Con la reciente aprobación de la Ley Orgánica 5/2010, de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, se han introducido en nuestra legislación novedosas reformas, entre las cuales destaca por cualidad e importancia la incorporación de la tan controvertida responsabilidad penal de la persona jurídica. A raíz de ella, el artículo 31 bis del Código Penal establece, entre otras cosas, la responsabilidad de las empresas en el caso de no ejercer el debido control sobre sus empleados, si dichos empleados cometen algún tipo delictivo por cuenta y en provecho de la empresa. La medida para que dicho control se haga efectivo y pueda probarse en la práctica son los llamados compliance o programas de cumplimiento, que no son más que una referencia documental sobre los posibles riesgos penales de la empresa en cuestión y la identificación de los oportunos controles para prevenirlos, a grandes rasgos. Dada la relevancia que pasan a protagonizar con la nueva regulación los empleados de las empresas, los mismos deben estar convenientemente formados sobre los principios de actuación que deben llevar a cabo en el seno de su empresa, los cuales no consisten solo en no cometer delitos, sino en prevenir su comisión mediante la denuncia de las prácticas ilícitas que detecten en la entidad por parte de sus compañeros (de la jerarquía que fueren). Es decir, deben denunciar las actuaciones que piensen que pueden integrar un tipo delictivo. Para ello, es necesario establecer en los programas de cumplimiento, así como garantizar en la práctica la protección de dichos denunciantes. Es la llamada Whistleblower Protection (W.P.)
El sistema de Whistleblower Protection o protección de denunciantes tiene una importancia muy significativa en los llamados “programas de cumplimiento” . La persona que detecte que dentro de la Compañía se está realizando un hecho ilícito, ha de tener la posibilidad de denunciar tales actuaciones sin temor ante posibles represalias derivadas de su denuncia.
Desde 1989, con la Whistleblower Protection Act, se vienen estableciendo medidas de protección ante los denunciantes. En ese caso, empleados públicos del Gobierno Federal y de las Agencias Federales. Una posible forma de protección -empleada en Australia y en leyes estadounidenses como la No Fear Act y la Sarbanes-Oxley Act, ambas de 2002- pasa por imponer sanciones penales a los empresarios que toman algún tipo de represalia contra sus empleados informantes.
Según refieren algunos autores, el auge de los W.P. se sitúa en la década de 1960 y su irrupción está muy vinculada con el movimiento de defensa de los derechos civiles, la desilusión ciudadana ante la guerra del Vietnam y el Watergate y la incapacidad de las empresas y la administración para contener los nuevos riesgos de la tecnología y la industria. En 2002 la revista Time otorgó la condición de “personajes del año” a tres whistleblowers: los de los casos Enron, WorldCom y FBI.
Por nuestra parte, en España, la protección de los denunciantes no es algo que haya surgido a raíz de la reciente reforma legislativa del Código Penal. Por poner un ejemplo concreto, La Ley 10/2010, en su artículo 30, establece con el título de “Protección e idoneidad de empleados, Directivos y Agentes” un sistema adecuado de protección de whistleblowers. Por su parte, el artículo 18 establece un sistema de comunicación directa entre el empleado y el Sepblac.
Derivando a la práctica concreta, para que la protección de los denunciantes se haga efectiva, en el programa de cumplimiento debe constar un mecanismo de comunicación que permita la remisión de las denuncias al órgano correspondiente con garantías de protección del denunciante. Asimismo, debe contener un Protocolo de Actuación en caso de detección de irregularidades. De esta forma, si no está creado, ha de nombrarse un órgano encargado de recibir las denuncias de los empleados, en el marco de un sistema interno que permita que los trabajadores se dirijan de forma confidencial a los responsables de dicho órgano de cumplimiento normativo. Por ejemplo, las empresas españolas emisoras de valores en Estados Unidos, sometidas a la Ley Sarbanes Oxley, remiten las denuncias en materia de contabilidad y auditoría directamente a la Comisión de Auditoría.
La política de protección de los denunciantes requiere, por tanto, que los empleados se dirijan a dichos responsables directamente, y solo a ellos, sin tener que reportar anteriormente a ningún superior ni jefe directo (política de open door o puerta abierta). Asimismo, requiere protección de la identidad. Se ha de garantizar que la identidad del denunciante no será conocida al investigarse los hechos denunciados, en fases posteriores a la denuncia. Ello puede lograrse permitiendo que la denuncia se haga de forma anónima o asegurando su confidencialidad.
El canal de comunicación entre denunciante y órgano de cumplimiento normativo ha de ser directo, para ello hay que facilitar el canal de comunicación, proporcionando todos los datos de contacto de la Dirección de cumplimiento, para que el contacto sea fácil. Dicha vía ha de establecerse expresamente en el Programa de Cumplimiento, en el que debe constar un canal de denuncias específico (que puede denominarse de dicho modo o de otro -buzón de denuncias, por ejemplo-, etc). En el apartado correspondiente a dicho canal de denuncias tiene que figurar de forma detallada el modo/s de remisión de los que dispone el denunciante. No solamente debe figurar en el programa de cumplimiento, también ha de constar en el Código de Conducta o Código Ético, en el Manual de Prevención de Riesgos Penales que debe estar a disposición de los empleados, en la intranet de la empresa y en el documento de formación. Así lo recomienda el documento de la FDIC: “Fraud Hotline, Guidance on Implementing a Fraud Hotline”.
En España, la Agencia Española de Protección de Datos (APD), como consecuencia del Dictamen 1/2006 sobre la aplicación de las normas de la UE relativas a la protección de datos a programas internos de denuncia de irregularidades en los campos de la contabilidad, controles contables internos, asuntos de auditoría, lucha contra el soborno, delitos bancarios y financieros de 1 de febrero de 2006, aprobó una consulta sobre “Creación de sistemas de denuncias internas en las empresas (mecanismos de whistleblowing)”, que supone un límite importante a la protección de los whistleblowers, y nos sitúa en un plano inferior de garantía que otros países. Este límite se traduce en obligar a que los ficheros de denuncias se inscriban en la Agencia de Protección de Datos, y en garantizar que los empleados puedan acceder a los mismos y modificarlos. Entre los puntos que establece la Consulta, se establece. (i) la necesidad de informar al denunciado, para que pueda ejercitar sus derechos de acceso, rectificación, cancelación y oposición; (ii) un plazo máximo de conservación de los datos relacionados con la denuncia que se limita como mucho a la tramitación del procedimiento judicial pertinente, de haberlo; y (iii) llama poderosamente la atención que se proscriba la remisión de denuncias anónimas. Aunque sí cabe, en cambio, garantizar la confidencialidad de la identidad del denunciante. El incumplimiento de lo establecido en dicha Consulta podría llevar aparejada la imposición de sanciones por la APD.
Todas estas medidas, pueden llevar a la inviabilidad al sistema de W.P. En España y en Europa, ya que las disposiciones jurídicas expresadas no van a ser las mismas que las de otras empresas establecidas en otros países, para las que va a ser más fácil afrontar los riesgos de cumplimiento.
La APD sostiene la necesidad de dichas medidas en la inexistencia en nuestro país de un deber jurídico para implantar los procedimientos de W.P. Sin embargo, desde el momento en que entró en vigor la Ley 5/2010, de 22 de junio, con la consecuente responsabilidad penal de la persona jurídica, establecer un efectivo programa de cumplimiento es ya un deber jurídico para las empresas, puesto que de su inexistencia se pueden derivar consecuencias tan drásticas como su clausura.
Para salvar estas imposibilidades y dificultades a las que, una vez más, nos enfrenta la APD, la Ley 10/2010, establece una norma de exclusión expresa, en su artículo 32.2.: “no será de aplicación al tratamiento de datos la obligación de información prevista en el artículo 5 de la Ley Orgánica 15/1999”.
Nunca habría que olvidar que los deberes jurídicos, en Derecho Penal, no parten únicamente del Derecho positivo. Y que los deberes personales de denuncia entran incluso dentro de ese Derecho Positivo, ya que tampoco deberíamos perder de vista que nuestros derechos tienen un correlativo deber.