La actual sociedad de la información, marcada por la aceleración tecnológica y la globalización, ha intensificado los retos vinculados a la protección de los datos de carácter personal y a la confidencialidad empresarial. Esto se debe al volumen de recogida de datos, y al aumento significativo de su intercambio gracias a las facilidades tecnológicas, elevando los riesgos de cumplimiento, reputacionales y operativos.

En el plano de las personas jurídicas, la privacidad trasciende el plano puramente legal, para configurarse como un vector de riesgo transversal, con impacto directo en la reputación, el cumplimiento normativo y la continuidad del negocio. En el ámbito específico de la Auditoría de Cuentas, esta dimensión adquiere una relevancia singular por la naturaleza sensible de la información manejada, y por las exigencias regulatorias aplicables.

En Europa, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD) establece un marco normativo estricto a nivel Europeo, y que por trasposición normativa es de aplicación en España, donde se complementa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). En el ámbito sectorial de la Auditoría de Cuentas, la Ley 22/2015, de 20 de julio, de Auditoría de Cuentas (LAC), exige confidencialidad y la conservación de la documentación del encargo (art. 60 LAC), e impone el deber de secreto a toda persona que haya desempeñado, o que desempeñe, una actividad para el Instituto de Contabilidad y Auditoría de Cuentas (ICAC), y haya tenido conocimiento de datos de carácter confidencial, estando obligada a guardar secreto sobre aquellos. Además, expone también la Ley, que en caso de incumplimiento de dicha obligación se podrá incurrir en responsabilidades penales, civiles, y administrativas, lo que deja evidencia de su carácter nuclear dentro de esta actividad. Asimismo, de la LAC puede deducirse también que el deber de secreto se extralimita más allá a la prestación del servicio de auditoría, pues subsiste con posterioridad a la finalización del encargo, garantizando un nivel de protección continuado para las sociedades auditadas.

El Real Decreto 2/2021, de 12 de enero, por el que se aprueba el Reglamento de desarrollo de la Ley 22/2015, de 20 de julio, de Auditoría de Cuentas (RLAC), reitera el deber de secreto y, a su vez, hace mención expresa al sometimiento del tratamiento de datos de carácter personal llevado a cabo por los auditores de cuentas, como consecuencia del ejercicio de su actividad, incluido el de los datos contenidos en los documentos o papeles de trabajo utilizados para tal fin, al RGPD y al LOPDGDD (art. 73 RLAC).

A su vez, el citado precepto enfatiza la proporcionalidad del tratamiento de datos respecto al objetivo perseguido, exigiendo en todo momento el respeto, en lo esencial, al derecho a la protección de datos, adoptándose las medidas técnicas y organizativas adecuadas para proteger los intereses y derechos fundamentales del interesado (tal y como se establece a su vez en el art. 9.2 RGPD).

Conviene recordar que la exigencia de secreto profesional y confidencialidad ya se encontraba presente en la normativa sectorial (LAC), con anterioridad al RGPD, dada la sensibilidad de la información objeto de trabajo en la Auditoría de Cuentas. La posterior entrada en vigor del RGPD en España, hizo que el RLAC lo reconociera ulteriormente, haciendo mención expresa a éste en su art. 73 RLAC, y cristalizando una interrelación normativa que asegura una regulación completa y coherente en el tratamiento de datos en la Auditoría de Cuentas.

Siguiendo con la normativa sectorial, las Normas Internacionales de Auditoría (NIA), también recogen esta importante exigencia, mencionando la obligación del auditor de proteger la información del cliente, de que no la divulgue a terceros sin su previa autorización y que gestione el riesgo de exposición accidental, salvo excepciones legales. Para ello, el auditor deberá establecer políticas y procedimientos que abarquen la seguridad física y digital, así como asegurar que el personal firme declaraciones de confidencialidad y comprenda sus responsabilidades.

Conectando con lo recogido en las NIA, aparecen las Normas Internacionales de Gestión de la Calidad (NIGC), y en concreto en la NIGC-1, en la cual se hace mención a la importancia de preservar la privacidad y confidencialidad de los datos durante la implementación y mantenimiento de una aplicación IT, debiendo desarrollar los mecanismos necesarios para que ésta cuente con el mayor nivel de protección frente a intromisiones externas.

Finalmente, a nivel estatal, la Ley 1/2019, de 20 de febrero, de Secretos Empresariales (LSE), protege el know-how y la información no divulgada de carácter tecnológico, científico, industrial, comercial, organizativo o financiero, que reúna las siguientes condiciones: (a) no sea generalmente conocida ni fácilmente accesible en los círculos en que se utiliza, (b) posea un valor empresarial, ya sea real o potencial, precisamente por ser secreto y, (c) haya sido objeto de medidas razonables por parte de su titular para mantenerlo en secreto. Así, esta Ley nos permite delimitar, en caso de duda, el perímetro de la información que, por su naturaleza, queda comprendida en el deber de secreto profesional del auditor.

De este modo podemos concluir que, con relación a la protección de datos, existe un triángulo normativo formado por: (RGPD-LOPDGDD), (LAC-RLAC-NIGC1-NIA) y LSE, que ofrece un marco coherente, garantizando el primero los derechos de las personas y la proporcionalidad del tratamiento, imponiendo el segundo el deber de secreto profesional, la custodia y la trazabilidad de la documentación, y protegiendo el tercero el know-how y la información no divulgada de las empresas. Así, dentro de las firmas de auditoría, la privacidad no es un mero cumplimiento formal, sino que es un control de calidad y un pilar de confianza pública en la Auditoría de Cuentas, debiéndose integrar los tres planos en el encargo, reduciendo así los riesgos legales, y fortaleciendo la independencia del auditor.

Andrea Martín Carrera
Economista – Abogada
Eudita Vigo

REFERENCIA A NORMATIVA:

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD).

Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD).

Ley 22/2015, de 20 de julio, de Auditoría de Cuentas (LAC).

Real Decreto 2/2021, de 12 de enero, por el que se aprueba el Reglamento de desarrollo de la Ley 22/2015, de 20 de julio, de Auditoría de Cuentas (RLAC).

Ley 1/2019, de 20 de febrero, de Secretos Empresariales (LSE).

Norma Internacional de Gestión de la Calidad 1 (NIGC-1).

Normas Internacionales de Auditoría (NIA).