La responsabilidad penal de la persona jurídica en España no admite ambigüedades: una empresa puede ser condenada si sus órganos de control no han desplegado un programa efectivo de prevención de delitos. Sin embargo, la obligación de implantar ese programa no recae por igual sobre todas las organizaciones. Algunas empresas están obligadas por imperativo sectorial; otras pueden optar por el cumplimiento de forma voluntaria. La diferencia entre ambas posiciones no es solo formal: condiciona la estrategia de implantación, los plazos de gestión y, en última instancia, la capacidad de la empresa para exonerarse o atenuar su responsabilidad ante un tribunal.
En España, la responsabilidad penal de las personas jurídicas existe desde la reforma del Código Penal aprobada hace más de una década. La lógica es clara. Si un delito se comete en beneficio o por cuenta de la empresa, y la organización no ha adoptado los controles necesarios para prevenirlo, el ente societario puede ser acusado, enjuiciado y condenado junto con la persona física autora del hecho.
La legislación penal no prescribe un modelo único de programa de cumplimiento. Sí establece, en cambio, los elementos cuya presencia o ausencia valorará el tribunal. Entre ellos figuran la identificación y evaluación de los riesgos penales, la existencia de un canal de denuncias, la formación del personal y la supervisión continua por parte de un órgano de vigilancia con autonomía real. La empresa que acredita haber implantado esos controles de forma efectiva puede aspirar a que su responsabilidad quede exonerada o, al menos, significativamente atenuada.
Esa es la regla general. A partir de ahí, la obligación de implantar programas de cumplimiento puede venir impuesta de forma específica por la regulación sectorial, con plazos y contenidos mínimos definidos por el legislador o por el supervisor del sector. Ese es el punto de bifurcación que define la comparativa que abordamos en este análisis.
La distinción tiene raíces normativas concretas. El compliance voluntario nace de la decisión autónoma de la empresa de implantar un programa de prevención de delitos con independencia de que ninguna norma sectorial lo exija. La motivación puede ser reputacional, puede responder a una exigencia de un inversor o grupo industrial, o puede derivar de la propia evaluación del riesgo jurídico-penal de la organización.
El compliance obligado por sector, en cambio, es el que imponen normas de desarrollo sectorial aprobadas por el legislador o el regulador. En el sector financiero y asegurador, en el de inversión colectiva, en el de servicios de pago y en el de defensa, entre otros, la normativa exige programas de cumplimiento con elementos concretos: manuales de prevención del blanqueo de capitales, sistemas de control interno, figuras de cumplimiento normativo (compliance officer), canales de denuncia regulados y procedimientos de reporte al supervisor.
La tabla siguiente resume los criterios de decisión fundamentales entre ambos modelos:
| Criterio | Compliance voluntario | Compliance obligado por sector |
|---|---|---|
| Origen de la obligación | Decisión autónoma de la empresa | Norma sectorial o regulación de supervisor |
| Plazos de implantación | Fijados por la dirección | Determinados por la normativa aplicable |
| Contenido mínimo exigible | Flexible; orientado por estándares y jurisprudencia | Prescrito; sancionable su ausencia directamente |
| Supervisión externa | Solo ante la vía penal (juez) | Supervisor sectorial con potestad sancionadora |
| Consecuencia del incumplimiento | Agrava la responsabilidad penal corporativa | Sanción administrativa + agravante penal |
| Efecto exonerador | Sí, si el programa es efectivo | Sí, pero la ausencia genera infracción autónoma |
| Flexibilidad de diseño | Alta: se adapta al perfil de riesgo propio | Limitada: sujeta a contenidos mínimos regulatorios |
| Coste relativo de no implantarlo | Exposición penal corporativa | Exposición penal + sanción administrativa directa |
La tabla ilustra una asimetría importante. La empresa sujeta a compliance obligado acumula dos capas de riesgo: la penal y la administrativa. La que opera en el ámbito voluntario solo se expone a la primera. Sin embargo, esa asimetría no debe llevar a la conclusión de que el compliance voluntario es menos urgente. La práctica de nuestra firma indica que las empresas que esperan a estar obligadas para actuar, cuando finalmente lo hacen, suelen partir de una situación de riesgo más elevada y con menor margen para atenuantes.
En el ámbito del cumplimiento normativo en España, la obligación sectorial alcanza con mayor intensidad a los sectores financiero, asegurador y de inversión; al sector de la defensa y seguridad; al sector sanitario y farmacéutico; a los operadores de infraestructuras críticas; y a aquellas empresas que prestan servicios de certificación, auditoría o notificación al regulador.
A esos sectores se añaden las entidades obligadas por la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo, que en España abarca un espectro mucho más amplio de lo que suele pensarse: inmobiliarias, notarías, gestorías, asesores fiscales y auditores, entre otros.
La protección de datos es un eje transversal. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) imponen obligaciones a prácticamente cualquier empresa que trate datos personales. La Agencia Española de Protección de Datos (AEPD) supervisa ese cumplimiento. En nuestra experiencia asesorando a empresas en España, la confusión más frecuente es la de asumir que una cláusula de privacidad en la web basta para cumplir con el RGPD. No es así. La adaptación al RGPD exige, entre otros elementos, un registro de actividades de tratamiento, un protocolo de brecha de seguridad que permita notificar a la AEPD en el plazo de 72 horas desde que se tiene conocimiento de la incidencia, y mecanismos de respuesta a derechos de los interesados en el plazo de un mes prorrogable a dos.
Las empresas tecnológicas, industriales y de salud con las que trabajamos habitualmente presentan un perfil mixto: están sometidas al RGPD de forma obligatoria, pueden estar sujetas a normativa sectorial adicional y tienen incentivos claros para ir más allá del mínimo legal con un programa de compliance penal voluntario.
El primer error de gestión que observamos en la práctica es el de confundir la implantación con la mera redacción de documentos. Un programa de compliance no es una carpeta de políticas; es un sistema vivo de controles que la dirección debe aprobar, el órgano de vigilancia debe monitorizar y el personal debe conocer y aplicar.
Las decisiones críticas que la dirección debe gestionar se articulan en tres momentos:
En el ámbito del compliance obligado por sector, los plazos los fija la normativa aplicable. En el voluntario, los plazos los fija la empresa, y ahí reside precisamente el riesgo: la ausencia de urgencia externa puede llevar a diferir decisiones que, ante una investigación penal, resultan determinantes.
La creencia de que "con una cláusula de privacidad en la web ya se cumple el RGPD" es una simplificación que puede salir cara. El registro de actividades de tratamiento, el protocolo de brechas y el modelo de compliance reducen no solo la probabilidad de sanción, sino también su cuantía en caso de que el regulador inicie actuaciones. Esa es la lección más repetida en los procedimientos que hemos acompañado.
La pregunta más directa que recibimos de las empresas es esta: ¿cuánto cuesta no tenerlo? La respuesta no admite una cifra exacta, pero sí una comparación cualitativa que resulta elocuente. El coste de implantar un programa de compliance estructurado es previsible, acotado en el tiempo y susceptible de planificación presupuestaria. El coste de gestionar una investigación penal, una sanción administrativa de la AEPD o una crisis reputacional derivada de una brecha de seguridad sin protocolo no es ninguna de esas cosas.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, el punto de partida ha sido el mismo: un diagnóstico honesto de la situación real de la empresa frente a sus obligaciones. Ese diagnóstico es lo que permite dimensionar el programa de forma proporcional al riesgo, evitando tanto la infra-implantación como el exceso burocrático que paraliza la operativa.
El asesoramiento temprano tiene, además, un efecto preventivo que va más allá del estricto cumplimiento normativo. Un programa bien diseñado mejora la trazabilidad de las decisiones internas, facilita la incorporación de nuevos directivos y accionistas, reduce el riesgo de litigios laborales derivados de incumplimientos del canal de denuncias y genera confianza frente a clientes institucionales y licitadores públicos que exigen acreditación de cumplimiento.
En materia de compliance penal voluntario, el momento óptimo para actuar es antes de que ningún hecho relevante haya ocurrido. La empresa que implanta su programa tras una investigación o una sanción puede hacerlo, pero ya no puede alegar anticipación como factor atenuante. La diferencia entre ambas posiciones puede ser, en la práctica, la diferencia entre una exoneración y una condena.
Si su empresa opera en un sector con obligaciones específicas, la urgencia es inmediata. Conviene verificar con la normativa vigente cuáles son los plazos aplicables a su actividad y qué elementos exige el supervisor correspondiente. Si opera en el ámbito voluntario, la ventana de actuación es más amplia, pero no indefinida: cada ejercicio sin programa de compliance es un año de exposición no mitigada.
La normativa de protección de los denunciantes, transpuesta en España, ha convertido el canal de denuncias en un elemento de cumplimiento obligatorio para las empresas que superan determinados umbrales de plantilla y para todas las entidades del sector público. Para el resto, su implantación es una señal inequívoca de seriedad en el programa de compliance.
Un canal de denuncias eficaz no es un buzón de correo electrónico anónimo. La normativa exige confidencialidad, plazos de respuesta, prohibición de represalias y un procedimiento de seguimiento documentado. La gestión inadecuada de las denuncias recibidas puede generar, paradójicamente, responsabilidad adicional para la empresa.
En la práctica del asesoramiento jurídico en materia de protección de datos y compliance, observamos que el canal de denuncias es el elemento del programa que más frecuentemente se implanta de forma incompleta: se crea el canal, pero no el procedimiento de gestión, no la formación del personal receptor y no la garantía de anonimato frente a represalias. Esa implantación incompleta puede ser más perjudicial que la ausencia, porque acredita conocimiento sin eficacia.
La protección de datos no es una isla dentro del compliance empresarial. Es una de sus capas más densas regulatoriamente y, al mismo tiempo, la que más frecuentemente se gestiona de forma desconectada del resto del programa de cumplimiento.
El RGPD y la LOPDGDD crean obligaciones que se superponen con las de la normativa penal. El delegado de protección de datos (DPD), cuando es obligatorio o voluntariamente designado, tiene funciones que en parte comparten naturaleza con las del officer de compliance. La brecha de seguridad que activa el protocolo de notificación a la AEPD en 72 horas puede ser al mismo tiempo el hecho desencadenante de una investigación penal si involucra acceso no autorizado a sistemas de información.
La sinergia entre ambas estructuras de cumplimiento es uno de los argumentos más sólidos a favor del asesoramiento integrado. Un programa de compliance que no incorpora la dimensión de protección de datos, o que la delega en un servicio externo desconectado del resto, genera lagunas que el regulador y los tribunales identifican con relativa facilidad. La referencia al análisis sobre la AEPD y el coste de los incumplimientos permite comprender la magnitud económica y reputacional de esas lagunas.
Las empresas que ya han afrontado un procedimiento ante la AEPD nos trasladan invariablemente la misma conclusión: el coste del procedimiento en términos de tiempo directivo, recursos de respuesta y eventual sanción supera ampliamente el coste de la implantación previa que lo habría evitado o mitigado.
El sector inmobiliario y el de la construcción merecen una mención específica en este análisis comparativo. Son sectores en los que la obligación de compliance adopta una dimensión doble: la general de la legislación penal para personas jurídicas y la específica derivada de las obligaciones en materia de prevención del blanqueo de capitales, que alcanza a inmobiliarias, promotores y determinados intermediarios.
A esa doble capa se añaden los riesgos propios del sector en materia de corrupción urbanística, delitos medioambientales y fraudes en la cadena de contratación. Los programas de compliance en este sector no pueden limitarse al mínimo documental; deben contemplar los riesgos operativos propios de la actividad, incluidos los que se derivan de la contratación con terceros y de la gestión de licencias y autorizaciones administrativas.
El análisis detallado de cómo opera el compliance penal voluntario en el sector inmobiliario y de la construcción ilustra con precisión hasta qué punto la implantación sectorializada de un programa de cumplimiento permite reducir la exposición en los puntos de mayor riesgo de la actividad.
Con independencia de si el programa es voluntario u obligado por sector, los elementos cuya presencia el tribunal y el regulador valorarán son sustancialmente los mismos. La diferencia está en los contenidos mínimos exigibles y en los plazos de implantación. El siguiente checklist recoge los componentes fundamentales:
Ninguno de estos elementos, por sí solo, garantiza la exoneración. Todos ellos, en conjunto y funcionando de forma efectiva, son los que la jurisprudencia del Tribunal Supremo ha identificado como los indicadores de un modelo de organización y gestión genuinamente comprometido con la prevención.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.