Protección de datos ante el buen gobierno
Las normas relativas al buen gobierno corporativo de las sociedades cotizadas tienen por finalidad establecer estándares y recomendaciones de organización interna y conducta, en aras de buscar y lograr una mayor eficacia, agilidad, responsabilidad y transparencia del gobierno de las empresas.
En España, cabe destacar en este sentido el informe aprobado hace ahora un año, en mayo de 2006, por el Grupo Especial de Trabajo sobre Buen Gobierno de las empresas cotizadas, que fue creado para asesorar a la Comisión Nacional del Mercado de Valores (CNMV). Este informe supuso la armonización y consolidación de las recomendaciones contenidas en los informes Olivencia (1998) y Aldama (2003), que constituyen los hitos de mayor importancia que preceden a la actual regulación.
Como parte integrante del informe, se elaboró un Código Unificado de Buen Gobierno de estas sociedades, en el que se recogen 58 recomendaciones dirigidas a los diferentes órganos de gobierno existentes o que pueden existir en las empresas.
De las recomendaciones del código unificado, cabe destacar la número 50, la cual establece que corresponderá a los comités de auditoría, con relación a los sistemas de información y control interno 'establecer y supervisar un mecanismo que permita a los empleados comunicar, de forma confidencial y, si se considera apropiado, anónima las irregularidades de potencial trascendencia, especialmente financieras y contables, que adviertan en el seno de la empresa'.
Esta recomendación viene a exigir a los comités de auditoría que procedan a implantar mecanismos para denunciar irregularidades, en principio relativas a los ámbitos financiero y contable, cuando las mismas puedan tener trascendencia no sólo para las propias sociedades, sino también para el mercado y el sistema financiero. Estos mecanismos son conocidos por el término anglosajón whistle-blowing.
Ahora bien, en la medida en que dichos mecanismos conllevan un tratamiento de datos personales, deberán ser observados los principios y obligaciones de la Ley Orgánica de Protección de Datos y normativa de desarrollo, siendo imprescindible que se garantice un adecuado tratamiento de los datos personales relativos tanto al denunciante como al denunciado. Entre otros aspectos, deberán ser tomados en consideración los siguientes:
'Desde la perspectiva del principio de calidad, será necesario determinar qué tipología de datos son estricta y objetivamente necesarios para investigar las presuntas irregularidades, así como garantizar la exactitud de los mismos. También cabría plantearse si es legítimo hacer uso de estos mecanismos para comunicar o denunciar irregularidades distintas de las que sean estrictamente de tipo financiero o contable. Por otro lado, deberá determinarse cuándo se entiende agotada la finalidad que justifica la recogida (en principio, una vez terminada la investigación a que haya podido dar lugar la denuncia) y, en consecuencia, proceder a cancelar los datos. En caso de denuncias falsas o infundadas, la cancelación debería ser inmediata.
'En cuanto al deber de información, especialmente deberá advertirse de las finalidades concretas del tratamiento de los datos, así como los terceros a quienes podrán ser revelados los datos y las circunstancias en que dicha revelación podrá tener lugar, entre otros aspectos.
'Deberá exigirse confidencialidad por parte de quienes intervengan en la gestión de los mecanismos y en la investigación de las denuncias. La confidencialidad tiene por finalidad evitar posibles represalias, si bien podrán darse situaciones en las que estará justificado el revelar la identidad de las personas involucradas (por ejemplo, si tiene lugar el inicio de un procedimiento administrativo o judicial).
'Respecto del ejercicio de los derechos, deberá posibilitarse que el denunciante pueda conocer si los datos que sobre él se manejan son exactos y, en caso contrario, proceder a su rectificación o cancelación. También habrá que analizar y justificar posibles excepciones.
'En caso de externalizarse, total o parcialmente, la gestión de los mecanismos de denuncia de irregularidades, deberá formalizarse dicha relación dando cumplimiento a los requisitos previstos para regular el acceso a datos por cuenta de terceros.
'Finalmente, respecto de las medidas de seguridad a adoptar, en la medida en que se pueda revelar información relativa a una infracción penal o administrativa, o relativa a servicios financieros, deberán ser adoptadas, como mínimo, las medidas de seguridad de nivel medio.
Por lo tanto, con el fin de cumplir las recomendaciones del código unificado sin incurrir en una vulneración de la normativa en materia de protección de datos personales, deberán ser tomadas en consideración estas implicaciones como paso previo a valorar y optar por la fórmula que mejor se adecúe a las circunstancias propias de la empresa.
Juan Carrasco Linares. Abogado del Departamento de Nuevas Tecnologías de Ecija Abogados