Vanesa Krum Pérez, abogada especialista en ‘Compliance’ en Elece Legal.

 

Fuente: https://www.heraldo.es/noticias/branded/2019/02/28/une-19601-sistemas-gestion-compliance-penal-1293200-2261125.HTML

 

A pesar de haber transcurrido casi dos años desde su publicación, la UNE 19601 aún tiene un largo camino por recorrer. Esta norma establece los requisitos para implantar un sistema de gestión de compliance penal, con el objetivo de reducir y mitigar los riesgos penales en las organizaciones.

El sistema estandarizado que propone esta norma incorpora los requisitos mínimos exigidos por el Código Penal, pero además exige otros adicionales comunes a diversos sistemas de gestión. Por este motivo, al seguir una estructura de alto nivel, su integración en la organización resultará más sencilla para aquellas que ya cuenten con otros sistemas de gestión (calidad, medioambiente…).

La principal ventaja de esta norma es que permite a las organizaciones hablar el mismo idioma cuando de ‘compliance’ se trata. Sin embargo, hay muchas empresas que aún no se han decidido a certificarse ¿A qué se debe? En primer lugar, no tenemos que olvidar que el mundo del ‘compliance’ penal es relativamente nuevo en nuestro país. Por lo que, en ocasiones, es difícil concienciar a las empresas de que implantar este procedimiento es una inversión, y no un gasto.

Por otro lado, a diferencia de otros sistemas de gestión basados en ISO, el alcance de la UNE 19601 es únicamente nacional. Ciertamente se está barajando la posibilidad de crear una ISO de ‘compliance’ penal a nivel internacional; si bien resulta complicado por las grandes diferencias en la normativa penal de cada uno de los países.

Sin embargo, aunque no está muy extendida, son numerosas las organizaciones que ya tienen su certificación de sistemas de gestión de ‘compliance’ penal. Las razones son muchas y muy variadas. Desde mejorar la reputación e imagen corporativa a cumplir con la exigencia impuesta por algún cliente para poder formar parte de su cadena de suministro. Además, aunque el hecho de obtener esta certificación no exime automáticamente a la empresa de una posible responsabilidad penal, puede constituir un elemento de valoración decisivo para el juez en caso de que se desarrollase un eventual proceso penal.

Finalmente, el procedimiento de acreditación de las entidades certificadoras por ENAC está muy avanzado, por lo que es previsible que dentro de muy poco tengamos a las primeras certificadoras con acreditación definitiva, lo que sin duda hará que muchas empresas se decidan a dar el paso. En definitiva, auguramos un futuro prometedor para esta norma y para aquellas organizaciones que primero se decidan a certificarse, pues obtendrán una ventaja competitiva frente a otras empresas del sector. Para ello, resulta esencial contar con un binomio compuesto por buen asesoramiento a la hora de implantar el sistema de gestión y una certificadora debidamente acreditada.

 

El derecho a la protección de datos personales no es un derecho absoluto sino que, en determinadas circunstancias, puede ceder frente a otros derechos fundamentales, como el derecho a la libertad de expresión o a la tutela judicial efectiva.

En esta ocasión, hablaremos del derecho a la tutela judicial efectiva, proclamado en el artículo 24 de la Constitución Española.

Esta colisión entre ambos derechos es frecuente encontrarla especialmente en determinadas profesiones como las de abogado y procurador.

Así, una de las preguntas más habituales que se plantean estos colectivos es la siguiente: ¿necesito el consentimiento de la contraparte en un procedimiento judicial para tratar sus datos personales?

A este respecto, debemos recordar que la Agencia Española de Protección de Datos ha reconocido que en el tratamiento de datos personales de la contraparte entran en colisión el derecho a la protección de datos y el derecho a la tutela judicial efectiva, prevaleciendo este último.

Por ello, no es necesario solicitar el consentimiento, sino que el tratamiento de sus datos se verá amparado por la existencia de un interés legítimo, derivado del derecho de defensa y del derecho a la representación procesal. Es más, no existe necesidad de informar a la contraparte sobre el tratamiento de sus datos personales en el marco de un proceso judicial, dado que el art. 14.5.b del Reglamento General de Protección de Datos exime de dicho deber cuando imposibilite u obstaculice gravemente el logro del tratamiento.

Otra de las dudas habituales, es si se pueden aportar datos personales de terceros en la formulación de una demanda, como parte de las pruebas que se acompañan.

A este respecto, es criterio reiterado de la Agencia Española de Protección de Datos que nuevamente prevalece el interés legítimo, derivado del derecho a utilizar los medios de prueba que sean necesarios para la defensa de las pretensiones.

De hecho, el Reglamento General de Protección de Datos (en su artículo 9.f) recoge como una de las causas que legitiman el tratamiento de categorías especiales de datos “la formulación, ejercicio o defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial”.

Así ocurre, por ejemplo, en las grabaciones de las vistas donde los tribunales realizan un tratamiento de la imagen y voz de las partes en el marco de su función judicial y para dar cumplimiento a la obligación legal prevista en el artículo 147 de la Ley de Enjuiciamiento Civil ( “las actuaciones orales en vistas, audiencias y comparecencias celebradas ante los jueces o magistrados o, en su caso, ante los secretarios judiciales, se registrarán en soporte apto para la grabación y reproducción del sonido y la imagen y no podrán transcribirse”.)

Por tanto, el derecho a la protección de datos no es absoluto, pero siempre es necesario realizar, caso por caso, un juicio de ponderación para determinar si, a la vista de las concretas circunstancias, el derecho a la tutela judicial efectiva prevalece sobre el derecho a la protección de datos personales de los afectados.

¿Cuántas veces nos hemos encontrado en la situación de querer enviar a un cliente un archivo que ocupa demasiado para enviarlo por correo electrónico? Seguramente muchas. Es entonces cuando recurrimos a plataformas en la nube para compartir archivos pesados, como Dropbox, Wetransfer o Mega, entre muchas otras.

Utilizamos estas herramientas para compartir todo tipo de información, desde fotografías y videos familiares, hasta información de proyectos, lista de clientes, tarifas de precios, contratos, vídeos de juicios y vistas, documentación procesal, planos, etc.

Pero siempre nos queda la duda…¿es seguro compartir archivos utilizando estas herramientas? Y más aún, ¿estaremos incumpliendo el Reglamento Europeo de Protección de Datos al hacerlo?

Hay muchas cuestiones a tener en cuenta para valorar si estos servicios se ajustan a la actual normativa de protección de datos, pero nos centrarnos en 3 de ellas: (i) contrato de encargado del tratamiento, (ii) posibles transferencias internacionales y (iii) seguridad de la información enviada.

Vamos a descubrir las respuestas y hoy empezaremos hablando de Wetransfer.

Todos conocemos la famosa plataforma, siendo una de las más fáciles de utilizar por cuanto te permite enviar archivos de hasta 2 GB sin tener que registrarte. Asimismo, cuenta con una versión de pago que te permite enviar hasta 20 GB y una mayor capacidad de almacenamiento.

En primer lugar, consultamos la página web de Wetransfer para ver su Política de privacidad, que aparece en inglés (un punto negativo, ya que dificulta el derecho de información para todos aquellos usuarios que no dominan este idioma).

• En cuanto a la existencia de un contrato de encargado del tratamiento, sus cláusulas no aparecen por defecto en las condiciones del servicio, sino que nos indica que debemos dirigirnos a una dirección de correo electrónico para solicitar una copia del mismo (lo que la mayoría de usuarios probablemente no harán). Hemos hecho la prueba de solicitar una copia del contrato de encargado del tratamiento y hemos comprobado gratamente que nos lo han enviado en cuestión de minutos y es un contrato bien redactado.
• Por otro lado, es importante conocer dónde se encuentran los servidores de este tipo de servicios ya que, si están ubicados fuera del Espacio Económico Europeo, estaríamos realizando una transferencia internacional de datos. Y, para que la transferencia fuera lícita, deberíamos ver si existen garantías adecuadas y suficientes (país con nivel de protección similar, firma de cláusulas tipo, Privacy Shield, etc).

En el caso de Wetransfer, su Política de privacidad nos informa de que si los archivos los subimos desde la UE (lo que podrán saber por nuestra dirección IP) los servidores utilizados serán los europeos; no existiendo, en consecuencia, tal transferencia internacional.

• Finalmente, una de las cuestiones más importantes a tener en cuenta es la seguridad de la información que enviamos. ¿Está a salvo la información que envío por Wetransfer? La respuesta es no, al menos con su versión gratuita (la de pago refuerza la seguridad mediante el uso de contraseñas para abrir los archivos).

Existen múltiples recursos en Internet que te enseñan cómo acceder fácilmente a los archivos compartidos a través de Wetransfer. Sólo hay que seguir dos simples pasos:

1. Poner en la barra de navegación “site:wetransfer.com/Downloads”
2. Y clickar sobre “repetir la búsqueda e incluir los resultados que se han omitido”.

Por tanto, debemos evitar usar la versión gratuita de Wetransfer  ya que, no sólo estaremos poniendo en peligro la reputación de nuestro negocio; sino que, si los archivos compartidos contienen datos personales (de trabajadores, de clientes…), estaremos incumpliendo con el Reglamento General de Protección de Datos al no garantizar debidamente la seguridad en su tratamiento.     Haciendo esto nos aparecerán los enlaces de descarga de los archivos compartidos con Wetransfer, por lo que sólo tenemos que ir abriéndolos hasta elegir aquello que nos interesa cotillear.

Entre los aspectos positivos, cabe destacar la clara apuesta por la figura del Delegado de Protección de Datos (DPD). Por un lado, el proyecto clarifica aquellos supuestos en los que la designación de esta figura resulta obligatoria, arrojando algo de luz sobre la vaga regulación del Reglamento General de Protección de datos (RGPD) en este aspecto. En este sentido, la normativa española obligará a designar un Delegado de Protección de Datos, entre otros, a los centros docentes que ofrezcan enseñanzas reguladas, a las universidades públicas y privadas, a las federaciones deportivas, cuando traten datos de menores de edad, o a los centros sanitarios –salvo en el caso de profesionales de la salud que ejerzan su actividad a título individual–.

Por otro lado, esta figura cobra especial protagonismo en los procedimientos de investigación y sanción. Así, las reclamaciones que los interesados deseen interponer ante la Agencia Española de Protección de Datos deberán pasar primero por las manos del DPD, apostando por la mediación frente a la sanción. Asimismo, se introduce como uno de los criterios de graduación de las sanciones la designación voluntaria de un Delegado de Protección de Datos; de tal manera, que aquellas organizaciones que lo hayan nombrado libremente podrán beneficiarse en un eventual procedimiento sancionador.

Algunas zonas grises

Artículo completo en www.heraldo.es