Gestionar adequadament la protecció de les dades personals dins d’una organització és avui dia una qüestió de vital importància. Constantment som testimonis de sancions administratives i judicis reputacionals a les quals es veuen exposades aquelles organitzacions que no compleixen amb la regulació en aquesta matèria i/o no han adequat les seves activitats als estàndards mínims que preveu la normativa.
Per això, incardinar dins del nostre Sistema de Compliance el que es preveu en el Reglament (UE) 2016/679 de 27 d’abril de 2016, la Llei orgànica 3/2018 de Protecció de Dades Personals i garantia dels drets digitals, així com les guies elaborades per l’Agència Espanyola de Protecció de dades i les directrius emeses pel Comitè Europeu de Protecció de Dades, és assumir una postura proactiva en l’adopció del que tal normativa preveu i denomina com a privacitat des del disseny (“Privacy by design”) i privacitat per defecte (“Privacy by default”).
Partint del que coneixem com a Sistema de Compliance, tenir present des del disseny del mateix o incorporar en el nostre sistema ja desenvolupat la regulació sobre protecció de dades, ens permetrà integrar les obligacions, requisits i recomanacions que la regulació, guies i directrius en aquesta matèria ens afectin, amb la finalitat última d’enfortir la nostra cultura ètica i de compliment, ampliant-la a aquells àmbits en els quals també ens puguem veure afectats per riscos de compliance no previstos.
Reprenent els conceptes assenyalats de privacitat des del disseny i privacitat per defecte, d’una banda, sempre que tinguem previst realitzar una nova activitat en la nostra organització, una de les primeres qüestions que hauríem de plantejar-nos és si en tal activitat tractarem dades personals, amb la finalitat de tenir en compte els requisits i recomanacions mínims i adequar i implementar les mesures tècniques i organitzatives necessàries, i així evitar riscos de compliance i reputacionals des d’un principi, des del disseny de l’activitat.
D’altra banda, si tenim en compte en el desenvolupament de la nostra activitat, en la qual tinguem previst tractar dades personals, la privacitat per defecte, això ens portarà a aplicar des d’un inici els principis de minimització de dades i limitació de la finalitat, assegurant-nos així que podem garantir el compliment en aquesta matèria.
En tal sentit, no sols ens és prou amb disposar d’una Política de privacitat, una Política de cookies, un registre d’activitats i diverses polítiques que moltes vegades desconeixem que tenim o com ens poden ajudar a gestionar la nostra activitat, sinó que és necessari realitzar una revisió interna de les activitats que realitzem per a conèixer en quines d’elles tractem efectivament dades personals i sota quines premisses i amb quines mesures de seguretat ho estem fent. Sobre la base de tal avaluació, podrem determinar aquells aspectes que hem d’adaptar, adequar i/o actualitzar per a assegurar un efectiu compliment que ens garanteixi que estem aplicant les mesures tècniques i organitzatives que ens exigeix la regulació.
En incloure dins del nostre Sistema de Compliance la regulació en matèria de protecció de dades, podrem realitzar una valoració dels riscos als quals es pot veure exposada la nostra organització seguint el model de governança emprat per a la incorporació de les altres regulacions normatives que ens afecten, i elaborar les respostes proactives, preventives i reactives mitjançant polítiques, protocols i procediments que serveixin de guia i referència en la manera de desenvolupar la cultura ètica i de compliment que els membres de l’organització han d’observar respecte també de la privacitat i la protecció de dades personals.
El desenvolupament constant de les activitats que pot realitzar una organització, així com l’ús de les dades personals i les activitats de tractament que es realitzen sobre aquests, han fet que la regulació sobre la protecció de les dades personals resulti d’aplicació transversal a l’organització i per tant, això està lligat amb la funció de compliance, sent per tant una normativa més com s’ha indicat abans – tan rellevant com les altres- a tenir en compte dins del nostre Sistema de Compliance.
Tal és així que, l’evolució normativa en matèria de protecció de dades personals de la qual hem estat testimonis aquests últims anys, sorgeix de la necessitat de comptar amb una regulació tecnològicament resistent que ens permeti salvaguardar els drets i llibertats de les persones dels tractaments de dades personals que es realitzen en la nova societat digital, a conseqüència del desenvolupament i evolució de la tecnologia.
Per això, resulta necessari conèixer com estem gestionant les nostres activitats de tractament sobre les dades personals, en funció de les mesures tècniques i organitzatives que hem aplicat, així com verificar l’ocupació que realitzem de la tecnologia de conformitat amb el que la regulació preveu i en particular, poder demostrar que les mesures que hem adoptat en determinat moment, continuen sent prou robustes per a garantir com a mínim la confidencialitat, integritat i disponibilitat de les dades personals que tractem.
No podem perdre de vista que, per a la gran majoria d’organitzacions, el tractament de dades personals constitueix un actiu essencial, i el fet de poder garantir que realitzen una ocupació segura i correcta dels mateixos reforça la seva reputació i confiança per part de la ciutadania i dels seus socis de negoci.
En definitiva, com a tasques a realitzar per a assegurar el compliment en matèria de protecció de dades i la implicació de tota l’organització amb la finalitat d’interioritzar aquesta cultura ètica i de compliment, podem llistar les següents, sense ànim d’exhaustivitat:
Departament de Compliance de Molins Defensa Penal.
El dia 18 de setembre de 2023, fou publicada al Diari Oficial de la Generalitat de Catalunya (d’ara endavant, DOGC), la Resolució de 14 de setembre de 2023, en virtut de la qual, l’Autoritat Catalana de la Competència (d’ara endavant, ACCO) obre una convocatòria pública per a concedir subvencions destinades a finançar programes de Compliance destinats a prevenir irregularitats en matèria de lliure competència en el mercat.
Les subvencions que contempla aquesta convocatòria són regides per la Resolució de 28 d’abril de 2022, publicada al DOGC. El termini de presentació de sol·licituds es va iniciar el dia 19 de setembre i finalitza el dia 18 d’octubre de 2023.
A continuació, s’ofereix un breu resum de les qüestions més rellevants respecte la present convocatòria:
L’ACCO celebra la favorable recepció de la primera convocatòria de subvencions per programes de Compliance relacionats amb la competència, essent aquesta pionera a nivell nacional. Aquests programes de Compliance són considerats instruments de gran valor que permeten a les empreses prevenir, detectar i respondre de manera ràpida a conductes prohibides per la Llei 15/2007, de 3 de juliol, de Defensa de la Competència.
Finalment, ha de destacar-se que, entre els serveis oferts pel Departament de Compliance de Molins Defensa Penal s’inclou el disseny, desenvolupament i implementació de Sistemes de Compliance en matèria de Dret de competència, ja siguin aquests sistemes independents o integrats en un sistema de compliment normatiu de major abast.
Departament de Compliance de Molins Defensa Penal
Després de més de (10) deu anys des de la introducció de la responsabilitat penal de les persones jurídiques en el Codi Penal espanyol, el Tribunal Suprem ha tingut l’oportunitat de pronunciar-se respecte qüestions amb afectació en matèria de Compliance en nombroses i diverses ocasions.
Així, en el present ComplianceKeys24 s’oferirà un llistat de les sentències més rellevants del Tribunal Suprem en matèria de Compliance dels últims dos (2) anys:
| Jurisprudència del Tribunal Suprem en matèria de Compliance | ||
| Any | Sentència | Qüestions destacades |
| 2022 | STS 36/2022, de 20 de gener | El Tribunal Suprem condemna a la persona jurídica i al seu administrador per un delicte d’estafa. Entén el Tribunal que no existeix doble condemna pel mateix fet (bis in idem) en tant l’administrador no és el soci propietari del capital social de la persona jurídica. En conseqüència, la condemna no suposa una doble penalitat. |
| STS 56/2022, de 24 de gener | El Tribunal Suprem analitza les facultats d’accés de l’empresari al correu corporatiu dels treballadors. En particular, l’Alt Tribunal desestima el recurs de cassació presentat per a entendre que el registre sobre el correu electrònic corporatiu dels treballadors que presumptament havien comès irregularitats vulnera els seus drets de privacitat, en tant la mesura de control empresarial s’havia realitzat obviant les garanties necessàries. | |
| STS 264/2022, de 18 de març |
Desestima la possibilitat de fer penalment responsable a una societat unipersonal en atenció al seu caràcter plenament instrumental. Concretament, el Tribunal entén que, atès que la societat compta amb un únic soci i administrador, el patrimoni del qual es confon i es dilueix amb el de la persona jurídica, no pot condemnar-se a aquesta. S’al·lega que la persona jurídica manca d’un desenvolupament organitzatiu suficient que la diferenciï de la persona física. En conseqüència, no pot aplicar-se l’article 31 bis del Codi Penal donada la impossibilitat de diferenciar entre la persona física (soci i administrador) de la persona jurídica i la inviabilitat d’implantar en aquesta un programa de compliment normatiu. |
|
| STS 747/2022, de 27 de juliol |
El Tribunal Suprem exclou la condemna de la persona jurídica en virtut del principi del non bis in idem en tant es tracta d’una societat unipersonal que correspon al cent per cent (100%) a la persona física condemnada. En particular, l’Alt tribunal entén que quan el condemnat penalment com a persona física és titular exclusiu de la societat, no resulta possible sancionar també a la persona jurídica. |
|
| STS 792/2022, de 29 de setembre | Aborda i manté, principalment per aspectes processals, la imposició de la suspensió d’activitats a una empresa per un termini de dos (2) anys per la comissió d’un delicte contra els drets dels treballadors a l’empara dels articles 129.3 i 33.7.c) del Codi Penal. | |
| STS 813/2022, de 14 d’octubre | Advoca per la necessitat d’implementar programes de compliment normatiu / Sistemes de Compliance en les empreses també per a evitar i prevenir el frau intern i el perjudici econòmic per a les empreses. | |
| 2023 | STS 1014/2022, de 13 de gener de 2023 |
El Tribunal Suprem, a mode d’apunt, es pronuncia en la present resolució respecte l’eficàcia dels Sistemes de Compliance per a evitar aquelles conductes delictives de les quals les companyies poden ser víctimes. En aquest sentit, els Sistemes de Compliance no solament mitigarien les conductes que poden generar una possible responsabilitat penal corporativa, sinó que dificulten el que l’Alt Tribunal denomina “autoposada en perill”. Així doncs, el Tribunal Suprem considera que, si bé, les conductes jutjades no poden suposar la responsabilitat penal de la persona jurídica (es tracta de delictes d’apropiació indeguda, els quals no són susceptibles de generar l’atribució de responsabilitat penal de la persona jurídica conforme l’article 31 bis del Codi Penal), dels quals a més hauria estat víctima la pròpia persona jurídica (un club esportiu), aquestes podrien haver-se evitat amb mesures de control destinades a evitar l’abús de relacions personals (mitjançant controls relatius a apoderaments, per exemple). En aquest sentit, també, Sentència de l’Audiència Provincial de Madrid 90/2023, de 22 de febrer de 2023. |
| STS 89/2023, de 10 de febrer |
En la present resolució el Tribunal Suprem resol en cassació respecte el famós “Cas Pescanova”. Entre altres qüestions en matèria de responsabilitat penal de les persones jurídiques, destaca l’anàlisi que en la present sentència es duu a terme respecte l’element del “benefici directe o indirecte”, exigit tant en els supòsits de la lletra a) (delictes comesos per directius) com en els propis de la lletra b) (delictes comesos per treballadors) de l’article 31 bis del Codi Penal, per a atribuir responsabilitat penal a les persones jurídiques. Assenyala el Tribunal Suprem que, en realitat, allò que l’article 31 bis del Codi Penal exigeix, com a element indispensable perquè pugui assentar-se la responsabilitat penal de la persona jurídica, no és que la mateixa hagi obtingut a conseqüència dels delictes comesos en el seu nom o pel seu compte un benefici real, directe o indirecte, sinó que aquells fets delictius s’haguessin comès “en benefici” d’aquesta. Així doncs, les persones jurídiques poden resultar condemnades per conductes delictives que, fins i tot, els hagin causat algun tipus de perjudici, quan originalment s’haguessin dut a terme amb la finalitat de reportar-li alguna classe de benefici, directe o indirecte. |
|
| STS 321/2023, de 9 de maig |
El Tribunal Suprem, en la present decisió, estima el recurs del Ministeri Fiscal en el sentit que la responsabilitat penal de la persona jurídica no exclou la responsabilitat penal individual, això és, dels autors materials de les conductes delictives. En aquest sentit, el Ministeri Fiscal i l’Alt Tribunal convenen que el sistema de responsabilitat penal de les persones jurídiques complementa al de les persones físiques, però no el substitueix. No es tracta de decidir si les conseqüències penals han de ser assumides per la persona natural o per la jurídica, sinó si, a més de la persona física, ha de sancionar-se penalment a l’entitat pel compte de la qual va actuar. Procedirà aquesta doble sanció quan es donin les condicions establertes en l’article 31 bis del Codi Penal. Finalment, estableix que solament si es pogués identificar a la persona jurídica amb el responsable penal (supòsits d’entitats de molt reduïdes dimensions, per exemple) caldria renunciar a una de les condemnes (la de la persona jurídica) per a no lesionar la prohibició de ne bis in idem (castigar dues vegades a una mateixa persona, pels mateixos fets, amb el mateix fonament). |
|
Departament de Compliance de Molins Defensa Penal.
Els canals ètics, han adquirit una gran rellevància des de la recent i nova publicació de la Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informin sobre infraccions normatives i de lluita contra la corrupció (d’ara endavant Llei 2/2023).
Si bé la Llei 2/2023 ha impulsat que totes les empreses espanyoles de més de cinquanta (50) empleats/des comptin amb un sistema d’informació de forma obligada, el canal ètic ja era una eina indispensable i clau per a qualsevol Sistema de Compliance, en tant és un requisit de l’article 31 bis 5.2 del Codi Penal espanyol per als “models d’organització i gestió”. Així mateix, també es tracta d’un element essencial de qualsevol norma tècnica en Compliance a nivell nacional i internacional. És més, existeix fins i tot la norma ISO 37002:2021 relativa a sistemes de gestió de canals de denúncies (whistleblowing management systems).
En aquest sentit, el canal ètic podria definir-se com el mitjà pel qual les organitzacions permeten canalitzar consultes o denúncies que guardin relació amb sospites de comportaments infractors o males praxis dins d’aquestes. Així mateix, el canal possibilita que l’organització sigui coneixedora, respectant l’anonimat, d’irregularitats, incompliments, infraccions, o, vulneracions de la legislació vigent o la normativa interna de l’organització (com el Codi Ètic i altres polítiques i protocols) per part dels empleats/des, o fins i tot per tercers que amb ella es relacionen.
Un dels objectius principals del canal ètic és l’enfortiment de la cultura de la informació i integritat en les organitzacions, com a mecanisme per a prevenir i detectar amenaces a l’interès públic i privat. D’aquesta manera, es mostra el compromís amb els empleats/des i parts interessades, generant confiança i demostrant que els assumptes i preocupacions que es comuniquin seran processats apropiadament.
El canal ètic pot tenir diferents formats, sempre complint amb els requisits establerts en la Llei 2/2023, de 20 de febrer, per exemple:
A més de les esmentades modalitats, la citada Llei 2/2023, de 20 de febrer, preveu diferents configuracions, com pot ser, la reunió presencial a sol·licitud del comunicant.
Més enllà de l’obligació legal, la implantació d’un canal ètic significa també un avantatge competitiu davant el públic intern o extern de l’organització, ja que, a grans trets, i entre altres:
En conclusió, el canal ètic és un element vital de prevenció en les organitzacions, ja que ningú coneix millor les irregularitats que es cometen en les mateixes que els qui estan dins, de manera que comptar amb un instrument que permeti comunicar aquests fets es presenta com un gran benefici per a qualsevol organització, que haurà d’esforçar-se a fomentar el seu ús i dur a terme un procediment de gestió adequat.
Departament de Compliance de Molins Defensa Penal.
En data de 7 de setembre de 2022 s’ha publicat al Butlletí Oficial de l’Estat (BOE) la nova Llei orgànica 10/2022, de 6 de setembre, de garantia integral de la llibertat sexual amb l’objectiu d’adoptar mesures efectives, global i coordinades entre les diferents administracions públiques per a garantir una protecció integral front qualsevol forma de violència sexual.
En concret, s’estableixen diferents accions de prevenció i sensibilització i, entre elles, es modifica la Llei orgànica 10/1995, de 23 de novembre, del Codi Penal. Així, la nova Llei orgànica 10/2022 i, conseqüentment, la reforma al Codi Penal, entrarà en vigor als trenta (30) dies de la seva publicació en el BOE.
Les modificacions del Codi Penal en relació a la responsabilitat penal de la persona jurídica i amb implicació en matèria de Compliance són les següents:
“1. El que infligís a una altra persona un tracte degradant, menyscabant greument la seva integritat moral, serà castigat amb la pena de presó de sis mesos a dos anys.
Amb la mateixa pena seran castigats els que, en l’àmbit de qualsevol relació laboral o funcionarial i prevalent-se de la seva relació de superioritat, realitzin contra un altre de manera reiterada actes hostils o humiliants que, sense arribar a constituir tracte degradant, suposin greu assetjament contra la víctima.
S’imposarà també la mateixa pena al qual de manera reiterada dugui a terme actes hostils o humiliants que, sense arribar a constituir tracte degradant, tinguin per objecte impedir el legítim gaudi de l’habitatge.
Quan d’acord amb el que s’estableix en l’article 31 bis, una persona jurídica sigui responsable dels delictes compresos en els tres paràgrafs anteriors, se li imposarà la pena de multa de sis mesos a dos anys. Ateses les regles establertes en l’article 66 bis, els Jutges i Tribunals podran tanmateix imposar les penes recollides en les lletres b) a g) de l’apartat 7 de l’article 33.”
“1. El que sol·licités favors de naturalesa sexual, per a si o per a un tercer, en l’àmbit d’una relació laboral, docent, de prestació de serveis o anàloga, continuada o habitual, i amb tal comportament provoqués a la víctima una situació objectiva i greument intimidatòria, hostil o humiliant, serà castigat, com a autor d’assetjament sexual, amb la pena de presó de sis a dotze mesos o multa de deu a quinze mesos i inhabilitació especial per a l’exercici de la professió, ofici o activitat de dotze a quinze mesos.
2. Si el culpable d’assetjament sexual hagués comès el fet prevalent-se d’una situació de superioritat laboral, docent o jeràrquica, o sobre persona subjecta al seu guarda o custòdia, o amb l’anunci exprés o tàcit de causar a la víctima un mal relacionat amb les legítimes expectatives que aquella pugui tenir en l’àmbit de la indicada relació, la pena serà de presó d’un a dos anys i inhabilitació especial per a l’exercici de la professió, ofici o activitat de divuit a vint-i-quatre mesos.
3. Així mateix, si el culpable d’assetjament sexual l’hagués comès en centres de protecció o reforma de menors, centre d’internament de persones estrangeres, o qualsevol altre centre de detenció, custòdia o acolliment, fins i tot d’estada temporal, la pena serà de presó d’un a dos anys i inhabilitació especial per a l’exercici de la professió, ofici o activitat de divuit a vint-i-quatre mesos, sense perjudici del que s’estableix en l’article 443.2.
4. Quan la víctima es trobi en una situació d’especial vulnerabilitat per raó de la seva edat, malaltia o discapacitat, la pena s’imposarà en la seva meitat superior.
5. Quan d’acord amb el que s’estableix en l’article 31 bis, una persona jurídica sigui responsable d’aquest delicte, se li imposarà la pena de multa de sis mesos a dos anys. Ateses les regles establertes en l’article 66 bis, els jutges i tribunals podran tanmateix imposar les penes recollides en les lletres b) a g) de l’apartat 7 de l’article 33.”
Les modificacions anteriors suposen una ampliació del catàleg de delictes numerus clausus establerts en el Codi Penal que poden comportar responsabilitat penal per a la persona jurídica i té una afectació directa en matèria de Compliance.
Amb tot, la reforma del Codi Penal introduïda per la Llei orgànica 10/2022 afecta directament als Sistemes de Compliance de les entitats espanyoles, que hauran d’adequar-los per a assegurar el compliment d’aquestes noves disposicions.
Departament de Compliance de Molins Defensa Penal.
L’Autoritat Catalana de la Competència (d’ara endavant, la ACCO) pretén fomentar el desenvolupament de Programes de Compliance en matèria de competència en les empreses, a través de la concessió de subvencions que financin les despeses de contractació d’experts externs per a l’elaboració i implantació d’aquests programes.
Les subvencions que la ACCO pretén concedir van dirigides a empreses que tinguin el domicili social o una delegació o oficina en el territori de Catalunya i que tinguin la consideració de pyme. Això és, a empreses amb menys de 250 treballadors, amb un volum de negocis anual no superior a 50 milions d’euros i un balanç general anual que no excedeixi els 43 milions d’euros.
Concretament, en la Resolució de 28 d’abril de 2022, la ACCO estableix les bases reguladores per al procediment de concessió d’aquestes subvencions, entre les quals destaquen els criteris mínims que ha de contenir el Programa de Compliance perquè aquest pugui ser subvencionable:
Departament de Compliance de Molins Defensa Penal.
La recent ordre ministerial publicada pel Ministeri d’Hisenda i Funció Pública ha obert novament el debat sobre la necessitat que les entitats públiques segueixin el mateix curs que el sector privat i incorporin mesures de control i gestió que garanteixin un compliment ètic i normatiu en el desenvolupament de les seves competències (programes de compliment).
Tot i que les disposicions en matèria de responsabilitat penal de les persones jurídiques no són aplicables a l’Administració Pública (article 31 quinquies 1r del Codi Penal), a excepció de les societats mercantils públiques que executin polítiques públiques o proporcionin serveis d’interès econòmic general (article 31 quinquies 2n del Codi Penal), són diversos ja els textos legals que, en major o menor mesura, imposen una sèrie de deures de control i bona gestió en les entitats públiques.
En aquest sentit, el passat 29 de setembre es va dictaminar l’Ordre HFP/1030/2021 per la qual es configura el sistema de gestió del Pla de Recuperació, Transformació i Resiliència per part del Ministeri d’Hisenda i Funció Pública. Entre altres aspectes, aquesta Ordre estableix una sèrie d’obligacions per a les entitats públiques amb capacitat de decisió o execució sobre fons relatius al Pla de Recuperació Transformació i Resiliència, instrument promogut per la Unió Europea orientat a mitigar els impactes de la COVID-19, entre altres objectius.
Concretament, en el seu article 6è, es determina la necessitat que aquestes entitats públiques reforcin els seus mecanismes per a la prevenció, detecció i correcció del frau, la corrupció i els conflictes d’interessos. Concretament, obliga a disposar d’un «Pla de mesures antifrau», que ha de ser aprovat en un termini inferior a 90 dies des de l’entrada en vigor de l’Ordre, això és, l’1 d’octubre de 2021.
Així mateix, s’imposen també una sèrie de deures d’identificació dels beneficiaris d’ajudes, contractistes i subcontractistes, és a dir, mesures de diligència deguda amb aquests tercers, així com mesures per a assegurar la compatibilitat amb el règim d’ajudes de l’Estat i per a prevenir el doble finançament.
Aquestes obligacions se sumen a unes altres ja existents en matèria anticorrupció. Per exemple, en l’article 64 de la Llei 9/2017, de 8 de novembre, de Contractes del Sector Públic, relatiu a la lluita contra la corrupció i prevenció dels conflictes d’interessos, s’insta els òrgans de contractació públics a prendre mesures contra el frau, el favoritisme i la corrupció i, especialment, a prevenir, detectar i solucionar els conflictes d’interessos que puguin sorgir en els procediments de licitació.
Finalment, cal recordar que les disposicions sobre canals de denúncia i protecció als informants recollides en la Directiva de la Unió Europea 2019/1937 de 23 d’octubre de 2019 relativa a la protecció de les persones que informin sobre infraccions del Dret de la Unió, també coneguda com a Directiva Whistleblowing, resulten igualment aplicables a les entitats públiques, tal com assenyala el propi article 4t de la Directiva.
Per tant, tots aquests requisits legals reforcen la idea que les entitats públiques, en tant subjectes sotmesos a dret públic i agents rellevants en el tràfic jurídic-mercantil, han d’adoptar programes de compliment que incorporin mecanismes de control i correcta gestió dels seus recursos i competències..
Jordi Buxó, Advocat del Departament de Compliance de Molins Defensa Penal.
La Directiva Whistleblowing estableix garanties per protegir el denunciant i els requisits que han de reunir els canals de denúncies internes.
