De conformidad con la normativa vigente sobre protección de datos de carácter personal aplicable (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE – el Reglamento General de Protección de Datos o RGPD-), la normativa vigente sobre canales de denuncias y protección del informante (Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión – la Directiva (UE) 2019/1937 –), la legislación nacional sobre ambas materias y la doctrina desarrollada por las autoridades de control competentes en este sentido, se informa que los datos personales que pudieran recabarse en el contexto del presente Sistema Interno de Información se tratarán de conformidad con las siguientes consideraciones:
Corresponsables de tratamiento
Los datos personales del informante (en caso de que revele su identidad), del denunciado, de cualesquiera otros sujetos mencionados en la comunicación o de las personas entrevistadas en el marco de la eventual investigación posterior, serán tratados por AZ Capital, S.A. (en adelante, la “Sociedad”) con domicilio social en calle Fortuny, 6, 28010, Madrid, España, y actuando como corresponsables del tratamiento.
Finalidades de tratamiento y bases legales
Los datos personales serán tratados exclusivamente para el cumplimiento de las obligaciones legales requeridas por la legislación aplicable en materia de Sistema Interno de Información y protección del informante y en particular para (i) valorar las comunicaciones o informaciones recibidas a través del Sistema Interno de Información, (ii) llevar a cabo las investigaciones internas que sean necesarias, (iii) implementar las medidas correctoras que resulten oportunas en cada caso y (iv) dejar constancia del funcionamiento y efectividad del Sistema de Información y del Programa de Cumplimiento Normativo de la Sociedad.
De este modo, la base de legitimación para el tratamiento de los datos recibidos a raíz de una comunicación o en el marco de una investigación interna posterior es el artículo 6.1.c) del RGPD, es decir, el tratamiento es necesario para el cumplimiento de los requerimientos legales relacionados con el Sistema Interno de Información, de conformidad con la legislación aplicable en materia de canal de denuncias y protección del informante antes referenciada.
Además, en el caso de que algún interesado solicite realizar su comunicación verbalmente (mediante una entrevista personal, sistema de mensajería de voz o, en su caso, línea telefónica) el tratamiento de los datos personales también se basará en su consentimiento para la transcripción de la conversación, la cual podrá ser en todo caso comprobada, rectificada y aceptada mediante la firma del interesado, o para grabación de la misma siempre y cuando se utilice para ello mecanismos que dispongan de las garantías y medidas de seguridad adecuadas.
Datos tratados
A continuación, se enumeran a título ilustrativo, pero no limitativo los datos personales que pueden ser tratados para llevar a cabo las finalidades descritas anteriormente:
- Identidad, rol, funciones y datos de contacto de denunciantes, denunciados, otros afectados y personas entrevistadas.
- Hechos denunciados y datos personales relacionados con los mismos.
- Cualquier evidencia relacionada con los hechos denunciados.
- Informes de investigación.
- Datos obtenidos durante la realización de entrevistas.
Los datos serán obtenidos por medio de la propia comunicación o en el marco de la eventual investigación posterior.
Como regla general, no se tratarán datos personales especialmente protegidos según los criterios establecidos por la normativa de protección de datos aplicable (por ejemplo, datos de salud, de orientación sexual, de creencias religiosas, de ideología, etc.). No obstante, de forma excepcional y cuando sea imprescindible para la correcta valoración e investigación de una comunicación, este tipo de datos personales podrán ser tratados sobre la base de un interés público esencial conforme al artículo 9.2 g) RGPD.
Categorías de Destinatarios
Los datos personales podrán ser comunicados o se permitirá su acceso a las siguientes categorías de destinatarios:
- El Responsable del Sistema y, en su caso, el Sustituto del Responsable del Sistema.
- Los miembros del Órgano de Supervisión y Control, cuando participen en las investigaciones internas de conformidad con lo previsto en la normativa interna de la Sociedad.
- La Comisión Instructora, en los casos de prevención del acoso laboral, de conformidad con la normativa interna de la Sociedad en dicho ámbito.
- El personal interno de la Sociedad, siempre de acuerdo con las restricciones previstas en la legislación nacional aplicable.
- Las autoridades públicas competentes a quienes, en su caso, (i) se traslade el resultado de la eventual investigación interna (Juez Instructor, Ministerio Fiscal o autoridad administrativa pertinente) en el marco de una investigación penal, disciplinaria o sancionadora o (ii) requieran información relativa al cumplimiento de las obligaciones previstas en la legislación nacional aplicable de transposición de la Directiva (UE) 2019/1937, el RGPD u otra normativa relevante en el contexto del Sistema Interno de Información. En este segundo caso, sólo se cederán datos personales en los casos excepcionales en que sea estrictamente imprescindible y de manera proporcionada, y nunca se cederán datos personales relativos a los denunciantes.
- Otros terceros (como, por ejemplo, Notarios), exclusivamente cuando resulte necesario para la adopción de medidas correctoras en la entidad o la tramitación de los procedimientos sancionadores o penales que, en su caso, procedan.
- Los encargados del tratamiento que eventualmente se designen por la Sociedad que pudieran estar afectadas por una comunicación. Se trata de un ente independiente que trata los datos personales por cuenta del responsable o, en su caso, corresponsables del tratamiento, y siguiendo exclusivamente sus instrucciones con el fin de prestar un servicio como norma general. A título ilustrativo, pero no limitativo, estos encargados del tratamiento prestarán servicios relacionados con: la infraestructura tecnológica que soporta el Sistema Interno de Información, expertos externos especializados en investigaciones y servicios forensic, prestadores de servicios de almacenamiento, así como otros asesores externos que puedan resultar necesarios para el buen fin de las investigaciones internas. Estas entidades se encuentran situadas en el Espacio Económico Europeo, por lo que no se producen transferencias internacionales de datos.
En cualquier caso, la identidad y los datos personales de los informantes serán reservados y no se comunicarán a los denunciados ni a terceros o entidades diferentes de las indicadas en este apartado.
Plazo de conservación
Los datos personales que sean objeto de tratamiento se conservarán únicamente en el Sistema Interno de Información durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos informados.
Se suprimirá de manera inmediata cualquier información de la que se acredite su falta de veracidad, salvo que dicha falta de veracidad pueda constituir un ilícito penal, en cuyo caso se guardará la información por el tiempo necesario durante el que se tramite el procedimiento judicial.
Si la información recibida contuviera datos personales incluidos dentro de las categorías especiales de datos, se procederá, con carácter general a su inmediata supresión, sin que se proceda al registro y tratamiento de los mismos, salvo que estos datos personales fueran imprescindibles para la correcta valoración e investigación de la comunicación, sobre la base de un interés público esencial conforme al artículo 9.2 g) RGPD (por ejemplo, comunicaciones basadas en discriminación por raza u orientación sexual). A estos efectos, por «categorías especiales de datos» se entienden las enumeradas en el artículo 9.1 del RGPD.
Se informará a los sujetos comprendidos en el ámbito personal de aplicación del Sistema Interno de Información del tratamiento de datos personales que se produce en el marco del Sistema Interno de Información. Además, cuando los datos personales se obtengan directamente de los interesados, se les facilitará la información exigida legalmente sobre el tratamiento de esos datos y se les informará de que su identidad será reservada en todo caso.
Si la información se presta verbalmente y la comunicación va a ser grabada, se advertirá al informante de dicha grabación y se le informará del tratamiento de sus datos de acuerdo a lo que establece la normativa de protección de datos.
La persona a la que se refieran los hechos relatados no será en ningún caso informada de la identidad del informante o de quien haya llevado a cabo la revelación pública, incluso si ejercitase su derecho de acceso a sus datos personales.
En todo caso, transcurridos tres meses desde la recepción de la comunicación sin que se hubiesen iniciado actuaciones de investigación, se procederá a la supresión de los datos personales salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del Sistema Interno de Información. Las comunicaciones a las que no se haya dado curso solamente constarán de forma anonimizada, es decir, sin que sea posible por ningún medio identificar a ninguna de las personas físicas que formen parte de la comunicación o expediente, y sin que en ningún caso resulte de aplicación la obligación de bloqueo prevista en la LOPDGDD.
Una vez finalizada una investigación, los datos se conservarán en el Libro-registro de informaciones e investigaciones internas durante el período que sea necesario y proporcionado a efectos de cumplir con la legislación aplicable, el cual no podrá ser superior, como regla general, a 10 años.
Derechos de protección de datos
Los afectados o interesados podrán ejercitar, de conformidad con la legislación de protección de datos, sus derechos de acceso, rectificación, supresión u oposición, y, en caso de resultar de aplicación, la limitación al tratamiento y portabilidad de sus datos, cuando proceda según la normativa aplicable, mediante el envío de un correo electrónico a la dirección proteccion.datos@azcapital.com o por correo postal a calle Fortuny, 6, 28010, Madrid, España. Además, también tienen la posibilidad de interponer una reclamación ante la autoridad de control pertinente, como la Agencia Española de Protección de Datos (www.aepd.es).
Sin embargo, el ejercicio de tales derechos en España no procede cuando se proyecte en relación con una comunicación relacionada con la prevención del blanqueo de capitales y financiación del terrorismo, en cuyo caso se estará a lo previsto en el artículo 32 de la Ley 10/2010, de 28 de abril. Adicionalmente, en caso de que la persona a la que se refieran los hechos relatados en la comunicación ejerciese el derecho de oposición se presumirá que existen motivos legítimos imperiosos que legitiman el tratamiento de sus datos personales, salvo prueba en contrario.