Gestionar adequadament la protecció de les dades personals dins d’una organització és avui dia una qüestió de vital importància. Constantment som testimonis de sancions administratives i judicis reputacionals a les quals es veuen exposades aquelles organitzacions que no compleixen amb la regulació en aquesta matèria i/o no han adequat les seves activitats als estàndards mínims que preveu la normativa.
Per això, incardinar dins del nostre Sistema de Compliance el que es preveu en el Reglament (UE) 2016/679 de 27 d’abril de 2016, la Llei orgànica 3/2018 de Protecció de Dades Personals i garantia dels drets digitals, així com les guies elaborades per l’Agència Espanyola de Protecció de dades i les directrius emeses pel Comitè Europeu de Protecció de Dades, és assumir una postura proactiva en l’adopció del que tal normativa preveu i denomina com a privacitat des del disseny (“Privacy by design”) i privacitat per defecte (“Privacy by default”).
Partint del que coneixem com a Sistema de Compliance, tenir present des del disseny del mateix o incorporar en el nostre sistema ja desenvolupat la regulació sobre protecció de dades, ens permetrà integrar les obligacions, requisits i recomanacions que la regulació, guies i directrius en aquesta matèria ens afectin, amb la finalitat última d’enfortir la nostra cultura ètica i de compliment, ampliant-la a aquells àmbits en els quals també ens puguem veure afectats per riscos de compliance no previstos.
Reprenent els conceptes assenyalats de privacitat des del disseny i privacitat per defecte, d’una banda, sempre que tinguem previst realitzar una nova activitat en la nostra organització, una de les primeres qüestions que hauríem de plantejar-nos és si en tal activitat tractarem dades personals, amb la finalitat de tenir en compte els requisits i recomanacions mínims i adequar i implementar les mesures tècniques i organitzatives necessàries, i així evitar riscos de compliance i reputacionals des d’un principi, des del disseny de l’activitat.
D’altra banda, si tenim en compte en el desenvolupament de la nostra activitat, en la qual tinguem previst tractar dades personals, la privacitat per defecte, això ens portarà a aplicar des d’un inici els principis de minimització de dades i limitació de la finalitat, assegurant-nos així que podem garantir el compliment en aquesta matèria.
En tal sentit, no sols ens és prou amb disposar d’una Política de privacitat, una Política de cookies, un registre d’activitats i diverses polítiques que moltes vegades desconeixem que tenim o com ens poden ajudar a gestionar la nostra activitat, sinó que és necessari realitzar una revisió interna de les activitats que realitzem per a conèixer en quines d’elles tractem efectivament dades personals i sota quines premisses i amb quines mesures de seguretat ho estem fent. Sobre la base de tal avaluació, podrem determinar aquells aspectes que hem d’adaptar, adequar i/o actualitzar per a assegurar un efectiu compliment que ens garanteixi que estem aplicant les mesures tècniques i organitzatives que ens exigeix la regulació.
En incloure dins del nostre Sistema de Compliance la regulació en matèria de protecció de dades, podrem realitzar una valoració dels riscos als quals es pot veure exposada la nostra organització seguint el model de governança emprat per a la incorporació de les altres regulacions normatives que ens afecten, i elaborar les respostes proactives, preventives i reactives mitjançant polítiques, protocols i procediments que serveixin de guia i referència en la manera de desenvolupar la cultura ètica i de compliment que els membres de l’organització han d’observar respecte també de la privacitat i la protecció de dades personals.
El desenvolupament constant de les activitats que pot realitzar una organització, així com l’ús de les dades personals i les activitats de tractament que es realitzen sobre aquests, han fet que la regulació sobre la protecció de les dades personals resulti d’aplicació transversal a l’organització i per tant, això està lligat amb la funció de compliance, sent per tant una normativa més com s’ha indicat abans – tan rellevant com les altres- a tenir en compte dins del nostre Sistema de Compliance.
Tal és així que, l’evolució normativa en matèria de protecció de dades personals de la qual hem estat testimonis aquests últims anys, sorgeix de la necessitat de comptar amb una regulació tecnològicament resistent que ens permeti salvaguardar els drets i llibertats de les persones dels tractaments de dades personals que es realitzen en la nova societat digital, a conseqüència del desenvolupament i evolució de la tecnologia.
Per això, resulta necessari conèixer com estem gestionant les nostres activitats de tractament sobre les dades personals, en funció de les mesures tècniques i organitzatives que hem aplicat, així com verificar l’ocupació que realitzem de la tecnologia de conformitat amb el que la regulació preveu i en particular, poder demostrar que les mesures que hem adoptat en determinat moment, continuen sent prou robustes per a garantir com a mínim la confidencialitat, integritat i disponibilitat de les dades personals que tractem.
No podem perdre de vista que, per a la gran majoria d’organitzacions, el tractament de dades personals constitueix un actiu essencial, i el fet de poder garantir que realitzen una ocupació segura i correcta dels mateixos reforça la seva reputació i confiança per part de la ciutadania i dels seus socis de negoci.
En definitiva, com a tasques a realitzar per a assegurar el compliment en matèria de protecció de dades i la implicació de tota l’organització amb la finalitat d’interioritzar aquesta cultura ètica i de compliment, podem llistar les següents, sense ànim d’exhaustivitat:
Departament de Compliance de Molins Defensa Penal.
Avui, divendres 17 de desembre de 2021, finalitza el termini per a la transposició de la Directiva 2019/1937, del Parlament Europeu i del Consell, de 23 d’octubre de 2019, relativa a la protecció de les persones que informin sobre infraccions del Dret de la Unió (generalment denominada Directiva Whistleblowing), de conformitat amb el que s’estableix en el seu article 26.1. De moment, no s’ha dut a terme cap acte legislatiu que adapti el seu contingut a l’ordenament jurídic espanyol.
L’objecte de la Directiva Whistleblowing no és un altre que el d’harmonitzar l’àmbit de la protecció dels denunciants d’infraccions en sectors com la contractació pública, els mercats financers, la salut pública, la protecció dels consumidors, etc. entre els diferents Estats membres de la Unió Europea. Per a això, el legislador comunitari ha desenvolupat un règim d’obligacions en matèria d’habilitació de canals de denúncia i gestió adequada dels mateixos que afecta tant el sector privat (en el marc dels denominats canals interns, obligatoris per a entitats amb cinquanta o més treballadors) com al sector públic (en referència a canals interns, en el cas de societats mercantils públiques, i canals externs, en l’Administració Pública en sentit estricte).
Si bé, la finalització del termini per a la transposició de la Directiva no suposa l’automàtica entrada en vigor de les previsions establertes en matèria de canals de denúncia per a entitats privades, sí que generarà, d’una banda, drets que els particulars podran esgrimir en relació amb el sector públic, a causa del pràcticament segur efecte directe vertical de la Directiva, en atenció a la jurisprudència europea aplicable; i, d’altra banda, fa molt previsible la proximitat de la transposició de la Directiva Whistleblowing; la qual, presumiblement, no es desviarà en gran manera del contingut establert en les directrius comunitàries.
De l’anterior, es desprèn l’absoluta conveniència que les entitats, tant del sector privat com del sector públic, adoptin les mesures necessàries per a complir amb el que s’estableix en la Directiva (mitjançant la implementació de canals de denúncia i la definició de pautes d’actuació interna), o adaptin els seus canals interns als estàndards de la Directiva Whistleblowing en cas de ja posseir-los.
Per a això, s’ofereix a continuació una breu relació de les obligacions principals que estableix la Directiva Whistleblowing en matèria de canals de denúncia i investigacions internes:
Des de Molins Defensa Penal s’ofereix un assessorament professional integral per al compliment dels diferents extrems de les obligacions establertes en la Directiva Whistleblowing: des del disseny dels canals de denúncia (conforme la mateixa Directiva i l’ISO 37002, norma tècnica de referència en la matèria, entre altres) i la seva gestió diària, per part del Departament de Compliance; fins a la tramitació de les denúncies i el consegüent procés de recerca respecte les mateixes, per part del Departament d’Investigacions Internes.
Departament de Compliance de Molins Defensa Penal
Avui dia no hi ha dubte que els canals de denúncia/ètics són, actualment, un element essencial de tot sistema de gestió de Compliance.
La Directiva Whistleblowing estableix garanties per protegir el denunciant i els requisits que han de reunir els canals de denúncies internes.
