Cultura de cumplimiento frente a cumplimiento formal: análisis para empresas

Las empresas que operan en España en el marco regulatorio vigente se enfrentan a una disyuntiva que, con frecuencia, no se formula con suficiente claridad: la diferencia entre disponer de documentos de cumplimiento y tener un programa de cumplimiento real. El coste de confundir ambas realidades puede ser elevado. No solo en sanciones administrativas, sino en responsabilidad penal de los administradores, en pérdida de contratos y en daño reputacional que ninguna cláusula contractual puede reparar.

El marco regulatorio que obliga a ir más allá del papel

El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) constituyen el núcleo más exigente de la regulación de cumplimiento para la mayoría de las empresas españolas. Ambas normas no se limitan a establecer prohibiciones. Imponen una lógica de responsabilidad proactiva: la empresa debe ser capaz de demostrar que cumple, no solo de afirmarlo.

Esta lógica de accountability tiene consecuencias prácticas inmediatas. El registro de actividades de tratamiento, el análisis de impacto en tratamientos de riesgo elevado y la designación, cuando procede, de un delegado de protección de datos (DPO) son obligaciones cuya ausencia la Agencia Española de Protección de Datos (AEPD) puede detectar y sancionar sin necesidad de que se haya producido ningún incidente previo.

La normativa de compliance penal añade otra dimensión. Desde que la legislación penal española introdujo la responsabilidad de las personas jurídicas, los programas de prevención de delitos han pasado de ser una ventaja competitiva a ser un instrumento de defensa corporativa. Un modelo de organización y gestión – con sus protocolos, su canal de denuncias y sus controles – puede eximir o atenuar la responsabilidad penal de la empresa. Sin ese modelo, la organización asume un riesgo que sus administradores no pueden trasladar a nadie.

En nuestra experiencia asesorando a empresas en España, la principal debilidad no suele estar en la ausencia total de documentación. El problema recurrente es el desajuste entre lo que dice el manual y lo que ocurre en la operativa diaria. Ese desajuste es precisamente lo que investigan los inspectores y lo que valoran los tribunales.

¿Qué distingue la cultura de cumplimiento del cumplimiento formal?

La pregunta es más precisa de lo que parece. El cumplimiento formal es el conjunto de documentos, cláusulas y declaraciones que una empresa puede presentar ante una inspección. La cultura de cumplimiento es el estado en el que esos documentos reflejan fielmente cómo se toman las decisiones y cómo se tratan los datos y los riesgos en el día a día.

Tres criterios permiten distinguirlas:

• Apropiación interna: en una organización con cultura de cumplimiento, los responsables de área conocen sus obligaciones específicas y pueden aplicarlas sin necesidad de consultar al departamento legal en cada paso. El cumplimiento formal, en cambio, vive solo en el despacho del abogado o en la carpeta del responsable de calidad.
• Ciclo de actualización: los programas de cumplimiento real se revisan cuando cambia la operativa o la regulación, no cuando se acerca una auditoría. Las empresas con cumplimiento meramente formal acumulan versiones desactualizadas de documentos que ya no corresponden a ninguna realidad operativa.
• Respuesta al incidente: cuando se produce una brecha de seguridad, la empresa con cultura de cumplimiento activa un protocolo conocido, notifica a la AEPD en las setenta y dos horas que fija el RGPD y documenta las medidas adoptadas. La empresa con cumplimiento formal descubre, precisamente entonces, que su protocolo nunca se ha probado.

Este tercer criterio es el más revelador. Una brecha de datos es, en cierto modo, una auditoría involuntaria del programa de cumplimiento. Lo que ocurre en esas primeras horas – quién decide, quién notifica, qué se documenta – determina en gran medida la posición de la empresa frente a la AEPD y, en su caso, frente a los perjudicados.

¿Cómo afecta esta distinción a la responsabilidad penal de la empresa?

La responsabilidad penal de las personas jurídicas es uno de los ámbitos en los que la distinción entre cultura y formalidad tiene mayor impacto económico directo. La legislación penal española permite eximir a la empresa si disponía de un modelo de organización y gestión adecuado y si ese modelo fue implementado de forma efectiva antes de que se cometiera el delito.

El adverbio "efectivamente" es el núcleo del análisis judicial. Los tribunales no valoran la existencia de un documento. Valoran si ese documento fue adoptado genuinamente por los órganos de gobierno, si el canal de denuncias funciona, si los controles son razonables y si la empresa reaccionó con diligencia cuando detectó un riesgo.

Hemos asesorado con regularidad a empresas que disponían de un código ético firmado y un manual de compliance, pero cuyo canal de denuncias nunca había recibido una comunicación y cuyos controles internos no se habían auditado desde su implantación. Esa combinación – documentación sin funcionamiento – es la que menor protección ofrece en una investigación penal.

¿Qué necesita un programa de compliance penal para ser considerado efectivo? En términos generales, los tribunales y la doctrina jurídica consolidada en España destacan cuatro elementos: un mapa de riesgos actualizado, procedimientos de control específicos para cada riesgo identificado, un canal de denuncias accesible e independiente, y un órgano de compliance con autonomía real para investigar y reportar al consejo de administración.

Los plazos y decisiones críticos que la dirección debe gestionar

Una de las consecuencias prácticas de la distinción entre cultura y formalidad es que los plazos del cumplimiento real son más estrictos que los que la empresa suele planificar. Conviene que la dirección los tenga presentes como parte de su calendario de gobierno corporativo.

El plazo de setenta y dos horas para notificar una brecha de seguridad a la AEPD es quizás el más conocido, pero también el que mayor estrés operativo genera. Setenta y dos horas es un plazo extremadamente corto para una organización que no tiene un protocolo probado: hay que identificar el incidente, clasificarlo, evaluar el riesgo para los interesados, redactar la notificación y asegurarse de que la información es completa. Sin un procedimiento interno previo, ese plazo resulta casi imposible de cumplir con garantías.

El plazo de un mes para responder a los derechos de los interesados – acceso, rectificación, supresión, oposición, limitación y portabilidad – es otro indicador fiable del estado del programa. En nuestra práctica hemos observado que las solicitudes de acceso o supresión son las que mejor ponen a prueba si la empresa sabe realmente dónde están sus datos.

En el ámbito del compliance penal, el calendario de revisión del mapa de riesgos y de los controles no tiene un plazo legalmente fijado, pero la doctrina y los pronunciamientos judiciales apuntan a que revisiones anuales – o cuando se produzcan cambios estructurales en la empresa – son una práctica de referencia.

El canal de denuncias merece atención especial. La normativa española sobre protección de informantes ha reforzado la obligación de contar con un canal interno para empresas de cierto tamaño, y ha establecido garantías de confidencialidad y protección frente a represalias. Una empresa que no ha implementado este canal – o que lo tiene sobre el papel pero sin soporte técnico ni procedimiento de investigación – incumple simultáneamente la normativa de protección de informantes y debilita su posición en el marco del compliance penal.

¿Qué errores de diseño invalidan un programa de cumplimiento?

Tres errores de diseño se repiten con más frecuencia que cualquier otro en los programas que analizamos cuando una empresa ya ha recibido una inspección o una denuncia.

El primero es la desconexión entre el DPO o el responsable de compliance y los órganos de decisión. Un programa cuyo responsable no tiene acceso directo al consejo de administración o a la dirección general difícilmente puede prevenir los riesgos que nacen precisamente en las decisiones estratégicas: una nueva línea de negocio, una fusión, la adopción de una herramienta de inteligencia artificial para la gestión de recursos humanos.

El segundo es el alcance incompleto del registro de tratamientos. La creencia de que una cláusula de privacidad en la web ya cumple el RGPD es el mito más costoso que encontramos en empresas que nunca han tenido un acompañamiento jurídico en materia de protección de datos. El registro de actividades de tratamiento debe reflejar todos los tratamientos que realiza la organización – no solo los visibles al público –, incluyendo los que afectan a empleados, a proveedores y a cualquier dato personal gestionado internamente.

El tercero es la falta de evaluación de los proveedores que actúan como encargados del tratamiento. La normativa de protección de datos exige que las relaciones con encargados se formalicen mediante un contrato específico y que la empresa responsable verifique que esos encargados ofrecen garantías suficientes. En la práctica, muchas empresas tienen decenas de relaciones de este tipo – plataformas de recursos humanos, servicios en la nube, herramientas de marketing – sin ninguna formalización adecuada.

El coste comparado: invertir antes frente a reparar después

El análisis de coste-beneficio del cumplimiento proactivo frente al cumplimiento reactivo raramente se hace de forma explícita en las empresas medianas. Se suele percibir el compliance como un coste cierto frente a un riesgo incierto. Esa percepción es inexacta, y su corrección es uno de los argumentos que con más frecuencia usamos en nuestras reuniones con directores financieros y consejos de administración.

El coste de implantar un programa de protección de datos adaptado al RGPD y una política de compliance penal básica es un coste acotado, previsible y no recurrente en su mayor parte. El coste de gestionarlo a posteriori – cuando ya existe un expediente sancionador, una investigación penal o una reclamación de daños de un afectado – es indeterminado, urgente y con un impacto reputacional añadido que no aparece en ninguna cuenta de resultados pero que sí afecta a la renovación de contratos y a las relaciones con inversores.

Según datos de la Agencia Española de Protección de Datos, el número de procedimientos sancionadores tramitados por la AEPD ha crecido de forma sostenida en los últimos ejercicios. Este dato confirma que la regulación se aplica de forma efectiva y que la probabilidad de inspección no es marginal para sectores con tratamiento intensivo de datos: tecnología, salud, recursos humanos, comercio electrónico y servicios financieros.

La reforma que transpuso la Directiva europea sobre protección de informantes refuerza también el riesgo regulatorio para empresas que no han implantado sus canales de denuncia. La exposición no es solo ante la autoridad de protección de datos, sino ante la autoridad de supervisión del mercado financiero, la inspección de trabajo y, en última instancia, ante una eventual acción penal.

Cómo el asesoramiento temprano cambia la ecuación de riesgo

Hay una diferencia sustancial entre recibir asesoramiento jurídico cuando ya existe un problema y recibirlo en la fase de diseño del programa. Esta diferencia no es solo de coste, sino de alcance de lo que se puede conseguir.

Cuando acompañamos a una empresa en la fase de implantación, podemos diseñar el registro de tratamientos de forma que refleje fielmente la operativa real, incorporar el análisis de impacto en los proyectos que lo requieren antes de que arranquen, y asegurarnos de que los contratos con encargados del tratamiento y con clientes recogen las cláusulas que la normativa exige. En esa fase, el margen de maniobra es amplio y el coste es gestionable.

Cuando el asesoramiento llega porque ya ha habido una brecha, una inspección o una denuncia, el margen de maniobra se reduce drásticamente. Se puede trabajar para mitigar la sanción y para reforzar la posición procesal de la empresa, pero no se puede reescribir el pasado ni sustituir retroactivamente los controles que no existían.

Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el elemento que mayor impacto tuvo en la reducción del riesgo no fue el volumen de documentación generada, sino la comprensión real por parte de los equipos directivos de qué tratamientos realizaban, qué riesgos comportaban y qué protocolo debían seguir ante un incidente.

¿Cuál es el punto de partida razonable para una empresa que aún no ha formalizado su programa? En nuestra práctica, el diagnóstico inicial – una revisión sistemática de los tratamientos existentes, de los contratos en vigor con encargados y de la adecuación de los procedimientos internos – es el paso que permite dimensionar el trabajo necesario y priorizar las acciones con mayor impacto en la reducción del riesgo. Sin ese diagnóstico, la empresa no sabe exactamente qué le falta ni qué riesgo está asumiendo.

Elementos que debe incluir un programa de cumplimiento real

Un programa de cumplimiento no es un catálogo cerrado, pero hay elementos cuya ausencia es, en sí misma, un indicio de incumplimiento ante una inspección o una investigación. Los siguientes elementos son los que con mayor frecuencia se examinan:

• Registro de actividades de tratamiento: documento vivo que refleja todos los tratamientos de datos personales de la organización, su base legal, los plazos de conservación y las medidas de seguridad aplicadas.
• Análisis de impacto relativo a la protección de datos (AIPD): obligatorio para tratamientos de alto riesgo; recomendable en cualquier proyecto que implique nuevas tecnologías o tratamiento a gran escala.
• Contratos con encargados del tratamiento: todos los proveedores que acceden a datos personales en nombre de la empresa deben estar regulados mediante un contrato que cumpla los requisitos del RGPD.
• Protocolo de gestión de brechas: procedimiento interno que establece quién detecta, quién decide, qué se documenta y quién notifica a la AEPD y, en su caso, a los afectados.
• Canal de denuncias: sistema de comunicación interna que permite a empleados y colaboradores notificar conductas irregulares con garantías de confidencialidad y protección frente a represalias.
• Mapa de riesgos penales: identificación de los tipos delictivos que pueden cometerse en el ámbito de la actividad de la empresa, con los controles correspondientes asignados a responsables concretos.
• Formación periódica: los programas sin formación son papel. La documentación del proceso formativo es, además, un elemento que los tribunales valoran al evaluar la efectividad del modelo.
• Órgano de compliance: persona o estructura con funciones de supervisión, investigación y reporte al órgano de gobierno, con independencia funcional real.

Estos elementos deben estar cohesionados. Un canal de denuncias que no conecta con el órgano de compliance no funciona. Un protocolo de brechas que no establece responsabilidades concretas no se activa en el momento crítico. La coherencia interna del programa es tan importante como la exhaustividad de sus componentes.

Checklist de acciones prioritarias para la dirección

El análisis precedente puede condensarse en un conjunto de verificaciones que cualquier consejero delegado o director general debería poder responder antes de que llegue una inspección:

1. ¿Existe un registro de actividades de tratamiento actualizado que refleje todos los tratamientos reales de la empresa?
2. ¿Se han identificado los tratamientos de alto riesgo y se ha realizado el análisis de impacto correspondiente?
3. ¿Todos los proveedores con acceso a datos personales tienen firmado un contrato de encargo del tratamiento que cumple el RGPD?
4. ¿Existe un protocolo de gestión de brechas de seguridad probado, con responsables designados y un proceso claro para notificar a la AEPD en el plazo de setenta y dos horas?
5. ¿El canal de denuncias está operativo, es accesible para los empleados y garantiza confidencialidad?
6. ¿Existe un mapa de riesgos penales con controles asignados y un órgano de compliance con autonomía real?
7. ¿Se ha formado a los equipos en las obligaciones que les corresponden y se ha documentado esa formación?
8. ¿Se revisa el programa con periodicidad o cuando se producen cambios relevantes en la organización o la regulación?

Una respuesta negativa a cualquiera de estas preguntas no implica necesariamente una sanción inmediata, pero sí indica una exposición que conviene cerrar antes de que sea otro quien la detecte.

Servicios relacionados

El programa de protección de datos y compliance se articula de forma natural con otras prácticas de la firma. Las empresas que realizan operaciones de fusión o adquisición necesitan integrar la diligencia debida en materia de protección de datos y compliance como parte del proceso de revisión previa. Para sectores con tratamiento intensivo de datos, como el tecnológico o el sanitario, la adecuación al RGPD se entrelaza con la gestión del cumplimiento en el sector salud y farmacéutico, donde los riesgos regulatorios son especialmente elevados. Del mismo modo, las empresas emergentes que diseñan su modelo operativo en fases tempranas encuentran en el análisis de compliance para startups y venture capital un marco de referencia para anticipar las exigencias regulatorias antes de que la escala del negocio las amplifique.

Para una visión de conjunto de la práctica, puede consultar nuestra área de protección de datos y compliance, donde detallamos el alcance de los servicios y los perfiles de empresa a los que habitualmente asesoramos.