Source: http://www.aspectosprofesionales.info/
Timestamp: 2014-10-25 10:08:16
Document Index: 128550813

Matched Legal Cases: ['artículo 806', 'artículo 10', 'artículo 7', 'artículo 7', 'artículo 1', 'artículo 7', 'artículo 14', 'artículo 7', 'artículo 29', 'artículo 11', 'artículo 14', 'artículo 7', 'artículo 11', 'artículo 12', 'artículo 12', 'artículo 17']

www.aspectosprofesionales.es --- Blog dedicado al GRC (Gobierno, Riesgo y Cumplimiento Corporativo) y en general al DERECHO DIGITAL (TIC). Focaliza en Protección de Datos con visión jurídica, organizativa y técnica. Gestión de la seguridad de las TIC. Implantación y auditoría de SGSI (Sistemas de Gestión de Seguridad de la Información) bajo ISO27001. Analiza Cloud Computing, Big Data, Redes Sociales, IoT, (…), innovación y las cláusulas contractuales necesarias.
Resumen: La figura del whistleblower se ha
convertido en una pieza fundamental de los programas de Compliance o
cumplimiento regulatorio en la empresa. No obstante, debe buscarse en su
implementación, para cada caso concreto, el equilibrio entre el bien jurídico que
se protege con la materialización del canal de denuncias (la propia
administración de justicia, al delatarse ilícitos, y el preservar el honor de
la persona jurídica [1]) y el riesgo que comporta para los
derechos fundamentales de los intervinientes (Derecho a la intimidad del delator,
y derecho al honor y la intimidad del delatado, además del derecho a la
protección de los datos personales de ambos).
1. ÉTICA, RESPONSABILIDAD PENAL Y
3. EL ORDENAMIENTO JURÍDICO ANTE EL
4. PROTECCIÓN DE DATOS Y CANALES DE
4.2. Sujeción a la legislación de
4.4. Legitimación de los sistemas de
4.5. Evaluación de compatibilidad con la
normativa de PD
5. GESTIÓN DE LOS SISTEMAS DE
5.2. Externalización del sistema de
1. ÉTICA,
Instaurar una cultura empresarial, basada en la integridad y
la gestión responsable, es indudable que aportará beneficios de todo tipo a la
empresa, a medio y largo plazo, ya que muchos ilícitos surgen en un ambiente de
predisposición y permisividad.
Para evitar estos riesgos es ineludible el compromiso de la
Dirección para alinear el esfuerzo de todos en esa dirección. Los órganos de
gobierno corporativo deben promover esa cultura ética como preparación
necesaria para el aseguramiento del recomendable programa de cumplimiento.
Solo así, desde los valores y la convicción, se consigue
mitigar la posibilidad de ocurrencia de ilícitos en el seno de las
organizaciones que les acarreen sanciones administrativas, menoscaben la imagen
de la entidad, según el tipo delictivo quizá ocasionen responsabilidad penal a
la persona jurídica e, incluso, a los propios administradores según dispone el
art. 31 CP. En relación a esto último recordaré que, desde el punto de
vista del Derecho vigente, la Ley Orgánica 5/2010, de 22 de junio, por la que
se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, ha
introducido en el ordenamiento jurídico Español un nuevo concepto: La
Dentro del numerus
clausus de tipos delictivos que ha establecido el legislador como
susceptibles de responsabilidad penal por parte de una persona jurídica, se
contemplan las conductas de corrupción. [9] Esta
nueva realidad legal sitúa a la empresa en un nuevo plano siendo necesario que dentro de la misma se
incorporen o adapten al nuevo escenario legal códigos éticos, protocolos
internos de actuación y normas de cumplimiento que permitan, mediante un
adecuado control efectivo, proteger la posición jurídica de la empresa de estos
nuevos riesgos frente a posibles actuaciones de corrupción de sus directivos
y/o empleados que puedan desencadenar su responsabilidad penal directa con la
consecuencia de sufrir severas multas y sanciones penales, además del
importante daño reputacional que tal situación generaría.
2. LOS CANALES DE
Dentro de los Principios de Transparencia y Prevención de la
Corrupción para las empresas, encontramos que un punto importante es la
implementación de canales de denuncias para la comunicación de posibles incumplimientos
de las normas internas de la empresa y/o de las normas legales. Estos sistemas
permitirán adoptar las pertinentes medidas de investigación, y eventualmente
Los canales de denuncia nacen como medios eficaces de
autocontrol para ayudar a las organizaciones a luchar contra la comisión de
ilícitos y evitar la corrupción. Mediante la posibilidad de ejercer la delación, se pretende
la implicación de todos los miembros de la empresa, y quizá incluso de la cadena de suministro y clientes, en la
preservación de los valores de integridad y responsabilidad que tiendan a
evitar conductas poco éticas, la
comisión de ilícitos en general e incluso posibles conductas antijurídicas
La ley Sarbanes-Oxley (SOX) fue adoptada por el Congreso de
los EE.UU. en 2002 a raíz de diversos escándalos financieros protagonizados por
empresas. La Sabanes-Oxley Act de 2002, incorpora en 2004 la reforma de las
Federal Sentencing Guidelines for Organizations incluyéndolas en la sección
8B2.2 como Effective Compliance and Ethics Program. Esos nuevos preceptos
establecen para las empresas la puesta en marcha de programas efectivos de
ética y cumplimiento normativo, debiendo ejercer la debida diligencia en
prevenir y detectar comportamientos delictivos. Esa debida diligencia exige una serie de puntos, entre los
que se encuentra disponer de un sistema a través del cual los empleados y
agentes puedan informar sobre actuales o potenciales conductas delictivas sin
temor a represalias, debiendo incluir mecanismos que permitan el anonimato o la
La SOX exige que las empresas públicas de los EE.UU. y sus
filiales en la UE, así como las empresas no estadounidenses que cotizan en
bolsa en los EE.UU., establezcan, en su comité de auditoría, "procedimientos para la recepción,
conservación y tramitación de las denuncias recibidas por el emisor
relativas a la contabilidad, las auditorías internas o las cuestiones de
auditoría; así como para la delación confidencial o anónima por parte de los
empleados del emisor de situaciones relativas a cuestiones de contabilidad
o auditoría cuestionables" Además, el artículo 806 de la SOX
establece una disposición dirigida a garantizar la protección de los
empleados de empresas que cotizan en bolsa que proporcionen pruebas de fraude
frente a las represalias que pudieran tomarse contra ellos por hacer uso del
sistema de denuncia. La Comisión de Valores y Cambio (SEC) es la autoridad
estadounidense responsable de controlar la aplicación de la SOX.
Estas disposiciones están reflejadas en las normas del Nasdaq
y de la Bolsa de Nueva York (NYSE). Las empresas que cotizan en el Nasdaq o la
NYSE deben certificar anualmente sus cuentas ante estos mercados. Este proceso
de certificación implica que las empresas están en condiciones de afirmar que
cumplen con diversas normas, incluidas las normas sobre denuncia de
Las empresas que no cumplen con estos requisitos de denuncia
de irregularidades están sujetas a fuertes sanciones y multas por parte de
Nasdaq, NYSE o SEC.
A consecuencia de la incertidumbre respecto a la compatibilidad de los sistemas
de denuncia de irregularidades con las normas sobre protección de datos de la
UE, las empresas afectadas se enfrentan al riesgo de ser sancionadas por las
autoridades de protección de datos de la UE si no cumplen las normas sobre
protección de datos de la UE, y por las autoridades de los EE.UU. si no cumplen
las normas de los EE.UU.
La aplicabilidad de algunas disposiciones de la SOX a las
filiales europeas de empresas estadounidenses y a las empresas europeas que
cotizan en los mercados de valores de los EE.UU. es objeto de control judicial
en Estados Unidos. A pesar de esta incertidumbre relativa en cuanto a la
aplicabilidad de todas las disposiciones de la SOX a las empresas establecidas
en Europa, las empresas que están sujetas a la SOX en virtud de disposiciones
extraterritoriales claras de esta ley también quieren estar en condiciones de
cumplir con las disposiciones específicas sobre denuncia de irregularidades de
la SOX.
Esto fue lo que llevó al GT29 a elaborar el Dictamen
3. EL ORDENAMIENTO
JURÍDICO ANTE EL DELATOR
En este apartado analizaré como se contempla a los delatores
(wistleblowers) en el ordenamiento jurídico español, concretamente en el Derecho
Penal y en el Derecho Laboral, basándome en la publicación referenciada como [2] en el
apartado de bibliografía consultada. Lo hago en un sentido más amplio que el de considerar
únicamente a quién utiliza un canal interno de denuncias dispuesto para
colaborar a dar cumplimiento a un programa interno de control efectivo, ya que consideraré
también a quien denuncia un hecho antijurídico ocurrido en el seno de la
empresa ante la autoridad judicial.
En Derecho Penal debemos plantearnos dos claras cuestiones
respecto a la figura del delator:
Si la delación puede representar, especialmente si se está bajo deber de secreto, una conducta delictiva para quién delata. 3.1.1. Obligación
de denunciar determinados delitos
Fuera del art. 450.1
CP, que se concreta en el deber de colaboración inmediata en la prevención
de un numerus clausus de delitos personalísimos
(vida, integridad, salud, libertad y libertad sexual), no existe obligación
exigida por el Código Penal de impedir ni de denunciar otros delitos. En estos casos la colaboración con la justicia es un
compromiso de carácter ético y no un bien tutelado penalmente, con las
excepciones dispuestas en el art. 450.1 CP. Incluso en esas excepciones el
deber cívico de colaboración con la Administración de Justicia y contra la
comisión de esos delitos queda limitado, en todo caso, a la posibilidad de poder
impedir el delito y que la intervención se realice sin riesgo propio ni
Delación bajo deber de secreto
Cabe plantease si la revelación por parte de un sujeto de la
comisión de un hecho delictivo en el seno de su empresa sería constitutiva de
un delito de violación de secretos empresariales tipificado en el art. 278 CP y siguientes.
El bien jurídico protegido por el secreto de empresa es la
capacidad competitiva de la empresa en el mercado. Lo que no puede comprender son
aquellas situaciones en las que esa capacidad competitiva aumente o se mantenga
a partir de la comisión de hechos ilícitos. En consecuencia, el secreto,
como valor de empresa, no puede ser entendido como encubridor de un hecho de
carácter ilícito, administrativa o penalmente, porque además no se estaría
llevando a cabo una competencia leal para el resto de competidores. [3] Es
así ya que en el fundamento del secreto de empresa confluyen tanto la voluntad
del titular como el interés real y objetivo del hecho (MORALES PRATS).
Incluso sectores doctrinales señalan que la conducta de
delación, incluso estando coartada por el secreto de empresa, podría quedar
legitimada por una causa de justificación (ejercicio de la libertad
sindical, ejercicio del derecho de prevención de riesgos laborales, contra la
Hacienda Pública, etc.). [4]
Resumiré diciendo, como se ha afirmado por la doctrina, que el
concepto de secreto es un concepto formal o instrumental que debe ponerse en
relación con el bien jurídico para ser dotado de contenido y averiguar así
qué secretos deben ser, o no, tutelados penalmente.
Podría también plantearse que la delación podría ser
constitutiva de un delito contra la intimidad respecto al descubrimiento y
revelación de secretos conocidos en virtud de una relación laboral o profesional.
Concretamente el art. 199
CP dispone: “1. El que revelare secretos
ajenos, de los que tenga conocimiento por razón de su oficio o sus relaciones
laborales, será castigado con la pena de prisión de uno a tres años y multa
de seis a doce meses.
2. El profesional que, con
incumplimiento de su obligación de sigilo o reserva, divulgue los secretos de
otra persona, será castigado con la pena de prisión de uno a cuatro años,
multa de doce a veinticuatro meses e inhabilitación especial para dicha
profesión por tiempo de dos a seis años”.
Podríamos estar en presencia de una “perversión jurídica” ya
que la conexión entre el objeto (el secreto) y el bien jurídico (la intimidad)
requiere que aquél se refiera a los aspectos más privados y personales del
sujeto. Así podríamos llegar a entender que la comisión de un hecho delictivo
puede pertenecer a la esfera más íntima de la persona.
Ante tal planteamiento, solo cabe afirmar que en un Estado de
Derecho el alcance de la protección de la intimidad de un sujeto no puede
ser tal que absorba y ampare la comisión de un hecho delictivo, ya que
todos los derechos fundamentales tienen límites. En consecuencia la revelación por parte del trabajador de
la comisión de un hecho delictivo, llevado a cabo en o por la empresa, no será
constitutivo de delito de revelación de secretos tipificado en el art. 197 CP, ni de quebrantamiento de
secreto según el art. 199 CP. En todo caso la denuncia no puede ser falsa y deberá estar
Podríamos resumir diciendo que a quién debe protegerse y
blindarse es a quién denuncia un hecho delictivo y no al que esconde la
comisión de un delito. 3.2.
Analizaremos aquí las consecuencias laborales que la
revelación de un ilícito, ya sea penal o administrativo, puede acarrear al
Analizaremos si la libertad de expresión o información en el
ámbito laboral puede verse limitada por:
El trabajador, como persona, es titular de los derechos
fundamentales que le otorga la constitución en un Estado de Derecho. No
obstante, esos derechos circunscritos en el ámbito de las relaciones laborales
pueden verse modulados de forma que se equilibren con los intereses del
3.2.1. La
La buena fe es uno de los deberes básicos de los
trabajadores, según se desprende de la LET - Real Decreto Legislativo 1/1995,
de los Trabajadores, que en su art. 5 dispone: “Los
trabajadores tienen como deberes básicos: a) Cumplir con las obligaciones
concretas de su puesto de trabajo, de conformidad a las reglas de la buena
fe y diligencia”. Y en su art. 54, sobre el despido
disciplinario, dispone: “1. El contrato
de trabajo podrá extinguirse por decisión del empresario, mediante despido
basado en un incumplimiento grave y culpable del trabajador. 2. Se considerarán
incumplimientos contractuales: (…) d) La transgresión de la buena fe
contractual, así como el abuso de confianza en el desempeño del trabajo.
Se trata pues de discernir si la denuncia por parte del
trabajador sobre irregularidades o ilícitos en la empresa se considerará una
transgresión de la buena fe y el empresario puede despedirlo
Empezaré diciendo se ha definido la buena fe como una
conducta que la conciencia social exige, conforme a un imperativo ético de toda
actuación. En consecuencia, la buena fe en una relación laboral es
bidireccional en el sentido que, además de imponer deberes al trabajador,
también los impone al empresario que solo podrá exigir una actuación de
buena fe cuando la suya, como representante de la empresa, sea correcta. Así, empresario
y trabajador tienen derecho a esperar de la otra parte una actuación leal,
confiando que su actuación sea social y contractualmente correcta.
La buena fe, en tanto instrumento de protección del interés
económico del empresario que es capaz de limitar el derecho a la libertad de expresión e
información de los trabajadores, no puede conllevar el amparo de prácticas
ilegales por parte de aquél.
El deber de secreto exigido al trabajador, en base a la buena
fe, supone una manifestación del poder de decisión del empresario. Sin embargo,
éste únicamente podrá requerirse cuando exista un interés empresarial legítimo
y no ante decisiones desconectadas de la relación laboral. [6] Señala el TC en su STC
6/1988, de 21 de enero, que “el deber de
buena fe que pesa sobre el trabajador no se puede interpretar en términos tales
que vengan a resultar amparadas por esta exigencia de honestidad y lealtad en
el cumplimiento de las obligaciones, situaciones o circunstancias que, lejos de
corresponderse con el ámbito normal y regular de la prestación de trabajo,
supondrían desviaciones de tal normalidad”. Señalándose también en
esta Sentencia que el deber de secreto se refiere “a
los datos que correspondan a la actividad y el tráfico ordinario y reguladores
Se llega a la conclusión que el deber de secreto abarca
los relativos a la explotación del negocio y no puede suponer el encubrimiento
de irregularidades o fraudes. Frente a ese secreto, la libertad de
expresión e información del trabajador ampara a aquellas personas que denuncien la comisión de un hecho
ilícito, siempre que sean veraces y no rumores carentes de toda constatación.
Informe titulado “creación de sistemas de denuncias internas en las empresas (mecanismos de whistleblowing)” [8] elaborado por el Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) a raíz de la consulta planteada por una industria farmacéutica. 4.2.
Sujeción a la legislación de protección de datos
El GT29 indica en su Dictamen que los sistemas internos de
denuncia de irregularidades se establecen generalmente como respuesta a la
necesidad de aplicar principios adecuados de gobernanza en el funcionamiento
diario de las empresas. La denuncia de irregularidades se concibe como un
mecanismo adicional para que los empleados comuniquen internamente las irregularidades
a través de un canal específico. Este mecanismo complementa el sistema regular
de información y comunicación de la organización, compuesto por los representantes
de los empleados, los responsables jerárquicos, el personal de control de calidad
o los auditores internos cuya misión específica es informar acerca de las irregularidades.
La denuncia de irregularidades debería considerarse un sistema subsidiario y
no sustitutivo de la gestión interna.
El Grupo de Trabajo subraya también que los sistemas de
denuncia de irregularidades deben aplicarse de conformidad con las normas sobre
protección de datos de la UE. De hecho, la aplicación de los sistemas de
denuncia de irregularidades, en la gran mayoría de los casos, se basará en el
tratamiento de datos personales (es decir, en la recogida, registro, almacenamiento,
revelación y destrucción de datos relacionados con una persona identificada o
identificable), lo que significa que son aplicables las normas sobre protección
Riesgos del sistema de denuncias
El GT29 observa que, si bien la normativa y las directrices
existentes sobre denuncia de irregularidades tienen como objeto prever una
protección específica para la persona que utiliza el sistema de denuncia de
irregularidades (el denunciante), nunca mencionan en particular la
protección de la persona denunciada, en especial por lo que se refiere al
tratamiento de sus datos personales. Sin embargo, incluso habiendo sido denunciado,
un individuo tiene derecho a los beneficios que le conceden la Directiva 95/46/CE
y las disposiciones correspondientes del Derecho nacional que en España es la LOPD
- LO 15/1999, de 13 de diciembre, que en su art. 2.1 dispone: “La presente Ley Orgánica será de aplicación a los
datos de carácter personal registrados en soporte físico que los haga susceptibles
de tratamiento, y a toda modalidad de uso posterior de estos datos por los
sectores público y privado”. Y en su art. 3 c) define tratamiento
como: “Operaciones y procedimientos
técnicos de carácter automatizado o no, que permitan la recogida, grabación,
conservación, elaboración, modificación, bloqueo y cancelación, así como las
cesiones de datos que resulten de comunicaciones, consultas, interconexiones y
transferencias”.
Aplicar las normas sobre protección de datos de la UE a los
sistemas de denuncia de irregularidades supone dar una consideración específica
a la cuestión de la protección de la persona que puede verse incriminada en una
denuncia. A este respecto, el Grupo de Trabajo subraya que los sistemas de
denuncia de irregularidades implican un riesgo muy grave de estigmatización y
persecución de esa persona en la organización a la que pertenece. Esta
persona quedará expuesta a tal riesgo incluso antes de que ella misma sea consciente
de que ha sido incriminada y se hayan investigado los presuntos hechos para determinar
si efectivamente se han producido.
El Grupo de Trabajo opina que la correcta aplicación de
las normas sobre protección de datos a los sistemas de denuncia de
irregularidades contribuirá a paliar los riesgos mencionados. También
considera que, lejos de impedir que estos sistemas funcionen de acuerdo con el
objeto previsto, la aplicación de estas normas contribuirá en general al correcto
funcionamiento de los sistemas de denuncia de irregularidades.
Legitimación de los sistemas de denuncias Para que un sistema de denuncia de irregularidades sea legal
desde el punto de vista del tratamiento de datos personales, ese tratamiento
deberá ser legítimo y cumplir alguno de los requisitos expuestos en el art. 7
(dentro de la SECCIÓN II, sobre PRINCIPIOS RELATIVOS A LA LEGITIMACIÓN DEL
TRATAMIENTO DE DATOS) de la Directiva 95/46/CE.
De los seis condicionantes habilitadores del art. 6 de la
Directiva, únicamente tres podrían ser pertinentes para legitimar los canales
No todos los estados europeos tienen legisladas obligaciones
jurídicas de implantar los canales de denuncia en las empresas. Lo que si
suelen haber son normas o regulaciones sectoriales, por ejemplo en la banca,
donde la mayoría de los gobiernos han decidido reforzar el control interno
especialmente en lo que se refiere a sociedades de inversión y crédito.
Concretamente la Ley 24/1988, de 28 de julio, del Mercado de
Valores, en su art. 70 ter establece: “2. Las
empresas de servicios de inversión y las restantes entidades que, de conformidad
con lo dispuesto en este Título, presten servicios de inversión deberán definir
y aplicar políticas y procedimientos adecuados para garantizar que la
empresa, sus directivos, su personal y sus agentes cumplan las obligaciones que
la normativa del Mercado de Valores les impone. A tal efecto deberán:
d) (…) Asimismo deberán establecer medidas
de control de las operaciones que realicen, con carácter personal, los
miembros de sus órganos de administración, empleados, agentes y demás personas
vinculadas a la empresa, cuando tales operaciones puedan entrañar conflictos de
interés o vulnerar, en general, lo establecido en esta Ley.
Está claro que un control fundamental es el establecido
mediante la implementación de listas de denuncias, al contar con la
imprevisibilidad frente a un control programado mediante unas reglas o
Recordaré que no se consideran legitimadoras las normas que
vengan impuestas por una legislación extranjera (como las disposiciones de
denuncia de irregularidades de la SOX)
ya que, según el GT29, esto representaría abrir la puerta a ningunear las
Esto viene legitimado en España por el art. 6.1 de la LOPD
que dispone: “El tratamiento de los datos de
carácter personal requerirá el consentimiento inequívoco del afectado, salvo
que la ley disponga otra cosa” y por el art. 11 en sus apartados
1 y 2 que dispone: “Los datos
de carácter personal objeto del tratamiento sólo podrán ser comunicados a un
tercero para el cumplimiento de fines directamente relacionados con las
del interesado. 2. El consentimiento exigido en el apartado anterior no será
preciso: a) cuando la cesión esté autorizada por una ley”.
4.4.2. Necesario
para la ejecución de un contrato
Otra opción es, cuando los canales de denuncia se
suscriben al ámbito de una empresa, los intervinientes (delator y delatado) se
verán vinculados a la misma por una relación laboral, siendo trabajadores de la
misma o, en su caso y en un sentido amplio, mantendrán con la compañía un
vínculo derivado de un contrato de arrendamiento de servicios con algún tipo de
compromiso de exclusividad. En consecuencia, todas las personas cuyos datos
pueden ser tratados mediante el establecimiento de procedimientos de denuncia
mantendrán con la sociedad un vínculo contractual de derecho laboral, civil o
Esto viene legitimado en España por el art. 6.2 de la LOPD
que dispone: “No será preciso el consentimiento
(…) cuando se refieran a las partes de un contrato o precontrato de una
relación negocial, laboral o administrativa y sean necesarios para su mantenimiento
o cumplimiento” y por el art.
11.2 c) que dispone que el consentimiento para la comunicación de datos no será
preciso “Cuando el tratamiento responda a la
libre y legítima aceptación de una relación jurídica cuyo desarrollo,
cumplimiento y control implique necesariamente la conexión de dicho tratamiento
con ficheros de terceros. En ese caso la comunicación solo será legítima en
cuanto se limite a la finalidad que la justifique”.
Es evidente que la empresa debe poder acreditar el haber notificado
previamente, a todos los trabajadores y colaboradores, la existencia del canal
de denuncias y la descripción detallada de la política y normas de uso del
mismo, por ejemplo, mediante un anexo al contrato laboral. O como lo dice
en su informe la AEPD, “sería posible
siempre que existiese pleno conocimiento de la existencia de los mecanismos
descritos por parte de las personas cuyos datos pudieran ser tratados por los
mismos, quedando la existencia de dichos procedimientos incorporada a la
relación contractual como parte integrante de la misma, el tratamiento de los
datos pudiese considerarse necesario para el desarrollo y control adecuado de
la relación contractual, lo que permitiría considerar el mismo amparado en la
Ley Orgánica 15/1999. No obstante, para que la conclusión anteriormente
alcanzada fuera posible, sería preciso que la finalidad que justifica el
establecimiento de los sistemas de denuncia descritos en la consulta resultase
ajustada al adecuado mantenimiento de las relaciones contractuales, de forma
que el sistema se centrase en la denuncia de conductas que pudieran
efectivamente afectar al mantenimiento o desarrollo de la relación contractual
que vincula al denunciado y a la empresa.
La conclusión, en este apartado de legitimación por una
relación contractual, es que la finalidad del sistema de denuncias se ajuste
al adecuado mantenimiento de las relaciones contractuales, de forma que el
sistema se centre en la denuncia de conductas que puedan efectivamente
afectar al mantenimiento o desarrollo de la relación contractual que vincula al
denunciado y a la empresa.
Necesario para un interés legítimo del responsable
Recordaré las divergencias de traducción o interpretación en
el proceso de transposición de la
Directiva europea 95/46/CE en relación al artículo 10.2.b del RD 1720/2007 de
21 de diciembre, solventadas a partir de la STJUE de 24 de noviembre de 2011,
resultando en las SSTS de la sala 3ª de 8 de febrero de 2012, que lo anuló por
no ser conforme al artículo 7 f) de la Directiva europea. Desde entonces, el
artículo de la directiva es de aplicación directa a nuestro ordenamiento
Concretamente, el artículo 7 f) de la Directiva dispone que
solo serán legítimos los tratamientos de datos que: “(…)
f) es necesario para la satisfacción del interés legítimo perseguido por
el responsable del tratamiento o por el tercero o terceros a los que se
comuniquen los datos, siempre que no prevalezca el interés o los derechos y
libertades fundamentales del interesado que requieran protección con
arreglo al apartado 1 del artículo 1 de la presente Directiva.
Las principales organizaciones internacionales, incluidas la
UE y la OCDE, han reconocido la importancia de establecer principios correctos
de gobernanza empresarial para garantizar el adecuado funcionamiento de las
organizaciones. Estas organizaciones reconocen específicamente el interés de
una organización en establecer procedimientos adecuados que permitan a los
empleados comunicar las irregularidades y las prácticas cuestionables. Estos procedimientos de información deben garantizar la
existencia de métodos para una investigación proporcionada e independiente de
los hechos comunicados, que incluya un procedimiento adecuado de selección de
las personas que participarán en la gestión del sistema, así como su
Por otra parte, estas directrices y normativas subrayan que
debe garantizarse la protección de los denunciantes y que deben establecerse
garantías adecuadas que les protejan frente a las represalias (medidas
discriminatorias o disciplinarias).
Sin embargo, la letra f) del artículo 7 requiere que se
alcance un equilibrio entre el interés legítimo exigido por el tratamiento de
datos personales y los derechos fundamentales de los interesados. Este
equilibrio de intereses deberá tener en cuenta la proporcionalidad, la
subsidiariedad, la gravedad de los presuntos delitos que puedan denunciarse y
las consecuencias para los interesados. A efectos del control del equilibrio de
intereses, habrá que establecer las salvaguardias adecuadas. En especial, el
artículo 14 de la Directiva 95/46/CE establece que, en los casos contemplados
en la letra f) del artículo 7, el interesado tendrá derecho a oponerse, en
cualquier momento y por razones legítimas
propias de su situación particular, a que los datos que le conciernan
sean objeto de tratamiento. Evidentemente esas “razones legítimas propias” deberán
estar convenientemente fundadas.
La conclusión es que debería analizarse cada caso particular
de implantación de un canal de denuncias en la empresa, basándose en un interés
Consentimiento inequívoco del interesado
El que apriorísticamente parece el mejor método de
legitimación, me atrevería a decir que en este caso, circunscrito al ámbito de
la empresa, no lo es. No debería ser admitido el consentimiento como un
fundamento jurídico válido cuando exista un desequilibrio claro entre el
interesado y el responsable (trabajador y empresa).
El GT29 en su Dictamen 5/2011 sobre la definición del
consentimiento, expresa lo siguiente:
“En varios dictámenes, el grupo de
trabajo ha estudiado los límites del consentimiento en situaciones en las que
no puede manifestarse libremente. Se trata de sus dictámenes sobre los
registros sanitarios electrónicos (WP131), el tratamiento de datos en el
contexto del empleo (WP48) y el tratamiento delos datos por la Agencia
Mundial Antidopaje (WP162)”.
En el mencionado dictamen 8/2001 en el ámbito laboral (WP48),
el GT29 considera: “CONSENTIMIENTO.
El grupo de trabajo del artículo 29 considera que si un empresario debe tratar
datos personales como consecuencia inevitable y necesaria de la relación
laboral, actuará de forma engañosa si intenta legitimar ese tratamiento a
través del consentimiento. El recurso al consentimiento deberá limitarse
a los casos en que el trabajador pueda expresarse de forma totalmente libre y
tenga la posibilidad de rectificar posteriormente sin verse perjudicado por
Este dictamen ha sido refrendado por la AEPD en su Informe
Jurídico 0201/2010 que también se refiere al consentimiento de los trabajadores
en el entorno laboral. [10]
La conclusión es que el consentimiento inequívoco del
interesado a un canal de denuncias, cuya virtud radica en la universalidad
en el ámbito de la empresa y, en consecuencia, pierde valor ante la
discrecionalidad, no tiene demasiado sentido. Debe tenerse en cuenta
también la falta de legitimación de ese consentimiento expreso ante la
situación de desequilibrio entre trabajador y empresa.
Evaluación de compatibilidad con la normativa de PD
4.5.1. Principios
de calidad y proporcionalidad de los datos
El art. 4.1 LOPD aporta el principio de proporcionalidad
disponiendo: “1. Los datos de carácter personal
sólo se podrán recoger para su tratamiento, así como someterlos a dicho
tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el
ámbito y las finalidades determinadas, explícitas y legítimas para las que se
hayan obtenido”.
Significa que los datos recogidos y tratados a través de un
sistema de denuncias deberán limitarse a los hechos relacionados con éste
propósito. Las empresas que establezcan estos sistemas deberán definir
claramente el tipo de información que puede denunciarse a través del sistema.
Los datos personales tratados en el marco del sistema deberán limitarse a los
datos estricta y objetivamente necesarios para verificar las alegaciones que se
hayan realizado. Además, según el GT29, las denuncias deberán conservarse
separadas de otros datos personales.
Un caso especial, pero posible, se produce cuando los hechos
comunicados en el marco de un sistema de denuncia de irregularidades no se
refieran a las áreas contempladas en el sistema en cuestión. En ese caso podrán
enviarse a las personas competentes de dicha empresa u organización, cuando
estén en juego intereses vitales de la persona a la que se refieren los datos o
la integridad moral de los empleados, o cuando, conforme al Derecho nacional,
exista una obligación legal de comunicar la información a los organismos
públicos, autoridades competentes, o a la Administración de Justicia.
El art. 4.3 continúa disponiendo: “Los
datos de carácter personal serán exactos y puestos al día de forma que
respondan como veracidad a la situación actual del afectado”. En consecuencia deberán adoptarse todas las medidas para que
los datos inexactos o incompletos sean suprimidos o rectificados.
El art. 4.5 dispone también que “Los
datos de carácter personal serán cancelados cuando hayan dejado de ser
necesarios o pertinentes para la finalidad para la cual hubieran sido recabados
o registrados”.
Los datos personales tratados por un sistema de denuncia de
irregularidades deberán eliminarse rápidamente, y generalmente en el plazo de
dos meses tras la finalización de la investigación de los hechos alegados en la
denuncia. Estos períodos serán diferentes cuando se inicien procedimientos o
medidas disciplinarias contra la persona incriminada o el denunciante en casos
de denuncia falsa o difamatoria. En estos casos, los datos personales se
conservarán hasta que finalicen los procedimientos y el plazo de recurso. Estos
períodos de conservación estarán determinados por la Ley.
Los datos personales relativos a denuncias que la entidad
responsable del tratamiento de la misma concluya que no tienen fundamento,
deberán suprimirse sin demora.
Siempre serán aplicables las normas nacionales relativas a la
conservación de datos en la Empresa.
4.5.2. Cumplimiento
del deber de informar El requisito de una información clara y completa sobre el
sistema obliga al responsable del tratamiento a informar a los interesados
acerca de la existencia, finalidad y funcionamiento del sistema, los receptores
de las denuncias y el derecho de acceso, rectificación y supresión de las
personas denunciadas con las limitaciones que, dada la naturaleza del sistema,
Los responsables del tratamiento también deberán informar del
hecho de que la identidad del denunciante se mantendrá confidencial a lo largo
del proceso, y que el abuso del sistema podrá dar lugar a una acción contra el
autor del abuso. Por otra parte, también podrá informarse a los usuarios del
sistema de que no se enfrentarán a ninguna sanción si utilizan el mismo de
Derechos de información y ARCO
La normativa de protección de datos hace hincapié en la
protección de datos personales del interesado.
En consecuencia, desde ese punto de vista, los sistemas de denuncia de
irregularidades deberán centrarse en los derechos del interesado, sin perjuicio
de los derechos del denunciante. Deberá establecerse un equilibrio de intereses
entre los derechos de las partes afectadas, incluidas las necesidades legítimas
de investigación de la empresa.
El artículo 11 de la Directiva 95/46/CE establece que deberá
informarse al interesado cuando los datos hayan sido recabados de un tercero y
no del propio interesado.
Por tanto, la persona denunciada deberá ser informada por
el responsable del sistema lo antes posible en cuanto se hayan registrado los
datos referentes a ella. De conformidad con el artículo 14 de la Directiva,
el interesado tendrá derecho a oponerse al tratamiento de sus datos si la legitimidad
del tratamiento se basa en la letra f) del artículo 7. Este derecho de
objeción, sin embargo, sólo podrá ejercerse por razones legítimas apremiantes
relativas a la situación particular de la persona.
En especial, el empleado denunciado deberá ser informado
Sin embargo, cuando exista un riesgo considerable de que
tal notificación pueda comprometer la capacidad de la empresa para investigar
efectivamente la alegación o para recabar las pruebas necesarias, la
notificación al denunciado podrá retrasarse mientras exista este riesgo.
Esta excepción a la regla establecida por el artículo 11 de la Directiva tiene como
objeto conservar pruebas, evitando su destrucción o alteración por el
denunciado. Debe aplicarse restrictivamente, según cada caso, y deberá tener en
cuenta los intereses mayores en juego.
No obstante, el art. 5.4 LOPD dispone: “Cuando
los datos de carácter personal no hayan sido recabados del interesado, éste
deberá ser informado de forma expresa, precisa e inequívoca, por el responsable
del fichero o su representante, dentro de los tres meses siguientes al
momento del registro de los datos (…)”.
Derechos ARCO (acceso,
rectificación y oposición)
El artículo 12 de la Directiva 95/46/CE (art. 15 y 16 LOPD) confiere
al interesado la posibilidad de acceder a los datos registrados a fin de
comprobar su exactitud y rectificarlos si son inexactos o incompletos, o si
están desfasados (derecho de acceso y rectificación). Por consiguiente, el
establecimiento de un sistema de denuncia debe garantizar el respeto de los
derechos de los individuos al acceso y rectificación de los datos incorrectos,
incompletos o desfasados.
Sin embargo, el ejercicio de estos derechos podrá
restringirse para garantizar la protección de los derechos y libertades de
otras personas participantes en el sistema. Esta restricción deberá aplicarse
Bajo ninguna circunstancia la persona denunciada podrá
obtener del sistema información sobre la identidad del denunciante en virtud
del derecho de acceso del denunciado, excepto cuando el denunciante presente maliciosamente una
declaración falsa. En los demás casos, la confidencialidad del denunciante deberá
garantizarse siempre. Recordaré que el derecho de acceso queda limitado a los
propios datos personales, por lo que la información que contenga datos de
terceras personas, como sucede en este caso con los datos del denunciante,
quedaría excluida del mencionado derecho.
Además, las personas interesadas tendrán derecho a rectificar
o suprimir sus datos cuando el tratamiento de dichos datos no cumpla con las
disposiciones de esta Directiva, en particular debido a la naturaleza
incompleta o inexacta de los datos (artículo 12(b)).
De conformidad con el artículo 17 de la Directiva 95/46/CE
(art. 9 LOPD), la empresa u organización responsable de un sistema de denuncia
de irregularidades aplicará las medidas técnicas y organizativas adecuadas para
la protección de los datos cuando se recaben, se transmitan o se conserven. Su
objetivo es proteger los datos contra la destrucción, accidental o ilícita, la
pérdida accidental y la difusión o el acceso no autorizados.
Las denuncias podrán ser recogidas por cualquier medio de
tratamiento de datos, electrónico o no. Estos medios deberán estar
especializados para el sistema de denuncia de irregularidades, a fin de impedir
cualquier desvío de su propósito original, y en aras de una mayor
Según el GT29, las medidas de seguridad deberán ser
proporcionadas a los fines de investigar las cuestiones que se planteen, de
conformidad con las normas de seguridad de los distintos Estados miembros.
Debe recordarse que en España la Ley Orgánica 15/1999
tiene por objeto la protección de un derecho fundamental: el derecho a la
protección de datos de carácter personal, considerado como tal por la
jurisprudencia de nuestro Tribunal Constitucional, entre otras, en su Sentencia
292/2000, de 30 de noviembre. También protege el derecho al honor, la intimidad
y la propia imagen. Por este motivo, la aplicación de dicha normativa deberá
ser objeto de interpretación restrictiva, debiendo prevalecer la interpretación
proclive a la protección de los derechos fundamentales, conforme establece
reiterada jurisprudencia del Tribunal Constitucional.
Dado que no será nunca
posible conocer a priori el contenido real del fichero que se generará por
medio del sistema y dado que los datos derivados de las investigaciones y
averiguaciones llevados a cabo puede implicar la inclusión en el sistema de
datos especialmente protegidos, la AEPD concluye que será necesaria la
implantación de medidas de seguridad de nivel alto, según el TÍTULO VIII
del RD 1720/2007.
Confidencialidad de las
La confidencialidad de las denuncias es un requisito esencial
para el cumplimiento de la obligación prevista por la Directiva 95/46/CE de
Con el fin de cumplir el objetivo para el cual se ha
establecido un sistema de denuncia de irregularidades y animar a las personas a
utilizar el sistema y denunciar hechos que supongan conducta irregular o
actividades ilegales de la empresa, es esencial que la persona que denuncie
goce de una protección adecuada, garantizando la confidencialidad de la
denuncia e impidiendo que terceras partes conozcan su identidad.
Las empresas que establezcan sistemas de denuncia de
irregularidades deberán adoptar medidas adecuadas para garantizar que la
identidad de los denunciantes sea confidencial y no se revele al denunciado a
lo largo de la investigación. Sin embargo, si una denuncia resulta no tener fundamento y
el denunciante ha realizado maliciosamente una declaración falsa, el denunciado
podrá querer demandarlo por difamación, en cuyo caso la identidad del
denunciante deberá comunicarse al denunciado si la legislación nacional lo
permite. Las normas y principios nacionales sobre denuncia de
irregularidades en el ámbito de la gobernanza empresarial también prevén que el
denunciante deberá quedar protegido frente a medidas de represalia por utilizar
el sistema, como medidas disciplinarias o discriminatorias adoptadas por la
La confidencialidad de los datos personales deberá
garantizarse en la recogida, revelación o conservación de los mismos.
Denuncias anónimas versus
En este apartado cabría considerar si deben admitirse
denuncias anónimas, o por el contrario, todas deben identificarse con el
denunciante, aunque en estrictas condiciones de confidencialidad.
El anonimato puede no ser una buena solución, tanto para el
denunciante como para la organización, por varias razones:
La tramitación de denuncias anónimas debe ser objeto de
especial precaución. Tal precaución requeriría, por ejemplo:
Esta precaución especial no significa, sin embargo, que las
denuncias anónimas no deban investigarse sin tener debidamente en cuenta todos
los hechos del caso, como si la denuncia se hubiera realizado abiertamente.
En cuanto a las normas sobre protección de datos, las
denuncias anónimas plantean un problema específico por lo que respecta al
requisito básico de que los datos personales deben recogerse limpiamente. Por
regla general, el Grupo de Trabajo considera que, para satisfacer este
requisito, sólo las denuncias identificadas deben comunicarse a través del
sistema de denuncia de irregularidades.
Sin embargo, el GT29 es consciente de que algunos
denunciantes pueden no siempre estar en una posición o tener la disposición
psicológica para presentar denuncias identificadas. También es consciente
del hecho de que las denuncias anónimas son una realidad en las empresas,
incluso y especialmente en ausencia de sistemas de denuncia de irregularidades
confidenciales organizados, y que esta realidad no puede obviarse. El Grupo de
Trabajo considera por tanto que la existencia de sistemas de denuncia de irregularidades
puede dar lugar a que se presenten denuncias anónimas a través del mismo, y se
tengan en cuenta, pero como excepción a la regla y con las condiciones que se
El GT29 considera que los sistemas de denuncia de
irregularidades deben establecerse de tal manera que no fomenten la denuncia
anónima como la forma habitual de presentar una denuncia. En especial, las
empresas no deberían difundir el hecho de que pueden presentarse denuncias
anónimas a través del sistema. Por el contrario, dado que los sistemas de
denuncia de irregularidades deben garantizar la confidencialidad de la
identidad del denunciante, los individuos que pretendan denunciar en el marco
de un sistema de denuncia de irregularidades deberán saber que no sufrirán
perjuicios debido a su acción. Por esta razón, los sistemas de denuncia de
irregularidades deberán comunicar al denunciante, en el momento de establecerse
el primer contacto, que su identidad se mantendrá confidencial en todas las
etapas del proceso, y en especial no se revelará a terceros, a la persona
incriminada o a los superiores jerárquicos del empleado. Si, a pesar de
esta información, el denunciante desea mantener el anonimato, la denuncia se
aceptará. No obstante, las Autoridades de Control españolas (AEPD)
parecen interpretarlo de forma más restrictiva que el grupo consultivo
europeo en su Informe Jurídico 128/2007 indica: “Por
ello, a fin de garantizar el cumplimiento del mencionado principio [derecho de
acceso] deberá exigirse que el sistema
únicamente acepte la inclusión de denuncias en que aparezca identificado el
denunciante, sin perjuicio de las salvaguardias que se han señalado para
garantizar la confidencialidad de sus datos de carácter personal, no bastando
el establecimiento de un primer filtro de confidencialidad y una posible
alegación última del anonimato para el funcionamiento del sistema”.
Es preciso señalar que aunque dichos informes de la AEPD no
tienen un carácter vinculante, dicha opinión contiene una argumentación
jurídica (vid. STJUE de 24 noviembre 2011, C-468/10 y 469/10) que debería ser
tenida en cuenta para el establecimiento delos canales de whistleblowing, toda
vez que las denuncias puramente anónimas tampoco son admisibles en el ámbito
del Derecho Penal, [9] con lo
que se reduciría notablemente el efecto de atenuación o exclusión de
culpabilidad de las personas jurídicas, en la medida en que estos sistemas
pretendan hacerse valer, llegado el caso, en un procedimiento penal en el que
se viera involucrada la empresa.
Por otro lado, no hay que olvidar que existen leyes de otros
países con posible aplicación extraterritorial como la FCPA o la SOX de
EE.UU., que exigen que en los sistemas de denuncia se establezcan
específicamente canales de denuncias anónimos.
También es necesario hacer que los denunciantes sean
conscientes de que puede ser necesario revelar su identidad a las personas
implicadas en las investigaciones o en los procedimientos judiciales
posteriores iniciados a resultas de la investigación realizada por el sistema
de denuncia de irregularidades.
En España existe actualmente la obligación de notificación e
inscripción registral en el Registro General de Protección de Datos (RGPD) que
gestiona la AEPD, según dispone el art. 26 LOPD: “1.
Toda persona o entidad que proceda a la creación de ficheros de datos de
carácter personal lo notificará personalmente a la Agencia de Protección de
Deberán registrarse los ficheros que contengan los datos
procedentes de los canales de denuncias, con especial consideración a
declararlos de nivel alto, según la probable
sensibilidad de los datos tratados por el sistema.
5. GESTIÓN DE LOS
Según el GT29, deberá crearse un departamento específico en
el seno de la empresa o grupo, dedicado a la gestión de las denuncias y a la organización de la investigación.
Personalmente creo que podría adscribirse al área de “Compliance”.
Este departamento deberá estar compuesto por personas con
formación específica, en número limitado y con un vínculo contractual por lo que
respecta a las obligaciones específicas de confidencialidad que deben asumir.
El sistema de denuncia de irregularidades deberá estar
estrictamente separado de otros departamentos de la empresa, como el
Este departamento garantizará, en la medida de lo necesario,
que la información recogida y tratada se transmita exclusivamente a las
personas que sean específicamente responsables, dentro de la empresa o grupo al
que pertenezca la empresa, de la investigación o de la adopción de las medidas
necesarias para realizar el seguimiento de los hechos denunciados. Las personas que reciban esta información se asegurarán de
que la información recibida se maneje confidencialmente y esté sujeta a medidas
Externalización del sistema de denuncias
En los casos en que el sistema de denuncia de irregularidades
esté gestionado por un proveedor de servicios externo, el responsable del
tratamiento deberá estar vinculado por un contrato, y deberá tomar todas las
medidas adecuadas para garantizar la seguridad de la información tratada en
Debe prestarse especial atención, especialmente en modelos de
entrega de servicios basados en Cloud Computing, por están sujetos a
Transferencias Internacionales de Datos (TID), contempladas en el título V de
En estos casos mi consejo es mantener una actitud de
previsión ex ante de la
externalización (responsabilidad in
eligendo) y ex post (responsabilidad in
vigilando).
- [1] Dr. Javier Gómez Garrido. “DERECHO AL
HONOR Y PERSONA JURÍDICO-PRIVADA”, REDUR 8, págs. 205-225, diciembre 2010.
- [2] Dra. Cristina Rodriguez Yagüe. “LA
PROTECCIÓN DE LOS DELATORES POR EL ORDENAMIENTO ESPAÑOL: ASPECTOS SUSTANTIVOS Y
MATERIALES”, Universidad de Castilla La Mancha, Instituto Derecho Penal Europeo
e Internacional, Págs. 12-26, Cuenca, 2006. [Texto empleado como hilo conductor
del artículo].
- [3] Terradillos Basoco. “DERECHO PENAL DE
LA EMPRESA”, Página 170, Trotta, Madrid, 1995.
- [4] M. M. Carrasco Andrino. “LA PROTECCIÓN
PENAL DEL SECRETO DE EMPRESA”, págs. 278, 280 y ss., Barcelona. 1998. - [5] M. Bajo y S. Bacigalupo. “DERECHO PENAL
ECONÓMICO”, pág. 485, Ed. Centro de Estudios Ramón Areces, Madrid, 2001.
- [6] M.C. Palomeque López y M. Álvarez de la Rosa. “DERECHO
DEL TRABAJO”, pág. 804, Centro de estudios Ramón Areces. Madrid. 2000. - [7] GT29. “Dictamen 1/2006 relativo a la aplicación de las normas sobre protección de
datos de la UE a los sistemas internos de denuncia de irregularidades en los
ámbitos de la contabilidad, controles de auditoría internos, cuestiones de
auditoría, lucha contra la corrupción y delitos financieros y bancarios”, adoptado
el 1de febrero de 2006, WP117.
1/2006 GT29
- [8] AEPD. Informe Jurídico 128/2007. “Creación de sistemas de denuncias internas en
las empresas (mecanismos de whistleblowing)”. Gabinete Jurídico.
Jurídico 1268/2007 AEPD
- [9] TRANSPARENCY INTERNATIONAL ESPAÑA. “PRINCIPIOS
DE TRANSPARENCIA Y PREVENCIÓN DE LA CORRUPCIÓN PARA LAS EMPRESAS”. Documento.
- [10] AEPD. Informe Jurídico 0201/2010. “trata
sobre el consentimiento de los trabajadores en entorno laboral”, Gabinete
Jurídico 0201/2010 AEPD
Colom Planas Posee un doble
perfil, jurídico y tecnológico, que le facilita el desempeño profesional en el
ámbito de la privacidad: Ha cursado Ingeniería técnica de Telecomunicaciones en
“la Salle BCN” estando adscrito a la AEGITT (Asociación Española de Graduados e
Ingenieros Técnicos de Telecomunicación). También ha realizado el postgrado de
Especialista Universitario en Protección de Datos y Privacidad en la Facultad
de Derecho de la Universidad de Murcia.
estudiado “El delito de blanqueo de capitales en nuestro Código Penal” en la
UOC, en colaboración con el Ilustre Colegio de Abogados de Barcelona (ICAB). Ha
participado en la I Jornada internacional sobre blanqueo de capitales
organizada por la Escuela de Postgrado; Facultad de Derecho de la UB.
Realizando el programa ejecutivo de Controller Jurídico (Compliance Officer),
en la escuela legal de Wolters Kluwer Formación.
auditor y consultor empresarial especializado en cumplimiento, protección de
datos, y gestión de la seguridad de la
información. A partir de su dilatada
de la certificación CDPP (Certified Data Privacy Professional) del ISMS Fórum
Spain. Es Auditor e Implantador SGSI (Gestión de la Seguridad de la
Información) por AENOR (Asociación Española de Certificación y Normalización). Leader Auditor ISO
27001& implanter ISO 22301 by BSI (British Standards Institution). Auditor del esquema de certificación STAR para
prestadores de servicios de Cloud Computing (BSI + Cloud Security Alliance). Ha
obtenido la certificación internacional CISA (Certified Information Systems
Auditor) by ISACA (Information Systems Audit and Control Association). Dispone
de las certificaciones ISO 20000 PMI (Process Management Improvement) e ITIL
Service Management by EXIN (Examination Institute for Information Science).
Es asociado sénior de la APEP (Asociación Profesional Española
de Privacidad), miembro de ISACA
(Information Systems Audit and Control Association), miembro de ISMS Forum Spain (Asociación Española
para el Fomento de la Seguridad de la Información), miembro de itSMF (IT Service Management Forum), ATI (Asociación de Técnicos de
Informática) y ENATIC Abogacía 2.0 (Asociación de expertos
nacionales de la abogacía TIC), habiendo sido ponente o colaborado en casi
todas ellas. También es colaborador de la iniciativa del Observatorio
Iberoamericano de Protección de Datos. Publicado por
canales de denuncia,
Blog www.aspectosprofesionales.es Pueden contactar con el editor del Blog por correo electrónico: joseluiscolom@gmail.com . Los autores disponen de su perfil de Linked In para poder contactar directamente con ellos.Se admiten artículos de colaboración acordes con el baremo de calidad del Blog.
PULSAR PARA OBJETIVOS Y ALCANCE DEL Blog
Con doble perfil (Jurídico y tecnológico) es consultor especialista en protección de datos, con postgrado de la Facultad de Derecho de la UM, disponiendo de la certificación profesional CDPP. También es Leader Auditor ISO 27001 de sistemas de gestión de la seguridad de la información. Especialista en auditorías de cumplimiento en tendencias emergentes: Cloud, Big Data, Redes Sociales, IoT... estando acreditado como auditor de prestadores de servicios de Cloud Computing para el programa de certificación CSA STAR. Ha cursado Ingeniería técnica de telecomunicaciones en “la Salle BCN”. A nivel de auditoría está certificado como CISA por ISACA.
De Martutene a Sada.
Perito IT | Peritaje Informático y Tecnológico
TechniSentido Razonable
Canal IT, desvalorizándose. Papel del Parnter y Reseller.
Contenido del blog "Aspectos Profesionales” www.aspectosprofesionales.es ÍNDICE 1. Ponencias y eventos 2. Protección d...
Resumen: Segunda versión actualizada del estudio didáctico del modelo CLOUD COMPUTING, de entrega de servicios externalizados de TI, inc...
Resumen: Para realizar una auditoría con éxito y alcanzar un resultado favorable, deben conocerse las mejores prácticas de audi...
Los artículos publicados en este blog constituyen, salvo error u omisiones involuntarias, la opinión del autor en base a su leal saber y entender, opinión que en modo alguno constituye ningún tipo de asesoramiento el cual siempre debe basarse en el análisis del caso particular. Toda afirmación aquí trasladada queda subordinada a cualquier otro criterio mejor fundado. En consecuencia, el editor, los autores y los colaboradores del Blog “Aspectos Profesionales” no se responsabilizan de los contenidos aquí publicados. Tampoco se responsabilizan de los daños y perjuicios que pudieran ocasionar mediante el uso de la información provista por medio del servicio y/o los links correspondientes. Asimismo, tampoco garantizan la exactitud y/o veracidad de toda o parte de la información contenida en el sitio, ni su actualización, ni que dicha información no haya sido alterada o modificada en todo o en parte, después de haber sido incluida por primera vez en el sitio.
(ES) LSSI-CEEste Blog no se encuentra sujeto a las previsiones de la LSSI-CE - Ley (ES) 34/2002, de 11 de julio, de servicios de la sociedad de la información y del comercio electrónico, al tratarse de un Blog personal que no tiene asociada actividad lucrativa alguna.En consecuencia no obtiene ningún tipo de contraprestación económica ni por número de visitas, ni por publicidad, ni por ningún otro concepto.Su objeto principal es la publicación de artículos sobre Derecho TIC, relacionados a menudo con la privacidad y focalizando en protección de datos personales y seguridad de la información, especialmente en tendencias emergentes: Big Data, Cloud Computing, Redes Sociales, IoT (Internet de las Cosas)…(ES) LOPD / (EU) Directiva 95/46/CEEn relación a la LOPD – (ES) LO 15/1999, de 13 de diciembre, de protección de datos de carácter personal y transposición de la Directiva europea 95/46/CE, el Editor del Blog no registra ni trata datos de naturaleza personal, salvo las siguientes excepciones:AUTORES DE LOS ARTÍCULOS:En cada artículo publicado aparece el nombre y currículo profesional del/los autor(es) de los mismos, siempre a partir de su consentimiento expreso e informado.LECTORES PARTICIPANTES:Se posibilita que los lectores puedan participar a través de sus comentarios que quedarán registrados por orden cronológico al final de cada artículo. El hecho de insertar un comentario referenciado por el nombre o nickname, que es un dato de carácter personal ya que identifica o permite identificar al participante, implica el consentimiento tácito a su publicación en este Blog.LECTORES QUE SE SUSCRIBEN:Cuando alguien utiliza la opción de suscribirse para poder ser avisado automáticamente por e-mail de la publicación de una nueva entrada en este Blog, facilitando a tal efecto una dirección de correo electrónico, la suscripción es gestionada directamente y en exclusiva por la plataforma de Google en la que se apoya el Blog. En consecuencia ni el Editor, ni los autores, tienen posibilidad alguna de acceder ni de tratar esos datos. Ni siquiera conocen el número de suscriptores activos.Pueden consultarse las políticas y principios de privacidad de Google en:https://www.google.com/intl/es_es/policies/privacy/COOKIES:Todos los navegadores de Internet permiten eliminar las cookies instaladas y configurar la privacidad para restringirlas o bloquearlas. Es una buena práctica efectuar revisiones periódicas. Normalmente la opción a tal efecto se encuentra dentro del apartado de configuración del navegador, en algunos casos opciones avanzadas, seleccionando el sub-apartado de privacidad.Sobre la utilización de cookies por parte de la plataforma de Google:https://www.google.com/intl/es_es/policies/technologies/types/Sobre la utilización de cookies analíticas de terceros (StatCounter) y poder ejercitar el OPT-OUT:http://statcounter.com/about/cookies/
MAPA DISTRIBUCIÓN ACCESOS (Desde 2013):