho canal de denuncias. Según
estipula la Ley Orgánica 15/1999, de 13 de diciembre, de
Protección de Datos de carácter personal y su RD 1720/2007 de
Desarrollo de la Ley.
b) En el momento de efectuar la denuncia y establecer un primer
contacto con el programa, su identidad se mantendrá
confidencial en todas las etapas del proceso y, en concreto, no
siendo divulgada a terceros, ni a la persona incriminada y a los
mandos directivos. Sin perjuicio de que a modo de excepción se
puedan aceptar denuncias anónimas y exclusivamente en casos
determinados.
c) Así mismo le informamos de que podría ser necesario divulgar su
identidad a las personas pertinentes implicadas en cualquier
investigación posterior o procedimiento judicial incoado como
3
consecuencia de la investigación llevada a cabo por el Canal de
Denuncias – Línea Whistleblowing.
d) El tiempo de conservación de los datos en el Canal de
Denuncias - Línea Whistleblowing, no excederá de dos meses a
excepción que se emprendan acciones legales contra el
denunciado, en cuyo caso dependerá el plazo y conservación, de
la finalización de las diligencias correspondientes. Una vez
transcurridos dichos plazos, la información recabada procederá a
cancelarse.
e) Cuando los datos hayan sido recabados de un tercero y no del
propio interesado. La persona denunciada deberá ser informada
por el responsable Línea de Denuncias - Línea Whistleblowing, lo
antes posible en cuanto se hayan registrado los datos referentes
a ella. Siendo informado de los hechos de los que se le acusa.
Exenciones o atenuantes de responsabilidades por parte
del denunciante.
a) La persona denunciante, no sufrirá ningún tipo de represalia
laboral por el hecho de haber informado de “buena fe” acerca de
conductas irregulares.
b) En el caso de una falsa denuncia, el denunciante puede sufrir
posibles consecuencias laborales o incluso penales.
c) La denuncia no le eximirá de su responsabilidad en el caso de
que haya intervenido en el delito denunciado, pero si se
beneficiará de importante atenuantes si contribuye al
descubrimiento de actos ilícitos.
Todos los empleados de la compañía podrán ser denunciantes o
denunciados en el sistema.
Obligaciones
denunciado.
y
derechos
del
denunciante
y
del
a) Obligación de guardar secreto y confidencialidad respecto
aquellos datos personales a los que pueda tener acceso o
notificación con motivo de la información realizada a través de
Línea de Denuncias - Línea directa Whistleblowing, obligaciones
que subsistirán aun después de finalizar sus relaciones con dicha
entidad.
b) Se podrá ejercitar los derechos de acceso, rectificación,
cancelación y oposición, a su información recabada durante el
tratamiento, dirigiéndose por escrito a: Lluch Consulting &
Training, S.L., a través del correo electrónico:
[email protected]. Dicho derecho queda limitado a sus
propios datos de carácter personal objeto del tratamiento. En el
caso que el denunciado solicite datos de terceras personas
(datos del denunciante), no podrá ejercer dicho derecho sobre
dicho dato. No puede considerarse que la información que
contenga datos de carácter personal del denunciante quede
incluida en dicho derecho, no encontrando amparo en los
supuestos regulados por el artículo 11 de la Ley Orgánica
15/1999.
4