La responsabilidad penal de las personas jurídicas en España no es una amenaza teórica. Los juzgados de lo mercantil y los tribunales penales han consolidado un cuerpo de doctrina que exige a la empresa —no solo a sus directivos— demostrar que contaba con un programa de prevención real y eficaz. Para una empresa industrial con cadenas de suministro complejas, contratos con la Administración y plantillas numerosas, la ausencia de un modelo de compliance penal es una exposición de primer orden. Este caso práctico muestra cómo abordamos ese proceso en una situación real.
Nuestro cliente era un grupo industrial del sector de equipos de fabricación con sede en el norte de España y plantas de producción distribuidas por varias Comunidades Autónomas. La plantilla superaba los trescientos trabajadores. La empresa operaba con contratos de suministro con varias administraciones públicas y mantenía relaciones con proveedores internacionales.
La dirección contactó con nosotros tras recibir una comunicación de la autoridad fiscal en el marco de una actuación inspectora. La comunicación no imputaba infracción penal directa, pero la empresa no disponía de ningún mecanismo formal de compliance. No existía canal de denuncias, ni mapa de riesgos penales, ni un órgano de vigilancia y control designado. El comité de dirección era consciente de que, ante cualquier escalada del procedimiento, la sociedad no podría acreditar haber adoptado medidas preventivas.
Esta situación es más frecuente de lo que cabría esperar. En nuestra experiencia asesorando a empresas industriales en España, la mayoría de las pymes con más de cien trabajadores carece de un programa de compliance estructurado y documentado, aun cuando llevan años sometidas a los riesgos que ese programa debe cubrir.
La legislación penal española reconoce la responsabilidad criminal de las personas jurídicas. El Tribunal Supremo ha consolidado la doctrina de que la empresa solo puede exonerarse o atenuar su responsabilidad si demuestra que, antes de la comisión del delito, contaba con un modelo de organización y gestión adecuado para prevenirlo.
Ese modelo debe cumplir requisitos verificables. No basta con un documento genérico. El Tribunal Supremo ha señalado de forma reiterada que el programa de compliance ha de ser concreto, actualizado y efectivamente implantado: ha de existir un órgano de vigilancia autónomo, un canal de denuncias accesible y un mapa de riesgos penales que refleje los riesgos reales de la actividad.
Para una empresa industrial, los riesgos penales más relevantes abarcan varias categorías. En primer lugar, los delitos contra la seguridad de los trabajadores, dado el entorno de riesgo físico de la planta. En segundo lugar, los delitos fiscales y de fraude en la contratación pública. En tercer lugar, la corrupción entre particulares y el cohecho, especialmente cuando hay relación con administraciones o con clientes del sector público. En cuarto lugar, los delitos relacionados con el blanqueo de capitales en las cadenas de suministro internacional.
El marco de protección de datos, regulado por el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD), añade una capa adicional de exposición. La empresa trataba datos de empleados, proveedores y clientes. La Agencia Española de Protección de Datos (AEPD) puede actuar con independencia del proceso penal. Un programa de compliance penal eficaz debe integrar, desde su diseño, las obligaciones de protección de datos para evitar que coexistan dos marcos de riesgo desconectados.
La dirección cometería un error grave si tratara la implantación del compliance como un proyecto puramente documental. El proceso requiere decisiones con implicaciones organizativas y, en algunos casos, contractuales.
La primera decisión es la designación del órgano de vigilancia y control. La legislación exige que sea autónomo respecto de los administradores. Puede ser un órgano interno —un comité de compliance— o un tercero externo. En el caso de este grupo industrial, la dirección optó por un modelo mixto: un responsable de compliance interno con dedicación parcial, supervisado por un comité externo independiente. Esa configuración permitía acreditar autonomía real sin añadir una estructura de coste desproporcionada.
La segunda decisión afecta al canal de denuncias. Desde la entrada en vigor de la normativa que traspone la Directiva europea de protección de denunciantes, las empresas con más de cincuenta trabajadores están obligadas a disponer de un canal interno. El canal debe garantizar confidencialidad y, cuando el denunciante lo solicite, anonimato. Para nuestra empresa cliente, el canal existente —un buzón de correo electrónico genérico— no cumplía esos requisitos. Fue necesario sustituirlo por una plataforma con cifrado y gestión independiente.
La tercera decisión es la aprobación del mapa de riesgos penales. El mapa no puede ser importado de una plantilla sectorial. Debe reflejar los procesos reales de la empresa: cadena de aprobación de pagos, relación con proveedores críticos, interacción con funcionarios públicos en los procedimientos de licitación, gestión de residuos industriales y condiciones de seguridad en planta. En este caso, el mapa inicial identificó doce tipologías de riesgo penal con presencia relevante en la actividad del grupo.
¿Cuánto tiempo requiere el proceso completo? La legislación no fija un plazo de implantación, pero la práctica de los juzgados de lo mercantil y los fiscales especializados indica que un programa aprobado pocos días antes de un hecho delictivo no será valorado como genuinamente preventivo. El asesoramiento temprano es, en ese sentido, la única estrategia con valor jurídico real. En este caso, desde el primer mandato hasta la aprobación del programa por el consejo de administración transcurrieron cuatro meses.
La integración no es opcional. Un programa de compliance que ignora la normativa de protección de datos deja expuesta a la empresa ante la AEPD con independencia de lo que ocurra en el ámbito penal.
El primer paso fue elaborar el registro de actividades de tratamiento. La empresa no disponía de un inventario actualizado de los tratamientos de datos personales que realizaba: nóminas, videovigilancia en planta, control de accesos biométrico, comunicaciones con proveedores internacionales. Cada uno de esos tratamientos requería una base legitimadora, un plazo de conservación y, en algunos casos, una evaluación de impacto.
El control de accesos biométrico merece mención específica. El uso de datos biométricos para el control de jornada requiere una base jurídica reforzada y, según los criterios de la AEPD, una evaluación de impacto previa a su puesta en marcha. La empresa había implantado el sistema sin realizarla. Fue necesario documentar la evaluación retroactivamente y revisar los consentimientos obtenidos de los trabajadores.
El protocolo de respuesta ante brechas de seguridad era inexistente. La notificación de una brecha a la AEPD debe realizarse en un plazo máximo de setenta y dos horas desde que la empresa tiene conocimiento de ella. Sin un protocolo definido, ese plazo es imposible de cumplir en la práctica. Elaboramos el protocolo, lo integramos en el programa de compliance y formamos al equipo de tecnología y al responsable de compliance en su aplicación.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el punto de partida ha sido el mismo: la empresa subestimaba el número de tratamientos que realizaba y sobreestimaba la eficacia de las medidas que creía tener implantadas.
La respuesta corta es: todos los que la legislación penal y la normativa de datos reconocen como circunstancias atenuantes o exonerantes.
Desde el punto de vista penal, un programa acreditado y efectivamente implantado puede fundamentar la exoneración de la responsabilidad de la persona jurídica o, al menos, una atenuación significativa de la pena. La diferencia entre una sanción simbólica y una multa que comprometa la continuidad del negocio puede depender, exclusivamente, de la existencia o inexistencia de ese programa.
Desde el punto de vista de la protección de datos, el registro de tratamientos, el protocolo de brechas y las evaluaciones de impacto son elementos que la AEPD valora expresamente a la hora de graduar las sanciones. La ausencia de estos elementos agrava la responsabilidad; su presencia, debidamente documentada, actúa como factor mitigador.
Un tercer riesgo, menos evidente pero igualmente relevante, es el reputacional. En los sectores industriales con contratos públicos, la apertura de un procedimiento penal o una sanción significativa de la AEPD puede comprometer la continuidad de esos contratos. El daño reputacional en ese contexto tiene consecuencias económicas que superan con frecuencia el importe de la propia sanción.
¿Existe algún riesgo en implantar el programa de manera apresurada? Sí. Un programa elaborado sin análisis real de los procesos de la empresa puede ser peor que no tener ninguno: genera una apariencia de cumplimiento que no resiste el escrutinio de un instructor judicial o de un inspector de la AEPD. En nuestra práctica, hemos intervenido en situaciones en las que la empresa disponía de un documento de compliance que nadie había leído, que no había sido aprobado formalmente por el órgano competente y que contenía referencias a actividades que la empresa ni siquiera realizaba.
El trabajo se estructuró en cuatro fases secuenciales, con hitos de aprobación al final de cada una.
La primera fase fue el diagnóstico. Realizamos un análisis de la situación de partida en tres dimensiones: exposición penal, cumplimiento en materia de datos y estado del canal de denuncias. El diagnóstico incluyó entrevistas con el consejero delegado, el director financiero, el director de recursos humanos y el responsable de tecnología. El resultado fue un informe de brechas que identificaba las carencias y las ordenaba por nivel de criticidad.
La segunda fase fue el diseño del programa. A partir del diagnóstico, elaboramos el mapa de riesgos penales, el código de conducta, las políticas internas de cumplimiento y el protocolo de respuesta ante brechas de datos. Diseñamos también el modelo de canal de denuncias y definimos el perfil y las funciones del órgano de vigilancia.
La tercera fase fue la implantación operativa. Apoyamos a la dirección en la aprobación formal del programa por el consejo de administración, en la designación del responsable de compliance y en la comunicación interna a los trabajadores. La formación fue obligatoria para todos los empleados con funciones de gestión o relación con proveedores y clientes.
La cuarta fase fue la revisión y el mantenimiento. Un programa de compliance no es un documento estático. Acordamos con la dirección un calendario de revisión anual y un mecanismo de actualización cuando se produjeran cambios en la actividad, en la plantilla o en el marco legal aplicable.
La actuación inspectora de la autoridad fiscal concluyó sin derivación penal. El programa de compliance, aunque se encontraba en fase de implantación cuando se recibió la comunicación inicial, fue presentado ante la autoridad como prueba de la voluntad de cumplimiento de la empresa. Esa presentación, aunque no determinante por sí sola, contribuyó a encuadrar el procedimiento en el ámbito administrativo.
La empresa dispone hoy de un programa de compliance penal formalmente aprobado, un canal de denuncias operativo y un registro de actividades de tratamiento actualizado. El protocolo de brechas ha sido activado en una ocasión desde la implantación, con notificación a la AEPD dentro del plazo de setenta y dos horas, sin que la agencia abriera procedimiento sancionador.
Las lecciones de este caso son aplicables a cualquier empresa industrial de tamaño similar.
¿Habría bastado con redactar unas cláusulas de privacidad en la web y añadir un apartado de conducta en el contrato de trabajo? No. Ese es el error de concepto más extendido en las empresas industriales que asesoramos: creer que con documentos genéricos se cubre la exposición penal y de datos. La AEPD y los tribunales penales examinan la sustancia del programa, no la existencia de un documento.
Nuestro enfoque parte siempre del diagnóstico real de la empresa. No utilizamos plantillas sectoriales como punto de partida: el mapa de riesgos penales se construye desde los procesos reales del cliente. El programa resultante es el que puede sostenerse ante un instructor judicial o ante un inspector de la AEPD, porque refleja lo que la empresa realmente hace y cómo lo hace.
Coordinamos el trabajo jurídico con el equipo de tecnología del cliente cuando la implantación afecta a sistemas de información, plataformas de canal de denuncias o tratamientos de datos de alta criticidad. Para actuaciones ante organismos reguladores o en el marco de procedimientos judiciales, colaboramos con abogados colegiados y procuradores en la jurisdicción correspondiente.
Nuestro equipo de protección de datos y compliance ha acompañado a empresas de sectores tan distintos como la industria pesada, la tecnología y el sector salud en procesos de implantación que han resistido el escrutinio regulador. En nuestra experiencia, los programas que funcionan son los que la dirección entiende, aprueba y comunica internamente como parte de la cultura de la empresa.
Si su empresa opera sin un modelo de compliance penal estructurado o si el programa existente no ha sido revisado en los últimos dos años, conviene evaluar la situación antes de que un procedimiento externo lo haga necesario. Le invitamos a plantear su caso a través de info@velardevidal.com. Le ayudaremos a comparar las opciones disponibles y a dimensionar el trabajo con criterios realistas.
La implantación de compliance penal conecta de forma natural con la gobernanza del dato, especialmente cuando la empresa trata categorías especiales de datos o utiliza sistemas de inteligencia artificial en sus procesos productivos. Los programas de cumplimiento también se relacionan con el área laboral cuando el canal de denuncias involucra conflictos entre trabajadores o cuando las políticas internas afectan a condiciones de trabajo. Estamos en disposición de coordinar el asesoramiento en ambas dimensiones.
Para empresas del ámbito sanitario o farmacéutico, el caso de implantación que describimos en el caso de implantación en el sector salud y farmacéutico ilustra las particularidades regulatorias de ese entorno y puede resultar de utilidad comparativa.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.