Gestionar adecuadamente la protección de los datos personales dentro de una organización es hoy en día una cuestión de vital importancia. Constantemente somos testigos de sanciones administrativas y juicios reputacionales a las que se ven expuestas aquellas organizaciones que no cumplen con la regulación en esta materia y/o no han adecuado sus actividades a los estándares mínimos que prevé la normativa.
Por ello, incardinar dentro de nuestro Sistema de Compliance lo previsto en el Reglamento (UE) 2016/679 de 27 de abril de 2016, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, así como las guías elaboradas por la Agencia Española de Protección de datos y las directrices emitidas por el Comité Europeo de Protección de Datos, es asumir una postura proactiva en la adopción de lo que tal normativa prevé y denomina como privacidad desde el diseño (“Privacy by design”) y privacidad por defecto (“Privacy by default”).
Partiendo de lo que conocemos como Sistema de Compliance, tener presente desde el diseño del mismo o incorporar en nuestro sistema ya desarrollado la regulación sobre protección de datos, nos permitirá integrar las obligaciones, requisitos y recomendaciones que la regulación, guías y directrices en esta materia nos afecten, con la finalidad última de fortalecer nuestra cultura ética y de cumplimiento, ampliándola a aquellos ámbitos en los que también nos podamos ver afectados por riesgos de compliance no previstos.
Retomando los conceptos señalados de privacidad desde el diseño y privacidad por defecto, por un lado, siempre que tengamos previsto realizar una nueva actividad en nuestra organización, una de las primeras cuestiones que deberíamos plantearnos es si en tal actividad vamos a tratar datos personales, con la finalidad de tener en cuenta los requisitos y recomendaciones mínimos y adecuar e implementar las medidas técnicas y organizativas necesarias, y así evitar riesgos de compliance y reputacionales desde un principio, desde el diseño de la actividad.
Por otro lado, si tenemos en cuenta en el desarrollo de nuestra actividad, en la que tengamos previsto tratar datos personales, la privacidad por defecto, ello nos llevará a aplicar desde un inicio los principios de minimización de datos y limitación de la finalidad, asegurándonos así que podemos garantizar el cumplimiento en esta materia.
En tal sentido, no sólo nos basta con disponer de una Política de privacidad, una Política de cookies, un registro de actividades y diversas políticas que muchas veces desconocemos que tenemos o cómo nos pueden ayudar a gestionar nuestra actividad, sino que es necesario realizar una revisión interna de las actividades que realizamos para conocer en cuales de ellas tratamos efectivamente datos personales y bajo qué premisas y con qué medidas de seguridad lo estamos haciendo. En base a tal evaluación, podremos determinar aquellos aspectos que tenemos que adaptar, adecuar y/o actualizar para asegurar un efectivo cumplimiento que nos garantice que estamos aplicando las medidas técnicas y organizativas que nos exige la regulación.
Al incluir dentro de nuestro Sistema de Compliance la regulación en materia de protección de datos, podremos realizar una valoración de los riesgos a los que se puede ver expuesta nuestra organización siguiendo el modelo de gobernanza empleado para la incorporación de las demás regulaciones normativas que nos afectan, y elaborar las respuestas proactivas, preventivas y reactivas mediante políticas, protocolos y procedimientos que sirvan de guía y referencia en el modo de desarrollar la cultura ética y de cumplimiento que los miembros de la organización han de observar respecto también de la privacidad y la protección de datos personales.
El desarrollo constante de las actividades que puede realizar una organización, así como el empleo de los datos personales y las actividades de tratamiento que se realizan sobre los mismos, han hecho que la regulación sobre la protección de los datos personales resulte de aplicación transversal a la organización y por ende, ello está ligado con la función de compliance, siendo por tanto una normativa más como se ha indicado antes – tan relevante como las otras- a tener en cuenta dentro de nuestro Sistema de Compliance.
Tal es así que, la evolución normativa en materia de protección de datos personales de la que hemos sido testigos estos últimos años, surge de la necesidad de contar con una regulación tecnológicamente resistente que nos permita salvaguardar los derechos y libertades de las personas de los tratamientos de datos personales que se realizan en la nueva sociedad digital, como consecuencia del desarrollo y evolución de la tecnología.
Por ello, resulta necesario conocer cómo estamos gestionando nuestras actividades de tratamiento sobre los datos personales, en función de las medidas técnicas y organizativas que hemos aplicado, así como verificar el empleo que realizamos de la tecnología de conformidad con lo que la regulación prevé y en particular, poder demostrar que las medidas que hemos adoptado en determinado momento, continúan siendo lo suficientemente robustas para garantizar como mínimo la confidencialidad, integridad y disponibilidad de los datos personales que tratamos.
No podemos perder de vista que, para la gran mayoría de organizaciones, el tratamiento de datos personales constituye un activo esencial, y el hecho de poder garantizar que realizan un empleo seguro y correcto de los mismos refuerza su reputación y confianza por parte de la ciudadanía y de sus socios de negocio.
En definitiva, como tareas a realizar para asegurar el cumplimiento en materia de protección de datos y la implicación de toda la organización con la finalidad de interiorizar esta cultura ética y de cumplimiento, podemos listar las siguientes, sin ánimo de exhaustividad:
Departamento de Compliance de Molins Defensa Penal.
Tras más de (10) diez años desde la introducción de la responsabilidad penal de las personas jurídicas en el Código Penal español, el Tribunal Supremo ha tenido la oportunidad de pronunciarse respecto cuestiones con afectación en materia de Compliance en numerosas y diversas ocasiones.
Así, en el presente ComplianceKeys24 se ofrecerá un listado de las sentencias más relevantes del Tribunal Supremo en materia de Compliance de los últimos dos (2) años:
| Jurisprudencia del Tribunal Supremo en materia de Compliance | ||
| Año | Sentencia | Cuestiones destacadas |
| 2022 | STS 36/2022, de 20 de enero |
El Tribunal Supremo condena a la persona jurídica y a su administrador por un delito de estafa. Entiende el Tribunal que no existe doble condena por el mismo hecho (bis in idem) en tanto el administrador no es el socio propietario del capital social de la persona jurídica. En consecuencia, la condena no supone una doble penalidad. |
| STS 56/2022, de 24 de enero |
El Tribunal Supremo analiza las facultades de acceso del empresario al correo corporativo de los trabajadores. En particular, el Alto Tribunal desestima el recurso de casación presentado para entender que el registro sobre el correo electrónico corporativo de los trabajadores que presuntamente habían cometido irregularidades vulnera sus derechos de privacidad, en tanto la medida de control empresarial se había realizado obviando las garantías necesarias. |
|
| STS 264/2022, de 18 de marzo |
Desestima la posibilidad de hacer penalmente responsable a una sociedad unipersonal en atención a su carácter plenamente instrumental . Concretamente, el Tribunal entiende que, dado que la sociedad cuenta con un único socio y administrador, el patrimonio del cual se confunde y se diluye con el de la persona jurídica, no puede condenarse a esta.Se alega que la persona jurídica carece de un desarrollo organizativo suficiente que la diferencie de la persona física. En consecuencia, no puede aplicarse el artículo 31 bis del Código Penal dada la imposibilidad de diferenciar entre la persona física (socio y administrador) de la persona jurídica y la inviabilidad de implantar en esta un programa de cumplimiento normativo. |
|
| STS 747/2022, de 27 de julio |
El Tribunal Supremo excluye la condena de la persona jurídica en virtud del principio del non bis in idem en tanto se trata de una sociedad unipersonal que corresponde al cien por cien (100%) a la persona física condenada. En particular, el Alto tribunal entiende que cuando el condenado penalmente como persona física es titular exclusivo de la sociedad, no resulta posible sancionar también a la persona jurídica. |
|
| STS 792/2022, de 29 de septiembre |
Aborda y mantiene, principalmente por aspectos procesales, la imposición de la suspensión de actividades a una empresa por un plazo de dos (2) años por la comisión de un delito contra los derechos de los trabajadores al amparo de los artículos 129.3 y 33.7.c) del Código Penal. |
|
| STS 813/2022, de 14 de octubre |
Aboga por la necesidad de implementar programas de cumplimiento normativo / Sistemas de Compliance en las empresas también para evitar y prevenir el fraude interno y el perjuicio económico para las empresas. |
|
| 2023 | STS 1014/2022, de 13 de enero de 2023 |
El Tribunal Supremo, a modo de apunte, se pronuncia en la presente resolución respecto la eficacia de los Sistemas de Compliance para evitar aquellas conductas delictivas de las que las compañías pueden ser víctimas. En este sentido, los Sistemas de Compliance no solamente mitigarían las conductas que pueden generar una posible responsabilidad penal corporativa, sino que dificultan lo que el Alto Tribunal denomina “autopuesta en peligro”. Así pues, el Tribunal Supremo considera que, si bien, las conductas enjuiciadas no pueden suponer la responsabilidad penal de la persona jurídica (se trata de delitos de apropiación indebida, los cuales no son susceptibles de generar la atribución de responsabilidad penal de la persona jurídica conforme el artículo 31 bis del Código Penal), de los que además habría sido víctima la propia persona jurídica (un club deportivo), estas podrían haberse evitado con medidas de control destinadas a evitar el abuso de relaciones personales (mediante controles relativos a apoderamientos, por ejemplo). En este sentido, también, Sentencia de la Audiencia Provincial de Madrid 90/2023, de 22 de febrero de 2023. |
| STS 89/2023, de 10 de febrero |
En la presente resolución el Tribunal Supremo resuelve en casación respecto el famoso “Caso Pescanova”. Entre otras cuestiones en materia de responsabilidad penal de las personas jurídicas, destaca el análisis que en la presente sentencia se lleva a cabo respecto el elemento del “beneficio directo o indirecto”, exigido tanto en los supuestos de la letra a) (delitos cometidos por directivos) como en los propios de la letra b) (delitos cometidos por trabajadores) del artículo 31 bis del Código Penal, para atribuir responsabilidad penal a las personas jurídicas. Señala el Tribunal Supremo que, en realidad, lo que el artículo 31 bis del Código Penal exige, como elemento indispensable para que pueda asentarse la responsabilidad penal de la persona jurídica, no es que la misma haya obtenido como consecuencia de los delitos cometidos en su nombre o por su cuenta un beneficio real, directo o indirecto, sino que aquellos hechos delictivos se hubieran cometido “en beneficio” de la misma. Así pues, las personas jurídicas pueden resultar condenadas por conductas delictivas que, incluso, les hayan causado algún tipo de perjuicio, cuando originalmente se hubieran llevado a cabo con el fin de reportarle alguna clase de beneficio, directo o indirecto. |
|
| STS 321/2023, de 9 de mayo |
El Tribunal Supremo, en la presente decisión, estima el recurso del Ministerio Fiscal en el sentido que la responsabilidad penal de la persona jurídica no excluye la responsabilidad penal individual, esto es, de los autores materiales de las conductas delictivas. En este sentido, el Ministerio Fiscal y el Alto Tribunal convienen que el sistema de responsabilidad penal de las personas jurídicas complementa al de las personas físicas, pero no lo sustituye. No se trata de decidir si las consecuencias penales han de ser asumidas por la persona natural o por la jurídica, sino si, además de la persona física, debe sancionarse penalmente a la entidad por cuya cuenta actuó. Procederá esa doble sanción cuando se den las condiciones establecidas en el artículo 31 bis del Código Penal. Finalmente, establece que solamente si se pudiera identificar a la persona jurídica con el responsable penal (supuestos de entidades de muy reducidas dimensiones, por ejemplo) cabría renunciar a una de las condenas (la de la persona jurídica) para no lesionar la prohibición de ne bis in idem (castigar dos veces a una misma persona, por los mismos hechos, con el mismo fundamento). |
|
Departamento de Compliance de Molins Defensa Penal.
El término Compliance puede ser definido como cumplimiento normativo, o cumplimiento de aquello que se debe cumplir. El alcance del cumplimiento normativo que una determinada entidad debe asegurar puede ser muy amplio, tanto como la totalidad de normas y regulaciones aplicables a su concreta actividad.
Ahora bien, muchas veces se emplea el término Compliance penal para hacer referencia a aquellas estructuras de cumplimiento que las entidades adoptan para evitar la comisión de delitos en su seno, bajo el término “Sistemas de Compliance penal”. Esto es, el objetivo principal de Compliance se basa en la prevención de delitos.
Los Sistemas de Compliance penal, también denominados “Programas o Modelos de Prevención de Delitos o de Riesgos Penales”, tienen su origen, principalmente, en la reforma del Código Penal producida mediante la Ley Orgánica 5/2010, de 22 de junio.
Esta reforma del Código Penal introdujo, por primera vez en España, la responsabilidad penal de las personas jurídicas. De forma resumida, esto implica que, en determinados casos, cuando se comete un delito en una determinada entidad, podrá responder penalmente tanto la concreta persona física que lleva a cabo el delito, como también la entidad a la cual pertenece o representa.
Dado que los Sistemas de Compliance penal tienen origen en esta reforma del Código Penal, en general, están diseñados para cumplir con los requisitos que el artículo 31 bis del Código Penal exige para evitar la responsabilidad penal de las personas jurídicas. Esto es:
De este modo, los Sistemas de Compliance penal buscan regular las actividades sociales de la entidad para asegurar el cumplimiento normativo y, por extensión, cumplir con los requisitos del artículo 31 bis del Código Penal para así eludir la eventual responsabilidad penal para la persona jurídica que podría ocasionar la comisión de determinados delitos en sus actividades (por ejemplo, delitos de estafa; publicidad engañosa; fraude fiscal; delitos contra los recursos naturales y el medio ambiente; cohecho; etcétera).
Sin embargo, acotar el Sistema de Compliance al cumplimiento estrictamente penal puede comportar un grave problema de prevención, detección y corrección de los incumplimientos y conductas indeseadas. En este sentido, un Sistema de Compliance penal conlleva atrasar notablemente las líneas de defensa de la persona jurídica, lo que resulta en un margen de reacción y corrección mucho más reducido.
En cambio, los Sistemas de Compliance transversales o de cumplimiento normativo general tienen un alcance mucho más amplio que los Sistemas de Compliance estrictamente penal. El objetivo de estos sistemas es gestionar el cumplimiento normativo para prevenir toda clase de incumplimientos que, por supuesto, incluyen también los incumplimientos de la normativa penal, lo que permite una mejor gestión de los riesgos de incumplimiento normativo y anticipar, de una forma más temprana, la materialización de delitos en el seno de una entidad.
Departamento de Compliance de Molins Defensa Penal.
Molins Defensa Penal, boutique penal con 30 años de experiencia, fundada por el abogado penalista Pau Molins, sigue creciendo con la creación de un área especializada en la defensa jurídica de grandes empresas.
Molins apuesta por ofrecer un asesoramiento Premium dirigido a empresas, multinacionales, instituciones y administraciones públicas que requieren de un servicio especializado al derivar un gran volumen de negocio, y contar con unas necesidades concretas y distintas a la del resto de clientes individuales para los que se ofrece la defensa jurídica clásica.
El nuevo Departamento estará liderado por la abogada Paz Valles Creixell, a quien se ha promocionado como Socia de la Firma y Directora del Departamento, lo que supone un punto de inflexión importante para Molins, que apuesta por la promoción del talento interno y se posiciona así como un referente en el mercado de los servicios jurídicos, siendo el único despacho penalista a nivel nacional con un departamento específico de Grandes Cuentas.
“Ofrecemos un servicio Premium único, alejado del llamado “pleito en masa”, y trabajado desde la excelencia de una Firma de gran reputación, que ya está generando importantes alianzas en el mercado que están requiriendo de nuestros servicios jurídico penales. Actualmente tenemos una docena de clientes vinculados al nuevo departamento, entre ellos empresas e instituciones del sector de la seguridad privada, transportes, retail, entidades bancarias, recuperación de inmuebles y start-ups, todos con una hoja de ruta muy definida.”, resume Paz Valles.
Para satisfacer la necesidad de estas organizaciones de conocer en tiempo real el estado de sus pleitos, Molins ha apostado e invertido en la digitalización de la Firma, y se ha dotado de una estructura informática y tecnológica que permite informar a sus clientes de forma inmediata de sus resultados judiciales.
“Como especialistas en la materia garantizamos resultados, integramos y analizamos estadísticamente los éxitos en función del resultado del pleito, lo que permite a nuestros clientes poder dar cuenta internamente en sus organizaciones de forma rápida y eficaz, generando acciones que permitan aumentar la eficiencia en sus operaciones, e impacto en la rentabilidad de su negocio”, concluye Paz Valles.
Link a prensa: https://www.lavanguardia.com/economia/20230523/8987252/molins-abogados-nueva-area-grandes-cuentas-paz-valles-nueva-socia.html
Molins Defensa Penal se estrena con un nuevo canal de comunicación en Youtube. Ponencias, cápsulas formativas, eventos y otras muchas comunicaciones de interés relacionadas con el Derecho Penal, Compliance y la prevención de delitos.
Desde Molins Defensa Penal nos complace anunciar el lanzamiento de cursos de formación en materia de Derecho penal y de Compliance, desarrollados junto con Tecnolawyer, para empresarios, profesionales, directivos y estudiantes. En esta ocación un Curso online sobre Blanqueo de Capitales.
Molins Defensa Penal comunica a todos sus clientes, proveedores, colaboradores y amigos que desde hoy lunes 6 de Julio la firma ha trasladado su despacho a la Avda. Diagonal nº 399, planta 1ª de Barcelona.
Os presentamos el primer número de LA LEY Compliance Penal, una nueva revista especializada de Wolters Kluwer que trimestralmente acompañará la publicación del Diario LA LEY.
Desde Molins Defensa Penal anunciamos el lanzamiento de cursos de formación en materia de Derecho penal y de Compliance, desarrollados junto con Tecnolawyer, para empresarios, profesionales, directivos y estudiantes.
Una obra en la que se aborda desde distintas perspectivas la figura del encargado de cumplimiento. Un imprescindible para que las empresas españolas adapten con eficacia este nuevo cargo.
