Responsabilidad penal de la empresa y programas de compliance

La responsabilidad penal de la persona jurídica no es una cuestión reservada a las grandes corporaciones. Una pyme, una asociación o una sociedad mercantil puede afrontar consecuencias graves cuando una persona vinculada a la organización comete determinados delitos en su beneficio directo o indirecto, y la empresa no ha implantado controles razonables para prevenirlos o detectarlos. En España, el eje jurídico está en el artículo 31 bis del Código Penal, que exige mucho más que un código ético colgado en la web.

Un programa de compliance eficaz no consiste en acumular documentos. Debe funcionar como un sistema vivo de prevención, detección, respuesta y mejora. Su objetivo es identificar los riesgos propios de la actividad, asignar responsabilidades, establecer controles proporcionados y conservar evidencias de que la organización actúa con diligencia. Cuando el modelo se adopta y se aplica de forma real, puede resultar determinante para atenuar o, en los supuestos legalmente previstos, excluir la responsabilidad penal de la persona jurídica. No existe, sin embargo, una “certificación automática” que garantice ese resultado: los tribunales valorarán la adecuación y efectividad del modelo en el caso concreto.

Qué implica la responsabilidad penal de la persona jurídica

El Código Penal contempla que una persona jurídica pueda responder por determinados delitos cometidos por administradores, representantes, directivos o personas sometidas a su autoridad, cuando concurran los presupuestos legales. Las penas no se limitan a una multa. Según el delito y las circunstancias, pueden incluir disolución, suspensión de actividades, clausura de locales, prohibición de contratar con el sector público, inhabilitación para obtener ayudas o intervención judicial.

Por eso, la pregunta correcta no es “¿tenemos un manual de compliance?”, sino “¿qué riesgos penales existen realmente en nuestra actividad y qué controles pueden demostrar que los gestionamos?”. En sectores con contratación pública, intermediación comercial, tratamiento intensivo de datos, servicios digitales, logística, finanzas o relaciones complejas con terceros, esa pregunta debe responderse con especial rigor.

Los elementos que debe contener un programa de compliance

El artículo 31 bis del Código Penal ofrece una guía mínima. Un programa sólido debe adaptarla al tamaño, recursos, actividad y nivel de exposición de cada entidad. Como mínimo, conviene trabajar sobre los siguientes pilares:

• Mapa de riesgos penales: identificación documentada de actividades, procesos y puestos en los que podrían cometerse delitos relevantes.
• Políticas y procedimientos: reglas claras para decisiones sensibles, autorizaciones, contratación, pagos, regalos, donaciones, selección de terceros, conflictos de interés y conservación de evidencias.
• Controles financieros: medidas para impedir o detectar pagos irregulares, fraude, operaciones ficticias, manipulación de registros o desviaciones presupuestarias.
• Canal interno de información e investigación: mecanismo confidencial, accesible y seguro para comunicar incumplimientos e investigar de forma imparcial.
• Órgano o función de compliance: responsable con autonomía, recursos, acceso a la información y capacidad real de supervisión.
• Régimen disciplinario y consecuencias: respuestas coherentes ante incumplimientos, incluidas las personas directivas y los terceros cuando corresponda contractualmente.
• Formación, seguimiento y mejora: sensibilización práctica, revisiones periódicas, controles de eficacia y actualización ante cambios normativos, organizativos o tecnológicos.

Privacidad y compliance: controles que no pueden vulnerar derechos

Un programa de compliance suele tratar datos de empleados, directivos, proveedores, clientes, testigos e informantes. Esto ocurre, por ejemplo, en el canal interno de información, las investigaciones internas, las verificaciones de antecedentes permitidas por la ley, los controles de acceso, la videovigilancia o la gestión de conflictos de interés. Por tanto, la prevención penal debe diseñarse junto con el RGPD y la LOPDGDD, no al margen de ellos.

El principio de responsabilidad proactiva obliga a demostrar que los tratamientos son lícitos, transparentes, limitados a una finalidad concreta, minimizados, seguros y conservados solo durante el tiempo necesario. Las empresas deben documentar los tratamientos en su registro de actividades, informar a las personas afectadas con el alcance compatible con una investigación eficaz y aplicar medidas técnicas y organizativas adecuadas.

Base jurídica, datos sensibles y proporcionalidad

La base jurídica debe analizarse por tratamiento y finalidad. En un sistema interno de información implantado por obligación legal, la base principal será normalmente el cumplimiento de una obligación legal. En otras actividades de prevención, control o investigación, puede ser necesario valorar el interés legítimo de la organización, una obligación legal específica, la ejecución de la relación laboral dentro de sus límites o la defensa de reclamaciones. El consentimiento rara vez es una base adecuada en el ámbito laboral o disciplinario por el desequilibrio entre las partes.

Si se tratan categorías especiales de datos, datos relativos a condenas e infracciones penales o información especialmente sensible, el análisis debe ser más estricto. El artículo 9 del RGPD exige una excepción válida adicional para las categorías especiales. El artículo 10 del RGPD y la LOPDGDD limitan el tratamiento de datos de naturaleza penal a supuestos habilitados. La regla práctica es sencilla: no recopilar “por si acaso”; solo tratar los datos estrictamente necesarios, con accesos restringidos, trazabilidad y plazos de conservación definidos.

Canal interno de información: equilibrio entre protección y garantías

La Ley 2/2023 configura obligaciones específicas para las entidades obligadas y fija garantías para el sistema interno de información. Un canal de denuncias no debe ser un buzón de acusaciones sin control. Debe contar con política de uso, responsable del sistema, procedimiento de gestión, medidas de seguridad, confidencialidad de la identidad del informante y reglas para evitar represalias.

También deben protegerse los derechos de la persona afectada. La investigación debe limitarse a los hechos comunicados, evitar accesos indiscriminados, documentar las actuaciones, respetar la presunción de inocencia y comunicar la información necesaria cuando no comprometa la investigación. La conservación de datos debe responder a los plazos legales y a la necesidad de mantener evidencia, no a la comodidad organizativa.

¿Es obligatoria una evaluación de impacto?

No toda actividad de compliance exige por sí misma una evaluación de impacto relativa a la protección de datos (EIPD). El artículo 35 del RGPD la exige antes del tratamiento cuando sea probable que este entrañe un alto riesgo para los derechos y libertades de las personas. La AEPD ha publicado criterios y listas orientativas que ayudan a valorar esa obligación.

Una EIPD será especialmente probable cuando confluyan factores como observación sistemática de personas, tratamiento a gran escala, uso de categorías especiales de datos, elaboración de perfiles, decisiones con efectos relevantes, tecnologías invasivas, colectivos vulnerables o combinación de múltiples fuentes de información. Un canal interno de información sencillo no siempre obligará a realizarla, pero la organización debe dejar constancia del análisis. Si se añaden analítica avanzada, monitorización de comunicaciones, sistemas de inteligencia artificial, biometría o investigación masiva, la EIPD puede pasar de recomendable a obligatoria.

Ciberseguridad: sin seguridad, el compliance pierde credibilidad

La eficacia del modelo depende también de la seguridad de la información. Un acceso indebido a una investigación, la filtración de la identidad de un informante o la manipulación de evidencias puede agravar el daño, frustrar la investigación y generar responsabilidad administrativa, civil, laboral o penal. El RGPD exige medidas adecuadas al riesgo, entre ellas control de acceso por roles, autenticación robusta, cifrado cuando resulte procedente, registro de actividad, copias de seguridad, gestión de vulnerabilidades, procedimientos de respuesta a incidentes y evaluación de proveedores.

Para organizaciones públicas, el Esquema Nacional de Seguridad añade un marco de referencia aplicable. En el ámbito privado, estándares como ISO 27001, ISO 37301 e ISO 37001 pueden servir como apoyo metodológico, aunque no sustituyen el análisis jurídico ni acreditan por sí solos la eficacia penal del modelo.

Hoja de ruta práctica para implantar un modelo útil

• Diagnosticar la organización: actividad, estructura, sedes, terceros, canales de venta, información manejada y normativa sectorial.
• Elaborar un mapa de riesgos penales y de privacidad con responsables, controles existentes, brechas y prioridades.
• Aprobar políticas operativas y procedimientos sencillos, aplicables y verificables.
• Implantar o revisar el canal interno de información con privacidad, seguridad y garantías procedimentales desde el diseño.
• Formar a dirección, mandos, personal y terceros críticos según su nivel de exposición.
• Medir la eficacia: auditorías, indicadores, revisión de incidentes, pruebas de controles y actualización periódica.

Conclusión

Un programa de compliance eficaz protege a la empresa, pero también a las personas que se relacionan con ella. Reducir el riesgo penal sin respetar privacidad, dignidad y garantías procesales sería una mala estrategia y un mal mensaje de cultura corporativa. La solución es integrar compliance, protección de datos, ciberseguridad y buen gobierno en un único modelo proporcionado, verificable y adaptado a la realidad de la organización.

Este contenido es informativo y no sustituye el análisis jurídico individualizado de una organización, su sector, sus procesos, sus contratos y los hechos concretos que puedan producirse.

#sipylopd #SIPY