Pere Simón: "Respecto al canal de denuncias, la información contenida en la denuncia, no tiene encaje el derecho al olvido"
Entrevista
1.- Hola Sr. Simón, hemos superado ya el primer año de crisis pandémica y ente otras consecuencias se está evidenciando en las corporaciones la necesidad de saber gestionar la transparencia y el desarrollo de la cultura del compliance. ¿Hasta qué punto el canal de denuncias o canal ético puede ayudar en todo ello, y cómo está afectando la actual crisis pandémica?
El canal de denuncias es un mecanismo de control del cumplimiento normativo que permite trabajar a la vez de forma detectiva, correctiva y preventiva. Según el último informe realizado por la Association of Certified Fraud Examiners, los canales de denuncia aportan hasta el 40% de los indicios necesarios para prevenir irregularidades, frente al 14% que aportan las auditorías internas o el 3% de las auditorías externas. Los porcentajes ayudan a hacernos una idea del impacto real de los canales de denuncia cuando han sido diseñados ad hoc de las necesidades de la organización y su implementación y gestión garantiza la indemnidad del denunciante o alertador.
2.- La directiva europea aborda la necesidad de implantar un código ético y hace necesaria la adopción de una cultura proactiva para hacer posible la denuncia. ¿Cómo cree que se puede transmitir al empleado la garantía de plena seguridad y confianza de que su denuncia de las irregularidades no conllevará represalias de ningún tipo?
El estado de la técnica hoy en día permite el impulso de la investigación y una gestión eficaz junto a garantías de indemnidad muy reforzadas, como resultan de la posibilidad de que se trate de una denuncia anónima. Los protocolos y políticas deben incorporar la prohibición de revelar la identidad del alertador salvo en el contexto de una investigación por parte de las autoridades nacionales o en el marco de un proceso judicial, acompañando tal prohibición de medidas técnicas específicas tales como comunicaciones cifradas, listado de iniciados, acuerdos de confidencialidad, etc. Que la gestión o impulso de la denuncia este externalizada, como un trabajo de asesoramiento al órgano decisor, puede contribuir a reforzar la confianza de empleados, como si se tratara de una mayor garantía de independencia y objetividad. La directiva europea también abre la puerta a premiar a los alertadores, de hecho, se trata de un modelo consolidado en perspectiva comparada. Por ejemplo, en EE.UU., en 2017, las empresas premiaron a un 12% de los denunciantes, que contribuyeron a recuperar un total de 392 millones de dólares. Así que no hay que descartar el premio como incentivo principal para que empleados y colaboradores actúen siguiendo las reglas del código ético o de conducta de la organización.
3.- En el supuesto de que la denuncia se realice vía email, el tema de la trazabilidad de la comunicación suscita el riesgo en la pérdida de la confidencialidad y anonimato del denunciante. ¿Cómo se puede salvar técnica y procedimentalmente este obstáculo?
Existen bastantes medidas técnicas y organizativas, propias de los sistemas de seguridad de la información, que actúan también como salvaguardas efectivas para mitigar esos riesgos. Tanto si se trata de un correo electrónico como si hablamos de una plataforma o un formulario web creado ad hoc para garantizar el anonimato del denunciante, los riesgos vinculados a la confidencialidad, integridad y disponibilidad deben ser mitigados a través de los controles habituales de sistemas de seguridad de la información.
4.- La directiva Whistleblowing impone la obligación de implantar un canal de denuncia en todas la compañías de más de 50 trabajadores. ¿Qué ocurre con las empresas de menos de 50 trabajadores? ¿Por qué no es obligatorio?
Resulta muy difícil establecer líneas rojas pero lo cierto es que no por ello deja de ser necesario. Por ejemplo, defraudar 120.000 euros o más es delito fiscal; si la cifra es inferior, es una infracción administrativa. Lo ideal sería establecer la línea roja en base a aspectos sustantivos o de fondo, y no con relación a meras cuestiones cuantitativas. Así se ha hecho por ejemplo en protección de datos: en función del sector o de los tratamientos que desempeña la organización, esta se encuentra obligada a contar con un Delegado de Protección de Datos. Sin embargo, ello también despliega problemas interpretativos y una mayor inseguridad jurídica. Sea como fuere, no es la primera vez que se establecen obligaciones en función del número de trabajadores. Las empresas con 50 o más trabajadores también están obligados a contar con un Delegado de Igualdad. Parece que ese es el tamaño, 50 o más trabajadores, a partir del cual el legislador entiende que las obligaciones deben ser propias de Derecho fuerte. Para aquellas que cuenten con menos de 50 trabajadores no será obligatorio, aunque en muchas ocasiones, muy recomendable si de lo que se trata es de tomar el control de lo que sucede en el seno de la empresa.
5.- El servicio de canal de denuncias cabe externalizarse. ¿Qué retos plantea su externalización y qué ventajas puede aportar la misma?
Me gusta que me hagas esta pregunta porque precisamente fue uno de los temas más debatidos en el 2º Insight del Club DPD de 2021, organizado por la Asociación Española para la Calidad. Externalizar en este ámbito implica dejar la investigación de procesos críticos en manos experimentadas, que disponen de herramientas y recursos especializados en procedimientos de investigación forense. Además, los despachos jurídicos aúnan conocimiento multidisciplinar, lo que les permite investigar con conocimiento y apoyo de los departamentos oportunos (laboral, fiscal, contable, tecnología, etc.). A todo lo anterior debemos sumar la mayor confianza que presumiblemente le atribuirá el denunciante o alertador, que, por defecto confía más en la independencia y objetividad de un externo.
6.- Procesalmente ¿cuál es la situación del denunciante que hace uso del canal de denuncia corporativo descubriendo la comisión de un delito?
Actualmente, ninguna. Nuestro modelo no tiene experiencia en canales de denuncia, así que la nueva ley de enjuiciamiento procesal, si finalmente ve la luz, deberá incorporar también medidas encaminadas a garantizar la indemnidad del alertador. La directiva europea sí señala empero que el denunciante no debe sufrir, ni durante la investigación ni después de ella, ningún tipo de aislamiento, persecución o empeoramiento de sus condiciones laborales o profesionales, ni ningún tipo de medida que implique cualquier forma de perjuicio o discriminación.
7.- ¿Qué responsabilidad asume el denunciante en relación a la cuestión de la presunción de certeza de los hechos objeto de denuncia?
No reúne los requisitos para poder considerarla per se una acción típica, puesto que una denuncia falsa es un delito que consiste en imputar falsamente y a conciencia una serie de hechos a una persona que, de ser ciertos, constituirían una infracción penal, siempre y que esa imputación se formule ante una autoridad y con mala fe. No asume así responsabilidad el denunciante en cuanto al fondo si no existe mala fe y no traslada la denuncia directamente ante la autoridad. Menos responsabilidad asumirá si lo hace de forma anónima. De nuevo, a las organizaciones esto les supone una leve carga de investigar aquello que se denuncia, aunque finalmente la mayoría acaben en archivo. Decimos leve porque esa carga se compensa sobremanera con el beneficio que supone poder detectar y recuperar notables cantidades que, de otro modo, hubieran sido defraudadas con total impunidad; así como tomar el control de lo que pasa en la organización y depurar responsabilidades internamente.
8.- Y para terminar, la información contenida en la denuncia ¿hasta cuándo debe de conservarse? ¿Le es aplicable el derecho al olvido?
Los datos personales, tanto los vinculados al denunciante, como los relativos a empleados, colaboradores, clientes o terceros, deberán conservarse en el sistema de denuncias únicamente durante el tiempo imprescindible para la investigación de lo ocurrido. Transcurridos tres meses desde la introducción de los datos, deberá procederse a su supresión del sistema de denuncias. Además, dentro del plazo de tres meses, las denuncias que se hayan archivado y aquellas que no se hayan cursado deberán constar de forma anonimizada. Ese plazo es más que suficiente para que la investigación culmine con un informe motivado y, en su caso y en virtud del protocolo de acciones postdelictivas, se puede iniciar un proceso de colaboración activa con la justicia para depurar responsabilidades. En ninguno de los dos supuestos tendría encaje el llamado derecho al olvido: en el primero, porque deben suprimirse, y en el segundo, porque existe una obligación legal de conservar los datos mientras dure el proceso judicial.