Criterio de la FTC con Morgan Stanley en cuanto a la procedencia de su programa de seguridad interno de manejo de información como eximente de aplicación de multas por filtración de datos personales de sus clientes.
En Estados Unidos la FTC (Federal Trade Commission) con competencia en varias de las cuestiones relacionadas con la protección de datos personales, ha cerrado una investigación que involucraba a una empresa financiera, Morgan Stanley, en la cual uno de sus empleados pasó información de los clientes a una página web personal y a sus dispositivos personales.
La razón para no aplicar sanción alguna radicó en que el organismo regulador consideró que la firma investigada había adoptado una programa de seguridad interno de riesgo de manejo de información, y por haber solucionado rápidamente el problema de configuración de los controles de acceso que permitió al empleado acceder a datos del cliente. Sin embargo se tuvo en cuenta a las políticas internas implementadas para proteger a la empresa del robo interno de información personal.
En tal sentido la empresa investigada había establecido e implementado una política autorizando a los empleados a acceder solo a aquellos datos personales necesarios para cumplir con un requerimiento del negocio, controlaba el tamaño y frecuencia de las transferencias de datos por parte de sus empleados, y prohibía a los empleados el uso de USB u otros dispositivos para transportar datos, y bloqueaba el acceso de los empleados a aplicaciones o sitios de Web de alto riesgo.
Criterio del Department of Justice en materia de antitrust
Las multas millonarias aplicadas por el DOJ en las investigaciones de antitrust se vieron atenuadas ante la evaluación de los programas de ética y compliance que regían en las empresas sujetas a investigación. En la teoría, cualquier empresa que se declara culpable de una violación puede recibir un atenuante en la evaluación de su culpabilidad si puede demostrar que existía un programa de ética y compliance vigente al momento de la infracción y que era efectivo conforme se pautan en los Lineamientos de Imposición de Multas. En tal sentido, la referida resolución exige para que un programa de ética y compliance sea considerado como efectivo, y por ende pasible de permitir la reducción de las sanciones a aplicarse, la organización deberá (i) realizar auditorías para prevenir y detectar conductas delictuales, y (ii) promover una cultura organizacional que promueva el obrar ético junto con un compromiso a respetar la ley.
Pese a la aparente simple interpretación de los recaudos aplicables a los referidos programas, en la práctica es de muy difícil cumplimiento los requisitos mencionados.
En tal sentido, es criterio sostenido por los funcionarios intervinientes en estas investigaciones, que una compañía no puede recibir un premio por tener un programa efectivo si el referido programa no sirvió para evitar el referido delito. Agregando que la aplicación restrictiva de estos beneficios de reducción de multa, solo se hará efectiva cuando los esfuerzos en el cumplimiento de estas políticas, vayan más allá, reflejando de alguna manera esfuerzos genuinos para cambiar la cultura de la empresa. Es decir una visión hacia el futuro y no hacia el pasado. El referido criterio se encuentra avalado en la aplicación de reducción de recientes multas, como en el caso Barclay Bank PLC, que estuvo involucrado en la manipulación del precio del dólar y del euro en el mercado de cambios.
De lo expuesto se debe concluir que el hecho de contar con un programa de ética y compliance no garantiza la reducción de aquellas multas de las cuales podrían ser pasible una empresa por violación a normas de defensa de la competencia, sino que debe acreditar el logro de un cambio de cultura corporativa en todos los niveles como prioridad institucional.
Sin dudas que este último criterio para la evaluación de programas de compliance como causa justificante para la reducción de multas, podría también resultar de aplicación para aquellas faltas vinculadas con la normas de la Foreign Corruption Practice Act.
