El sector salud y farmacéutico concentra, en un mismo espacio operativo, algunas de las obligaciones de cumplimiento más exigentes del ordenamiento jurídico español. Una empresa industrial de este sector trata datos de salud de elevada sensibilidad, opera en un entorno regulatorio de doble capa – normativa penal corporativa y normativa de protección de datos – y se relaciona con proveedores, distribuidores y organismos públicos cuyas conductas también pueden generar responsabilidad penal a la persona jurídica. Ignorar esa realidad no la neutraliza; la agrava.
Muchas organizaciones del sector perciben el compliance como un asunto de grandes corporaciones. La práctica de nuestra firma indica, sin embargo, que las empresas industriales de tamaño medio son las que acumulan mayor exposición relativa: su volumen de actividad es suficiente para atraer riesgo penal y regulatorio, pero sus recursos de cumplimiento son, con frecuencia, inversamente proporcionales a ese riesgo.
El primer nivel es el penal corporativo. La normativa penal española establece la responsabilidad de la persona jurídica por determinados delitos cuando no dispone de un modelo de organización y gestión adecuado para prevenirlos. Para una empresa industrial farmacéutica, los vectores de riesgo más frecuentes incluyen la corrupción entre particulares – especialmente relevante en la relación con médicos, centros sanitarios y organismos de compra pública –, el soborno de autoridades y funcionarios, el blanqueo de capitales, los delitos contra la salud pública y los delitos relativos a la propiedad industrial e intelectual.
El segundo nivel es el regulatorio-administrativo. El RGPD y la LOPDGDD exigen a cualquier empresa que trate datos personales de pacientes, empleados o usuarios de servicios de salud el despliegue de medidas técnicas y organizativas apropiadas, un registro de actividades de tratamiento, análisis de riesgos y, cuando proceda, evaluaciones de impacto. La autoridad de supervisión en España es la Agencia Española de Protección de Datos (AEPD), que tiene capacidad para iniciar procedimientos sancionadores de oficio o a instancia de parte.
Ambos niveles no operan de forma independiente. Un incidente de ciberseguridad que exponga datos de salud puede derivar simultáneamente en una brecha de seguridad notificable a la AEPD en el plazo de 72 horas y en la apertura de diligencias penales si el incidente revela ausencia de controles internos. La empresa que no ha implantado un programa articulado se enfrenta, en ese momento, a dos frentes abiertos al mismo tiempo.
El presente caso describe el proceso de implantación acompañado por Velarde & Vidal en una empresa industrial del sector farmacéutico con actividad en distribución de producto sanitario y fabricación de complementos nutricionales. La empresa contaba con entre cincuenta y doscientos trabajadores, operaba en varias comunidades autónomas y tenía relaciones comerciales recurrentes con clínicas privadas y con entidades del sistema público de salud.
Al inicio del proyecto, el diagnóstico reveló cuatro carencias estructurales:
Esta combinación no era inusual. En nuestra experiencia asesorando a empresas industriales en España, la ausencia simultánea de estos cuatro elementos es la situación de partida más frecuente, incluso en compañías con décadas de trayectoria.
La dirección de la empresa – en este caso, el consejo de administración con participación familiar – debía tomar tres decisiones estratégicas antes de iniciar cualquier implementación técnica.
La primera decisión era el alcance del modelo de prevención de delitos. Un modelo de compliance penal puede diseñarse con distintos niveles de robustez. El nivel mínimo comprende el mapa de riesgos penales, las políticas de actuación ante cada vector de riesgo identificado, la designación del órgano de cumplimiento y la formación inicial. El nivel avanzado incorpora procesos de debida diligencia (due diligence) sobre contrapartes, sistemas de control interno en los procesos de mayor riesgo y auditorías periódicas de cumplimiento. Para una empresa de este perfil, recomendamos un modelo de nivel intermedio-avanzado: suficiente para acreditar ante un juzgado que existía un programa genuino, pero calibrado para no suponer una carga operativa desproporcionada.
La segunda decisión fue la designación del órgano de cumplimiento. La normativa penal requiere que el órgano de supervisión del modelo tenga poderes autónomos de control. En empresas de esta dimensión, la solución habitual es la externalización parcial: un responsable de cumplimiento interno de dedicación parcial con apoyo externo especializado para las funciones de supervisión y actualización. Esta estructura garantiza la independencia que exige la legislación penal sin asumir el coste de una dirección de compliance a tiempo completo.
La tercera decisión afectaba a la adaptación al RGPD y al tratamiento de datos de salud. Los datos relativos a la salud son una categoría especial de datos personales que reciben protección reforzada bajo el RGPD. La empresa debía decidir si la base jurídica para ciertos tratamientos era el consentimiento explícito del interesado, la ejecución de un contrato o un interés legítimo, con todas las implicaciones que cada elección conlleva en términos de derechos ejercitables, plazos de respuesta y posibilidad de reutilización de los datos.
Los plazos críticos que la dirección debía interiorizar eran tres: el plazo de 72 horas para notificar brechas de seguridad a la AEPD desde que se tiene constancia de ellas; el plazo de un mes, prorrogable por dos adicionales, para responder a solicitudes de derechos de los interesados; y el deber – sin plazo fijo, pero con urgencia real – de solicitar el concurso o activar mecanismos de protección si los administradores conocen la existencia de riesgos penales no gestionados que podrían comprometer la responsabilidad personal.
La implantación se estructuró en cuatro fases con una duración total de aproximadamente seis meses. Describimos cada fase con el nivel de detalle que permite extraer conclusiones aplicables a otras empresas del sector.
Durante las primeras cuatro semanas se realizó un diagnóstico jurídico integral. Esto implicó el análisis de los flujos de datos, la revisión de contratos con proveedores y distribuidores, entrevistas con los responsables de las áreas de mayor riesgo – ventas, compras, recursos humanos y sistemas de información – y la revisión de los procedimientos internos existentes.
El resultado del diagnóstico fue un mapa de riesgos penales que identificó doce vectores de riesgo, de los cuales cuatro se clasificaron como críticos: la relación con médicos prescriptores, la participación en procesos de licitación pública, el acceso de terceros proveedores a sistemas con datos de salud y la gestión de representantes comerciales con márgenes de actuación discrecionales.
Con el mapa de riesgos aprobado por la dirección, se redactaron las políticas de cumplimiento específicas para cada vector crítico. Particular atención recibió la política de relaciones con profesionales sanitarios, que estableció un protocolo de acuerdo de confidencialidad (NDA) y límites precisos – cualitativos, no numéricos inventados – para la entrega de muestras, la financiación de eventos y las actividades de formación patrocinada.
El modelo incorporó un protocolo de debida diligencia para nuevos proveedores que acceden a datos de salud, un procedimiento de aprobación de operaciones fuera de los rangos habituales y un sistema de registro de decisiones relevantes de la dirección. Estos elementos son, en la práctica, los que determinan si un juzgado considera que el modelo es genuino o si es simplemente un documento de papel.
Paralelamente al diseño del modelo penal, se procedió a la elaboración del registro de actividades de tratamiento. Se identificaron diecisiete tratamientos distintos, incluyendo tratamientos de datos de empleados, datos de clientes profesionales y, en la línea de producto con mayor sensibilidad, datos de usuarios finales transmitidos a través de la plataforma de seguimiento post-venta del distribuidor.
Para los tratamientos de categorías especiales de datos se realizó una evaluación de impacto relativa a la protección de datos (EIPD). Esta evaluación documentó los riesgos para los derechos de los interesados y las medidas adoptadas para mitigarlos. Su valor no es solo regulatorio: ante una eventual investigación de la AEPD, la existencia de una EIPD demuestra que la empresa actuó de forma proactiva.
El protocolo de brechas de seguridad estableció tres niveles de clasificación de incidentes – bajo, medio y crítico – con flujos de escalado, responsables designados y plantillas de notificación a la AEPD. La regla operativa es simple: ante cualquier incidente que afecte a datos personales, el responsable de sistemas dispone de cuatro horas para clasificar el incidente y escalarlo al responsable de protección de datos. Ese responsable dispone de un margen reducido para decidir si el incidente es notificable antes de que expire el plazo de 72 horas.
La empresa implantó un canal de denuncias interno conforme a las exigencias de la normativa sobre protección del informante. El canal permite denuncias anónimas, garantiza la confidencialidad del denunciante y está gestionado por el órgano de cumplimiento con independencia de la línea jerárquica. El protocolo de gestión de denuncias establece plazos máximos de acuse de recibo, investigación interna y comunicación de resultados al denunciante.
La formación inicial abarcó a todos los empleados con acceso a datos de salud y a los responsables de las cuatro áreas identificadas como críticas en el mapa de riesgos. La formación no fue genérica: se diseñó con escenarios específicos del sector farmacéutico – visitas médicas, patrocinio de congresos, licitaciones públicas – para que los empleados reconocieran los supuestos de riesgo en su actividad cotidiana.
Esta es la pregunta que más nos plantean los directivos cuando analizan si acometer una implantación de este tipo. La respuesta no requiere especulación: la comparación entre el coste de un programa preventivo y el coste de gestionar una crisis sin ese programa es consistentemente favorable al primero.
Hemos acompañado a un grupo industrial del sector salud en la implantación de su modelo de compliance y protección de datos. El proceso se completó en los plazos previstos y, dos años después de la implantación, la empresa superó sin incidencias una inspección de la AEPD derivada de una denuncia de un exempleado. La existencia del registro de tratamientos, la EIPD documentada y el protocolo de brechas permitió acreditar el cumplimiento y cerrar el procedimiento sin sanción.
El contraste con empresas que llegan a nosotros tras el inicio de un procedimiento sancionador es significativo. En esos casos, el trabajo de asesoramiento se concentra en la fase defensiva: elaboración de alegaciones, negociación con la AEPD, posible recurso contencioso-administrativo. Ese proceso es más largo, más incierto y, en la mayor parte de los supuestos, de coste global superior al de la implantación preventiva.
¿Por qué, entonces, tantas empresas posponen la implantación? En nuestra experiencia, la razón principal no es el desconocimiento sino la percepción de que "hasta ahora no ha pasado nada". Esta lógica ignora que la ausencia de incidente pasado no reduce la exposición futura. El RGPD y la normativa penal no tienen umbrales de tolerancia por historial limpio.
El sector salud y farmacéutico presenta vectores de riesgo que no aparecen con la misma intensidad en otros sectores industriales. Un programa de compliance genérico, no calibrado para este entorno, tiene un valor limitado tanto ante la AEPD como ante un juzgado de lo mercantil.
El primer riesgo específico es la relación con profesionales sanitarios. La normativa sectorial farmacéutica regula con detalle qué tipo de beneficios pueden ofrecerse a médicos, farmacéuticos y otros profesionales de la salud. El incumplimiento de estas restricciones puede configurar un delito de corrupción entre particulares. El modelo de compliance debe reflejar estas reglas específicas y establecer controles auditables.
El segundo riesgo es la licitación pública sanitaria. Las empresas que concurren a licitaciones de servicios o productos para el sistema público de salud están sujetas a las reglas de contratación pública, pero también a los tipos penales de corrupción de funcionario y fraude en la contratación. El mapa de riesgos debe tratar estas operaciones como de máxima sensibilidad.
El tercer riesgo es la cadena de suministro digital. Muchas empresas industriales del sector han incorporado plataformas digitales de seguimiento de producto, telemetría de dispositivos médicos o sistemas de historia clínica parcial. Cada uno de estos sistemas implica tratamiento de datos de salud y, frecuentemente, transferencias de datos a proveedores tecnológicos ubicados fuera del Espacio Económico Europeo. Las transferencias internacionales de datos requieren garantías jurídicas específicas – cláusulas contractuales tipo, decisiones de adecuación u otros mecanismos aprobados por la Comisión Europea – cuya ausencia expone a la empresa a un riesgo regulatorio inmediato.
Si su empresa realiza o prevé realizar transferencias de este tipo, le recomendamos revisar también nuestra información sobre transferencias internacionales de datos, donde desarrollamos los requisitos y garantías aplicables conforme al RGPD.
El cuarto riesgo es la gestión de denuncias internas. El sector salud es uno de los ámbitos con mayor incidencia de denuncias internas relacionadas con conductas irregulares – falsificación de datos clínicos, declaración incorrecta de efectos adversos, manipulación de resultados de ensayos. Un canal de denuncias no operativo o que no garantiza la protección del informante puede agravar la responsabilidad de la empresa si el denunciante termina acudiendo a la autoridad competente o a los medios.
A modo de resumen operativo, presentamos los elementos mínimos que toda empresa industrial del sector salud y farmacéutico debe tener implantados para considerar que dispone de un programa de cumplimiento razonablemente articulado.
El trabajo descrito en este caso se enmarca en nuestra práctica de protección de datos y compliance, que integra el diseño e implantación de modelos de prevención de delitos, la adaptación al RGPD y la LOPDGDD, y la gestión de procedimientos sancionadores ante la AEPD. Las empresas del sector salud que abordan operaciones de adquisición o de desinversión encuentran habitualmente que el due diligence de compliance es un elemento determinante en la valoración: la existencia o ausencia de un programa articulado afecta al precio y a la estructura de garantías de la operación. Si está evaluando una operación de este tipo, puede consultar también nuestro análisis sobre el proceso de implantación de compliance penal en empresa industrial, donde desarrollamos la metodología con mayor detalle técnico.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.