Source: https://www.controlcapital.net/noticia/3457/firmas/analisis-juridico-de-los-whistleblowers-y-canales-eticos-o-de-delacion.html
Timestamp: 2019-02-17 18:15:38+00:00

Document:
Análisis jurídico de los whistleblowers y canales éticos o de delación | Control Capital
FIRMAS, COMPLIANCE
domingo 03 de enero de 2016, 08:34h
Resumen: La figura del whistleblower se ha convertido en una pieza fundamental de los programas de Compliance o cumplimiento regulatorio en la empresa. No obstante, debe buscarse en su implementación, para cada caso concreto, el equilibrio entre el bien jurídico que se protege con la materialización del canal de denuncias (la propia administración de justicia, al delatarse ilícitos, y el preservar el honor de la persona jurídica [1]) y el riesgo que comporta para los derechos fundamentales de los intervinientes (Derecho a la intimidad del delator, y derecho al honor y la intimidad del delatado, además del derecho a la protección de los datos personales de ambos).
Reseña profesional de José Luis Colom Planas
Experto en el ámbito del GRC (Gobierno Corporativo, Gestión del Riesgo y Cumplimiento Normativo y Regulatorio) en las organizaciones, con incidencia en Privacidad, Normas ISO y Compliance Legal de la PJ.
Editor del Blog “Aspectos Profesionales" dedicado a conciliar GRC e innovación, profundizando en Compliance, Derecho Digital (TIC) y Seguridad de la Información (www.aspectosprofesionales.info ) E-mail : joseluiscolom@gmail.com
1. ÉTICA, RESPONSABILIDAD PENAL Y COMPLIANCE
2. LOS CANALES DE DENUNCIA
3. EL ORDENAMIENTO JURÍDICO ESPAÑOL ANTE EL DELATOR
4. PROTECCIÓN DE DATOS Y CANALES DE DENUNCIAS
5. GESTIÓN DE LOS SISTEMAS DE DENUNCIAS
6. LA NORMA ISO 19600:2014 Y LOS CANALES DE DELACIÓN
Predisposición por falta de cultura ética en la empresa.
Permisividad por la falta de medidas de control materializadas en la implementación de un efectivo programa de Compliance.
En relación a esto último recordaré que la Ley Orgánica 5/2010, de 22 de junio, por la que se modificaba la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, introdujo en el ordenamiento jurídico Español un nuevo concepto: La responsabilidad penal de las personas jurídicas, que posteriormente ha venido a consolidarse con la LO 1/2015, de 30 de marzo, por la que se vuelve a modificar la LO 10/1995, de 23 de noviembre, del Código Penal.
Dentro del numerus clausus de tipos delictivos que ha establecido el legislador como susceptibles de responsabilidad penal por parte de una persona jurídica, se contemplan las conductas de corrupción. [9]Esta nueva realidad legal sitúa a la empresa en un nuevo plano siendo necesario que dentro de la misma se incorporen o adapten al nuevo escenario legal códigos de conducta, protocolos internos de actuación y normas de cumplimiento que permitan, mediante un adecuado control efectivo, proteger la posición jurídica de la empresa de estos nuevos riesgos frente a posibles actuaciones de corrupción de sus directivos y/o empleados que puedan desencadenar su responsabilidad penal directa con la consecuencia de sufrir severas multas y sanciones penales, además del importante daño reputacional que tal situación generaría.
Los canales de denuncia nacen como medios eficaces de autocontrol para ayudar a las organizaciones a luchar contra la comisión de ilícitos y evitar la corrupción. Son instrumentos de la autorregulación.
Recordaré que el Código Penal modificado por la LO 1/2015, de 30 de marzo, dispone en el apartado 5 del artículo 31 bis CP:
“5. Los modelos de organización y gestión a que se refieren la condición 1.ª del apartado 2 y el apartado anterior deberán cumplir los siguientes requisitos:
(…) 4.º Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención. (..)”.
La ley Sarbanes-Oxley (SOX) fue adoptada por el Congreso de los EE.UU. en 2002 a raíz de diversos escándalos financieros protagonizados por empresas. La Sabanes-Oxley Act de 2002, incorpora en 2004 la reforma de las Federal Sentencing Guidelines for Organizations incluyéndolas en la sección 8B2.2 como Effective Compliance and Ethics Program. Esos nuevos preceptos establecen para las empresas la puesta en marcha de programas efectivos de ética y cumplimiento normativo, debiendo ejercer la debida diligencia en prevenir y detectar comportamientos delictivos.
Esa debida diligencia exige una serie de puntos, entre los que se encuentra disponer de un sistema a través del cual los empleados y agentes puedan informar sobre actuales o potenciales conductas delictivas sin temor a represalias, debiendo incluir mecanismos que permitan el anonimato o la confidencialidad.
La SOX exige que las empresas públicas de los EE.UU. y sus filiales en la UE, así como las empresas no estadounidenses que cotizan en bolsa en los EE.UU., establezcan, en su comité de auditoría, "procedimientos para la recepción, conservación y tramitación de las denuncias recibidas por el emisor relativas a la contabilidad, las auditorías internas o las cuestiones de auditoría; así como para la delación confidencial o anónima por parte de los empleados del emisor de situaciones relativas a cuestiones de contabilidad o auditoría cuestionables". Además, el artículo 806 de la SOX establece una disposición dirigida a garantizar la protección de los empleados de empresas que cotizan en bolsa que proporcionen pruebas de fraude frente a las represalias que pudieran tomarse contra ellos por hacer uso del sistema de denuncia. La Comisión de Valores y Cambio (SEC) es la autoridad estadounidense responsable de controlar la aplicación de la SOX.
Estas disposiciones están reflejadas en las normas del Nasdaq y de la Bolsa de Nueva York (NYSE). Las empresas que cotizan en el Nasdaq o la NYSE deben certificar anualmente sus cuentas ante estos mercados. Este proceso de certificación implica que las empresas están en condiciones de afirmar que cumplen con diversas normas, incluidas las normas sobre denuncia de irregularidades.
Esto fue lo que llevó al GT29 a elaborar el Dictamen 1/2006. [7]
En este apartado analizaré como se contempla a los delatores (wistleblowers) en el ordenamiento jurídico español, concretamente en el Derecho Penal y en el Derecho Laboral, basándome en la publicación referenciada como[2] en el apartado de bibliografía consultada.
3.1.1.1 El Código Penal
El artículo 450 CP, concreta el deber de colaboración inmediata en la prevención de un delito, pero perteneciente a determinado númerus clausus de tipos, todos ellos personalísimos y relacionados con: vida, integridad, salud, libertad o libertad sexual:
“1. El que, pudiendo hacerlo con su intervención inmediata y sin riesgo propio o ajeno, no impidiere la comisión de un delito que afecte a las personas en su vida, integridad o salud, libertad o libertad sexual, será castigado con la pena de prisión de seis meses a dos años si el delito fuera contra la vida, y la de multa de seis a veinticuatro meses en los demás casos, salvo que al delito no impedido le correspondiera igual o menor pena, en cuyo caso se impondrá la pena inferior en grado a la de aquél.
En las mismas penas incurrirá quien, pudiendo hacerlo, no acuda a la autoridad o a sus agentes para que impidan un delito de los previstos en el apartado anterior y de cuya próxima o actual comisión tenga noticia”
En los demás casos no contemplados por las excepciones dispuestas en el artículo 450.1 CP, se deduce que la colaboración con la justicia es un compromiso de carácter ético y no un bien tutelado penalmente. Incluso en esas excepciones la exigencia del deber cívico de colaboración con la Administración de Justicia contra la comisión de esos delitos, queda limitada, en todo caso, a la posibilidad de poder impedir el delito y que la intervención se realice sin riesgo propio ni ajeno, o en ponerlo en conocimiento de la autoridad pública para que lo impida.
El artículo 408 CP es otro precepto que prevé el castigo de quien omite promover la persecución del delito, aunque circunscrito a autoridades o funcionarios. Sin embargo, desde que puede imputarse a sociedades públicas participadas por el sector privado en el 50'01 % de su accionariado (según dispone el artículo 31 quinquies CP, especialmente en su apartado 2), es también relevante desde el punto de vista del Compliance.
El artículo 11 CP sobre la comisión por omisión es aplicable a aquel empresario/garante (por ley o por contrato) que no impida el delito.
“Los delitos que consistan en la producción de un resultado sólo se entenderán cometidos por omisión cuando la no evitación del mismo, al infringir un especial deber jurídico del autor, equivalga, según el sentido del texto de la ley, a su causación. A tal efecto se equiparará la omisión a la acción:
3.1.1.2 La Ley de Enjuiciamiento Criminal
Por su parte, la Ley de Enjuiciamiento Criminal (LECRIM), dispone en su artículo 259:
“El que presenciare la perpetración de cualquier delito público está obligado a ponerlo inmediatamente en conocimiento del Juez de instrucción, de paz, comarcal o municipal, o funcionario fiscal más próximo al sitio en que se hallare, bajo la multa de (…)”.
Debería analizarse el concepto “cualquier delito público” y su aplicación en el “ámbito privado” de la empresa. Si el legislador hubiera querido universalidad, simplemente hubiera podido referirlo como “cualquier delito” sin más.
278.1 CP: “1. El que, para descubrir un secreto de empresa se apoderare por cualquier medio de datos, documentos escritos o electrónicos, soportes informáticos u otros objetos que se refieran al mismo, o empleare alguno de los medios o instrumentos señalados en el apartado 1 del artículo 197, será castigado con la pena de prisión de dos a cuatro años y multa de doce a veinticuatro meses”.
278.2 CP: “2. Se impondrá la pena de prisión de tres a cinco años y multa de doce a veinticuatro meses si se difundieren, revelaren o cedieren a terceros los secretos descubiertos”.
279 CP: “La difusión, revelación o cesión de un secreto de empresa llevada a cabo por quien tuviere legal o contractualmente obligación de guardar reserva, se castigará con la pena de prisión de dos a cuatro años y multa de doce a veinticuatro meses. Si el secreto se utilizara en provecho propio, las penas se impondrán en su mitad inferior”.
El bien jurídico protegido por el secreto de empresa es la capacidad competitiva de la empresa en el mercado. Lo que no puede comprender son aquellas situaciones en las que esa capacidad competitiva aumente o se mantenga a partir de la comisión de hechos ilícitos. En consecuencia, el secreto, como valor de empresa, no puede ser entendido como encubridor de un hecho de carácter ilícito, administrativa o penalmente, porque además no se estaría llevando a cabo una competencia leal para el resto de competidores. [3]Es así ya que en el fundamento del secreto de empresa confluyen tanto la voluntad del titular como el interés real y objetivo del hecho (MORALES PRATS).
2. El profesional que, con incumplimiento de su obligación de sigilo o reserva, divulgue los secretos de otra persona, será castigado con la pena de prisión de uno a cuatro años, multa de doce a veinticuatro meses e inhabilitación especial para dicha profesión por tiempo de dos a seis años”.
La buena fe es uno de los deberes básicos de los trabajadores, según se desprende de la LET - Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores, que en su art. 5 dispone: “Los trabajadores tienen como deberes básicos: a) Cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad a las reglas de la buena fe y diligencia”. Y en su art. 54, sobre el despido disciplinario, dispone: “1. El contrato de trabajo podrá extinguirse por decisión del empresario, mediante despido basado en un incumplimiento grave y culpable del trabajador. 2. Se considerarán incumplimientos contractuales: (…) d) La transgresión de la buena fe contractual, así como el abuso de confianza en el desempeño del trabajo.
El deber de secreto exigido al trabajador, en base a la buena fe, supone una manifestación del poder de decisión del empresario. Sin embargo, éste únicamente podrá requerirse cuando exista un interés empresarial legítimo y no ante decisiones desconectadas de la relación laboral. [6]Señala el TC en su STC 6/1988, de 21 de enero, que “el deber de buena fe que pesa sobre el trabajador no se puede interpretar en términos tales que vengan a resultar amparadas por esta exigencia de honestidad y lealtad en el cumplimiento de las obligaciones, situaciones o circunstancias que, lejos de corresponderse con el ámbito normal y regular de la prestación de trabajo, supondrían desviaciones de tal normalidad”. Señalándose también en esta Sentencia que el deber de secreto se refiere “a los datos que correspondan a la actividad y el tráfico ordinario y reguladores de la empresa”.
Dictamen 1/2006 [7] relativo a la “aplicación de las normas sobre protección de datos de la UE a los sistemas internos de denuncia de irregularidades en los ámbitos de la contabilidad, controles de auditoría internos, cuestiones de auditoría, lucha contra la corrupción y delitos financieros y bancarios”, por parte del Grupo de Trabajo Consultivo Europeo del Artículo 29 (GT29).
Informe titulado “creación de sistemas de denuncias internas en las empresas (mecanismos de whistleblowing)” [8]elaborado por el Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) a raíz de la consulta planteada por una industria farmacéutica.
El GT29 observa que, si bien la normativa y las directrices existentes sobre denuncia de irregularidades tienen como objeto prever una protección específica para la persona que utiliza el sistema de denuncia de irregularidades (el denunciante), nunca mencionan en particular la protección de la persona denunciada, en especial por lo que se refiere al tratamiento de sus datos personales. Sin embargo, incluso habiendo sido denunciado, un individuo tiene derecho a los beneficios que le conceden la Directiva 95/46/CE y las disposiciones correspondientes del Derecho nacional que en España es la LOPD - LO 15/1999, de 13 de diciembre, que en su art. 2.1 dispone: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. Y en su art. 3 c) define tratamiento como: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”.
d) (…) Asimismo deberán establecer medidas de control de las operaciones que realicen, con carácter personal, los miembros de sus órganos de administración, empleados, agentes y demás personas vinculadas a la empresa, cuando tales operaciones puedan entrañar conflictos de interés o vulnerar, en general, lo establecido en esta Ley.
Es evidente que la empresa debe poder acreditar el haber notificado previamente, a todos los trabajadores y colaboradores, la existencia del canal de denuncias y la descripción detallada de la política y normas de uso del mismo, por ejemplo, mediante un anexo al contrato laboral. O como lo dice en su informe la AEPD, “sería posible siempre que existiese pleno conocimiento de la existencia de los mecanismos descritos por parte de las personas cuyos datos pudieran ser tratados por los mismos, quedando la existencia de dichos procedimientos incorporada a la relación contractual como parte integrante de la misma, el tratamiento de los datos pudiese considerarse necesario para el desarrollo y control adecuado de la relación contractual, lo que permitiría considerar el mismo amparado en la Ley Orgánica 15/1999. No obstante, para que la conclusión anteriormente alcanzada fuera posible, sería preciso que la finalidad que justifica el establecimiento de los sistemas de denuncia descritos en la consulta resultase ajustada al adecuado mantenimiento de las relaciones contractuales, de forma que el sistema se centrase en la denuncia de conductas que pudieran efectivamente afectar al mantenimiento o desarrollo de la relación contractual que vincula al denunciado y a la empresa”.
La conclusión, en este apartado de legitimación por una relación contractual, es que la finalidad del sistema de denuncias se ajuste al adecuado mantenimiento de las relaciones contractuales, de forma que el sistema se centre en la denuncia de conductas que puedan efectivamente afectar al mantenimiento o desarrollo de la relación contractual que vincula al denunciado y a la empresa.
Concretamente, el artículo 7 f) de la Directiva dispone que solo serán legítimos los tratamientos de datos que: “(…) f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”.
En el mencionado dictamen 8/2001 en el ámbito laboral (WP48), el GT29 considera: “CONSENTIMIENTO. El grupo de trabajo del artículo 29 considera que si un empresario debe tratar datos personales como consecuencia inevitable y necesaria de la relación laboral, actuará de forma engañosa si intenta legitimar ese tratamiento a través del consentimiento. El recurso al consentimiento deberá limitarse a los casos en que el trabajador pueda expresarse de forma totalmente libre y tenga la posibilidad de rectificar posteriormente sin verse perjudicado por ello”.
Este dictamen ha sido refrendado por la AEPD en su Informe Jurídico 0201/2010 que también se refiere al consentimiento de los trabajadores en el entorno laboral. [10]
Debe recordarse que en España la Ley Orgánica 15/1999 tiene por objeto la protección de un derecho fundamental: el derecho a la protección de datos de carácter personal, considerado como tal por la jurisprudencia de nuestro Tribunal Constitucional, entre otras, en su Sentencia 292/2000, de 30 de noviembre. También protege el derecho al honor, la intimidad y la propia imagen. Por este motivo, la aplicación de dicha normativa deberá ser objeto de interpretación restrictiva, debiendo prevalecer la interpretación proclive a la protección de los derechos fundamentales, conforme establece reiterada jurisprudencia del Tribunal Constitucional. Dado que no será nunca posible conocer a priori el contenido real del fichero que se generará por medio del sistema y dado que los datos derivados de las investigaciones y averiguaciones llevados a cabo puede implicar la inclusión en el sistema de datos especialmente protegidos, la AEPD concluye que será necesaria la implantación de medidas de seguridad de nivel alto, según el TÍTULO VIII del RD 1720/2007.
• El examen de la denuncia por parte del primer receptor de la misma por lo que se refiere a su admisión y a la conveniencia de que circule en el marco del sistema.
• Considerar si las denuncias anónimas deben investigarse y tramitarse con mayor velocidad que las denuncias confidenciales, debido al riesgo de mal uso.
Es preciso señalar que aunque dichos informes de la AEPD no tienen un carácter vinculante, dicha opinión contiene una argumentación jurídica (vid. STJUE de 24 noviembre 2011, C-468/10 y 469/10) que debería ser tenida en cuenta para el establecimiento delos canales de whistleblowing, toda vez que las denuncias puramente anónimas tampoco son admisibles en el ámbito del Derecho Penal, [9] con lo que se reduciría notablemente el efecto de atenuación o exclusión de culpabilidad de las personas jurídicas, en la medida en que estos sistemas pretendan hacerse valer, llegado el caso, en un procedimiento penal en el que se viera involucrada la empresa.
La norma ISO 19600:2014, “Sistemas de gestión de Compliance - Directrices”, como no podía ser de otra manera, también considera el canal de dilación como una herramienta de comunicación fundamental, sin menoscabo de otras fuentes de opinión.
Concretamente, en la cláusula 9.1.3 “Fuentes de opinión sobre el desempeño de Compliance” dispone:
“La organización debería establecer, implantar, evaluar y mantener procedimientos para buscar y recibir opiniones de su desempeño de Compliance de una serie de fuentes, incluyendo:
- empleados, por ejemplo, a través de canales de denuncias, líneas de ayuda, buzones de opinión y de sugerencias;
- clientes, por ejemplo, a través de un sistema de control de reclamaciones;
- proveedores;
- reguladores;
- registros de control de procesos y registros de actividad (incluyendo tanto electrónicos como en papel).
Las opiniones deberían servir como una fuente clave de mejora continua del sistema de gestión de Compliance.”
En la cláusula 10.1.2 “Escalado de información”, se dispone:
“(…) Un sistema de gestión de Compliance eficaz debería incluir un mecanismo para que los empleados de la organización y/u otras personas informen sobre malas prácticas reales o sospechosas, o sobre violaciones de las obligaciones de Compliance de la organización, de forma confidencial y sin temor a represalias”.
Punto 7 - Ver fuentes citadas en artículo original en http://www.aspectosprofesionales.info/2014/10/analisis-juridico-de-los-whistleblowers.html
FUENTE: Con autorización del autor
430 | Jaime Cascante - 18/07/2017 @ 05:12:03 (GMT+1)
Muy didactico. Me onteresa tener mas informacion Felicitaciones

References: artículo 31
 artículo 806
 artículo 450
 artículo 450
 artículo 408
 artículo 31
 artículo 11
 artículo 259
 artículo 197
 Real Decreto 
 Artículo 29
 artículo 7
 artículo 1
 artículo 29