1. Definiciones
- Aviso de Privacidad: el presente documento.
- BM Madrid: Baker McKenzie Madrid, S.L.P.
- Canal Local: canal puesto a disposición de los Informantes por BM Madrid para que éstos puedan informar localmente sobre Infracciones.
- Datos Personales: cualquier información relativa al Interesado.
- DPD: Delegado de Protección de Datos.
- Firma: Baker McKenzie International
- Informaciones: comunicaciones sobre Infracciones presentadas por los Informantes.
- Informantes: empleados y terceros que presentan una Información en el Canal Local.
- Infracción: (i) acción u omisión que pueda constituir una infracción del Derecho de la Unión Europea y que involucre a BM Madrid; (ii) acción u omisión que involucre a BM Madrid y pueda constituir un delito y (iii) acción u omisión que involucre a BM Madrid y pueda constituir una infracción administrativa grave o muy grave.
- Interesado: cualquier persona física identificada o identificable. A este respecto, una persona física identificable es aquella "cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona".
- Ley: Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
- Libro-Registro: registro de todas las Informaciones recibidas a través del Canal Local y de las investigaciones internas a las que den lugar.
- Política: Política y Procedimiento del Sistema Local de Información aprobado por BM Madrid de conformidad con lo señalado en los artículos 5 y 9 de la Ley.
- Responsable del Sistema Local: directivo de BM Madrid responsable de la gestión e investigación de las Informaciones presentadas a través del Canal Local. El Responsable del Sistema Local es el Compliance Officer de BM Madrid.
- Responsable Sustituto del Sistema Local: directivo de BM Madrid que sustituirá al Responsable del Sistema Local en la gestión e investigación de las Informaciones presentadas a través del Canal Local, en caso de necesidad.
- Sistema Local de Información: conjunto de medidas adoptadas y recursos destinados por BM Madrid a fomentar la colaboración de sus empleados y terceros en evitar o detectar cualquier Infracción dentro de la organización.
2. Introducción
Los Datos Personales de los Informantes, de las personas a las que se hace referencia en las Informaciones o de otras personas que actúen como Interesados pueden ser tratados dentro de los procesos y operaciones del Sistema Local de Información. En tal caso, los Datos Personales en cuestión se tratarán de conformidad con la normativa aplicable en materia de protección de datos, la Ley y el presente Aviso de Privacidad.
3. Responsable del Tratamiento
BM Madrid (Baker McKenzie Madrid, S.L.P.) con domicilio en Calle de José Ortega y Gasset 19, Madrid, España tratará los Datos Personales como responsable del tratamiento, ya que determinará los fines y medios del tratamiento.
Cualquier consulta relacionada con el tratamiento de Datos Personales en el ámbito del Sistema Local de Información puede ser enviada al DPD de BM Madrid, que puede ser contactado en la siguiente dirección de correo electrónico: dpo.spain@bakermckenzie.com.
4. Finalidad del tratamiento
BM Madrid y, en particular, el Responsable del Sistema Local, el Responsable Sustituto del Sistema Local y las personas pertenecientes al equipo de investigación, tratarán los Datos Personales con las siguientes finalidades:
- Evaluar las Informaciones recibidas a través del Canal Local para empleados, socios y becarios.
- Evaluar las Informaciones recibidas a través del Canal Local para terceros.
- Evaluar las Informaciones recibidas en las reuniones presenciales mantenidas con el Responsable del Sistema Local o el Responsable Sustituto del Sistema Local.
- Realizar una investigación sobre los hechos reportados.
- Aplicar las medidas disciplinarias adecuadas.
- Registrar el funcionamiento y la eficacia del Sistema Local de Información, sus procesos y la Política.
5. Bases jurídicas para el tratamiento
BM Madrid está obligada por la Ley a implantar un canal interno de información. En consecuencia, la base jurídica para el tratamiento de los Datos Personales con la finalidad de operar el Sistema Local de Información y tratar los Datos Personales aportados por los Informantes es el cumplimiento de la obligación legal a la que BM Madrid está sujeta.
6. Categorías de Datos Personales
Las siguientes categorías de Datos Personales pueden ser tratadas por BM Madrid en el ámbito del Sistema Local de Información:
- Identidad, cargo, funciones y datos de contacto de los Informantes, las personas a las que se hace referencia en las Informaciones y otras personas afectadas, como los entrevistados en el marco de una investigación.
- Datos Personales relacionados con los hechos reportados.
- Pruebas que contengan Datos Personales relacionados con las Infracciones reportadas.
- Informes de investigación que contengan Datos Personales.
- Datos Personales obtenidos durante cualquier investigación, como los obtenidos durante las entrevistas.
Como regla general, no se tratarán categorías especiales de Datos Personales previstas en el artículo 9 del RGPD (por ejemplo, datos que revelen el origen étnico, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y datos genéticos, biométricos, de salud o de orientación sexual). Sin embargo, en casos excepcionales y cuando sea indispensable para la adecuada evaluación e investigación de una Información, estas categorías de Datos Personales podrán ser tratadas sobre la base de un interés público sustancial, en conjunción con la base legal consistente en el cumplimiento de las obligaciones legales indicadas previamente aplicables a BM Madrid.
Los Datos Personales tratados por BM Madrid podrán ser recabados u obtenidos a partir de la Infracción reportada por los Informantes o las fuentes de investigación. En este sentido, los Datos Personales podrán ser recabados en particular de:
- Infracciones reportadas a través del Canal Local de empleados, socios y becarios;
- Infracciones reportadas a través del Canal Local de terceros;
- Infracciones reportadas en reuniones presenciales con el Responsable del Sistema Local o el Responsable Sustituto del Sistema Local;
- Testimonios o pruebas aportados por otras personas que participan en una investigación.
7. Destinatarios de los datos
Los Datos Personales serán tratados directamente en BM Madrid por el Responsable del Sistema Local, el Responsable Sustituto del Sistema Local y las personas pertenecientes a los equipos de investigación.
Sin embargo, BM Madrid puede necesitar compartir Datos Personales con los siguientes "Destinatarios de los Datos":
- Las autoridades públicas y órganos judiciales competentes. Este puede ser el caso cuando el resultado de cualquier investigación deba ser compartido con dichos Destinatarios de Datos en el marco de un procedimiento penal o administrativo, o cuando dichos Destinatarios de Datos requieran información relacionada con el cumplimiento por BM Madrid de sus obligaciones legales. En este último caso, sólo se revelarán Datos Personales en casos excepcionales en los que sea estrictamente necesario y proporcionado, y, en la medida en que lo permita la legislación aplicable, no se revelarán Datos Personales relativos a los Informantes.
- Los encargados del tratamiento que traten Datos Personales por cuenta de BM Madrid, tales como proveedores o expertos forenses que participen en cualquier investigación, y cualesquiera otros que resulten necesarios para el funcionamiento del Sistema Local de Información y la posible investigación de los hechos reportados. En este sentido, el Responsable del Sistema Local puede necesitar el apoyo de otras personas o equipos de la Firma (por ejemplo, personas pertenecientes a la Oficina del General Counsel) para completar la investigación que también pueden actuar como encargados del tratamiento.
Compartir los Datos Personales con cualquiera de los Destinatarios de Datos mencionados puede implicar la transferencia de dichos Datos Personales a países distintos de España. La normativa aplicable en algunos de los países receptores puede no ofrecer el mismo nivel de protección de los Datos Personales que la aplicable en España. No obstante, la Firma ha tomado las medidas oportunas para garantizar que los Datos Personales estén protegidos de la misma forma que bajo las leyes de España, incluyendo los requisitos aplicables a las transferencias transfronterizas. En particular, el Grupo puede celebrar acuerdos de transferencia basados en las cláusulas contractuales tipo aprobadas por la Comisión Europea, y basar las transferencias internacionales de datos en las decisiones de adecuación de la Comisión Europea. Para cualquier información adicional al respecto, puede ponerse en contacto con el DPD de BM Madrid en la siguiente dirección de correo electrónico: dpo.spain@bakermckenzie.com.
8. Conservación de datos
Los Datos Personales tratados por BM Madrid en el ámbito del Sistema Local de Información serán conservados por BM Madrid en el Sistema Local de Información durante el tiempo estrictamente necesario para decidir si se abre una investigación sobre los hechos reportados.
Sin perjuicio de lo anterior, la siguiente información se eliminará inmediatamente:
- La información cuya falta de veracidad quede demostrada, salvo que dicha falta de veracidad pueda ser constitutiva de ilícito penal, en cuyo caso se conservará durante el tiempo necesario mientras dure el correspondiente procedimiento judicial.
- Información que contiene categorías especiales de Datos Personales previstas en el artículo 9 del RGPD. La supresión de esta información no podrá tener lugar si el tratamiento de los Datos Personales afectados es indispensable para la correcta valoración e investigación de los hechos reportados.
- Información que no sea estrictamente necesaria para el conocimiento e investigación de los actos u omisiones constitutivos de los hechos reportados.
En cualquier caso, los Datos Personales se eliminarán tres (3) meses después de la recepción de la Información si no se ha iniciado una investigación, a menos que el propósito de conservar los Datos Personales sea proporcionar pruebas del funcionamiento del Sistema Local de Información.
Las Informaciones que no den lugar a una investigación se conservarán únicamente de forma anónima (es decir, no será posible identificar en modo alguno a ninguna de las personas que forman parte de la información que constituye los hechos reportados).
Una vez finalizada una investigación, los Datos Personales se conservarán en el Libro- Registro de BM Madrid durante el período de tiempo necesario y adecuado para cumplir con la legislación aplicable, hasta un máximo de diez (10) años, salvo que sea excepcionalmente necesario para preservar el derecho de defensa de BM Madrid.
9. Derechos de protección de datos
Los Interesados pueden ejercer sus derechos de protección de datos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de datos, oposición y no ser objeto de decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles. Por ejemplo, los interesados pueden:
- Averiguar si BM Madrid está tratando sus Datos Personales, y en caso afirmativo, qué categorías de Datos Personales y la fuente de recogida de dichos Datos Personales.
- Solicitar que se proporcione una copia de sus Datos Personales.
- Solicitar que se corrijan sus Datos Personales cuando sean inexactos o incompletos.
- Solicitar la supresión total o parcial de sus Datos Personales.
- Solicitar que se restrinja el tratamiento de sus Datos Personales.
- Solicitar que sus Datos Personales no sean tratados en base a los intereses legítimos de BM Madrid.
- Sin embargo, el ejercicio de los derechos de protección de datos no se aplicará en los siguientes casos:
- En relación con una Información relacionada con la prevención del blanqueo de capitales y de la financiación del terrorismo, en cuyo caso se estará a lo dispuesto en el artículo 32 de la Ley 10/2010, de 28 de abril, de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo.
- Cuando la persona física a la que se refieran los hechos reportados ejercite su derecho de oposición, en cuyo caso se presumirá que existen motivos legítimos imperiosos que justifican el tratamiento de sus Datos Personales, salvo prueba en contrario.
- Cuando la persona a la que se refieran los hechos reportados ejerza su derecho de acceso para conocer la identidad del Informante.
Los interesados pueden ejercer sus derechos en materia de protección de datos enviando un correo electrónico a la siguiente dirección: dpo.spain@bakermckenzie.com.
Por último, los interesados pueden presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).