La denuncia de irregularidades y el RGPD: lecciones aprendidas de nuestro trabajo en 

Grecia 

Por MD Brainnovation, Manos Dimogerontakis 

En MD Brainnovation trabajamos principalmente como consultores de cumplimiento del RGPD. Desde que Grecia aprobó la Ley 4990/2022, gran parte de ese trabajo ha consistido en ayudar a las empresas a establecer y revisar sus canales de denuncia. Pronto nos dimos cuenta de que la mayoría de las cuestiones más complejas no tienen nada que ver con la legislación sobre denuncias. Tienen que ver con los datos personales. En este artículo compartimos lo que hemos aprendido a lo largo del camino, desde nuestra perspectiva. 

El punto de partida, la Directiva (UE) 2019/1937 y la ley griega que la transpone, se basan ambas en el RGPD. La identidad del denunciante debe permanecer en manos de las personas autorizadas para gestionar la denuncia. Los datos que sean claramente irrelevantes no deben conservarse. Las denuncias deben almacenarse solo durante el tiempo que sea necesario. La Ley 4990/2022 añade que las empresas con 50 o más empleados deben nombrar a un responsable de recepción y seguimiento de denuncias (Υ.Π.Π.Α.), y permite ciertas limitaciones a los derechos de los interesados cuando estos pongan en riesgo al denunciante o a la investigación. Sobre el papel, esto está claro. En la práctica, hay cuatro cuestiones que surgen una y otra vez. 

Lección 1: Empresas del grupo y transferencias de datos  

Muchos de nuestros clientes son filiales griegas de grupos internacionales. El grupo suele disponer ya de una línea directa global, a menudo gestionada por un proveedor externo, en la que las denuncias se revisan en la sede central. La reacción natural es integrar a la empresa griega en ese sistema y dar por zanjado el asunto. Eso puede funcionar, pero requiere más reflexión de lo que la mayoría espera. La empresa griega sigue siendo responsable de su propio canal, por lo que la solución del grupo debe cumplir los requisitos griegos, incluido el nombramiento de un responsable designado a nivel local. Cuando las denuncias se remiten a la empresa matriz, es necesario definir el papel de cada entidad: quién es el responsable del tratamiento, quién es el encargado del tratamiento y si existe un control conjunto. Y cuando la sede central o el proveedor de la plataforma se encuentran fuera del EEE, se requiere un mecanismo de transferencia, como las cláusulas contractuales tipo, y una evaluación de impacto de la transferencia. Lo que les decimos a los clientes es sencillo: tracen un mapa del recorrido real de una denuncia, desde el momento en que se presenta hasta que se cierra. Muy a menudo nadie lo ha hecho, y el propio mapa pone de manifiesto las lagunas. 

Lección 2: Solicitudes de acceso de las personas implicadas en una denuncia  

Tarde o temprano, alguna de las personas mencionadas en un informe presenta una solicitud de acceso en virtud del RGPD. A veces se trata de un deseo genuino de saber qué datos se conservan sobre ella. Otras veces, es un intento de averiguar quién la denunció. La legislación griega permite a la empresa restringir estos derechos para proteger al denunciante y la investigación. Sin embargo, hemos visto cómo algunas empresas interpretan esto como un permiso para denegar todo, y eso es un error. La restricción debe evaluarse caso por caso y documentarse. La persona afectada sigue teniendo derecho a acceder a los datos que le conciernen, siempre y cuando no se revele la identidad del denunciante ni se perjudique la investigación. En la práctica, esto implica una redacción cuidadosa, una justificación clara en el expediente y una respuesta dentro de los plazos establecidos por el RGPD. Nuestro consejo es preparar un breve procedimiento interno para estas solicitudes antes de que llegue la primera. La mayoría de los errores se producen al gestionarlas bajo presión. 

Lección 3: Anonimato y seudonimización 

Las denuncias anónimas parecen la opción más segura, y para el denunciante a menudo lo son. Para la organización, dificultan el seguimiento, ya que no hay nadie a quien pedir más detalles o a quien mantener informado. Las buenas plataformas resuelven esto con un buzón anónimo, de modo que el equipo encargado del caso pueda hablar con el denunciante sin saber quién es. Cuando se conoce la identidad del denunciante, recomendamos la seudonimización dentro del expediente. La identidad se mantiene separada, accesible únicamente para el responsable, y el expediente del caso funciona con un número de referencia. Esto limita el daño en caso de que el expediente se comparta o se filtre. Sin embargo, es importante recordar que los datos seudonimizados siguen siendo datos personales para la empresa que posee la clave, por lo que siguen aplicándose todas las obligaciones del RGPD. El mayor riesgo que vemos no es el nombre. Es todo lo que lo rodea: el departamento, las fechas, un detalle que solo una persona podría conocer. Antes de que cualquier resumen salga del equipo encargado del caso, alguien debería leerlo con una pregunta en mente: ¿podría esto identificar al denunciante? 

Lección 4: La EIPD no es opcional en Grecia 

A menudo nos preguntan si realmente es necesaria una evaluación de impacto relativa a la protección de datos para un canal de denuncia de irregularidades. En Grecia, la respuesta es sí. La lista de la Autoridad Helénica de Protección de Datos sobre las operaciones de tratamiento que requieren una EIPD (Decisión 65/2018, publicada en el Boletín Oficial 1622/10.05.2019) menciona expresamente el registro de personas en sistemas de denuncia de irregularidades como un ejemplo de tratamiento que puede impedir que las personas ejerzan sus derechos. Según dicha lista, el mero hecho de cumplir ese criterio basta para que la EIPD sea obligatoria. Según nuestra experiencia, la EIPD es también el documento más útil de todo el proyecto. Obliga a la empresa a responder a las preguntas anteriores: adónde van los datos, quién los ve, cuánto tiempo se conservan y cómo se gestionarán las solicitudes de ejercicio de derechos. Debe realizarse antes de que el canal entre en funcionamiento y revisarse cada vez que cambie la plataforma, el proveedor o la estructura del grupo. 

Reflexiones finales 

Un canal de denuncia solo funciona si la gente confía en él. Si los empleados creen que se revelará su nombre, guardarán silencio, independientemente de lo que diga la ley. Desde nuestra perspectiva como consultores en protección de datos, cumplir correctamente con el RGPD es la forma de generar esa confianza, y es algo en lo que todas las organizaciones pueden empezar a trabajar ya. 

Fuentes 

• Directiva (UE) 2019/1937 relativa a la protección de las personas que denuncian 

• de infracciones del Derecho de la Unión 

• Reglamento (UE) 2016/679 (RGPD) 

• Autoridad Helénica de Protección de Datos, Decisión 65/2018, lista de evaluaciones de impacto relativas a la protección de datos (EIPD) con arreglo al artículo 35, apartado 4, del RGPD 

• EY Grecia, Alerta jurídica sobre la Ley 4990/2022 

• Zepos & Yannopoulos, nota sobre la Ley 4990/2022