Source: https://enclavedederecho.com/whistleblowing-canales-denuncia-interna/?share=twitter
Timestamp: 2019-04-22 06:29:00+00:00

Document:
Whistleblowing o canales de denuncia interna - En Clave de Derecho
Whistleblowing o canales de denuncia interna
11 marzo, 2017 25 marzo, 2019 Dareus
A día de hoy, los anglicismos son parte inseparable del uso cotidiano del habla, hasta tal punto, que en determinados conceptos nos viene antes a la mente la versión anglosajona que la de nuestra propia lengua. Uno de los más sonados en la actualidad es el Whistleblowing, sobre todo, desde la óptica de la responsabilidad penal de la persona jurídica, del ámbito laboral y del financiero/competencia, es decir, desde el compliance o cumplimiento normativo
A pesar de que esta materia a priori no podría encajarse de un vistazo en el derecho de las nuevas tecnologías, materia habitual de este blog, lo traemos debido a que gran parte se puede desarrollar a través de medios telemáticos, programas y aplicaciones propias de las tecnologías de la sociedad de la información, las que si se entrarían en nuestro particular coto de caza. Imagen ilustrativa creada con Tagul.
¿Qué es el Whistleblowing?
Este fenómeno surgido en Estados Unidos en los años 60 y afianzado de manera efectiva con la Whistleblowers protection Act (Ley de protección de denunciantes), y la más conocida, Sarbanes – Oxley Act de 2002, no se trataría más que del mero acto de denunciar, aunque como definición más funcional y adecuada al hecho que se refiere, podemos utilizar: Canales de denuncia interna de las empresas por comportamientos, acciones o hechos que puedan constituir violaciones de normas internas, códigos éticos o legislación vigente.
La gran importancia de esta figura, como adelantábamos en la introducción, es su encaje como eximente de responsabilidad penal de la persona jurídica (empresa), de conformidad a lo establecido en el artículo 31 bis del Código penal, siempre que haya adoptado, con carácter previo a la comisión del hecho, modelos de organización y gestión que prevean medidas de vigilancia y control con el objetivo de reducir el riesgo o evitar la comisión de hechos delictivos.
A diferencia de Estados Unidos, en Europa no se encuentra regulado de una manera expresa, permitiéndose que las empresas creen estos canales y protocolos de comunicación de denuncias internas, pero quedando reducido a una serie de recomendaciones realizadas por las autoridades de control de protección de datos, así como a cierta normativa que se hace eco de esta posibilidad:
A nivel comunitario:
Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
Reglamento (UE) nº 596/2014 del Parlamento Europeo y del Consejo, de 16 de abril de 2014 sobre el abuso de mercado (Reglamento MAR).
Directiva 2014/65/UE del Parlamento Europeo y del Consejo, de 15 de mayo de 2014 relativa a los mercados de instrumentos financieros (Directiva MiFID II).
Reglamento (UE) 600/2014 del Parlamento Europeo y del Consejo de 15 de mayo de 2014 relativo a los mercados de instrumentos financieros.
Resoluciones y dictámenes:
Dictamen nº 1/2006 del Grupo de trabajo del artículo 29.
Informe jurídico de la Agencia Española de Protección de Datos (AEPD) nº 128/2007.
¿Qué requisitos debe tener un sistema de este tipo?
De conformidad a lo establecido por al AEPD en su informe 128/2007 y por el grupo del artículo 29 en su Dictamen 1/2006, podemos destacar una serie de puntos:
Se recomienda la creación de sistemas de denuncia gestionado por la propia empresa, pero se permite su externalización centrada en la recopilación de los informes, siempre que se garantice la obligación de confidencialidad y respeto de la normativa sobre protección de datos. Dichas sociedades externas computarán como encargados del tratamiento por cuenta de la empresa propietaria del sistema de denuncia, verdadera y única responsable del tratamiento.
Se deberá crear una organización específica e independiente de cualquier departamento de la empresa o grupo de empresas, para tratar los informes de denuncia y dirigir la posterior investigación de los hechos alegados. Debe estar conformado por personal con formación concreta en la materia, dedicado en exclusiva a esta labor y sometido al deber de guardar secreto (confidencialidad).
Todos los empleados podrán ser denunciantes o denunciados en el sistema.
Deberá informarse a los empleados, con carácter previo a la creación del sistema de whistleblowing, de la finalidad, funcionamiento, confidencialidad del denunciante y garantía de información al denunciado de los hechos por los que le acusa.
El sistema se podrá organizar de manera telefónica o presencial (entendemos que en la actualidad la AEPD permite la realización a través de medios electrónicos la recopilación de informes de denuncia, como segmento del proceso que se permite subcontratar.
Con carácter general, sólo podrá acceder a los datos el designado como Compliance Counter (responsable de cumplimiento normativo) y todos aquellos que necesiten acceder con el objetivo de investigar los hechos alegados por el denunciante.
Se deberán contener en el sistema los datos del denunciante y del denunciado.
Se informará al denunciado en el plazo más breve posible de los hechos que se le imputan, los destinatarios de la información, el departamento responsable del sistema y sus derechos en materia de protección de datos. No se informará de la identificación del denunciante a menos que hubiera obrado con mala fe.
Los datos serán cancelados en un plazo máximo de dos meses tras el fin de las investigaciones si los hechos no hubieran sido probados. En caso de entablarse acciones, los datos se conservarán en tanto sea necesario para el ejercicio por la compañía de sus derechos en juicio.
Se deberán implantar medidas de seguridad de nivel básico.
¿Se permite la presentación anónima?
De los citados informe de la AEPD y Dictamen del grupo del artículo 29, se puede extraer una postura contrapuesta acerca de la anonimización:
La AEPD, estima que jamás se deberá permitir la presentación de ninguna denuncia anónima, al entender que la confidencialidad de la identidad del denunciante supone una garantía suficiente.
El Grupo del artículo 29 entiende que el sistema de denuncia deberá conformarse de manera que no permita la presentación anónima de manera general, pero sí como medida de última ratio en los casos en que el propio denunciante, una vez haya sido informado de que su identidad no será relevada, no sufrirá represalias y que su información no será comunicada ni al propio denunciado ni a terceros, siga solicitando el realizarlo sin dejar constancia alguna de su identidad.
En la actualidad nacional, parece que la balanza sobre el anonimato en este tipo de denuncias se empieza a decantar por la postura más permisiva del grupo del artículo 29. A este respecto, cabe destacar la Sentencia de la Sala de lo Social del Tribunal Superior de Justicia de Canarias nº 2117/2016, de 22 de junio, en dos ideas fundamentales extraídas de su fundamento jurídico 2º:
El incumplimiento de las recomendaciones u orientaciones emitidas por la AEPD sobre esta materia, no supone una vulneración del derecho fundamental a la protección de datos del denunciando, en el trascurso del propio tratamiento de esos datos.
El anonimato no puede impedir que la empresa constituye un sistema interno con el objetivo de recabar el hecho contrario a la norma, investigarlos, y en su caso sancionar la trabajador infractor.
La creación de canales de denuncias internas (Whistleblowing) es una pieza clave en la implantación de un modelo efectivo de cumplimiento normativo (Compliance) con el que evitar a comisión de delitos o ulteriores responsabilidades.
El canal o programa de denuncia interna debe configurarse de manera que exija la identificación del denunciado como regla ordinaria.
A pesar de la postura de nulo anonimato mantenida por la AEPD en la actualidad, es previsible que, a tenor de la jurisprudencia y de la opinión del grupo del artículo 29 como órgano conformado por todas las autoridades de control en materia de protección de datos, sea modificada en sentido de permitirlo como excepción.
Informe jurídico nº28/2007 de la AEPD – https://www.agpd.es/portalwebAGPD/canaldocumentacion/informes_juridicos/otras_cuestiones/common/pdfs/2007-0128_Creaci-oo-n-de-sistemas-de-denuncias-internas-en-las-empresas-mecanismos-de-whistleblowing.pdf
Dictamen 1/2006 del grupo del artículo 29 – http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2006/wp117_es.pdf
Circular 1/2016 de la Fiscalía General del Estado, sobre la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por ley orgánica – https://www.fiscal.es/fiscal/PA_WebApp_SGNTJ_NFIS/descarga/CIRCULAR%201-2016%20-%20PERSONAS%20JUR%C3%8DDICAS.pdf?idFile=cc42d8fd-09e1-4f5b-b38a-447f4f63a041
Sentencia de la Sala de lo Social del Tribunal Superior de Justicia de Canarias nº 2117/2016, de 22 de junio
Imagen de cabecera del artículo – https://tagul.com
Hogwarts y la piedra filosofal de la PD
e-book Derecho de las Nuevas Tecnologías
Vicenç Urrutia dice:
30 marzo, 2017 a las 9:34
Un artículo muy interesante. Bien estructurado y que aporta información útil y relevante. Te felicito.
30 marzo, 2017 a las 15:43
Muchas gracias. Un placer que te haya encantado, y sobre todo, que te haya resultado útil.
Un saludo y muchas gracias por por el comentario y por la visita.
29 marzo, 2017 a las 23:46
Un artículo conciso y certero. Felicidades.
30 marzo, 2017 a las 15:45
Muchas gracias. Siempre intentamos realizar artículos que aporten una visión general sobre un tema, pero con la suficiente concreción para que sean de interés.
12 marzo, 2017 a las 9:52
¡Buen artículo! ¡Ánimo y a seguir así!
12 marzo, 2017 a las 14:07
Muchas gracias por el comentario, por los ánimos y por la visita. Esperamos que la lectura haya resultado amena.

References: artículo 31
 artículo 29
 artículo 29
 artículo 29
 artículo 29
 artículo 29
 artículo 29
 artículo 29