Gestionar adecuadamente la protección de los datos personales dentro de una organización es hoy en día una cuestión de vital importancia. Constantemente somos testigos de sanciones administrativas y juicios reputacionales a las que se ven expuestas aquellas organizaciones que no cumplen con la regulación en esta materia y/o no han adecuado sus actividades a los estándares mínimos que prevé la normativa.
Por ello, incardinar dentro de nuestro Sistema de Compliance lo previsto en el Reglamento (UE) 2016/679 de 27 de abril de 2016, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, así como las guías elaboradas por la Agencia Española de Protección de datos y las directrices emitidas por el Comité Europeo de Protección de Datos, es asumir una postura proactiva en la adopción de lo que tal normativa prevé y denomina como privacidad desde el diseño (“Privacy by design”) y privacidad por defecto (“Privacy by default”).
Partiendo de lo que conocemos como Sistema de Compliance, tener presente desde el diseño del mismo o incorporar en nuestro sistema ya desarrollado la regulación sobre protección de datos, nos permitirá integrar las obligaciones, requisitos y recomendaciones que la regulación, guías y directrices en esta materia nos afecten, con la finalidad última de fortalecer nuestra cultura ética y de cumplimiento, ampliándola a aquellos ámbitos en los que también nos podamos ver afectados por riesgos de compliance no previstos.
Retomando los conceptos señalados de privacidad desde el diseño y privacidad por defecto, por un lado, siempre que tengamos previsto realizar una nueva actividad en nuestra organización, una de las primeras cuestiones que deberíamos plantearnos es si en tal actividad vamos a tratar datos personales, con la finalidad de tener en cuenta los requisitos y recomendaciones mínimos y adecuar e implementar las medidas técnicas y organizativas necesarias, y así evitar riesgos de compliance y reputacionales desde un principio, desde el diseño de la actividad.
Por otro lado, si tenemos en cuenta en el desarrollo de nuestra actividad, en la que tengamos previsto tratar datos personales, la privacidad por defecto, ello nos llevará a aplicar desde un inicio los principios de minimización de datos y limitación de la finalidad, asegurándonos así que podemos garantizar el cumplimiento en esta materia.
En tal sentido, no sólo nos basta con disponer de una Política de privacidad, una Política de cookies, un registro de actividades y diversas políticas que muchas veces desconocemos que tenemos o cómo nos pueden ayudar a gestionar nuestra actividad, sino que es necesario realizar una revisión interna de las actividades que realizamos para conocer en cuales de ellas tratamos efectivamente datos personales y bajo qué premisas y con qué medidas de seguridad lo estamos haciendo. En base a tal evaluación, podremos determinar aquellos aspectos que tenemos que adaptar, adecuar y/o actualizar para asegurar un efectivo cumplimiento que nos garantice que estamos aplicando las medidas técnicas y organizativas que nos exige la regulación.
Al incluir dentro de nuestro Sistema de Compliance la regulación en materia de protección de datos, podremos realizar una valoración de los riesgos a los que se puede ver expuesta nuestra organización siguiendo el modelo de gobernanza empleado para la incorporación de las demás regulaciones normativas que nos afectan, y elaborar las respuestas proactivas, preventivas y reactivas mediante políticas, protocolos y procedimientos que sirvan de guía y referencia en el modo de desarrollar la cultura ética y de cumplimiento que los miembros de la organización han de observar respecto también de la privacidad y la protección de datos personales.
El desarrollo constante de las actividades que puede realizar una organización, así como el empleo de los datos personales y las actividades de tratamiento que se realizan sobre los mismos, han hecho que la regulación sobre la protección de los datos personales resulte de aplicación transversal a la organización y por ende, ello está ligado con la función de compliance, siendo por tanto una normativa más como se ha indicado antes – tan relevante como las otras- a tener en cuenta dentro de nuestro Sistema de Compliance.
Tal es así que, la evolución normativa en materia de protección de datos personales de la que hemos sido testigos estos últimos años, surge de la necesidad de contar con una regulación tecnológicamente resistente que nos permita salvaguardar los derechos y libertades de las personas de los tratamientos de datos personales que se realizan en la nueva sociedad digital, como consecuencia del desarrollo y evolución de la tecnología.
Por ello, resulta necesario conocer cómo estamos gestionando nuestras actividades de tratamiento sobre los datos personales, en función de las medidas técnicas y organizativas que hemos aplicado, así como verificar el empleo que realizamos de la tecnología de conformidad con lo que la regulación prevé y en particular, poder demostrar que las medidas que hemos adoptado en determinado momento, continúan siendo lo suficientemente robustas para garantizar como mínimo la confidencialidad, integridad y disponibilidad de los datos personales que tratamos.
No podemos perder de vista que, para la gran mayoría de organizaciones, el tratamiento de datos personales constituye un activo esencial, y el hecho de poder garantizar que realizan un empleo seguro y correcto de los mismos refuerza su reputación y confianza por parte de la ciudadanía y de sus socios de negocio.
En definitiva, como tareas a realizar para asegurar el cumplimiento en materia de protección de datos y la implicación de toda la organización con la finalidad de interiorizar esta cultura ética y de cumplimiento, podemos listar las siguientes, sin ánimo de exhaustividad:
Departamento de Compliance de Molins Defensa Penal.
A raíz de los hechos acontecidos en la final del Mundial de futbol femenino celebrado en Australia, se ha abierto un profundo debate sobre la posible transcendencia penal de actos como besar sin consentimiento a otra persona.
En este sentido, a continuación, se ofrecerá un breve análisis de la presente situación desde la óptica de: (i) la posible relevancia penal y calificación de la conducta del Presidente (ahora suspendido) de la Real Federación Española de Fútbol (en adelante, RFEF); (ii) la posible responsabilidad penal de la propia RFEF como persona jurídica; y, por último, (iii) el papel que debe desempeñar el Compliance en este tipo de situaciones.
En primer lugar, es necesario estudiar la posible relevancia y encaje de la conducta del Presidente de la RFEF en un tipo delictivo concreto. En este sentido, los diferentes titulares mediáticos que se han pronunciado respecto el presente suceso han tendido a calificarlo como una situación de “abuso, agresión o acoso sexual”. La calificación de los hechos como un tipo delictivo u otro no es baladí, pudiendo suponer la diferencia entre que la RFEF pudiera responder o no como persona jurídica.
A este respecto, con carácter introductorio, debe tenerse en mente que la reforma operada en el Código Penal (CP) mediante la Ley Orgánica 10/2022, de 6 de septiembre, de garantía integral de la libertad sexual eliminó la diferencia entre el concepto de agresión y abuso sexual, englobándose dichas conductas bajo el paraguas de la terminología “agresión sexual”.
Así pues, conforme su redacción actual, el delito de agresión sexual del art. 178.1 CP obedece al hecho de llevar a cabo cualquier acto que atente contra la libertad sexual de otra persona sin su consentimiento. Entre otras conductas de mayor gravedad, encajaría en el presente tipo delictivo el hecho de besar a otro sin su consentimiento.
Por otro lado, el delito de acoso sexual castiga en el art. 184.1 CP el hecho de solicitar favores de naturaleza sexual, para uno mismo o para un tercero, en el ámbito de una relación laboral, entre otras, provocando a la víctima una situación objetiva y gravemente intimidatoria, hostil o humillante.
En la medida que la conducta analizada consiste en un acto sobre un tercero (un beso), sin perjuicio que debiera analizarse la existencia o no de consentimiento, y no su solicitud (que a efectos del presente artículo se entenderá como absorbida o conexa al propio beso, sin perjuicio de que, en otras situaciones, de manifestarse por separado, pudiera constituir por sí misma un acto de acoso sexual), puede concluirse que la conducta del ahora suspendido Presidente de la RFEF encaja con mayor comodidad en el delito de agresión sexual, del art. 178 CP, que en el de acoso sexual, del art. 184 CP.
Finalmente, respecto la posible responsabilidad penal individual del Presidente de la RFEF, debe destacarse que esta encontraría aún determinados obstáculos procesales (en la medida que la conducta posiblemente delictiva ocurrió en un fuero internacional, Australia, debiendo observarse los requisitos del art. 23 LOPJ para habilitar a los organismos españoles para conocer del asunto), entre otros.
A continuación, en segundo lugar, se procederá a analizar la posible responsabilidad penal de la RFEF, como persona jurídica. Para ello, deberán estudiarse las siguientes cuestiones: (i) ¿puede la RFEF como organismo de naturaleza mixta público-privada responder penalmente, o se encuentra dicha posibilidad excluida conforme el art. 31 quinquies CP?; (ii) ¿se observarían en la conducta del Sr. Luís Rubiales los requisitos establecidos en el art. 31 bis CP para atribuir responsabilidad penal a la RFEF?
Con carácter introductorio, debe tenerse en consideración que, desde la reforma introducida en el Código Penal mediante la Ley Orgánica 5/2010, las personas jurídicas (como sociedades mercantiles, fundaciones, asociaciones, etc.) pueden ser penalmente responsables por determinados delitos que se hayan cometido en su seno cuando se observaran una serie de condiciones tasadas.
No obstante, como se ha desarrollado en otras publicaciones de nuestro despacho (ComplianceKeys#2), no se podrá exigir responsabilidad penal a cualquier persona jurídica. Así, se establece en el art. 31 quinquies CP la imposibilidad de exigir responsabilidad penal, con carácter general, a las entidades de carácter público (como el Estado, las Administraciones públicas territoriales e institucionales, etc.). Sin embargo, se prevé en el apartado 2º del mismo precepto que las sociedades mercantiles públicas que ejecuten políticas públicas o presten servicios de interés económico general sí podrán ser penalmente responsables (ahora bien, únicamente podrán aplicárseles las penas de multa o de intervención judicial, y no todas las penas que pueden aplicarse a una entidad de carácter privado).
Pues bien, de conformidad con sus estatutos, la RFEF se trata de una entidad asociativa privada de utilidad pública. Asimismo, de conformidad con la Ley 39/2022, de 30 de diciembre, del Deporte, las federaciones deportivas españolas ejercen funciones públicas de carácter administrativo, actuando como agentes colaboradores de las Administraciones públicas, además de sus funciones propias.
Ello conlleva que la RFEF goce de una naturaleza mixta público-privada que la situaría en el elenco de entidades beneficiadas por las previsiones del art. 31 quinquies CP. Con todo, en atención a su configuración como entidad asociativa privada, y no como entidad totalmente pública, aún podría serle atribuida responsabilidad penal en los supuestos establecidos en el art. 31 bis CP, si bien únicamente se le podrían imponer las penas de multa o de intervención judicial.
Habiendo confirmado que la RFEF podría ser un sujeto destinatario de responsabilidad penal, conforme lo establecido en los artículos 31 bis y quinquies CP, se procederá a continuación a analizar los concretos requisitos que deberían observarse para que pudiera atribuirse responsabilidad penal a dicha Federación por los hechos protagonizados por su Presidente durante la entrega de medallas a la selección española. El presente análisis se dividirá en dos (2) partes: (i) ¿estamos ante una conducta delictiva susceptible de generar responsabilidad penal para la persona jurídica?; (ii) ¿se cumplen los diferentes requisitos establecidos en el art. 31 bis 1. a) CP para poder considerar penalmente responsable a la RFEF?
Por lo que hace referencia a la primera cuestión, como se ha podido observar en anteriores publicaciones (ComplianceKeys#3) las personas jurídicas no podrán responder penalmente por cualquier delito, sino únicamente por aquellos en que esta posibilidad expresamente se prevea.
Así pues, es de suma relevancia la calificación jurídica que se otorgue a la conducta del Presidente de la RFEF. En este sentido, como se ha introducido al inicio del presente artículo, las posibles calificaciones delictivas que actualmente se están barajando son las de: (i) delito de agresión sexual, del art. 178 CP; (ii) delito de acoso sexual, del art. 184 CP.
Sobre esta base, puede establecerse que solamente podría fundamentarse la responsabilidad penal de la RFEF como persona jurídica en el supuesto que la conducta objeto de análisis se considerara como un delito de acoso sexual, del art. 184 CP, en la medida que, a diferencia de los delitos de agresiones sexuales, del art. 178 CP, se encuentra incluido en el conjunto numerus clausus de conductas delictivas susceptibles de fundamentar la responsabilidad penal corporativa (ello, desde la reforma operada en el Código Penal mediante la Ley Orgánica 10/2022, de 6 de septiembre, de garantía integral de la libertad sexual).
A continuación, prosiguiendo con la segunda parte del presente análisis, y sobre la base de una improbable calificación de la conducta como de acoso sexual en vez de agresión sexual, se analizará el cumplimiento de los diferentes requisitos establecidos en el art. 31 bis 1. a) CP para considerar a las personas jurídicas responsables criminalmente por delitos cometidos por sus representantes legales o directivos (ComplianceKeys#4).
Los requisitos establecidos en el mencionado precepto son los siguientes: (i) que quien haya cometido el delito lo haya realizado en nombre o por cuenta de la persona jurídica o en el ejercicio de sus actividades sociales; y (ii) que el delito se haya cometido en beneficio directo o indirecto de la persona jurídica.
Si bien, podría llegar a entenderse que los hechos posiblemente delictivos se llevaron a cabo en el ejercicio de las actividades sociales, en la medida que estos se llevaron a cabo en el marco de un acto institucional en el que participaba el Presidente de la RFEF en su representación; difícilmente sería defendible que las conductas analizadas se cometieron en beneficio directo o indirecto de la Federación.
En consecuencia, al no tratarse el delito de agresión sexual de un delito que pueda fundamentar la responsabilidad penal de la persona jurídica; y, en segundo lugar, en el supuesto que la conducta se calificara como de acoso sexual, difícilmente se observarían los requisitos exigidos por el art. 31 bis 1. a) CP para la atribución de responsabilidad penal a las personas jurídicas por delitos cometidos por sus directivos; la condena de la RFEF como persona jurídica es altamente improbable.
Finalmente, entrando en el tercer y último bloque del presente artículo, se procederá a comentar el papel que debe desempeñar Compliance en estas situaciones. A modo introductorio, debe tenerse en cuenta que la finalidad de adoptar un Sistema de Compliance no es únicamente la de obtener una exención de responsabilidad penal (de hecho debería ser una consecuencia y no un objetivo o finalidad), sino el de crear una verdadera cultura ética corporativa que garantice que una entidad y las personas que la conforman actúan en todo momento conforme los principios y valores por los que pretende definirse (estos pueden estar relacionados con materias como la igualdad, el cumplimiento normativo, el respeto a las personas y el medio ambiente, la interdicción de la corrupción, entre muchos otros). En este sentido, entre otras acciones relevantes, las entidades deben desarrollar cierta normativa interna para plasmar su voluntad de cumplimiento ético y normativo.
Así pues, entre otra normativa interna, la propia RFEF dispone de un Protocolo de actuación frente a la violencia sexual que considera expresamente como un comportamiento prohibido relacionado con la violencia sexual el hecho de “besar a la fuerza”. Además, se establece en dicho Protocolo que es habitual, especialmente en entornos deportivos de alto nivel, que se generen fuertes relaciones de poder y dependencia que hagan que los límites de lo aceptable sean difusos y que los/las deportistas no sean capaces de reconocerse como víctimas de violencia sexual.
Observándose el robusto posicionamiento de la RFEF en relación con la prevención de la violencia sexual, este debería ser un claro ejemplo de cómo el Compliance debe aplicarse con independencia del cargo o función que desempeñe la concreta persona que infringiere la normativa interna, incluso cuando esta fuera el propio Presidente de la Federación, quién debe ser el máximo abanderado de la normativa interna desarrollada y suscrita por la entidad.
Así pues, aunque la conducta del Presidente de la RFEF finalmente no tuviera transcendencia penal, se trata de una conducta expresamente prohibida por la normativa interna de la propia Federación y contraria a sus valores, reflejando un claro problema de liderazgo en la entidad (tone from the top), por lo que sería absolutamente necesario que la RFEF actuara en consecuencia conforme a sus protocolos internos de actuación.
A modo de conclusión, a lo largo del presente artículo se ha analizado, por un lado, la posible responsabilidad penal individual que podría derivar para el Presidente de la RFEF por motivo de su conducta durante la entrega de premios a la victoriosa selección española femenina de futbol, pudiendo ella encajar en un delito de agresión sexual conforme su regulación actual; y, por otro lado, se ha tratado la improbable atribución de responsabilidad penal a la RFEF por dichos hechos, no excluyendo ello, sin embargo, su deber de actuar con el fin de hacer cumplir su normativa interna de cumplimiento, asegurando así el respeto a los valores que la Federación considera como propios, sobre todo por aquellas personas que, precisamente, representan la entidad.
Departamento de Compliance de Molins Defensa Penal.
La mayoría de empresas se ha dotado de un sistema interno de denuncia de conductas irregulares como elemento fundamental de su modelo de prevención de delitos.
El próximo 13 de marzo de 2019 entrará en vigor la Ley Orgánica 1/2019, de 20 de febrero, que modifica el Código Penal vigente.
Recientemente, el Consejo General de la Abogacía Española emitía un informe en el que recomendaba que las funciones del compliance officer debían ser desarrolladas por un abogado externo.
Anna Núñez, abogada coordinadora en Corporate Defense en Molins & Silva, intervino recientemente en una nueva jornada con PIMED’ADVOCATS sobre ‘Compliance para Despachos de Abogados’
Este martes 30 de mayo tendrá lugar en el Col·legi d’Economistes de Catalunya la “II Jornada sobre els professionals davant del Compliance”. Varios profesionales de Molins & Silva – Defensa Penal participarán en la jornada como ponentes
Después de su antecesora más directa –la norma UNE-ISO 19600 sobre Sistemas de gestión de compliance-, la regulación normativa técnica en materia de cumplimiento adquiere un perfil específicamente de compliance penal.
Las abogadas de Molins & Silva Raquel Montaner y Anna Núñez han sido acreditadas y obtenido la certificación por parte de la Asociación Española de Compliance ASCOM
