Dimensiones constituciones de las investigaciones internas corporativas: expectativas de privacidad en la empresa ilicitud de la prueba obtenida por particulares

En el vigente sistema de responsabilidad penal de las personas jurídicas, el presupuesto de la atribución de responsabilidad viene determinado por la calidad preventiva y reactiva frente al delito del modelo de organización interna implantado en la empresa: tal como es asumido por la práctica totalidad de la doctrina y la jurisprudencia -más allá de controversias dogmáticas, y más allá de si el énfasis se pone en la “cultura” o en la “estructura” -, para imponer las sanciones previstas a la empresa será condición necesaria la acreditada existencia de un defecto de organización que haya favorecido -o no dificultado- la comisión de la conducta delictiva por su empleado o directivo. En palabras de la STS 894/2022, de 11 de noviembre, “para hablar del fundamento de esa responsabilidad exigible a la persona jurídica (…), es preciso partir de la constatación de algún defecto estructural en los mecanismos de prevención y control que le fueran exigibles por razón de su organización tendentes a los fines a que se orienta su actividad”.

Dicho modelo de responsabilidad penal de la persona jurídica responde a una determinada estrategia político-criminal -y, en última instancia, a una determinada concepción sobre la relación entre el Estado y la empresa -, dirigida a incentivar coercitivamente a las empresas a ejercer funciones de prevención de delitos dentro de su propia organización, haciendo descansar sobre las propias entidades determinadas funciones de prevención y detección de los delitos que puedan cometerse en su seno y en su beneficio.

Bajo esta “red descentralizada de policía”, la persona jurídica se convierte “en un delegado de prevención de los delitos que se cometan en su seno”, debiendo asumir esa “nueva función de agente de control”, que se manifiesta en la implantación eficaz de los modelos de prevención y gestión de riesgos delictivos en que consisten los sistemas de cumplimiento normativo. Expresado en otros términos, el compliance es un mecanismo mediante el que “la función policial de prevención directa de los delitos que puedan cometerse en las empresas, al igual que la función de policía judicial de los delitos cometidos en aquellas, es asumida y financiada por las personas jurídicas titulares”. 

La delegación de tales funciones de control a la empresa por parte del Estado, así como la misma responsabilidad penal de las personas jurídicas, ha venido enmarcada bajo el fenómeno institucional de la “autorregulación regulada”, caracterizado precisamente por dicho cambio de modelo consistente en el desplazamiento desde el Estado hacia las empresas de funciones de vigilancia, control y reacción de conductas antinormativas.  El Estado efectúa una “transferencia de responsabilidades” sobre la persecución del delito , dejando en manos de la libertad organizativa de la empresa el diseño de las medidas dirigidas a esa función de vigilancia (por eso es autorregulada); pero impondrá las correspondientes sanciones -penales o administrativas- en caso de incumplimiento de tales deberes de control y vigilancia (por eso es regulada).

Con carácter general, la razón de ser de esta opción político-criminal es clara: partiendo del presupuesto de que la organización empresarial puede conllevar un efecto criminógeno , resulta más eficiente que sea la propia empresa la que directamente se involucre en la remoción de esos factores criminógenos, y despliegue labores de vigilancia, prevención  y detección de los delitos cometidos en su seno, a que lo haga directamente la Administración de justicia, por cuanto no solo se halla más próxima a los hechos que se cometen en su entorno de actividad , sino que, además, tales labores de control resultan ya consustanciales a la propia actividad empresarial,  en aras a asegurar el cumplimiento de las obligaciones laborales.

En coherencia con esa suerte de “privatización” de la función estatal de prevención, la doctrina ha trasladado la clásica discusión sobre los fines de la pena al ámbito de la autorregulación empresarial, suscitándose la controversia de cuál deba ser la estrategia más adecuada que la propia empresa pueda desplegar para prevenir ad intra la criminalidad corporativa. Así, por algunos autores se destaca la función disuasoria que, al modo de la prevención general de intimidación, han de ejercer las medidas de vigilancia y control sobre los integrantes de la organización. Se señala, así, que “el compliance de detección manifiesta el ejercicio de funciones de policía judicial, mediante las que se pretende reforzar la coacción psicológica dirigida a los directivos y empleados”, incrementando con ello “la certeza de la sanción penal de aquellos” y, con ello, “también el efecto preventivo de las penas con las que se les amenaza”. Frente a ello -o junto a ello-, la función de los compliance se vincula mayoritariamente al desarrollo de una cultura de cumplimiento , teniendo como propósito primordial -según la Fiscalía General del Estado- “promover una verdadera cultura ética empresarial”. Al modo de la prevención general positiva -en sus diferentes versiones-  , los sistemas de compliance no buscarían tanto disuadir coercitivamente a empleados y directivos, como inculcar valores de respeto a las normas y fomentar prácticas y dinámicas culturales de fidelidad al Derecho.

Ahora bien, ya se priorice la perspectiva disuasoria, ya la de fomento de valores, los programas de cumplimiento no podrán prescindir de las finalidades básicas de vigilancia, detección y reacción sancionatoria , para cuya consecución resultarán decisivas las investigaciones internas, debiendo integrarse como parte esencial del contenido e implementación de los programas de cumplimiento.

[…]