Si el informante ha decidido desistir de su comunicación una vez presentada en el canal interno de la organización, ¿debe conllevar su archivo inmediato?, ¿podemos seguir investigando sin contar con la colaboración de la víctima o alertador de los hechos?, o yendo más allá, ¿está acaso habilitado el Responsable del Sistema Interno de Información para seguir con su tramitación sin contar con el respaldo del informante?
Ante esta encrucijada que pueden encontrarse los distintos profesionales que han asumido el rol de Responsable del Sistema Interno de Información (en adelante, RSII), veamos cómo se encuentra regulado en la legislación aplicable así como los posibles pasos a seguir en este tipo de situaciones.
En primer lugar, ¿Qué se entiende por desistimiento? Se debe entender el acto de desistir, como aquel por el cual el informante abandona, renuncia o se desentiende de los hechos reportados, y que ya pueden estar siendo gestionados, y/o investigados, por el RSII o la Autoridad Independiente de Protección al Informante (en adelante, AAI).
En este sentido, ni la Ley de Protección al Informante ni ninguna otra norma nacional o buenas prácticas (ISO/UNE), prevén el presente supuesto de hecho de manera expresa.
La falta de regulación expresa no es el principal obstáculo que podemos encontrar en este tipo de situaciones. La dificultad se acentúa en el desistimiento de aquellas casuísticas relacionadas con relaciones personales y/o conductas inapropiadas de carácter personal (tanto de índole ético, laboral o penal).
En este sentido, la Ley de Protección al Informante en su artículo 35 establece expresamente que quedan excluidas de medidas de protección aquellas informaciones vinculadas a reclamaciones sobre conflictos interpersonales o que afecten únicamente al informante y a las personas a las que se refiera la comunicación o revelación. Ahora bien, ¿Qué se entiende por conflicto interpersonal?
Ni la Directiva Whistleblowing ni Ley de Protección al Informante definen las conductas que se incluyen en el concepto “conflictos interpersonales”, provocando cierta desorientación en determinados ilícitos que pueden subsumirse en esta categoría, en especial por su relación con los delitos de acoso sexual y contra la integridad moral.
Así las cosas, ¿se debe archivar de manera automática una comunicación relativa a conductas que pudieran estar ligadas a conflictos interpersonales por el canal interno de información? Se sugiere cautela. En estos casos es esencial no tomar decisiones precipitadas, pues en un primer vistazo nunca se sabe lo que se puede encontrar.
Delitos de acoso sexual y contra la integridad moral ¿Es posible continuar la investigación sin colaboración de la víctima?
Una adecuada función de Compliance, o aquel rol que esté designado como RSII, deberá tener presente las ventajas de una investigación frente a un archivo precipitado.
Muchas veces este tipo de situaciones ligadas a conflictos interpersonales pueden estar estrechamente ligadas a conductas delictivas que merecen atención y que sí están sujetas por la Ley de Protección al Informante e incluso generan responsabilidad penal para las personas jurídicas (como son los delitos de acoso sexual y contra la integridad moral).
Hemos visto que los conflictos interpersonales se encuentran aparentemente fuera del ámbito de aplicación de la Ley de Protección al Informante. Sin embargo, la fina línea que puede existir entre los conflictos personales y algunos tipos penales no resuelve esta cuestión de manera pacífica para su eventual tramitación.
Así, no es descabellado preguntarse internamente desde la función de Compliance si este tipo de comunicaciones necesitan de la acción y deseo expreso del informante en la búsqueda de su remediación, como sí pasa en situaciones similares en el ámbito procesal penal con, por ejemplo, en delitos perseguibles a instancia de parte, salvo casos de interés público que decida continuar de oficio el Ministerio Fiscal (artículo 105 Ley de Enjuiciamiento Criminal española).
Sin embargo, desde la perspectiva de Compliance en este tipo de situaciones, debería sonar con fuerza el eco del concepto de diligencia en la función de Compliance y sus labores intrínsecas de investigación de oficio en caso de incumplimientos relacionados con las normas y valores corporativos.
Posibles inconvenientes del desistimiento en materia protección de datos
Otra de las encrucijadas a las que eventualmente puede enfrentarse el RSII es la legitimidad y base jurídica del tratamiento de los datos personales frente al desistimiento de la denuncia por parte del informante.
En este sentido, en la exposición de motivos de la Ley de Protección al Informante, se prevé la disponibilidad de “renuncia expresa” por parte del informante a no recibir comunicaciones posteriores por parte del RSII o AAI, y por lo tanto, ni participar en la tramitación posterior ni utilizar con dicha finalidad sus datos personales.
Recientemente se ha planteado ante Gabinete Jurídico (Resolución 0077/2023) de la AEPD, la legitimidad del tratamiento de datos personales del informante frente la gestión e investigación de hechos mediante el Sistema de Información Interna de Información, cuando los mismos no se encuentran relacionados ni vinculados con las infracciones del ámbito material de la Ley de Protección al Informante (art. 2).
No obstante, dicha resolución dilucida cualquier duda respecto la legitimidad del tratamiento indicando que se podrá considerar oportuno el uso de dichos datos personales siempre y cuando la base jurídica del tratamiento pueda encuadrarse en las casuísticas establecidas en el art. 6 RGPD.
Por otro lado, cabe remarcar el papel clave del Data Privacy Officer de la organización, que debe prestar estrecha colaboración con el RSII en el ejercicio de sus funciones, para valorar conjuntamente las circunstancias que envuelven dicha comunicación, y si se dispone la opción de proseguir con la investigación pese al ejercicio de su derecho de supresión a través de la retirada del consentimiento de tratamiento de datos personales mediante el desistimiento.
Asimismo, se debe prestar atención a las diferentes circunstancias que envuelven la finalidad y base jurídica del tratamiento de los datos personales en el Sistema de interno de Información.
En primer lugar, en el momento de envío de la comunicación la base del consentimiento se presta con la finalidad específica de poder tratar los datos en el proceso de recepción y gestión de comunicaciones, y eventualmente ante el posterior proceso de investigaciones internas (art.6.1.a del RGPD).
Seguidamente, el responsable está legitimado para tratar dichos datos para el cumplimiento de eventuales obligaciones legales (art.6.1.c del RGPD). Esto sería denuncias que incluyeran hechos relevantes relacionados con la comisión de delitos contemplados en el Código Penal, infracciones relacionadas con el Derecho de la Competencia, infracciones contra el Derecho Laboral, entre otros.
En este sentido, pese al desistimiento, el RSII, desde la perspectiva de la normativa de protección de los datos personales, podría seguir con la investigación al respecto.
Además, si observamos el art. 6.1.f del RGPD se deduce el entendimiento que la organización, y en nombre de esta el RSII, está legitimado al tratamiento de los datos personales siempre y cuando tuviera el deber de hacer prevalecer intereses legítimos de la misma organización o de terceros.
En este sentido, se desprende de este interés legítimo la necesidad de verificar la eficacia de procesos internos de la organización para la eventual detección de infracciones en la misma, y en este sentido proteger la integridad de la Organización.
Así las cosas, debemos contemplar a lo anteriormente expuesto, que en caso de tratar con datos personales de categorías especial (raza, orientación sexual, ideología política, religión, datos de sanitarios, entre otras) debemos contemplar las disposiciones incluidas en el art. 9.2.a del RGPD. Y en todo caso, prestar atención a las disposiciones del art. 32 de la Ley de Protección al Informante sobre el tratamiento de los datos personales en el Sistema Interno de Información.
Con todo ello, se desprende de dicha regulación el derecho a retirar el consentimiento en cualquier momento por parte del informante. No obstante, la retirada del consentimiento podría no afectar a la legitimidad ni legalidad de la continuidad del proceso de investigación interna, siempre y cuando, se dieran las circunstancias que lo justifiquen, como por ejemplo, las anteriormente expuestas.
Algunas conclusiones prácticas
Tras lo expuesto, podemos retomar las principales cuestiones prácticas que quedan en el aire en los casos de desistimiento.
¿Existe obligación del RSII a seguir con la investigación interna frente al desistimiento del informante?
Como hemos visto, la legislación no regula esta casuística específica. No obstante, y desde una perspectiva de cultura de Compliance, tanto de la eficacia del Modelo de Compliance penal como en términos de diligencia debida del RSII y del Órgano de Compliance penal, no se entendería no continuar con las labores de investigación con carácter de oficio ante este tipo de comunicaciones, siendo cuestión separada las medidas de apoyo que recoge la Ley de Protección al Informante a las que pudiera acceder el informante.
¿Cómo debería reaccionar el RSII ante el desistimiento del informante?
Como hemos visto, esta circunstancia tampoco queda recogida de manera expresa en la normativa vigente a estos efectos. Sin embargo, partiendo de un ejercicio de razonabilidad y diligencia en sus funciones, este desistimiento debería siempre quedar documentado y firmado por el informante (verificando la identidad si se considera oportuno, en el caso de presentarse mediante medios telemáticos), así como debidamente archivado y custodiado en el libro-registro por parte del RSII.
Además, el RSII debería de comprobar que, en la medida de lo posible, dicho acto se ha prestado libre, voluntario y conscientemente por el informante, es decir, cuya motivación no responda a acciones intimidatorias o presiones por agentes externos.
¿Y si el desistimiento suscitara la sospecha de una potencial comunicación de mala fe?
Como hemos visto, es legítimo y oportuno, desde el ejercicio de la diligencia debida del RSII, optar a investigar de oficio y verificar si las alegaciones que el informante que desiste en el desarrollo de las diligencias de investigaciones, eran conscientemente fraudulentas por el informante, es decir, presentadas intencionalmente a sabiendas de su falsedad (mala fe).
En ese caso, pese al desistimiento, el RSII debería valorar la eventual necesidad de activar aquellas medidas disciplinarias proporcionadas previstas en la Política y/o procedimiento de gestión de informaciones recibidas que regulan el Sistema Interno de Información según la gravedad de la información fraudulenta reportada.
