Pronunciamiento de la AEPD sobre datos personales recabados a través de canales de denuncia

La Agencia Española de Protección de Datos (“AEPD") ha resuelto recientemente una consulta remitida por la Asociación Española de Compliance (“ASCOM”) relativa al período de conservación de los datos personales recabados a través de los canales de denuncias internos. En primer lugar, la AEPD señala que, tal y como se indica en el apartado 2 del artículo 24 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los Derechos Digitales (“LOPDGDD”), transcurrido el plazo de tres meses desde la introducción de los datos en el sistema de denuncias, estos podrán seguir siendo tratados por el órgano al que corresponda, para la investigación de los hechos denunciados, no conservándose en el propio sistema de información de denuncias internas.

En particular, la AEPD puntualiza que lo indicado anteriormente no implica que en el caso de que la denuncia pueda considerarse fundada y dé lugar a una concreta investigación, los datos deban suprimirse de los sistemas de la entidad en el plazo indicado en el artículo 24 de la LOPDGDD, sino que únicamente procederá su supresión del concreto sistema de la información de denuncias internas, pasando a integrarse en los sistemas propios del órgano de cumplimiento o, en su caso, del que se tenga a su cargo la gestión de recursos humanos.

La citada consulta, que fue remitida a la AEPD el pasado 7 de septiembre de 2021, contenía distintas cuestiones relacionadas con el citado Artículo 24.4 de la LOPDGDD, relativo a los sistemas de información de denuncias internas.

En particular, la ASCOM consultó a la AEPD acerca del período de tres meses regulado en el citado artículo tras el cual deberá procederse a la supresión de los datos recabados del sistema de denuncias. La ASCOM lanzaba dicha pregunta teniendo en cuenta que, en ocasiones, las investigaciones se dilatan en el tiempo, pudiendo tener, en consecuencia, una duración superior a tres meses. En este sentido, la ASCOM también consideraba que la cancelación de los datos en el citado periodo de tres meses, como indica la norma, podría generar indefensión jurídica, comprometiendo el derecho de defensa regulado en la Constitución Española. Asimismo, la ASCOM indicaba en su escrito que el citado período de tres meses podría actuar en detrimento de la necesidad de investigar en profundidad, de forma que la investigación se llevara a cabo en plazos menores no siendo exhaustiva y rigurosa, por el hecho de querer comprenderse la misma en el plazo de tres meses.