Promulgados el nuevo RGPD UE 2016/679 y, a nivel estatal, la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, se aclaran a las empresas aspectos sobre los que la anterior LOPD planteaba dudas en relación al Canal de Denuncias (o Canal Ético) que, como elemento esencial de los sistemas de gestión de riesgos de compliance, se implantaban en aquellos
La AEPD en su informe 128/2007, siguiendo a la postre postulados del “Grupo de Trabajo del Art. 29”, planteara cuestiones sin duda trascendentes tanto para el diseño como operatividad y eficacia de estos canales de comunicación:
- Necesidad de garantizar, en todo caso, el ejercicio de los derechos establecidos en la Ley Orgánica 15/1999, tanto en cuanto a la información que deberá facilitarse en los correspondientes contratos, como en cuanto a la información específica referida al tratamiento de los datos y el posible ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición cuando proceda.
- La obligación de información a la persona denunciada, tan pronto como fuera posible, de [1] la entidad responsable del programa de denuncia de irregularidades, [2] los hechos de los que se le acusa, [3] los departamentos y servicios que podrían recibir el informe dentro de su propia sociedad o en otras entidades o sociedades del grupo del que forma parte su sociedad, y [4] cómo ejercer sus derechos de acceso y rectificación.”, limitando, no obstante, dichas obligaciones en tanto en cuanto existiera “un riesgo importante de que dicha notificación pondría en peligro la capacidad de la sociedad para investigar de manera eficaz la alegación o recopilar las pruebas necesarias” en cuyo caso se permitiría demorar la notificación en tanto en cuanto persistiera el riesgo aun cuando “no debería en ningún caso sobrepasar el plazo de tres meses previsto en el artículo 5.4 de la Ley Orgánica 15/1999, dado que nos encontramos ante un supuesto de tratamiento de datos no obtenidos del afectado”
- Posicionamiento en contra la “denuncia anónima”, exigiendo un marco que “garantizara el tratamiento confidencial de las denuncias presentadas a través de los sistemas de “whistleblowing”.
La norma, explícitamente, aclara como:
- La licitud del tratamiento de datos en los sistemas de denuncia interna proviene de la existencia de un interés público, en consonancia al art. 6.1.e del RGPD
- Se admite explícitamente la comunicación anónima
- Se hace ineludible poner en conocimiento previo de los empleados y terceros su existencia (por lo que será buena práctica que dicha comunicación se realice con ocasión de la incorporación a la Organización o inicio de la relación contractual)
- La legitimidad de acceso a los datos recogidos en el Canal de Denuncias debe limitarse a quien, integrante de la Organización o externo a ella, tenga asignadas funciones de control interno o cumplimiento. Esta limitación no operaría en los casos de:
- Comunicación a terceros para la adopción de medidas disciplinarias, y dentro de ellas en caso de medidas disciplinarias contra trabajadores, en este caso al departamento de gestión y control de RRHH
- El sistema debe garantizar la debida confidencialidad de los datos de las personas afectadas
- Y, por otra parte, los datos del denunciante, trabajadores y terceros se conservarán en el sistema solo durante el tiempo estrictamente necesario para decidir el inicio de investigaciones y, en todo caso, suprimiéndose del sistema de denuncia alcanzados los tres meses. (Indica la LOPDGDD como excepción que la conservación tuviera por finalidad dejar evidencia del funcionamiento del modelo de prevención de la comisión de delitos por la persona jurídica, y, por otra parte, que las denuncias a las que no se haya dado curso solamente podrán constar de forma anonimizada, sin que sea de aplicación la obligación de bloqueo)
- Si la denuncia diera lugar a una investigación se suprimirán igual del sistema de denuncias, siendo tratados por el órgano encargado de la investigación.
No obstante, las anteriores directrices, (art. 24 de la ), siguen generándose dudas que deberán ser aclaradas en el futuro, así como cuestiones y exigencias directas de la LOPDDGG y RGPD con incidencia directa en la implantación y mantenimiento del Canal de Denuncias que serían objeto de próximas entradas
Francisco Javier González Campos
Socio Bonatti Compliace
Fuente: Bonatti Penal & Compliance
Source
