El Compliance Officer y los límites constitucionales

Revista Aranzadi Doctrinal
2015
Número 2 (Febrero-2015)
Legislación
Doctrina
Penal
1. El Compliance Officer y los límites constitucionales de sus investigaciones (JAUME
CABECERANS CABECERANS y JUAN CUENCA MÁRQUEZ)
6. Recomendaciones para garantizar al máximo las investigaciones del Compliance
Officer
El Compliance Officer y los límites constitucionales de
sus investigaciones
JUAN CUENCA MÁRQUEZ
Abogado bufete Roca Junyent. Departamento Derecho Mercantil
JAUME CABECERANS CABECERANS
Socio bufete Roca Junyent. Departamento Derecho Mercantil
Revista Aranzadi Doctrinal 2
Sum ario:
1. La responsabilidad penal de las sociedades mercantiles: el origen
2. ¿Qué/Quién es el Compliance Officer?
3. Las labores de investigación del Compliance Officer y la falta de un marco legal específico
4. Soluciones prácticas a la falta de normativa específica: límites a la labor del Compliance
Officer
5. Recientes cambios interpretativos jurisprudenciales
6. Recomendaciones para garantizar al máximo las investigaciones del Compliance Officer
RESUMEN: En aras de evitar la responsabilidad penal de las personas jurídicas, las compañías
han venido trabajando en protocolos de gestión de riegos penales desde la reforma del
Código Penal del 2010. Estos programas para ser eficaces y eficientes requieren de personas
conocedoras de estas normativas que garanticen su estricto cumplimiento dentro de la
empresa: el Compliance Officer. Éste debe gestionar riesgos legales y será el responsable de
las labores de información e investigación de todo hecho relacionado con el cumplimiento de las
normas de la empresa. En sus investigaciones internas, el Compliance Officer puede requerir el
acceso a los recursos tecnológicos facilitados por la empresa. ¿Puede acceder a esos recursos
de manera libre? ¿Puede acceder sin restricciones a los mails? ¿Y revisar el disco duro de
los ordenadores? ¿Pueden grabar conversaciones? No existe una respuesta absoluta a estas
preguntas, pero sí unas pautas a respetar en todo momento.
PALABRAS CLAVES: Responsabilidad penal de las personas jurídicas; programas de
cumplimiento; control de riesgos legales; Compliance Officer; investigaciones internas en la
empresa; medidas de vigilancia y control; diligencia debida.
ABSTRACT: From the Spanish Penal Code’s reform back in 2010, the companies have been
working on their criminal risk management programs. To be really effective, such programs need
professionals who know such internal regulations to guarantee its strict compliance inside the
company: the Compliance Officer. Such Compliance Officer must manage all the companies’
legal risks and will be the one in charge of handling the information and investigation tasks
regarding the compliance of the company’s regulations. Within such internal regulations, the
Compliance Officer may request access to all technological resources provided by the company.
May the Compliance Officer access such resources at his own will? May he access the email
box of the employees without any limitation? May he check the hard drive of the computers
of the employees? May he record conversations within the company? Although there is not an
undisputable answer to all these questions, there are indeed several keys that must be always
followed.
KEYWORDS: Criminal liability of moral entities; compliance programs; legal risks control;
Compliance Officer; internal investigations within the company; control and surveillance
measures; due diligence.
Fecha recepción original: 5 de Enero de 2015
Fecha aceptación: 16 de Enero de 2015
1 . L A R E S P ON S A B IL ID A D P E NAL DE LAS SOCIEDADES M ERCANTILE S :
E L O R I G EN
En el año 2010, en contra de lo que siempre nos habían enseñado en las facultades de
Derecho («societas delinquere non potest»), el legislador español nos sorprendió con la reforma
del Código Penal y la incorporación a su texto del
artículo 31.bis , que atribuye a las
personas jurídicas la capacidad de cometer delitos. Más recientemente, el Gobierno, pendiente
de definir el marco de responsabilidad de las personas jurídicas, ha redactado un Proyecto
de reforma del Código Penal, en tramitación parlamentaria desde hace ya un año –y cuya
aprobación se prevé cercana–, en el que se detallan qué requisitos han de cumplir las personas
jurídicas para acreditar un «debido control» dentro de su organización que les permita evitar su
responsabilidad penal, más allá de la que puedan contraer las concretas personas físicas de
su organización que hayan podido delinquir. Esos requisitos deberán concretarse en protocolos
de prevención de riesgos penales y en la disposición de medios materiales y humanos
encaminados a la gestión de esos riesgos.
Ciertamente, el futuro para las personas jurídicas, pero especialmente para las sociedades
mercantiles, les llevará a plantearse seriamente la revisión de sus actuales códigos de conducta
o «Ethics». No bastará tener protocolos internos genéricos llenos de buenas intenciones
sino que será imprescindible dar respuesta a estos requisitos para proteger penalmente a la
sociedad de cualquier imputación por la comisión de un delito que hayan podido cometer sus
administradores, ejecutivos, directivos, y/o empleados.
No sabemos, a fecha de hoy, si los requisitos que figuran en este Proyecto serán los que
definitivamente vayan a ser aprobados, pero lo cierto es que, con independencia de cuales
vayan a ser específicamente, las grandes compañías nacionales y multinacionales han venido
trabajando en protocolos de gestión de riegos penales desde la reforma del 2010. El riesgo está
ahí; cómo evitarlo es una cuestión que depende de las empresas; a las que la reforma ayudará
a definir y concretar. Pero nadie puede esperar a la aprobación definitiva de este Proyecto para
creer que, en el ínterin, está cubierto o protegido por esa falta de desarrollo legislativo.
2 . ¿ Q U É / Q U IÉ N E S E L C OMP LIANCE OFFICER?
Como consecuencia de las reformas del Código Penal referidas, durante los últimos años, la
preocupación del tejido empresarial de nuestro país ha ido en aumento y las empresas han
empezado (lentas, pero seguras) a interesarse por la implementación de códigos de conducta
voluntarios y de programas de prevención. Es precisamente en este marco donde surge la
figura del Oficial de Cumplimiento, o –ya que intentamos reproducir los sistemas jurídicos
anglosajones–: el Compliance Officer. El Compliance Officer, sin embargo, no es una figura que,
expresamente, se prevea en el ordenamiento jurídico español. Y sin embargo, sí se regula,
en cierto modo, en el Proyecto de reforma de Código Penal como el «órgano de la persona
jurídica con poderes autónomos de iniciativa y control.» Y a pesar de ser una figura que carece
de forma y contenido desde un punto de vista jurídico en España, su implantación práctica en
las empresas españolas es cada vez mayor. Tal vez cabe referirse a figuras afines como sería
la de los responsables del cumplimiento de las medidas de diligencia debida de las empresas
que figuran como sujetos obligados en la Ley de Prevención del Blanqueo de Capitales y de
la Financiación del Terrorismo, pero lo cierto es que se trata de cuerpos legales distintos con
consecuencias jurídicas, igualmente diferentes.
Entonces: ¿Quién es el Compliance Officer en las empresas? La respuesta es clara: no
sólo será el responsable del cumplimiento de conductas morales y éticas implementadas por
la empresa sino, especial y adicionalmente, de todas aquellas obligaciones de naturaleza
legal que impliquen un riesgo para aquella. Su labor será gestionar riesgos legales, y
consecuentemente será el responsable de las labores de información e investigación de todo
hecho relacionado con el cumplimiento de las normas de la empresa. Por tanto, ya sea de
oficio o como consecuencia de una denuncia en el buzón de denuncias (Whistleblowing),
el Compliance Officer deberá iniciar las diligencias de verificación y comprobación de los
incumplimientos detectados o denunciados.
3 . L A S L A BOR E S D E IN V E S T IGACIÓN DEL COMPLIANCE OFFICER Y LA
FA LTA D E U N MA R C O L E GA L ESPECÍFICO
En sus investigaciones internas, el Compliance Officer puede necesitar controlar y acceder a los
medios y recursos informáticos y tecnológicos facilitados a los trabajadores por la empresa. Las
preguntas que cabe formularse son: ¿puede acceder el Compliance Officer a estos recursos
de manera libre, arbitraria y sin restricciones? ¿Puede comprobar el email de los directivos,
ejecutivos, y trabajadores? ¿Y revisar el disco duro de los ordenadores de estos? ¿Y fiscalizar
las páginas de internet que hayan visitado aquéllos en su jornada laboral? ¿Pueden grabar
conversaciones, privadas o profesionales, realizadas desde el teléfono de la empresa? Si bien
la respuesta a muchas de estas preguntas puede resultar obvia –en tanto en cuanto hay
derechos constitucionales en juego–, nada más lejos de la realidad. Para que la información
obtenida de sus acciones de investigación no caigan en invalidez por meros tecnicismos
legales, existen una serie de pautas que el Compliance Officer deberá tener en cuenta en todo
momento; esas pautas se deducen del análisis de la jurisprudencia de los Tribunales Supremo
y el Constitucional de los últimos años.
A ello hay que añadir que la trepidante –y constante– evolución tecnológica nos llevará a
plantearnos nuevos dilemas legales. Y adicionalmente debemos considerar que, a fecha de hoy,
no existe una normativa que regule el uso de estos recursos en el ámbito empresarial, ni, por
supuesto, unos límites al acceso a estos recursos por parte del Compliance Officer.
No obstante lo anterior, podemos acudir a un marco legal más general; concretamente el
contenido en el Estatuto de los Trabajadores, en el que se basa la jurisprudencia cuando trata
de dirimir conflictos entre empresarios y trabajadores en relación con los derechos de intimidad
y secreto de las comunicaciones. Y esa jurisprudencia es perfectamente extrapolable a los
conflictos con los que se enfrentará el Compliance Officer en el desempeño de sus funciones.
Ese marco legal está integrado por los dos siguientes artículos:
a) El
18 del
Estatuto de los Trabajadores sobre la inviolabilidad de la persona
del trabajador, que sienta las bases para la realización de los registros del trabajador
respecto a su propia persona, a su taquilla y a sus efectos particulares. Este artículo
permite esos registros «cuando sean necesarios para la protección del patrimonio
empresarial y del de los demás trabajadores de la empresa, dentro del centro de trabajo y
en horas de trabajo. En su realización se respetará al máximo la dignidad e intimidad del
trabajador y se contará con la asistencia de un representante legal de los trabajadores o,
en su ausencia del centro de trabajo, de otro trabajador de la empresa, siempre que ello
fuera posible.»
No obstante, los altos tribunales españoles tienen claro que los controles de los recursos
tecnológicos e informáticos por parte del empresario no deben realizarse en base a este
artículo, sino por la suma de los dos siguientes.
b) El artículo 20.3 del Estatuto de los Trabajadores sobre poder de auto-organización
y control de la actividad laboral, que permite al empresario: «adoptar las medidas
que estime más oportunas de vigilancia y control para verificar el cumplimiento por el
trabajador de sus obligaciones y deberes laborales».
Mientras el artículo 18 atribuye al empresario facultades excepcionales de policía privada
o policía empresarial; el artículo 20.3 le confiere una facultad adecuada y ajustada
al desarrollo de lo dispuesto en el
artículo 38 de la
Constitución Española que
reconoce «la libertad de empresa en el marco de la economía de mercado».
Es precisamente en la búsqueda de la compatibilización de los derechos del empresario y de
los trabajadores, donde el Compliance Officer va a encontrar uno de esos límites expresos e
infranqueables –y que nunca ha de sobrepasar en sus labores de investigación–: la dignidad
del trabajador; una dignidad que se materializa en la práctica en la aplicación de tres derechos
constitucionales fundamentales: el derecho a la intimidad ( artículo 18.1 CE); el derecho al
secreto de las comunicaciones (artículo 18.3 CE); y el derecho a la protección de datos (artículo
18.4 CE).
Otro límite que el Compliance Officer deberá tener en cuenta a la hora de aplicar sus medidas
de control es la posible existencia en su empresa de una tolerancia en el uso personal de los
recursos facilitados por la empresa a sus directivos, ejecutivos o empleados. La jurisprudencia
ha reconocido la existencia de un «hábito social generalizado de tolerancia» en el uso personal
moderado de los medios informáticos y de comunicación facilitados por la empresa que no
puede desconocerse al aplicarse medidas de supervisión y control de los medios facilitados por
la empresa. Esa tolerancia genera en los trabajadores que utilizan los medios tecnológicos e
informáticos de la empresa una cierta «expectativa general de confidencialidad.» 1)
4 . SO L U C I ON E S P R Á C T IC A S A LA FALTA DE NORMATIVA ESPECÍFIC A :
LÍ M I T E S A L A L A B OR D E L C OM PLIANCE OFFICER
¿Cómo deberá actuar el Compliance Officer para cumplir sus funciones y respetar los derechos
de las personas denunciadas o investigadas? El Compliance Officer tiene opciones para dotar
de máximas garantías sus investigaciones; y por ende, el resultado de éstas. Estas opciones se
materializan en tres escenarios posibles:
1. Política de usos: La empresa ha optado por aprobar una política de usos 2) de los
medios y recursos informáticos y tecnológicos que pone al servicio de los directivos,
ejecutivos y trabajadores. En ese caso, se deduce de la jurisprudencia, no podrá
entenderse que los controles que las empresas realicen vulneran la «expectativa
razonable de confidencialidad» de la que hablábamos antes. La justificación, por tanto,
del acceso del Compliance Officer a los medios puestos a disposición del trabajador la va
a encontrar en la propia política interna de usos. Ahora bien, es condición indispensable
que esa política de usos haya sido debidamente comunicada e informada a los
trabajadores.
2. Prohibición absoluta: La jurisprudencia tanto del Tribunal Supremo como del Tribunal
Constitucional han considerado suficiente la comunicación de una prohibición de uso
privado de los recursos cedidos por la empresa a sus directivos, ejecutivos o
trabajadores para evitar esa expectativa razonable de confidencialidad. Si bien esta
opción no resulta actualmente recomendable –por poco garantista– desde que el
Tribunal Constitucional, en sentencia de 11 de febrero de 2013, en aplicación de la
sentencia 292/2000 (RTC 2000, 292), reconoció que sin la previa información sobre la
finalidad del tratamiento de los datos de carácter personal ( artículo 5 LOPD), las
pruebas obtenidas (en ese caso, a través de un sistema de video-vigilancia) no son
válidas.
Habrá que ver la evolución de nuestra jurisprudencia en los próximos años para valorar
si las prohibiciones absolutas, tanto comunicadas por la empresa como las que puedan
incorporarse en Convenios colectivos son suficientes para autorizar cualquier acceso y
control por la empresa, y en consecuencia, por el Compliance Officer en los recursos
cedidos a sus directivos, ejecutivos y empleados.
3. La empresa no cuente con una política de usos ni ha prohibido activamente la
utilización de los medios de la empresa para uso privado: De la jurisprudencia de los
Tribunales Supremo y Constitucional se deduce que el Compliance Officer va a poder
acceder y controlar los medios de la empresa de forma limitada, debiéndose cumplir dos
condiciones esenciales: i) una causa que justifique el acceso, entendiéndose por justa
causa un «indicio –claro y contundente– de que se está cometiendo una irregularidad,
una actuación que va contra la normativa de la empresa, o que incumple las obligaciones
laborales»; y ii) que la medida que se utilice sea proporcionada 3), es decir, que cumpla
con los principios de idoneidad («la investigación sirva para la finalidad pretendida»), de
necesidad («no haya otro medio menos lesivo») y de proporcionalidad «strictu sensu»
(«de la investigación se deriven más beneficios para el bien público que el privado»).
Este acceso y control se justifica en la doctrina del Tribunal Constitucional que manifiesta
que «no hay derechos constitucionales que sean absolutos» y que éstos «pueden
ceder ante intereses constitucionalmente relevantes». El Tribunal Constitucional, con
esta doctrina, no hace sino ponderar los derechos constitucionales en juego. A fin
de cuentas, la Constitución está redactada sobre el equilibrio y el Tribunal reconoce
derechos a los trabajadores en el entorno laboral, pero, por otra parte, también reconoce
derechos a los empresarios que debe proteger; en este caso la libertad de empresa.
Ciertamente, el Tribunal Constitucional evalúa, por un lado, los derechos de intimidad,
secreto de las comunicaciones y protección de datos que ostenta el trabajador y que se
integran dentro del concepto más amplio de dignidad, pero también valora el derecho
a la libertad de empresa, y en esa valoración conjunta, caso por caso, ponderará los
intereses constitucionales en juego y adoptará una decisión.
En todo caso, tanto si la empresa dispone de una política de usos, como si no, el Compliance
Officer no deberá excederse en su labor de investigación. Y es que, tanto el Tribunal Supremo
como el Constitucional han revocado sentencias estimatorias a favor de empresas que, aun
disponiendo de una política de usos clara –y que había sido correctamente comunicada–,
resultaba excesiva, por extralimitarse en sus medidas de control e incurrir en lo que la
jurisprudencia ha denominado «exceso de celo» 4).
Así pues, el Compliance Officer no va a poder excederse en sus controles, pues los riesgos que
asume no son nada desdeñables: desde querellas criminales por descubrimiento de secretos
y vulneración de la intimidad de otros ( art. 197 del
Código Penal) hasta importantes
sanciones para la empresa por vulneración de la ley de protección de datos (determinación de
perfiles, acceso a información sensible, etc.).
5 . R EC I E N T E S C A MB IOS IN T ERPRETATIVOS JURISPRUDENCIALES
Durante los últimos dos años, los Altos Tribunales Españoles han dictado sentencias que vienen
a matizar –si no modificar– el criterio interpretativo que venían manteniendo sobre el contenido
de los derechos de intimidad, secreto de las comunicaciones y protección de datos de carácter
personal. El giro que han tomado los tribunales –no exento de polémica: todas las sentencias
cuentan con votos particulares–, a buen seguro tendrá una gran trascendencia en el trabajo de
los Compliance Officers.
Una primera sentencia es del Tribunal Constitucional, la STC 29/2013, de 11 de febrero (RTC
2013, 29) sobre derecho a la protección de datos y los sistemas de video-vigilancia (que se
consolida con una posterior Sentencia del Tribunal Supremo del 2014), plantea el derecho a la
información como parte esencial e intrínseca del derecho a la protección de datos. En virtud de
esta sentencia, el Tribunal otorgó amparo constitucional a un trabajador de la Universidad de
Sevilla, pues entendió que la Universidad había vulnerado su derecho a la protección de datos
por grabar su imagen personal a través de las cámaras del centro –que, por otra parte, contaban
con sus correspondientes autorizaciones de la Agencia Española de Protección de Datos–, pero
no había informado al trabajador ( «de forma previa y expresa, precisa, clara e inequívoca,
como manda el artículo 5 de la Ley Orgánica de la Protección de Datos») que una de las
finalidades de la video-vigilancia iba a ser el control del absentismo laboral. En consecuencia, la
prueba presentada por la Universidad en la que se demostraba que el trabajador había falseado
sus hojas de control de asistencia y había incumplido sus obligaciones contractuales quedó
invalidada 5). Esta interpretación (para muchos, excesivamente garantista del derecho de la
protección de datos), no está exenta de polémica y generará en los próximos años nuevos
pronunciamientos jurídicos que, sin duda, deberán analizarse.
Una segunda sentencia, esta vez del Tribunal Supremo (Sala de lo Penal) STS 28/44 de
16 junio de 2014 (RJ 2014, 3451), sobre falsedad de documento mercantil, estafa y secreto
de las comunicaciones, recuerda qué cautelas se han de tomar para que las pruebas que
afecten al secreto de comunicaciones (ej. un email del trabajador que pruebe que ha cometido
un ilícito penal o ha incumplido de sus obligaciones laborales). A ese respecto, en contra
de la jurisprudencia consolidada desde hace años de la Sala de lo Social –mismo Tribunal–
y del propio Tribunal Constitucional, nos dice que, para esa Sala y «a efectos penales», la
autorización judicial para acceder a la información vertida en cualquier medio de comunicación
va a ser esencial; sin ella, no sólo la prueba va a quedar invalidada, sino que lo más probable
es que se incurra en un delito de vulneración del secreto de las comunicaciones. No obstante,
el Tribunal matiza que el
artículo 18.3 de la Constitución Española (sobre el derecho al
secreto de las comunicaciones) no protege los mensajes, sino los «medios de comunicación
propiamente dichos». Y excepciona, expresamente, determinados supuestos en los que dicha
autorización judicial no resultará necesaria: i) los mensajes «una vez recibidos y abiertos por
su destinatario»; ii) los datos de tráfico de las comunicaciones (es decir, el tiempo, las líneas
usadas, la duración de la comunicación, etc…); y iii) el uso del ordenador para navegar por
internet (los sitios webs visitados, el tiempo consumido navegando, etc…). Obviamente, matiza,
en estos casos, resultarán aplicables las garantías propias de la protección de datos y de la
intimidad de las personas.
6 . R EC O M E N D A C ION E S PA R A GARANTIZAR AL M ÁXIMO LAS
I N V E S T I G AC ION E S D E L C OMPLIANCE OFFICER
Tras todas las consideraciones expuestas, para dotar de máxima garantía a las labores de
investigación de los Compliance Officers, cabe deducir que los empresarios deberán adoptar
las siguientes precauciones:
1. En primer lugar, se recomienda establecer una política interna, clara y equilibrada,
de usos de los medios y recursos facilitados a sus directivos, ejecutivos y trabajadores.
Esa política debería incluir aspectos tan relevantes como: i) las prohibiciones, absolutas
y/o parciales, sobre lo que puede hacer o no puede hacer el trabajador; ii) también
tendrá que contener los medios que han de aplicarse en orden a comprobar la corrección
de los usos (ej. informar a los trabajadores de que va a existir un control); iii) las
medidas que han de adoptarse por parte del empresario para garantizar la efectiva
utilización laboral del medio cuando sea preciso (ej. si los empresarios no quieren que
los empleados se conecten a determinados sitios webs durante las horas de trabajo,
pueden limitar el acceso a éstas, o cerrar los accesos a los puertos USB para evitar que
sustraigan información privilegiada de la empresa, etc…); y, por último, iv) respetar, en
todo momento, lo establecido en los convenios colectivos o de empresa.
2. Asimismo, los empresarios deberán informar, en todo momento, a los directivos,
ejecutivos y trabajadores sobre dichas políticas, incluyendo los usos permitidos y
prohibidos, mediante advertencias y alertas constantes y reiteradas.
3. Por supuesto, cuando los Compliance Officers inicien sus investigaciones internas,
deberán tener en cuenta los criterios de la proporcionalidad, que a la luz de la
jurisprudencia resulta tan importante. Por tanto, deberán limitarse a realizar controles
estadísticos y acciones de búsqueda selectiva (ej. tiempo de la conexión a sitios no
autorizados). En ningún caso, podrán aprovechar para hacer un perfil determinado y
preciso sobre la persona del directivo, ejecutivo o trabajador, en base a los sitios webs
visitados, pues se estaría vulnerando el derecho a su intimidad.
4. Finalmente, y en base a la última sentencia de la Sala de lo Penal del Tribunal
Supremo, siempre que exista una duda razonable sobre los límites de las funciones del
Compliance Officer en un caso de investigación concreto, y se tenga un indicio claro
de que se está cometiendo un acto ilícito por parte del trabajador, se deberá solicitar
el auxilio judicial cuando se pretenda acceder a un correo electrónico u otro medio de
comunicación.
Sólo siguiendo esas pautas –y mientras no exista un marco legal claro sobre la figura del
Compliance Officer y los límites de sus funciones en el contexto de sus investigaciones
internas–, podrá garantizarse al máximo el respeto a tan importantes derechos constitucionales
y, por ende, la validez de las pruebas obtenidas.
© 2015 Revista Aranzadi Doctrinal