Conflicto Compliance-Código Penal y Normativa de Protección de Datos
“Primera normativa autonómica del delator a nivel autonómico (aparte de la de competencia q es estatal y de la específica del sector financiero). El debate comienza.”
El conflicto de las exigencias de la normativa penal del canal de denuncia con la normativa de protección de datos ya está, los criterios del grupo de trabajo del art. 29 y los de nuestra AEPD (IJ 128/2007) en relación a los criterios de la Circular 1/2016 de la Fiscalía General del Estado y el artículo 31, bis, 5, 4º ponen en evidencia la contraposición de la intimidad, del anonimato, la protección del delator, su “imposible” exteriorización para las personas jurídicas públicas, etc. Creo que la norma autonómica queda incompleta y la invocación del principio de la legítima defensa de nuestra constitución para las personas jurídicas complica todavía mas el asunto. El conflicto LOPD y CP ahi está.
Si como medida de cautela la empresa guarda, bloqueada la información y en un soporte inaccesible salvo con claves, de un procedimiento de investigación, en un pen drive, baldío o con traslado a Fiscalía, con ello incumple la normativa de prote4ccion de datos. Esto da para una nueva consulta a la AEPD, ¿no creéis?.
La AEPD no se ha mojado del todo:
“debería partirse del establecimiento de procedimientos que garanticen el tratamiento confidencial de las denuncias presentadas a través de los sistemas de “whistleblowing”, de forma que se evite la existencia de denuncias anónimas, garantizándose así la exactitud e integridad de la información contenida en dichos sistemas.”
Otro aspecto importante que se destacaba en el Informe, era su pronunciación respecto al plazo de conservación de la información obrante en los sistemas: “En relación con este punto, el documento del Grupo de Trabajo señala que “Los datos personales tratados por un programa de denuncia de irregularidades deberían eliminarse, inmediatamente y normalmente en un plazo de dos meses desde la finalización de la investigación de los hechos alegados en el informe”.
En este sentido, sería imprescindible que se establezca un plazo máximo para la conservación de los datos relacionados con las denuncias, a fin de evitar el mantenimiento de los mismos por un período superior que perjudique los derechos del denunciado y del propio denunciante, cuya confidencialidad debe quedar garantizada.”
Todo ello a bote pronto, espero poder desarrollar una publicación desde la perspectiva de las PJ, administraciones públicas, y el canal de denuncia, en la que he empezado a trabajar. Nada más empezar me encuentro con este debate, espero llegar a concluir de manera acertada o si no de manera fundada para equivocarme lo menos posible y permitir adoptar decisiones sin riesgos.
Ver: Dictamen 1/2006 del GTA29 (WP 117) sobre la aplicación de las normas de la UE relativas a la protección de datos a programas internos de denuncia de irregularidades en los campos de la contabilidad, controles contables internos, asuntos de auditoría, lucha contra el soborno, delitos bancarios y financieros.
ANEXOS:
Añadir a favoritos 
