El pasado 13 de marzo entró en vigor la Ley Orgánica 1/2019, de 20 de febrero, cuyo objeto es transponer al ordenamiento jurídico españolas una serie de directivas europeas. Entre ellas, cabe destacar la:

• Directiva (UE) 2014/57/UE de 16 de abril de 2014, del Parlamento Europeo y del Consejo, sobre las sanciones penales aplicables al abuso de mercado (Directiva sobre abuso de mercado).
• Directiva (UE) 2017/541 del Parlamento Europeo y del Consejo, de 15 de marzo de 2017, relativa a la lucha contra el terrorismo.
• Directiva (UE) 2017/1371 del Parlamento Europeo y del Consejo, de 5 de julio de 2017, sobre la lucha contra el fraude que afecta a los intereses financieros de la Unión a través del Derecho penal.

Las principales novedades introducidas son las siguientes:

• Se modifica el artículo 284 y 285 del Código Penal y se añaden tres nuevos artículo (285 bis. 285 ter y 285 quater) sobre manipulación de mercados financieros, para incluir nuevas modalidades de comisión del delitos y nuevas conductas típicas.
• Se modifica el artículo 286 bis del Código Penal, relativo a los delitos de corrupción en los negocios, a efectos de incluir en la conducta típica no sólo la solicitud o aceptación de un beneficio o ventaja no justificados, sino también su mero ofrecimiento o promesa de obtenerlo.
• Se modifica el artículo 308 del Código Penal, igualando el régimen de fraude de subvenciones o ayudas de las Administraciones Públicas, dando una regulación uniforme a las subvenciones locales, autonómicas, nacionales y europeas, y fijando la cuantía del delito en 100.000 euros.
• Se modifica el artículo 572 y 573 del Código Penal sobre lucha contra el terrorismo y organizaciones terroristas, para aumentar las sanciones y añadir nuevas conductas típicas.
• Se modifica el artículo 423 del Código Penal, extendiendo los delitos de cohecho a “los jurados y árbitros, nacionales o internacionales, así como a mediadores, peritos, administradores o interventores designados judicialmente, administradores concursales o a cualesquiera personas que participen en el ejercicio de la función pública.”
• Se incluye, entre el catálogo de delitos susceptibles de generar responsabilidad penal para las personas jurídicas, los delitos de malversación de caudales públicos (artículo 435.3 del Código Penal). En consecuencia, podrán responder penalmente de este delito aquellas personas jurídicas que por cualquier motivo gestionen recursos públicos o de cualquier otro modo estén encargados del erario público.
• A los efectos anteriores, el nuevo artículo 435 bis del Código Penal modifica la definición de “funcionario público” remitiendo a los artículos 24 y 427 (también modificado) del mismo texto legal. En consecuencia, se incluye en este concepto: “cualquier persona que ejerza una función pública para un país de la Unión Europea o cualquier otro país extranjero, incluido un organismo público o una empresa pública, para la Unión Europea o para otra organización internacional pública”.
• Se modifica el artículo 387 del Código Penal, en relación a los delitos de falsificación de moneda para incluir aquella moneda “que no ha sido todavía emitida o puesta en circulación oficialmente pero que está destinada a su circulación como moneda de curso legal”.
• Se reforma el artículo 156 bis del Código Penal para completar el régimen de prevención y persecución del delito de tráfico de órganos.

Esta última reforma del Código Penal hace necesario revisar los mapas de riesgos penales elaborados por las organizaciones para adaptarlos a los nuevos tipos penales y revisar la valoración efectuada, como parte del proceso de verificación periódica de sus programas de cumplimiento normativo.

Vanesa Krum Pérez, abogada especialista en ‘Compliance’ en Elece Legal.

 

Fuente: https://www.heraldo.es/noticias/branded/2019/02/28/une-19601-sistemas-gestion-compliance-penal-1293200-2261125.HTML

 

A pesar de haber transcurrido casi dos años desde su publicación, la UNE 19601 aún tiene un largo camino por recorrer. Esta norma establece los requisitos para implantar un sistema de gestión de compliance penal, con el objetivo de reducir y mitigar los riesgos penales en las organizaciones.

El sistema estandarizado que propone esta norma incorpora los requisitos mínimos exigidos por el Código Penal, pero además exige otros adicionales comunes a diversos sistemas de gestión. Por este motivo, al seguir una estructura de alto nivel, su integración en la organización resultará más sencilla para aquellas que ya cuenten con otros sistemas de gestión (calidad, medioambiente…).

La principal ventaja de esta norma es que permite a las organizaciones hablar el mismo idioma cuando de ‘compliance’ se trata. Sin embargo, hay muchas empresas que aún no se han decidido a certificarse ¿A qué se debe? En primer lugar, no tenemos que olvidar que el mundo del ‘compliance’ penal es relativamente nuevo en nuestro país. Por lo que, en ocasiones, es difícil concienciar a las empresas de que implantar este procedimiento es una inversión, y no un gasto.

Por otro lado, a diferencia de otros sistemas de gestión basados en ISO, el alcance de la UNE 19601 es únicamente nacional. Ciertamente se está barajando la posibilidad de crear una ISO de ‘compliance’ penal a nivel internacional; si bien resulta complicado por las grandes diferencias en la normativa penal de cada uno de los países.

Sin embargo, aunque no está muy extendida, son numerosas las organizaciones que ya tienen su certificación de sistemas de gestión de ‘compliance’ penal. Las razones son muchas y muy variadas. Desde mejorar la reputación e imagen corporativa a cumplir con la exigencia impuesta por algún cliente para poder formar parte de su cadena de suministro. Además, aunque el hecho de obtener esta certificación no exime automáticamente a la empresa de una posible responsabilidad penal, puede constituir un elemento de valoración decisivo para el juez en caso de que se desarrollase un eventual proceso penal.

Finalmente, el procedimiento de acreditación de las entidades certificadoras por ENAC está muy avanzado, por lo que es previsible que dentro de muy poco tengamos a las primeras certificadoras con acreditación definitiva, lo que sin duda hará que muchas empresas se decidan a dar el paso. En definitiva, auguramos un futuro prometedor para esta norma y para aquellas organizaciones que primero se decidan a certificarse, pues obtendrán una ventaja competitiva frente a otras empresas del sector. Para ello, resulta esencial contar con un binomio compuesto por buen asesoramiento a la hora de implantar el sistema de gestión y una certificadora debidamente acreditada.

 

El derecho a la protección de datos personales no es un derecho absoluto sino que, en determinadas circunstancias, puede ceder frente a otros derechos fundamentales, como el derecho a la libertad de expresión o a la tutela judicial efectiva.

En esta ocasión, hablaremos del derecho a la tutela judicial efectiva, proclamado en el artículo 24 de la Constitución Española.

Esta colisión entre ambos derechos es frecuente encontrarla especialmente en determinadas profesiones como las de abogado y procurador.

Así, una de las preguntas más habituales que se plantean estos colectivos es la siguiente: ¿necesito el consentimiento de la contraparte en un procedimiento judicial para tratar sus datos personales?

A este respecto, debemos recordar que la Agencia Española de Protección de Datos ha reconocido que en el tratamiento de datos personales de la contraparte entran en colisión el derecho a la protección de datos y el derecho a la tutela judicial efectiva, prevaleciendo este último.

Por ello, no es necesario solicitar el consentimiento, sino que el tratamiento de sus datos se verá amparado por la existencia de un interés legítimo, derivado del derecho de defensa y del derecho a la representación procesal. Es más, no existe necesidad de informar a la contraparte sobre el tratamiento de sus datos personales en el marco de un proceso judicial, dado que el art. 14.5.b del Reglamento General de Protección de Datos exime de dicho deber cuando imposibilite u obstaculice gravemente el logro del tratamiento.

Otra de las dudas habituales, es si se pueden aportar datos personales de terceros en la formulación de una demanda, como parte de las pruebas que se acompañan.

A este respecto, es criterio reiterado de la Agencia Española de Protección de Datos que nuevamente prevalece el interés legítimo, derivado del derecho a utilizar los medios de prueba que sean necesarios para la defensa de las pretensiones.

De hecho, el Reglamento General de Protección de Datos (en su artículo 9.f) recoge como una de las causas que legitiman el tratamiento de categorías especiales de datos “la formulación, ejercicio o defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial”.

Así ocurre, por ejemplo, en las grabaciones de las vistas donde los tribunales realizan un tratamiento de la imagen y voz de las partes en el marco de su función judicial y para dar cumplimiento a la obligación legal prevista en el artículo 147 de la Ley de Enjuiciamiento Civil ( “las actuaciones orales en vistas, audiencias y comparecencias celebradas ante los jueces o magistrados o, en su caso, ante los secretarios judiciales, se registrarán en soporte apto para la grabación y reproducción del sonido y la imagen y no podrán transcribirse”.)

Por tanto, el derecho a la protección de datos no es absoluto, pero siempre es necesario realizar, caso por caso, un juicio de ponderación para determinar si, a la vista de las concretas circunstancias, el derecho a la tutela judicial efectiva prevalece sobre el derecho a la protección de datos personales de los afectados.

¿Cuántas veces nos hemos encontrado en la situación de querer enviar a un cliente un archivo que ocupa demasiado para enviarlo por correo electrónico? Seguramente muchas. Es entonces cuando recurrimos a plataformas en la nube para compartir archivos pesados, como Dropbox, Wetransfer o Mega, entre muchas otras.

Utilizamos estas herramientas para compartir todo tipo de información, desde fotografías y videos familiares, hasta información de proyectos, lista de clientes, tarifas de precios, contratos, vídeos de juicios y vistas, documentación procesal, planos, etc.

Pero siempre nos queda la duda…¿es seguro compartir archivos utilizando estas herramientas? Y más aún, ¿estaremos incumpliendo el Reglamento Europeo de Protección de Datos al hacerlo?

Hay muchas cuestiones a tener en cuenta para valorar si estos servicios se ajustan a la actual normativa de protección de datos, pero nos centrarnos en 3 de ellas: (i) contrato de encargado del tratamiento, (ii) posibles transferencias internacionales y (iii) seguridad de la información enviada.

Vamos a descubrir las respuestas y hoy empezaremos hablando de Wetransfer.

Todos conocemos la famosa plataforma, siendo una de las más fáciles de utilizar por cuanto te permite enviar archivos de hasta 2 GB sin tener que registrarte. Asimismo, cuenta con una versión de pago que te permite enviar hasta 20 GB y una mayor capacidad de almacenamiento.

En primer lugar, consultamos la página web de Wetransfer para ver su Política de privacidad, que aparece en inglés (un punto negativo, ya que dificulta el derecho de información para todos aquellos usuarios que no dominan este idioma).

• En cuanto a la existencia de un contrato de encargado del tratamiento, sus cláusulas no aparecen por defecto en las condiciones del servicio, sino que nos indica que debemos dirigirnos a una dirección de correo electrónico para solicitar una copia del mismo (lo que la mayoría de usuarios probablemente no harán). Hemos hecho la prueba de solicitar una copia del contrato de encargado del tratamiento y hemos comprobado gratamente que nos lo han enviado en cuestión de minutos y es un contrato bien redactado.
• Por otro lado, es importante conocer dónde se encuentran los servidores de este tipo de servicios ya que, si están ubicados fuera del Espacio Económico Europeo, estaríamos realizando una transferencia internacional de datos. Y, para que la transferencia fuera lícita, deberíamos ver si existen garantías adecuadas y suficientes (país con nivel de protección similar, firma de cláusulas tipo, Privacy Shield, etc).

En el caso de Wetransfer, su Política de privacidad nos informa de que si los archivos los subimos desde la UE (lo que podrán saber por nuestra dirección IP) los servidores utilizados serán los europeos; no existiendo, en consecuencia, tal transferencia internacional.

• Finalmente, una de las cuestiones más importantes a tener en cuenta es la seguridad de la información que enviamos. ¿Está a salvo la información que envío por Wetransfer? La respuesta es no, al menos con su versión gratuita (la de pago refuerza la seguridad mediante el uso de contraseñas para abrir los archivos).

Existen múltiples recursos en Internet que te enseñan cómo acceder fácilmente a los archivos compartidos a través de Wetransfer. Sólo hay que seguir dos simples pasos:

1. Poner en la barra de navegación “site:wetransfer.com/Downloads”
2. Y clickar sobre “repetir la búsqueda e incluir los resultados que se han omitido”.

Haciendo esto nos aparecerán los enlaces de descarga de los archivos compartidos con Wetransfer, por lo que sólo tenemos que ir abriéndolos hasta elegir aquello que nos interesa cotillear.

Por tanto, debemos evitar usar la versión gratuita de Wetransfer  ya que, no sólo estaremos poniendo en peligro la reputación de nuestro negocio; sino que, si los archivos compartidos contienen datos personales (de trabajadores, de clientes…), estaremos incumpliendo con el Reglamento General de Protección de Datos al no garantizar debidamente la seguridad en su tratamiento.