Estás navegando por el archivo de Banca y Seguros.

Ciberseguridad, orientaciones para empresas cotizadas. Antecedentes, a la espera de la reforma normativa en Estados Unidos

el 20 septiembre, 2021 en Banca y Seguros, Ciberseguridad en la empresa. Master U en Ciberseguridad, Otros

La gestión de la seguridad cibernética  se percibe, cada vez más, como parte integrante de las medidas de buen gobierno exigidas a las empresas.

Venimos dando cuenta en este Blog, y en algunos otros foros, de la creciente relevancia de los riesgos cibernéticos en el diseño, valoración y en su caso, sanciones (ver esta entrada), en materia de gobierno corporativo. Los asuntos que aquí se presentan brevemente son objeto de atención en modo más amplio en el contexto del Congreso Latinoamericano INTELIGENCIA ARTIFICIAL Y ECONOMÍA DIGITAL: desafíos jurídicos y económicos  (13 al 15 octubre 2021) y  en una publicación ya en imprenta de la que se dará cuenta.

Guías, orientaciones y previsiones normativas del Regulador de Valores de EEUU en relación con la ciberseguridad 
Regulación prevista

Conforme a la Agenda Reg-Flex de primavera de 2021 de la SEC,  el Supervisor de Valores de EEUU está en vías de formular nuevas reglas que afectarán de lleno a las obligaciones de gobierno corporativo de las empresas y en concreto, a la divulgación de riesgos de seguridad cibernética. Se prevé que las mencionadas propuestas vean formalmente la luz en octubre de 2021. Estos trabajos toman base en las Orientaciones sobre Ciberseguridad  de la SEC (febrero 2018) en las que ya se vinculaba el cumplimiento de distintas obligaciones de transparencia sobre riesgos de ciberseguridad con el buen gobierno. Incluso antes,  en 2011 la División de Finanzas Corporativas de la SEC había publicado una Guía preliminarsobre estas cuestiones.

La Agenda ReEgFlez mencionada,  ya apunta a octubre de 2021 como la fecha límite para la emisión de una propuesta. (Vea esta publicación de PubCo  de 14.06.2021). En el actual entorno en el que se conoce la abundancia y dureza de  ataques cibernéticos y la posibilidad de infección por ransomware,  es más que posible que la SEC pueda proponer enmiendas a sus Rules  de transparencia para mejorar las divulgaciones de los emisores con respecto a la gobernanza del riesgo de ciberseguridad.

 

Sanabria

Antecedentes. La Guía de la SEC de 2018 sobre divulgación de informaciones relativas a la seguridad cibernética

Con anterioridad, la  Guía de la SEC de 2018  sobre divulgación de seguridad cibernética abordó las obligaciones de divulgación al amparo del ordenamiento vigente, que incluía procedimientos, políticas y estrategias para el control de la seguridad, entendida en un sentido amplio, prohibiciones de aprovechar información privilegiada, o de difundir datos selectivamente, entre otros.

 

Comunicaciones con el sector financiero sobre la necesidad de mayor transparencia de riesgos cibernéticos

Fortaleza digital en el sector financiero y protección de datos. A propósito del dictamen del Supervisor Europeo de Protección de Datos

el 9 agosto, 2021 en Banca y Seguros, Ciberseguridad en la empresa. Master U en Ciberseguridad, Otros

Se comenta en esta entrada  un reciente dictamen del Supervisor Europeo de Protección de Datos sobre la Propuesta DORA, con las objeciones formuladas por este supervisor especialmente en el ámbito de la gobernanza interna de datos en las instituciones financieras, de las notificaciones de incidentes a las autoridades y de la trasferencia internacional de datos

El 24 de septiembre de 2020, la Comisión Europea adoptó una Propuesta de Reglamento sobre la resiliencia operativa digital del sector financiero y por el que se modifican los Reglamentos (CE) n.o 1060/2009, (UE) n.o 648/2012, (UE) n.o 600/2014 y (UE) n.o 909/2014, que ya ha sido objeto de comentarios en este blog (aquí). Como es sabido, esta Propuesta DORA forma parte de un paquete de medidas que incluye también una Propuesta de Reglamento relativo a los mercados de criptoactivos (el «Reglamento MiCA»), una propuesta sobre un régimen piloto de las infraestructuras del mercado basadas en la tecnología de registro descentralizado  y una Propuesta para aclarar o modificar determinadas normas conexas de la UE en materia de servicios financieros. Actualmente, la Propuesta DORA está siendo objeto de análisis y debate en el Consejo

Y, en este contexto, el Supervisor Europeo evacuó recientemente un Dictamen preceptivo en el procedimiento prelegislativo correspondiente.,

By M.A. Díaz

  • En el texto del Dictamen, el SEPD recuerda que cualquier operación de tratamiento de datos, en el contexto de las actividades de las entidades financieras a las que se dirige la Propuesta DORA  debe tener como referente   los requisitos de protección de datos conforme al RGPD y en particular su artículo 6, como condición básica para asegurar la salvaguardia de los derechos individuales.
    • Con carácter general, ello implica que las entidades financieras deberían incorporar a su marco de resiliencia operativa digital mecanismos específicos y sólidos de gobernanza de protección de datos. Ello incluiría sistemas para la determinación de las funciones y las responsabilidades del responsable y del encargado del tratamiento de datos, así como de las actividades de tratamiento que tendrán lugar.
    • Más en particular, considera el SEPD que el sector financiero debe adoptar códigos de conducta conformes al art 40 RGPD en los que se diseñen y delimiten las funciones relativas al tratamiento de datos, así como los procesos de tratamiento justo y transparente
  • Dado que en el ámbito de las entidades financieras tienen lugar procesos de almacenamiento de datos, incluidos datos relativos a multas y sanciones, el SEPD recuerda que el principio de limitación del almacenamiento requiere que los datos personales se conserven solo durante el tiempo necesario para los fines para los que se hayan recogido. Por ello, y más concretamente,  recomienda a las entidades financieras que adopten medidas para garantizar que la información sobre las multas administrativas se elimine de su sitio web una vez transcurridos cinco años, o antes si ya no es necesaria. Y, de modo relacionado, en relación con la publicación de multas administrativas,  recomienda incluir entre los criterios que deba valorar la autoridad competente, los riesgos para la protección de los datos personales de las personas físicas.

 

  • En cuanto a la notificación de incidentes graves, el SEPD formula la sugerencia de incluir a las autoridades de protección de datos entre las que directamente reciban estas notificaciones. Así, el SEPD señala que, en su entender, la redacción del considerando 42 de la Propuesta sería incompatible con el artículo 33 del RGPD. Por ello, recomienda eliminar la referencia a las autoridades de protección de datos del considerando 42 de la Propuesta que las sitúa como receptoras indirectas de las notificaciones, y modificar el artículo 17 para incluir una  obligación de notificación  directa de vulneraciones de la seguridad de los datos a las autoridades de materia de protección de datos.
      • Este considerando 42, en la redacción inicial de la Comisión Europea establece que: «Las consecuencias importantes de los ciberataques se amplifican cuando se producen en el sector financiero, un ámbito que corre mucho más riesgo de ser blanco de propagadores malintencionados que persiguen obtener beneficios financieros directamente en la fuente. Para mitigar tales riesgos y evitar que los sistemas de TIC pierdan integridad o dejen de estar disponibles, y que se vulneren datos confidenciales o que las infraestructuras físicas de TIC sufran daños, debe mejorarse significativamente la notificación de incidentes graves relacionados con las TIC por parte de las entidades financieras. La notificación de incidentes relacionados con las TIC debe armonizarse para todas las entidades financieras exigiéndoles que informen únicamente a sus autoridades competentes. Aunque todas las entidades financieras estarían sujetas a esta notificación, no todas ellas deberían verse afectadas de la misma manera, ya que los umbrales de importancia relativa y los plazos pertinentes deben calibrarse para reflejar únicamente los incidentes graves relacionados con las TIC. La notificación directa permitiría a los supervisores financieros acceder a información sobre incidentes relacionados con las TIC. No obstante, los supervisores financieros deben transmitir esta información a las autoridades públicas no financieras (autoridades competentes en materia de SRI, autoridades nacionales de protección de datos y autoridades policiales o judiciales en caso de incidentes de carácter delictivo). La información sobre incidentes relacionados con las TIC debe canalizarse mutuamente: los supervisores financieros deben proporcionar a la entidad financiera todas las observaciones u orientaciones necesarias, mientras que las AES deben compartir datos anonimizados sobre amenazas y vulnerabilidades relacionadas con un determinado suceso para contribuir a una defensa colectiva más amplia». Pues bien, frente a esta redacción, el art 33 del RGPD establece la obligación del responsable de tratamiento de notificar a la autoridad de control de datos, en caso de violación de la seguridad de los datos personales, sin dilación indebida y, de ser posible, a
        72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Añade el art 33 RGPD que si la notificación a la autoridad de control no se efectuase en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos del retraso.
      • Por lo que respecta al art 17 de DORA en su redacción inicial, alude a la notificación directa de incidentes, sin contemplar entre las autoridades receptoras de las notificaciones a las de protección de datos, circunstancia que el SEPD sugiere subsanar
  • En relación con las transferencias internacionales a proveedores terceros de servicios de TIC establecidos en un tercer país, el SEPD recuerda que toda transferencia internacional de datos personales debe cumplir con los requisitos del capítulo V del RGPD con arreglo a su interpretación en la jurisprudencia del TJUE, incluida la sentencia en Data Protection Commissioner v Facebook Ireland Ltd and Maximillian Schrems (C-311/18), también conocido simplemente como Schrems II. El TJUE declaró es esa sentencia  la invalidez de la decisión de adecuación relativa al Privacy Shield (escudo de Privacidad) mientras que legitimó las transferencias al amparo de las cláusulas contractuales tipo (Standard Contractual Clauses) aprobadas  por la Comisión Europea. Las consideraciones del fallo  impactan en las transferencias de datos desde los Estados miembros de la Unión Europea a países fuera del bloque comunitario, incluyendo aquellos en América y, especialmente, a los que no han obtenido una decisión de adecuación.
    • Como es sabido, la Unión Europea ha adoptado un sistema de regulación horizontal a través del cual se aprobaron normas generales comprehensivas en materia de protección de datos personales que alcanzan a todas las actividades e industrias. Tal fue el caso de la anterior Directiva 95/46 y su sucesor el RGPD. Estas normas presentan restricciones a las transferencias internacionales de datos a países que no cuenten con normativa considerada adecuada. Por el volumen de relaciones comerciales con  Estados Unidos de América  resultó necesario tener en cuenta que en este país se carece de una norma general en materia de protección de datos personales, aunque existen  regulaciones sectoriales que tratan esta materia y normas de algunos estados que han legislado en materia de privacidad, como es el caso de California. La ausencia de una norma federal ha sido el disparador para que ambos bloques tuvieran que negociar arreglos que permitieran la transmisión de datos. El primero de ellos dio lugar a los principios reconocidos como Safe Harbor o Puerto Seguro, adoptados por el Departamento de Comercio de los Estados Unidos,  un sistema de autorregulación al cual las empresas en ese país podían adherir, comprometiéndose a respetar ciertas reglas establecidos en su texto. La Comisión Europea declaró adecuado este sistema en el año 2000, mediante su (hoy derogada) Decisión de la Comisión, de 26 de julio de 2000, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por los principios de puerto seguro para la protección de la vida privada y las correspondientes preguntas más frecuentes, publicadas por el Departamento de Comercio de Estados Unidos de América
    • Sin embargo, pronto se vio que el mecanismo de Puerto Seguro planteaba incongruencias que fueron sancionadas por el TJUE en la relevante sentencia Schrems II.
      • Concretamente,  el Sr Schrems inició una reclamación contra Facebook Irlanda por considerar que la plataforma social violaba los derechos de intimidad y protección de datos personales de los usuarios. Se basaba el reclamante en que los datos eran transferidos desde Irlanda a servidores localizados en Estados Unidos, en donde eran procesados y utilizados por Facebook Inc. Y, sucedía que en Estados Unidos, los datos podían están sujetos a un control estatal por parte de las agencias de investigación gubernamentales, práctica que podía afectar los derechos de los titulares de datos europeos. En efecto, Facebook Ireland explicó que una gran parte de los datos personales se transfería a Facebook Inc., basándose en cláusulas tipo de protección de datos.
      • Schrems cuestionó la compatibilidad del ordenamiento europeo de datos con el Derecho estadounidense que obligaba a la matriz, Facebook Inc., a poner los datos personales recibidos de sus filiales europeas (en este caso de la irlandesa), a disposición de las autoridades estadounidenses, como la National Security Agency (NSA) y la Federal Bureau of Investigation (FBI) . Y, que esos datos eran utilizados en programas de vigilancia de las autoridades estadounidenses, en modo incompatible con las normas europeas. Por ello, consideró que  el ordenamiento europeo no amparaba la transferencia de esos datos a los Estados Unidos y solicitó al regulador de Irlanda que prohibiese o suspendiese la transferencia de sus datos personales a Facebook Inc.
      • La autoridad irlandesa de protección de datos inició un procedimiento ante el Tribunal Superior de Irlanda y éste elevó una cuestión prejudicial al Tribunal de Justicia Europeo sobre la interpretación de las disposiciones que validan las transferencias internacionales al amparo de las cláusulas contractuales tipo y el  Safe Harbor.
      • El  TJUE validó las transferencias internacionales al amparo de las cláusulas contractuales tipo, pero, declaró inválido al Safe Harbor. Es decir, consideró que las cláusulas contractuales tipo son una alternativa válida para legitimar la transferencia a países que no posean legislación adecuada. Sin embargo, en su interpretación estableció que estas cláusulas obligan a las partes a  un control activo de la normativa del país de destino, para garantizar que los compromisos asumidos en el contrato no se vean frustrados por las regulaciones del ordenamiento de destino, imposibilitando su cumplimiento. En cambio, sentenció que el Safe Harbor no proporciona una adecuada protección y, por lo tanto, no puede ser entendido como un instrumento que avale la transferencia internacional desde la Unión Europea a los Estados Unidos.
      • La declaración de invalidez del Safe Harbor se basó en dos cuestiones principales. Por una parte que las limitaciones de la protección de datos personales que se derivan de la normativa interna de los Estados Unidos relativa al acceso y la utilización por las autoridades estadounidense de los datos transferidos (principalmente en el marco de investigaciones por las fuerzas de seguridad estatales) no responden a las exigencias en situaciones equivalentes requeridas en el Derecho de la Unión Europea. Además, subrayó el TJUE, en lo que se refiere a la tutela judicial, que los ciudadanos europeos no tienen acceso a los mismos recursos de los que disponen los nacionales estadounidenses contra el tratamiento de datos personales por parte de las autoridades de aquel país. Es por ello que el TJUE resuelve declarar la invalidez del Safe Harbor como recurso para las transferencias internacionales.El TJUE declaró inválidas las transferencias internacionales a los Estados Unidos con base en el Safe Harbor. Esta anulación derivó en  un nuevo mecanismo para legitimar las transferencias internacionales de datos que concluyeron en la aprobación del Privacy Shield consensuado por el Departamento de Comercio de los Estados Unidos y las autoridades europeas que  dotaba a los ciudadanos europeos de mayores resortes para resguardar sus derechos. En el año 2016 la Comisión Europea declaró válidas las transmisiones de datos  certificadas bajo el régimen del Privacy Shield (Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por el Escudo de la privacidad UE-EE. UU.)
      • El Privacy Shield se basa en un sistema de autocertificación por el que las entidades estadounidenses se comprometen a cumplir  principios de protección de la vida privada —a saber, los principios marco del Escudo de la privacidad UE-EE. UU., incluidos los principios complementarios  establecidos por el Departamento de Comercio de Estados Unidos y enumerados en el anexo II de la Decisión de Ejecución (UE) 2016/1250 de la Comisión, de 12 de julio de 2016, con arreglo a la Directiva 95/46/CE del Parlamento Europeo y del Consejo, sobre la adecuación de la protección conferida por el Escudo de la privacidad UE-EE. UU.. Se aplica tanto a los responsables como a los encargados del tratamiento. Y los encargados deben estar obligados contractualmente a actuar únicamente siguiendo instrucciones del responsable del tratamiento de la UE y asistirle a responder a las personas físicas que ejerzan sus derechos en caso de transferencia internacional de datos.
      • Frente al mecanismo de puerto seguro, el Privacy Shield obliga a las entidades  responsables de la trasferencia internacional de dato a EEUU a  establecer mecanismos de recurso a los particulares afectados por potenciales incumplimientos de modo que los interesados de la UE puedan presentar reclamaciones en relación con el incumplimiento por parte de entidades autocertificadas de EE. UU. Y, a que se resuelvan estas reclamaciones, mediante una resolución que conceda un recurso efectivo

Primavera, by M.A. Díaz

  • Finalmente, el SEPD recomienda modificar el artículo 23, apartado 2, de la Propuesta relativo a pruebas avanzadas de las herramientas, los sistemas y los procesos de TIC basadas en pruebas de penetración guiadas por amenazas, para asegurar que no se puedan realizar pruebas, desarrollo de productos o investigaciones de los sistemas de TIC en sistemas de producción activos que contengan datos personales de clientes.

 

 

El contenido del Dictamen responde a las competencias que el SEPD tiene atribuidas. Las entidades financieras que quedarán sometidas a DORA en caso de aprobarse, estarán sujetas también al RGPD. Y desde esa perspectiva el Dictamen comentado podría resultar redundante. Sin embargo, no deja de constituir una referencia y una llamada de atención sobre el doble sometimiento, caso de que finalmente las consideraciones contenidas en él no resultasen incorporadas en la Directiva Digital Resilience.

Responsabilidad de administradores por incumplimiento del deber de vigilancia. El «test» Caremark y jurisprudencia reciente de Delaware

el 2 julio, 2021 en Banca y Seguros, Ciberseguridad en la empresa. Master U en Ciberseguridad, Derecho de los Negocios Internacionales International Business Law. Grado Comercio Internacional

En esta entrada de da cuenta de la importancia de las medidas de gobernanza para la supervisión y control por parte del consejo de administración, sobre la declaración de responsabilidad de administradores (y altos ejecutivos). Para ello, nos servimos de recientes resoluciones judiciales de la judicatura estadounidense, y en concreto, de la del estado de Delaware. Cabe subrayar que para apreciar el alcance de esta jurisprudencia debe partirse de la concepción de deber de diligencia (deber fiduciario) apreciada conforme al llamado «test Caremark» fruto de jurisprudencia anterior.

Conforme al leading case  Caremark ( In re Caremark Int’l Inc. Derivative Litigation 698 A.2d 959 (Del.Ch. 1996), los miembros del consejo tienen el deber de vigilar y supervisar el cumplimiento normativo, la viabilidad operativa y el desempeño financiero de la sociedad

El estándar de conducta “Caremark” se basa en la verificación de si el consejo de administración fue, o no fue diligente, en el sentido de no poner en funcionamiento mecanismos de comunicación y de control destinados a hacer llegar al consejo informaciones sobre el funcionamiento de la empresa (y por tanto facilitar el ejercicio de la diligencia del ordenado empresario a través del control, la supervisión, la vigilancia).  Incluso cuando estos mecanismos de “reporting” y control existan, los administradores y consejeros también pueden incurrir en incumplimientos si los obvian o no los tienen en cuenta. Además, para deducir condenas de responsabilidad civil, Caremark exige prueba de actos (u omisiones) específicos de los que se pueda  establecer la concurrencia de una suerte de negligencia grave (mala fe) de los consejeros. Las demandas de responsabilidad de administradores que se basan en el test Caremark se fundamentan, por tanto,  en los procedimientos de gobernanza interna de las sociedades y de ahí viene considerándose que (conforme a la  influyente jurisprudencia de Delaware) es recomendable que los consejeros y ejecutivos puedan demostrar su labor de vigilancia y atención al cumplimiento normativo, especialmente en relación con situaciones como las derivadas de investigaciones de los supervisores, en las que se exige de ellos un nivel de cuidado elevado y por lo tanto pueden ser acusados de negligencia.Y, para facilitar la prueba eximente los titulares del órgano de administración y los altos ejecutivos se apoyan en distintos mecanismos reconocidos para el control de riesgos que incluirían desde programas de compliance, a comisiones delegadas de riesgos o protocolos de actuación.

Mencionamos algunas decisiones recientes para ilustrar, con cierto grado de detalle, como opera este principio.

Richardson v. Clark (MoneyGram. 2020 WL 7861335 (Del. Ch. 31 de diciembre de 2020)

La demanda de responsabilidad de administradores y altos ejecutivos fue desestimada

MoneyGram es una empresa especializada en trasferencias monetarias que había sido objeto de investigaciones (y sanciones) por blanqueo de capitales, en virtud de las cuales estaba sometida a un programa de indemnizaciones a favor de algunos afectados por sus actividades. Para realizar el seguimiento del programa que le fue impuesto, puso en marcha mecanismos internos de compliance legal que estaban destinados, precisamente, a cumplir el programa de indemnizaciones y a evitar que las actividades corporativas continuasen en la línea de las que motivaron la imposición de sanciones.  Sin embargo, los problemas y errores de ejecución en su operativa causaron desajustes en el programa de indemnizaciones (que no dejaba de ser una sanción), por lo que fue ampliado de modo que el nivel de las indemnizaciones que MoneyGram hubo de satisfacer se incrementó.

En el año 2020 los accionistas interpusieron una acción derivativa de responsabilidad contra los  consejeros y altos ejecutivos de MoneyGram. Las alegaciones de los demandantes consistían (sustancialmente) en no habían sido diligentes en la ejecución del programa de compliance en el sentido de que se produjeron errores y retrasos en el cumplimiento del programa de indemnizaciones. Alegaron, y evidenciaron que MoneyGram  había actuado con lentitud y sin eficacia en relación con las indemnizaciones que debía abonar y que sus directivos habían ignorado las alertas recibidas la autoridad que supervisaba el mencionado programa de indemnizaciones. Si bien tales acusaciones estaban, en conjunto, fundamentadas, el Tribunal tuvo en cuenta que la demanda no había se había apoyado en hechos o actuaciones concretas de las que pudiese deducirse mala fe (una suerte de negligencia grave en ese ordenamiento) en el desempeño de la función de vigilancia de los directivos acusados. Añadía la Delaware Court of Chancery, que conforme al test Caremark,  el hecho de que un programa de cumplimiento no fuese adecuado o no tuviera mucho éxito no era suficiente para derivar responsabilidad civil de consejeros y altos ejecutivos.

Fisher v.Sanborn (LendingClub) 2021 WL 1197577 (Del. Ch. 30 de marzo de 2021).

En este asunto la acción derivativa de responsabilidad contra consejeros y altos ejecutivos también fue desestimada.

Lariño. A Coruña

LendingClub opera una plataforma online que pone en contacto a inversores con potenciales solicitantes de crédito. En 2016, la Federal Trade Commission (FTC) inició una investigación por posibles prácticas engañosas y desleales con los consumidores por parte de LendingClub. Dos años más tarde, en virtud de los resultados de la investigación, la FTC interpuso acciones judiciales. Sobre esa base,  un accionista demandó  al consejo de LendingClub mediante una acción derivativa alegando que no había puesto en marcha un mecanismo adecuado de control de las actividades que eran competencia de los consejeros; que había obviado conscientemente su deber de supervisar el cumplimiento de deberes  derivados de la legislación de protección de consumidores y que habían realizado afirmaciones engañosas y falsas especialmente a los inversores.

La Court of Chancery rechazó todos estos argumentos de la demanda. Por un lado señaló, a favor de los demandados,  que el consejo de administración contaba con una comisión delegada de riesgos, que ésta recibía información actualizada de las quejas de los consumidores,  que conocía el proceso de la FTC y que debatía periódicamente sobre estas cuestiones. Por todo ello este Tribunal consideró que no podía afirmarse que los demandados no se hubieran esforzado en supervisar el cumplimiento de la legislación de consumidores.  Por otra parte, afirmó que el hecho de que se hubiesen realizado investigaciones e incluso acciones judiciales por parte del supervisor no demostraba que los consejeros supiesen, ni que debieran haber sabido que la sociedad estaba violando las leyes. Finalmente, la Court of Chancery se basó en que el demandante no había probado que los administradores actuasen de mala fe ni aportado evidencia de hechos concretos por los que pudiera deducirse que los administradores sabían que la corporación incumplía la ley, ni tampoco hechos de los que se pudiera deducir que los mandatarios habían mentido deliberadamente a los inversores en relación con las investigaciones de la FTC

Marchand v. Barnhill , 212 A.3d 805 (Del. 2019)

La acción de responsabilidad fue estimada

Blue Bell Creameries USA, Inc, uno de los mayores fabricantes de helados de Estados Unidos, sufrió un brote de listeria a principios de 2015. La incapacidad de esta corporación para contener la propagación de la listeria en sus plantas de fabricación hizo que ésta se extendiese en sus productos. Tres personas murieron como resultado del brote. La empresa retiró entonces todos sus productos, cerró la producción en todas sus plantas y despidió a más de un tercio de su plantilla.

Coimbra

Coimbra

Los accionistas también sufrieron pérdidas porque, tras el cierre operativo, Blue Bell conoció una crisis de liquidez que le obligó a aceptar una inversión de capital privado en virtud del cual la participación en el capital de los accionistas iniciales quedó diluída. Un accionista presentó una demanda derivativa contra dos altos ejecutivos y contra  administradores de Blue Bell, alegando el incumplimiento de las obligaciones fiduciarias de los demandados. La demanda se fundamentaba, más concretamente,  en que los ejecutivos -el presidente y  director general, y el  vicepresidente de operaciones- incumplieron sus deberes de diligencia y lealtad al ignorar, a sabiendas, los riesgos de contaminación y al no supervisar la seguridad de las operaciones de fabricación de alimentos de Blue Bell.

La demanda presentó hechos concretos que apoyaban razonablemente la alegación de que la administración de Blue Bell no había implantado ningún sistema para supervisar el cumplimiento de los deberes de seguridad alimentaria de Blue Bell.  El hecho de que un consejo de administración «no intente garantizar la existencia de un sistema razonable de información y comunicación» equivale a un acto de «mala fe» contrario a sus deberes fiduciarios. Cuando un demandante puede evidenciar que el consejo de administración no ha realizado ningún esfuerzo para asegurarse de que está informado de asuntos relativos a cumplimiento que son críticos para el funcionamiento de la empresa,  cumple los requisitos del exignte test Caremark para atribuir responsabilidad a sus miembros.

Así en Marchand, el Tribunal Supremo de Delaware determinó que el consejo de una empresa de helados que no contaba con sistemas para controlar la seguridad alimentaria, había incumplido su deber fiduciario.

Medidas para mejorar la ciberseguridad en las empresas

el 21 junio, 2021 en Banca y Seguros, Ciberseguridad en la empresa. Master U en Ciberseguridad, Otros

A medida que se multiplican los ciberataques a empresas, y que los efectos de tales incidentes son más graves, la reflexión relativa a los ciber-incidentes es más intensa. Van surgiendo sugerencias y recomendaciones expertas relativas prácticas corporativas internas y externas (respecto de proveedores, clientes, y otros con quienes interrelacionan en el curso de su actividad)

NYC_by Jara IPM

  • Desde el punto de vista de las relaciones de las empresas con terceros, se han sugerido ya algunas orientaciones tendentes a minimizar los riesgos derivados del entorno digital. Entre ellas, la revisión de sus prácticas contractuales para adaptar las definiciones y alcance de las exclusiones de responsabilidad pactadas. Estas prácticas son especialmente relevantes en sectores como el  del transporte de viajeros. ;   o en las empresas de transporte y distribución energética, por mencionar algunos de los que recientemente han sufrido grandes pérdidas, o han visto su actividad totalmente paralizada como consecuencia de ciberataques (sirva de ejemplo el ataque a Colonial Pipeline, y  los eventos de 6 de mayo de 2021). También son importantes para la gestión pública de infraestructuras y servicios que, al igual que el sector privado, han sufrido importantes ataques cibernéticos (véase los que afectaron a varias ciudades de Texas en 2019).

 

  • Otro conjunto de prácticas recomendadas para la prevención de riesgos cibernéticos consiste  en la contratación, mantenimiento y actualización de seguros contra ciberriesgos cuyo alcance y coberturas pueden variar sustancialmente. Pueden cubrir gran variedad de riesgos como la seguridad de elementos físicos susceptibles de recibir daños materiales fruto de una intervención ilícita en los sistemas digitales de la empresa; daños derivados de pérdidas de datos (y los relativos a los gastos necesarios para recuperarlos), pasando por la contratación de expertos que van desde la recuperación de datos electrónicos hasta el análisis experto del ataque, y la defensa en el caso (probable) de que se interpongan litigios contra el asegurado después de un ciberataque, o que éste decida interponerlos.  Hoy, las prácticas comerciales prudentes hacen que la contratación de seguros contra ciber-riesgos sea fundamental, hasta el punto de que la ausencia de esta cobertura puede, en si misma dar lugar a acusaciones de falta de diligencia por parte de los administradores.

 

NYC_by Jara IPM. One Trade Center Tower

  • Continuando en esta enumeración, la contratación de expertos externos especializados en la prevención y control de los ciberataques se considera una buena práctica. Los especialistas en ciberseguridad desempeñan un papel importante para minimizar la exposición, para detectar y supervisar los riesgos así como para establecer protocolos de seguridad de la infraestructura de información de una empresa. Como buena práctica, la contratación de estos expertos es también interesante como defensa en caso de litigio derivado de un ciberataque, en el sentido de que la empresa afectada puede aportar, a su favor, que sus protocolos estaban supervisados por expertos.

 

  • No es menos relevante, que la entidad cuente con profesionales cualificados en su seno como el CISO –Chief Information Security Officer- o el CSO, Chief Security Officer , o el CIO Chief information Officer, figuras que se van introduciendo en la práctica, en los estándares de seguridad como NIST o ISO, y van penetrando el ámbito normativo positivo.  En este sentido, recordamos algunas entradas anteriores en este blog,  como la relativa al Responsable de Información (exigido a las administraciones conforme al Esquema Nacional de Seguridad y también a ciertas empresas que contratan con la administración), que debe ser una figura distinta del Responsable de Seguridad y también del Responsable del Servicio en los términos del Real Decreto 3/2010. O el Responsable de Seguridad de la Información en los Operadores de Servicios esenciales, conforme al Real Decreto 41/2021) Como ya anunciábamos, estas figuras de altos ejecutivos se van haciendo habituales en la práctica  y han sido reforzadas mediante su inclusión en estándares de ciberseguridad como los NIST e ISO (familia 2700), y en recomendaciones de los CERN nacionales.

 

 

 

Inversores focalizados en medio ambiente: Activismo y nuevos productos de inversión

el 14 junio, 2021 en Banca y Seguros

Engine N 1 es un inversor, activista que adquiriendo una participación relativamente menor en Exxon Mobil  ha logrado nombrar varios consejeros en el consejo del gigante energético, marcando un hito en la creciente importancia de las cuestiones de corte ambiental sobre el gobierno corporativo interno de las sociedades mercantiles.

Engine No. 1 alcanzó notoriedad pública en diciembre de 2020 con sus peticiones a Exxon para que presentar un mejor plan de lucha contra el calentamiento global. En pocos meses ha intervenido en la batalla de representaciones (proxy) y  se ha asegurado tres puestos en el Consejo de Administración a raíz de las votaciones de la Asamblea General de Accionistas de 02.06.2021.

La incorporación de los nuevos consejeros, propuestos por Engine Nº 1 sobre la base de una agenda de renovación estratégica apoyada en el medio ambiente, da una buena señal en el sentido de que los inversores están cada vez más dispuestos a abordar el cambio climático, y a abrazar su defensa también en el ámbito de las decisiones corporativas.

Summer time

La votación de 2 de junio en la JG de EXXON  se produjo tras meses de conversaciones y debates entre Engine No. 1 y Exxon.

  • Engine No. 1 propuso a cuatro candidatos a directores independientes al consejo de la petrolera y obtuvo el apoyo de grandes fondos de pensiones, como CalPERS, calSTRS o New York State Common Retirement Fund. El hecho de que Engine No. 1, con sólo un 0,02% de participación en Exxon y sin antecedentes de activismo dentro del sector del petróleo y el gas, haya resultado tan influyente frente a un titán como Exxon, el mayor productor de crudo del mundo occidental, muestra la importancia de las cuestiones medioambientales en los consejos.

Junto a sus actividades de activismo,  Engine No. 1 tiene previsto comercializar un fondo cotizado en bolsa que se centrará en inversiones en proyectos sociales, se trata de Engine No. 1 Transform 500 ETF, que invertirá en los sectores de consumo, energía, servicios financieros, atención médica, tecnologías y servicios públicos, entre otros,

Bonos vinculados a la sostenibilidad (o rentabilidad por incumplimiento).

el 7 junio, 2021 en Banca y Seguros

El 11 de mayo de 2021, la Autoridad de Mercados Financieros de Francia, AMF, aprobó un folleto de admisión en Euronext Paris de Sustainable Linked Bonds (SLB), (fondos vinculados a criterios de sostenibilidad) al amparo del ordenamiento francés.

 

A raíz de esta noticia dedicamos esta entrada de blog a los SLB

Palloza, Sobrarriba (León)

¿Qué son los SLB? En un sentido amplio, los SLB son, conforme a la definición de la International Capital Market Association, cualquier tipo de instrumento de renta fija cuyas características financieras y/o estructurales pueden variar en función de que el emisor alcance unos objetivos predefinidos de sostenibilidad o ESG. Se trata de  instrumentos con una estructura flexible. Las entidades que emiten SLBs pueden establecer indicadores clave de rendimiento (KPIs) que están alineados con sus estrategias de sostenibilidad y  pueden financiarse estableciendo objetivos de sostenibilidad relativamente generales y globales, en lugar de quedar vinculados a la financiación de proyectos específicos. A diferencia de los bonos verdes destinados a financiar activos «verdes», los SLB operan sobre la base de una rentabilidad aumentada si, en  una fecha predeterminada,  el emisor no ha cumplido con los objetivos de sostenibilidad  predeterminados y cuantificados a través de Indicadores clave (KPI).

En su comunicado, la AMF recuerda que la emisión de SLB ha crecido enormemente en los últimos meses en Europa, principalmente a través de colocaciones privadas en las que no se exige folleto,  y que, tratándose de productos vinculados a la crecientemente importante sostenibilidad, posiblemente sean cada vez más habituales también en los mercados regulados. Manifiesta además el Regulador francés, que espera que esta nueva herramienta de financiación sostenible se desarrolle en los años venideros, como complemento de otras iniciativas de inversión sostenible.

Buena parte del éxito en la comercialización de SLB dependerá de la credibilidad de  los emisores y de los folletos en relación con los parámetros seleccionados (KPI). Ya por el momento,  esta admisión de la que se da noticia supone un paso en la dirección de ubicar a la plaza parisina como mercado favorable a la promoción de modelos de negocio sostenibles en el que , con el examen de los folletos correspondientes,  la autoridad supervisora contribuirá con su control a la credibilidad de las emisiones en el marco del ordenamiento francés.

REFLEXIONES CRÍTICAS SOBRE LOS SLB:

  • No  se vinculan a actividades concretas, sino que responden a una estructura flexible que plantea algunas dudas. En primer lugar, esta estructura no tiene en cuenta el destino al que se dedican los fondos captados, por lo que los inversores no conocen cómo se utilizarán, ni cuales serán sus impactos.
  • Presentan peligro de riesgo moral. La estructura estándar de un SLB incluye entre sus rasgos, el pago al inversor cuando el emisor no cumple los objetivos de sostenibilidad predefinidos. Implícitamente, por ello,  se genera un riesgo moral para los inversores en el sentido de que se beneficiarán de que una empresa no cumpla sus ambiciones y objetivos de sostenibilidad.
  • Podrían utilizarse para Green Washing La estructura flexible de los KPIs que se emplean en los SLB facilita a los emisores el «lavado de cara de la sostenibilidad» con cierta facilidad, por ejemplo  cambiando los objetivos  y ajustando  metas.
  • Rentabilidad-sanción. Frente a lo que ya sucede con los productos de inversión «verdes», que suelen tener un precio  que los hace más caros para el inversor,  en el incipiente mercado de fondos ligados a la sostenibilidad los SLB se comercializan  con una prima respecto a otros productos tradicionales del mismo emisor, y producen mayor rentabilidad en caso de incumplimiento de ciertos KPI. Los rasgos descritos muestran  que por el momento el mercado no está dispuesto a pagar por la etiqueta sostenible de los SLB, mientras no vaya vinculada a algún tipo de sanción de cumplimiento.
  • Exigencia de mayor monitorización del inversor. Los SLB ocuparían, creemos, un papel como herramienta de financiación complementaria para aquellas empresas que no pueden encontrar suficientes proyectos verdes para emitir fondos verdes propiamente dicha. Pero la estructura flexible de los SLB significa que los inversores deben prestar más atención a los objetivos de sostenibilidad/ESG para evitar el «lavado de la sostenibilidad» o para verificar sus ingresos: los KPIs deben ser examinados en detalle y ser suficientemente ambiciosos y sólidos.

SOBRE LOS KPI EN LOS SLB

  • KPI climáticos. La mayoría de los SLB irán, previsiblemente,  vinculados a KPIs relacionados con el clima porque existen fuertes incentivos colaterales, como los programas de compra de activos del BCE, que sólo incluye los SLB con KPIs relacionados con el cambio climático o la degradación del medio ambiente. Pero los indicadores climáticos suelen centrarse en las emisiones de CO2. Engloban tanto las propias del emisor, como otras vinculadas con sus proveedores o clientes, que son difíciles de gestionar y controlar.
  • Deberían centrarse en aspectos core del negocio del emisor.  Algunos ejemplos recientes son la empresa sanitaria Novartis, que emitió un fondo vinculado a la sostenibilidad con KPIs relacionados con sus relaciones y accesibilidad con sus pacientes. O el minorista de alimentación Ahold Delhaize, donde el SLB tenía KPIs relacionados con evitar el desperdicio de alimentos
  • Deberían ser sometidos a verificación independiente y  externa. Los KPI deben estar bien documentados y verificados por expertos independientes y sus emisores estar sometidos a deberes de información específicos sobre el cumplimiento de tales KPI.

A PROPÓSITO DE LOS EMISORES:

En nuestra opinión, corresponde que únicamente las entidades emisoras gobernadas con criterios de sostenibilidad puedan emitir SLB. En este sentido los ámbitos de gobernanza corporativa y de gobernanza de productos afectada son muchos y variados: desde los componentes sanos en la producción alimentaria, al reciclaje, la igualdad o la remuneración de sus directivos son aspectos a tener en cuenta. Las SLB ofrecen la posibilidad de obtener financiación y debería integrarse con abordar cuestiones de sostenibilidad social, más allá de las meramente climáticas. Sus emisores no son, generalmente, grandes emisores de CO₂ y  es por ello que no presentan los requisitos habituales para emitir bonos verdes propiamente dichos.  En cambio, emitir un SLB les da la oportunidad de superar una visión puramente climática en la que verdaderamente no presentan graves problemas, para entrar en un panorama más amplio de la sostenibilidad. Desde el punto de vista del inversor, es importante ser crítico: evaluar si los KPI de un bono vinculado a la sostenibilidad son sólidos y si se han establecido todos los controles para garantizarlo. Pero es aún más importante que el emisor esté comprometido con un futuro más sostenible y que su marco de SLB y su estrategia de sostenibilidad estén bien alineados. La transparencia y la divulgación de la empresa son fundamentales a la hora de evaluar el impacto de una SLB y los objetivos y logros ESG.

Titulización en la UE. Informe de las ESAs para la revisión del marco europeo de titulización

el 17 mayo, 2021 en Banca y Seguros

El Comité Conjunto de las Autoridades Supervisoras Europeas (ESA – Autoridad Bancaria Europea, Autoridad Europea de Seguros y Pensiones de Jubilación y Autoridad Europea de Valores y Mercados) publicó  su análisis sobre el Reglamento (UE) 2017/2402 del Parlamento Europeo y del Consejo, de 12 de diciembre de 2017, por el que se establece un marco general para la titulización y se crea un marco específico para la titulización simple, transparente y normalizada, y por el que se modifican las Directivas 2009/65/CE, 2009/138/CE y 2011/61/UE y los Reglamentos (CE) n.o 1060/2009 y (UE) n.o 648/2012 (SECR). En este documento (JC 2021-31)(17.05.2021 ) se abordan, entre otras cuestiones, ciertas recomendaciones para hacer frente a los desafíos iniciales derivados del SECR y también para mejorar su coherencia en una próxima reforma del SECR, ya en ciernes.  (Ver Propuesta de Reforma de la Comisión, COM (282)2020 final)

Antes de la crisis financiera de 2008, algunas actividades de titulización seguían un modelo tradicional de reparto de riesgos simple, conforme al cual sucedía en ocasiones que , mediante activos de calidad inferior titulizados, se trasferían a los inversores riesgos superiores a los que hubieran tenido intención de asumir. Por el contrario, la titulización sintética en el marco europeo, conforme al SECR , se basa en un acuerdo de cobertura del riesgo de crédito en el que la originadora compra protección crediticia al inversor. Implica transferir el riesgo de crédito de un conjunto de préstamos, normalmente préstamos a grandes empresas o préstamos a pequeñas y medianas empresas (pymes), mediante un acuerdo de cobertura del riesgo de crédito. La originadora adquiere protección crediticia para el inversor, utilizando garantías financieras o derivados de crédito (la propiedad de los activos sigue siendo de la originadora y no se transfiere a un vehículo especializado en titulizaciones, como ocurre en las titulizaciones tradicionales).

En Vigo

    • La originadora, como comprador de la cobertura, se compromete a pagar una prima de cobertura del riesgo de crédito
    • El inversor, como vendedor de la cobertura, se compromete a abonar un pago de cobertura del riesgo de crédito pactado si se produce un evento crediticio pactado.

Conforme al Dictamen Dictamen de la Autoridad Bancaria Europea a la Comisión sobre el tratamiento reglamentario de las titulizaciones de exposiciones dudosas (EBA-OP-2019-13), publicado el 23 de octubre de 2019,  los riesgos asociados con los activos que garantizan las titulizaciones de exposiciones dudosas son específicos y por ello deben ser titulizadas con alguna forma de descuento sobre su valor nominal, reflejando la evaluación del mercado sobre la probabilidad de que la renegociación de la deuda genere suficientes flujos de efectivo y recuperación de activos. En este sentido, las titulizaciones sintéticas del marco europeo suponen un avance positivo, pero, la complejidad de los mecanismos de titulización y los riesgos asociados no deben ofrecer incentivos impropios a las originadoras.

En efecto, y conforme a la Propuesta de Reforma de la Comisión, el marco actual no alcanza su pleno potencial en dos aspectos que son muy importantes para incentivar la recuperación económica y, entre otros,  no contempla la titulización sintética dentro de balance ni es totalmente adecuado para la titulización de exposiciones dudosas, aspectos en los que se proyecta el conjunto de la reforma y el documento del que se da noticia.

Algunos requisitos para las titulizaciones tradicionales que no son adecuados para las titulizaciones sintéticas de balance debido a las diferencias inherentes entre ambos tipos de titulización, en particular, debido al hecho de que, en las titulizaciones sintéticas, la transferencia del riesgo se logra a través de un acuerdo de cobertura del riesgo de crédito, en lugar de una venta de los activos subyacentes. Por consiguiente, los criterios para éstas deben adaptarse con  requisitos como los necesarios para dar cabida al riesgo de crédito de contraparte tanto para la originadora como para el inversor. Y  en esta línea se deberá avanzar en futuras reformas

También aborda este texto,  la eficiencia del marco de titulización europeo de cara a la recuperación posterior a la pandemia de Covid-19. En este sentido, corresponde tener en consideración la comunicación de la Comisión europea de 27.05.2020, titulada «El momento de Europa: reparar los daños y preparar el futuro para la próxima generación», en el que la Comisión adelantaba como retos fundamentales del futuro económico a medio plazo los de liquidez y acceso a la financiación , especialmente a raíz de la pandemia.

Modificación de Estatutos sociales. Sociedad Anónima. Ficha apunte

el 14 abril, 2021 en Sin categoría

  • Régimen jurídico: arts. 285-345; y para SA cotizada 360-400 LSC
  • Finalidad: reformar las normas de organización y funcionamiento que la SA prevé en sus estatutos
  • Procedimiento y forma: Cambio de la redacción de los estatutos sociales inscritos en el Registro Mercantil, cumpliendo los requisitos legales y (en su caso) estatutarios)
    • La modificación debe ser acordada por la junta general (excepto el cambio de domicilio dentro del territorio nacional que puede ser acordado por el órgano de administración, art. 285.2 LSC).
    • Requisitos:
      • Informe escrito de los administradores, o de los accionistas autores de la propuesta
      • Reflejo claro en la convocatoria de la Junta de la propuesta
      • Debe constar en la convocatoria de Junta el derecho de todos los accionistas a examinar en el domicilio social el texto íntegro de la modificación y del informe, y a solicitar el envío gratuito de estos documentos.
      • Quórum de constitución conforme al art 194 LSC (extraordinario): en primera convocatoria, el 50% del capital social con derecho a voto; en segunda, el 25%), pudiendo ser más exigente si así consta en estatutos
      • Mayoría de votación especial (art 201.2 LSC) (o más elevado conforme a estatutos)
        • Si el capital presente o representado supera el 50% basta que el acuerdo se adopte por mayoría absoluta.
        • Si  el capital presente o representado es de menos del 50% del capital social con derecho de voto, se exigen 2/3 del capital presente o representado con derecho de voto
      • El acuerdo deberá constar en escritura pública, inscribirse en el RM y publicarse en el BORME
    • Tutela de socios. Aspectos específicos de la modificación de estatutos para la protección de socios:
      • Si la modificación impone nuevas obligaciones a accionistas concretos, se exige el consentimiento de los afectados (art. 291 LSC), entendiéndose de todos ellos.
      • Si implica nuevas restricciones en la transmisibilidad de acciones los accionistas que no hayan votado a favor podrán, durante un plazo de tres meses desde la publicación del acuerdo de modificación en el BORME, transmitir sus acciones sin someterse a las restricciones introducidas (art. 123.1, 2º, LSC).
      • Si afecta a los derechos de una clase de acciones se exige además del acuerdo de la junta general, otro acuerdo específico, adoptado por mayoría, de los accionistas que integran la clase afectada. El segundo acuerdo puede alcanzarse mediante una “junta especial” (a la que solo asisten los accionistas de la clase afectada) o bien en una votación separada de estos accionistas en el seno de la junta general (art. 293 LSC)
      • Recuérdese lo dispuesto en el art. 348 LSC en relación con los acuerdos de la junta que dan lugar a separación (obligación de publicación en BORME o de notificación individual y plazo de 2 meses para ejecutar esa separación)
    • Modificación de Estatutos por aumento o reducción del capital social. Sigue normas específicas aquí, aquí.

International Business Law (International Trade Degree-ULE). Lesson 3 (1,2,3,4). Notes for IBL

el 1 marzo, 2021 en Banca y Seguros, Derecho de los Negocios Internacionales International Business Law. Grado Comercio Internacional

International Business Law (International Trade Degree-ULE). Lesson 3 (Schedule to parts 1 ,2,3,4). Notes IBL

Compulsory readings and materials for 2nd-year Students of  University of Leon’s International Trade Bachelor Degree (IBL). This lesson is dedicated mainly to the EU Legal System, notwithstanding some references to International Law and Spanish National Law.

LESSON 3.- REGULATION OF COMPETITION IN THE MARKETPLACE

Summary:

1. Free Competition Law.
1.1 (Prohibited) Agreements
1.2 Abuse of dominant position
1.3 Concentrations
1.4 State Aid

2. Unfair Competition Law.
2.1 General Clause
2.2 Specific Clauses

Trad: B Valle

Here you find an INTRODUCTION and then please click to the next slides:

King  Alfonso V  of León

Introduction to Competition Law

Markets, where mutually independent businesses engage in the same activity and enter the fray to attract consumers, are markets that operate as FREE MARKETS.

In free markets, each business is subject to competitive pressure from the others. The effective and fair competition gives businesses a level playing field and it also confers many benefits on consumers (lower prices, better quality, wider choice, etc.).

Free and Fair Competition Laws are at the heart of Commercial Law in Western Legal Systems.

  • Please note:
    • When dealing with Competition, the Law acknowledges that some practices can affect some geographical zones, but not others, and vice-versa. So, obstacles to Free Competition and Unfair Commercial Practices can affect a Region, a Country, a Continent, or the whole World!!. Such circumstances imply that the legal applicable systems, the supervisory Institutions, and the competent courts can be regional, national, European and international, depending on the scope and the consequences of each barrier and /or conduct.
    • Notwithstanding the above,  Free and Fair Competition Law and Systems allow for some monopolistic situations, for instance in the fields of  Patent Law, Trademarks Law,  and other regulated matters where competition is somehow restricted. However, such accepted obstacles to free competition are limited by the Law: they must be construed and interpreted as exceptions. 
  • COMPETITION LAW can be divided into two great and general sections: Free Competition Law, and  Unfair Competition Law
    1. Free Competition, is the perspective of Competition Law especially related to public interests in trade and business. In this sense, Free Competition amounts to creating and maintaining free markets to pursue general economic development.
      • Within Free Competition we find:
        1. Antitrust Law, (Agreements and practices against Free Competition,  as well as Control over abuse of Dominant Positions);
        2. also Mergers‘ control Law,
        3. and State Aids’  control Law.
    2. Unfair Competiton is a perspective that, taking into account general interest of the economy, it is rather centred on the relationship among private business, companies, etc, in the markets and also vis à vis business and consumers.

MORE IN THIS LESSON:

Tratamiento de datos personales y discriminación algorítmica en el entorno asegurador. A propósito de un libro reciente

el 3 febrero, 2021 en Banca y Seguros, Ciberseguridad en la empresa. Master U en Ciberseguridad, Derecho de los Negocios Internacionales International Business Law. Grado Comercio Internacional, DM3- Contratos mercantiles. Grado en Derecho, Otros

JUNQUEIRA, Thiago, Tratamento dos Dados Pessoais e Discriminacão Algorítmica nos Seguros, Thomson Reuters /Revista dos Tribunais, São Paulo, 2020.

(Prologado por Anderson Schreiber; presentado por Bruno Miragem)

Presentábamos recientemente para consultor jurídico de Brasil,  este libro recientemente recibido de allende los mares. Su autor Thiago Junqueira es Doctor en Derecho por la Universidad del Estado de Rio de Janeiro,  Profesor  y Abogado socio, del reconocido bufete Chalfin, Goldberg & Vainboim Advogados.  Se reproduce a continuación, con adaptaciones, esa reseña, ahora en el marco del blog DerMerUle

Es estudio de Junqueira parte de la idea del carácter innovador del mundo asegurador para el Derecho. Justifica su afirmación en la frecuencia con la que, en efecto, los contratos de seguros suelen anticipar hitos importantes en el devenir de la evolución de algunas relaciones jurídicas especialmente en Derecho  privado. A través de ejemplos y fundamentos doctrinales clásicos, entre los que resulta paradigmática la tendencia objetivadora de la responsabilidad civil asegurada; Junqueira conduce al lector a otros supuestos actuales como es el de a tutela de los datos personales  en el marco de la contratación de seguros. Si esta cuestión ya ha sido objeto de atención doctrinal en años recientes, mayor reflexión merece a la luz del tratamiento algorítmico automatizado que hoy subyace a los cálculos matemáticos y actuariales esenciales en la industria aseguradora. Y es que, el carácter carácter necesario de las informaciones (inputs) que necesita la industria para poder asegurar riesgos, no obsta para que el tratamiento que se realice con tales datos deba valorarse a la luz de los derechos que asisten a los asegurados, y en concreto frente a la prohibición de discriminación.

Las vías sugeridas por Junquira para aminorar los riesgos derivados del tratamiento automatizado en el caso de las aseguradoras  reflejan una investigación lúcida y un profundo conocimiento tanto del ámbito jurídico de la protección de datos, como del de la responsabilidad y del asegurador.

El autor de esta obra se basa en  el análisis de figuras e institutos jurídicos tradicionales, propios de la teoría dogmática más clásica en derecho de seguros continental, brasileño y anglosajón. No deja de lado, por tanto,  cuestiones relativas al análisis de riesgos, la elaboración de perfiles, o su relación con el cálculo de las primas. Pero además, introduce en sus reflexiones las formulaciones teóricas más avanzadas sobre la privacidad, protección de datos personales y discriminación directa e indirecta. Todo ello, a la luz de la reciente aprobación en el país brasileño de una nueva Ley General de Protección de Datos Personales – LGPD, que introduce entre otras instituciones, una regulación básica sobre la discriminación directa. También se contemplan en esta obra formulaciones científicas que se van asentando en la doctrina como la de la llamada “justicia actuarial” o de la intimidad informática, ahora aplicada a los tratamientos con inteligencia artificial.  Y es que el  panorama actual relativo a la discriminación por el tratamiento de datos en los seguros  tiene sus raíces  en formulaciones doctrinales y jurisprudenciales clásicas nacionales y comparadas, y se proyecta hacia nuevos panoramas

El volumen se divide en tres grandes partes.

  • En el primer capítulo se examina la clasificación de los riesgos por parte del asegurador en la llamada ciencia actuarial. Tras subrayar la base económica y social de la clasificación del riesgo, y su apoyo jurídico – normativo, el autor  aborda una cuestión nuclear: la dificultad de comprensión de los presupuestos y procesos actuariales para el iusprivatista.  Conceptos como el de «generalización del riesgo» o ll de la «correlación» , propios de formulaciones actuariales van más allá de la causalidad jurídica. También aborda la relación entre los criterios de medición actuarial utilizados por la aseguradora, con el deber de protección de la intimidad del asegurado y con las  prohibiciones de discriminación. En este sentido, destaca Junqueira  como  algunos datos personales, de género o de étnica son objeto de tratamiento con consecuencias discriminatorias directas o indirectas.
  • El segundo capítulo se centra en la dicotomía entre la necesidad de prevenir discriminaciones en el tratamiento inteligente de datos, y el requisito de valorar riesgos como base de la eficacia y de la sostenibilidad del negocio asegurador. Y, centrando la cuestión, investiga las posibles estrategias para prevenir la discriminación racial algorítmica en la clasificación de riesgos. A este respecto, Thiago Junqueira formula una proposición innovadora en el sentido de que la tutela frente a la discriminación en sus diversas facetas, debe observarse no sólo en su perspectiva directa, sino también en la indirecta. La discriminación indirecta es  más difícil de combatir pues a menudo se basa en datos de apariencia neutra.
  • En la parte final o tercer capítulo, posiblemente la más innovadora del libro, el Doctor ofrece estrategias preventivas en el tratamiento de datos,  en particular en lo relativo a evitar la discriminación racial  susceptible de general  discriminación indirecta. Así, en lugar de una aproximación de control en cuanto a los inputs, u informaciones de recogida por parte de los aseguradores, presenta la opción de favorecer un control de outputs, esto es de los servicios y ofertas aseguradoras para evitar también la discriminación indirecta. En efecto, frente a la fairness through blindness conocida en el mundo anglosajón,  actualmente se proponen regímenes de fairness through awareness (FTA). El FTA implica, o puede hacerlo, la necesidad de conocer datos sensibles por parte de la aseguradora, precisamente para equilibrar los cálculos actuariales en su programación automatizada basada en una justicia desde el diseño, design fairness o privacy from design. Son abundantes, pertinentes y muy interesantes las reflexiones doctrinales y jurisprudencia bien traída en este libro. Principalmente casos norteamericanos, de los que se evidencia que, frente a prohibiciones de discriminación directa que posiblemente puedan abordarse con cierto éxito desde la “ceguera”, la combinación de la automatización en las decisiones actuariales con la proyección de la discriminación indirecta evidencia la insuficiencia de un tratamiento consistente en la mera eliminación de datos. Apuntaría el autor, o eso creo, a favorecer una suerte de discriminación positiva en el cálculo algorítmico una “discriminación (positiva) por concienciación. Una discriminación, pero no tanto en lo relativo a los resultados, o dicho de otro modo, no tanto aplicando una reducción en la prima de seguros cuando el asegurado pertenezca a un grupo racial concreto. Sino, contrarrestando algunos efectos que la inteligencia artificial tiende a asignar, que derivan de cuestiones socio económicas y que en realidad, no tendrían impactos significativos sobre el riesgo pero que tienen consecuencias en el encarecimiento de los seguros para los grupos humanos en cuestión. En el fondo, se plantea la necesidad de que el legislador efectúe controles preventivos, más que a posteriori, para lograr un equilibrio entre nuevas tecnologías automatizadas y tutela de derechos fundamentales. Y, de contar con mecanismos comprensibles  que no abandonen del todo el ámbito del control humano y por tanto de la responsabilidad. En efecto transparencia y accountability se configuran en esta obra, como pilares en el devenir de una industria aseguradora apoyada en la inteligencia artificial,  pero no hasta el punto de abrazar sin filtro las inferencias y deducciones que conllevarían consecuencias nocivas en el terreno de los Derechos Humanos, entre ellos los derivados de la discriminación en el tratamiento automatizado de datos personales.

 

Las últimas páginas del libro se dedican a exponer en modo claro y sucinto el conjunto de 21 conclusiones a las que llega el Doctor, y a recoger la importante batería bibliográfica y documental nacional y comparada, en la que ha basado su investigación.

Reiteramos nuestra felicitación y agradecimiento por el regalo de este importante trabajo, quedamos a espera de las futuras obras del Doctor. Y, sin duda animamos a los interesados en tanto en el mundo asegurador, como en el de la inteligencia artificial desde el derecho privado, a utilizar este trabajo que encontrarán de gran utilidad.

ARES. Trabajos preliminares hacia una Propuesta de Directiva Europea para un Gobierno Corporativo Sostenible

el 13 enero, 2021 en Banca y Seguros, Otros

Conocíamos a través de la reciente Winter Newsletter de Corporance, la importancia que los asesores de voto de inversores están reconociendo al impacto de las distintas perspectivas de Desarrollo Sostenible sobre la adopción corporativa de decisiones, así como  los trabajos preliminares para la posible adopción de una Propuesta de Directiva sobre Gobierno Corporativo Responsable por parte de la Comisión Europea.

La sostenibilidad se presentaría ahora, no tanto como un esfuerzo exclusivamente social o ambiental, ni siquiera como un tema vinculado únicamente al reporting de información no financiera . Por el contrario, la visión largoplacista  e incluso «institucional» en el sentido económico y jurídico más clásico constituiría un pilar muy importante en la reforma que se anuncia en ciernes.  En efecto, conforme al n estudio encargado por la Comisión Europea «Study on directors’ duties and sustainable corporate governance«, la presión hacia el rendimiento financiero cortoplacista que reciben los directivos de muchas entidades, especialmente las sociedades cotizadas en mercados oficiales de valores, podría poner en peligro una visión más a largo plazo que permita el mantenimiento y el crecimiento de las actividades corporativas a largo plazo. Este trabajo muestra , a nivel de tendencia en toda la UE y también con datos detallados, crecientes pagos de dividendos y recompra de acciones; que ha ido acompañada de un fuerte descenso en la proporción entre inversión empresarial (gastos de capital, gastos en I+D) e ingresos netos. En paralelo se ha identificado, también como resultado de las presiones cortoplacistas,  que frente a las alzas en las retribuciones a ejecutivos, los trabajadores no ejecutivos, cuyos salarios no se vinculan ni a la percepción de capital, ni a recibir sumas vinculadas al precio de los valores corporativos, se ha estabilizado o incluso disminuido.

La presión cortoplacista reduce la capacidad de las empresas para integrar las consideraciones de sostenibilidad en las estrategias y decisiones empresariales.  Así, se generan obstáculos para la integración de los aspectos medioamientales y sociales en las operaciones corporativas y en sus cadenas de suministro. Pero además, no se aprobechan plenamente las posibilidades de inversión que se apoyan en la sostenibilidad. Y, subyace en el fondo una cuestiçon normativa plenamente relacionada con el Derecho Mercantil y con los derechos de los administradores en la formulación que estos reciben en los distintos ordenamientos nacionales, con alguna excepción. Y por ello, la futura Propuesta ARES tendrá como objetivo mejorar el marco regulatorio del derecho de sociedades y el gobierno corporativo. Se pretende que proporcione mejores incentivos para que las empresas se centren en la creación de valor sostenible a más largo plazo, amparándose en el objetivo de alinear mejor los intereses de la empresa, de sus accionistas, grupos de interés y de la sociedad.

Más sobre esta materia:

Mercados de Valores. Actualización de la regulación sobre difusión de datos (previos a la negociación y posteriores a la negociación). ESMA y SEC

el 28 diciembre, 2020 en Banca y Seguros

Observamos sendos movimientos de actualización en las normas técnicas que rigen determinados elementos relativos a la difusión (y comercialización) de datos de los mercados de valores en el seno de la UE, por un lado y del Sistema Nacional de Mercados de EEUU por el otro.

I

ESMA consulta sobre una posible reforma en las Normas Técnicas relativas a la distribución de datos (MIFIDII/MIFIR): Consultation Paper Guidelines on the MiFID II/ MiFIR obligations on market data (6 November 2020 | ESMA70-156-2477) (hasta 11 enero 2021):

 

Debe recordarse que el 5 de diciembre de 2019, la ESMA publicó el Informe MiFID II/MiFIR sobre datos de mercados que incluía datos de la comercialización de datos anteriores y posteriores a la negociación de instrumentos de capital, así como la grabación y distribución de datos consolidados. En él, la ESMA presentó, entre otras cosas, su evaluación y recomendaciones sobre la evolución de los precios de los datos de mercado y sobre la aplicación de las principales disposiciones de MiFID II/MiFIR al respecto y en particular en lo relativo a la obligación de publicar esos datos sobre una base comercial razonable (RCB), el requisito de proporcionar datos de mercado en un formato desagregado, y el requisito de poner a disposición los datos de mercado de forma gratuita 15 minutos después de la publicación. En el informe, la ESMA hizo algunas recomendaciones a la Comisión Europea sobre posibles enmiendas a las disposiciones del Nivel 1 y también se comprometió a elaborar orientaciones de supervisión en la esfera de los datos de mercado. Sobre tales antecedentes, la ESMA consulta ahora sobre un documento de futuras directrices 

  • En este Documento de Consulta (CP) la ESMA consulta sobre el su proyecto de directrices sobre las obligaciones en materia de datos al amparo de MiFID II/MiFIR
  • La consulta se divide en una serie de secciones entre las que destacan la sección 3, relativa a directrices sobre la base de costos; la sección 4 sobre la obligación de no discriminar en el suministro de datos, la sección 5 relativa al precio coherente con las necesidades de cada usuario; la sección 6 sobre la obligación de desagregación; la sección 7 con directrices sobre obligaciones de transparencia en relación con el empleo de un formato formalizado; con la normalización de la terminología y con las metodologías contables empleadas para establecer tarifas de daos, así como prácticas de auditoria. La sección 8 consulta la propuesta de directrices de la ESMA sobre el suministro gratuito de datos 15 minutos después de la publicación.

 

II

Pues bien, al otro lado del atlántico, con algo de anticipación, pero también en paralelo la SEC, el supervisor estadounidense  publicó sus Reglas para modernizar la infraestructura para la recopilación, consolidación y difusión de datos de mercado para acciones del sistema de mercado nacional que cotizan en bolsa (“datos de mercado NMS”), que no se había actualizado significativamente desde su puesta en marcha a fines de la década de 1970.

Ahora la SEC actualiza el método mediante el cual se consolidan y difunden los datos de mercado a nivel nacional, fomentando un entorno competitivo y proporcionando y un nuevo modelo descentralizado que promete una latencia reducida y otras nuevas eficiencias. ; Regla  final aquí 

 

 

Comentabamos sobre estos deberes de los Mercados y de ciertos intermediarios en PÉREZ CARRILLO, E EF:

Ir a la barra de herramientas