Imagina que a la teva organització es produeix una irregularitat i la persona que la detecta no sap a qui adreçar-se. O, encara pitjor, tem patir represàlies si decideix comunicar el que ha passat.

Aquesta situació pot comprometre la confiança de la plantilla i dificultar que una empresa o institució identifiqui a temps conductes contràries a la normativa.

La Llei 2/2023, de protecció de les persones informants, estableix l'obligació de disposar d'un Sistema Intern d'Informació per a determinades empreses i entitats. La seva finalitat és facilitar la comunicació de possibles infraccions i protegir les persones que n'informen en les condicions previstes legalment.

No es tracta únicament d'instal·lar una bústia digital. El sistema ha de disposar de procediments, responsables i garanties que permetin gestionar les comunicacions de manera confidencial, segura i respectuosa amb els drets de totes les persones implicades.

A SIBPRODASA, des de les nostres seus de Barcelona i Madrid, treballem en l'àmbit de la consultoria de protecció de dades i compliment normatiu. Una matèria especialment rellevant per a aquests sistemes, atès que el seu funcionament pot implicar el tractament d'informació personal especialment delicada.

La teva entitat està obligada a disposar d'un canal de denúncies?

La primera qüestió és determinar si la teva organització es troba entre els subjectes obligats per la Llei 2/2023.

Amb caràcter general, han de disposar d'un Sistema Intern d'Informació:

• Les empreses i altres ocupadors del sector privat amb 50 o més persones treballadores. L'obligació comença en assolir aquest llindar, no en superar-lo.
• Les entitats integrants del sector públic. La Llei estableix aquesta obligació amb les particularitats que preveu per a determinades organitzacions.
• Determinades entitats privades subjectes a normativa sectorial específica. Entre aquestes, algunes activitats relacionades amb serveis i mercats financers, prevenció del blanqueig de capitals, seguretat del transport o protecció del medi ambient, segons els supòsits previstos legalment.
• Partits polítics, sindicats, organitzacions empresarials i fundacions creades per aquests quan rebin o gestionin fons públics.

Per tant, no tots els centres educatius o sanitaris privats hi estan obligats pel simple fet de pertànyer a aquests sectors o tractar dades personals sensibles.

Una clínica privada o una escola privada haurà d'analitzar la seva plantilla, la seva naturalesa jurídica i la possible aplicació d'obligacions sectorials específiques.

Les organitzacions que no hi estiguin obligades també poden establir voluntàriament un Sistema Intern d'Informació, però hauran de respectar els requisits de la Llei quan optin per fer-ho.

Canal de denúncies i Sistema Intern d'Informació: són el mateix?

Tot i que habitualment s'utilitza l'expressió canal de denúncies, la Llei 2/2023 regula un concepte més ampli: el Sistema Intern d'Informació.

El canal és el mitjà que permet presentar comunicacions sobre possibles infraccions. Pot adoptar diferents solucions organitzatives o tecnològiques, sempre que compleixi els requisits legals.

El Sistema Intern d'Informació comprèn, a més:

• Una política que estableixi els principis generals del sistema i les garanties de protecció de les persones informants.
• Un procediment de gestió de les comunicacions rebudes.
• La designació d'un Responsable del Sistema.
• Mesures de confidencialitat i protecció de dades personals.
• Regles per a la recepció, anàlisi, seguiment i resposta a les comunicacions.
• Informació accessible sobre els canals interns i externs disponibles.

Per això, habilitar una adreça de correu electrònic o contractar una plataforma digital no significa, per si sol, que l'organització hagi complert totes les seves obligacions.

Quins requisits ha de complir el Sistema Intern d'Informació

Una de les principals finalitats de la Llei és facilitar que les persones puguin comunicar determinades infraccions sense quedar exposades indegudament.

Però el sistema també ha de respectar els drets de les persones que resultin afectades per aquestes comunicacions.

Anonimat i confidencialitat

El canal ha de permetre presentar i tramitar comunicacions anònimes.

Quan una persona s'identifica, s'han d'aplicar les garanties legals de confidencialitat i restringir l'accés a la seva identitat.

Això no implica que la identitat de la persona informant no es pugui comunicar en cap circumstància. La Llei preveu determinats supòsits en què es pot revelar a les autoritats competents, respectant les garanties aplicables.

Protecció davant de represàlies

La normativa prohibeix les represàlies contra les persones que comuniquen infraccions i compleixen les condicions legals per rebre protecció.

Aquestes represàlies es poden manifestar mitjançant mesures laborals perjudicials, amenaces, intimidacions o altres actuacions vinculades amb la comunicació realitzada.

L'organització ha d'establir mesures destinades a prevenir aquestes situacions i facilitar que les comunicacions es puguin gestionar sense pressions indegudes.

Protecció de les persones afectades

El sistema no només ha de protegir la persona informant.

També ha de respectar la presumpció d'innocència, el dret a l'honor i les garanties de defensa de les persones a les quals s'atribueixen els fets comunicats.

Rebre una informació no significa que els fets denunciats hagin quedat demostrats.

Terminis de resposta i seguiment

La Llei estableix terminis concrets per a la tramitació de les comunicacions.

El procediment ha de preveure un acusament de recepció en un màxim de set dies naturals des de la recepció, llevat que el seu enviament pugui comprometre la confidencialitat.

El termini màxim per respondre a les actuacions d'investigació és, amb caràcter general, de tres mesos, computats d'acord amb l'article 9 de la Llei.

En casos d'especial complexitat, aquest termini es pot ampliar fins a tres mesos addicionals.

És important distingir entre donar resposta a les actuacions d'investigació i garantir que qualsevol procediment quedi completament resolt dins d'aquest termini.

El Responsable del Sistema: una figura essencial

Un Sistema Intern d'Informació necessita una persona o òrgan responsable del seu funcionament.

La Llei permet designar una persona física o un òrgan col·legiat. En aquest darrer cas, s'ha de delegar en un dels seus membres la gestió del sistema i la tramitació dels expedients d'investigació.

El Responsable del Sistema ha d'actuar amb independència i autonomia, sense rebre instruccions en l'exercici de les seves funcions i disposant dels mitjans necessaris.

La seva designació correspon a l'òrgan d'administració o de govern de l'entitat.

Comunicació del nomenament a l'autoritat competent

Hi ha, a més, una obligació administrativa que convé tenir especialment present.

El nomenament i el cessament del Responsable del Sistema s'han de notificar a l'Autoritat Independent de Protecció de l'Informant (AIPI) o, quan correspongui, a l'autoritat autonòmica competent.

Per als nous nomenaments i cessaments, la Llei estableix un termini de deu dies hàbils des que es produeixen.

L'AIPI disposa d'un procediment electrònic específic per a aquesta comunicació. Les organitzacions també han de comprovar quina autoritat és competent segons el seu àmbit i la normativa autonòmica aplicable.

Protecció de dades: un aspecte fonamental del canal

Les comunicacions rebudes poden incloure noms, circumstàncies laborals, informació econòmica, fets presumptament irregulars o dades especialment sensibles.

Per aquest motiu, la gestió del Sistema Intern d'Informació també ha de complir la normativa de protecció de dades personals.

Entre els aspectes que s'han de revisar hi ha:

• La identificació del responsable del tractament i la informació facilitada a les persones afectades.
• La legitimació dels tractaments realitzats.
• Les persones autoritzades per accedir a les comunicacions.
• Les mesures de seguretat i confidencialitat.
• Els terminis legals de conservació i supressió de les dades.
• Les condicions aplicables quan intervenen proveïdors externs.

No es tracta únicament d'emmagatzemar denúncies de manera segura. S'ha de regular tot el cicle de tractament de la informació, des de la seva recepció fins a la seva conservació o eliminació d'acord amb la normativa aplicable.

Es pot externalitzar la gestió del canal?

La Llei 2/2023 preveu la possibilitat de recórrer a un tercer extern per a determinades funcions de gestió del Sistema Intern d'Informació.

Tanmateix, la intervenció d'un proveïdor extern no trasllada automàticament la responsabilitat legal del sistema a aquest proveïdor.

El Responsable del Sistema conserva les funcions i responsabilitats que li atribueix la Llei.

A més, quan intervé un tercer en el tractament de dades personals, s'han d'establir les condicions i garanties corresponents.

Per aquest motiu, abans de contractar una eina o externalitzar determinades tasques, convé analitzar tant els requisits organitzatius com les obligacions de confidencialitat, independència i protecció de dades.

Quines comunicacions estan protegides per la Llei d'informants

El Sistema Intern d'Informació no s'ha de confondre amb una bústia general de queixes o suggeriments.

La Llei 2/2023 es refereix a determinades infraccions del Dret de la Unió Europea i a accions o omissions que puguin constituir infraccions penals o administratives greus o molt greus, entre altres supòsits definits en el seu article 2.

Per tant, no qualsevol desacord laboral o conflicte interpersonal queda automàticament emparat pel règim de protecció de les persones informants.

Una organització pot habilitar el canal per rebre altres comunicacions, però haurà de distingir quines entren en l'àmbit de protecció de la Llei i quines s'han de gestionar mitjançant procediments diferents.

Quines conseqüències pot tenir l'incompliment

La Llei 2/2023 preveu un règim sancionador específic.

L'incompliment de l'obligació de disposar d'un Sistema Intern d'Informació, quan és exigible, està tipificat com a infracció molt greu.

Per a les persones jurídiques, les infraccions molt greus poden comportar multes d'entre 600.001 i 1.000.000 d'euros.

També poden constituir infraccions molt greus determinades represàlies, vulneracions de les garanties de confidencialitat o comunicacions d'informació realitzades sabent que és falsa.

L'existència d'una infracció i la quantia de la sanció dependran dels fets i dels criteris legals de graduació.

A més de les multes, la Llei preveu determinades conseqüències addicionals per a les infraccions molt greus, en els supòsits previstos legalment.

L'objectiu d'implantar correctament el sistema no s'hauria de limitar a evitar una sanció, sinó a establir un procediment fiable per detectar i gestionar possibles infraccions.

Què aporta una gestió adequada de les comunicacions internes

Un Sistema Intern d'Informació ben organitzat pot facilitar que una entitat conegui possibles irregularitats i adopti les mesures que corresponguin.

També permet establir responsabilitats, definir terminis i evitar que les comunicacions es gestionin de manera improvisada.

Des del punt de vista organitzatiu, pot contribuir a:

• Afavorir una cultura de comunicació responsable i transparència interna.
• Disposar d'un procediment conegut per comunicar possibles infraccions.
• Reduir el risc d'accessos indeguts a informació confidencial.
• Establir garanties per a les persones informants i les persones afectades.
• Documentar adequadament les actuacions realitzades.
• Facilitar la identificació d'aspectes organitzatius que requereixen millores.

Aquests beneficis depenen que el sistema funcioni realment i no es limiti a disposar d'una eina o documentació formal.

Com et pot ajudar SIBPRODASA

A SIBPRODASA prestem serveis de consultoria en protecció de dades i compliment normatiu, incloent-hi la implantació i adequació al RGPD i a la LOPDGDD, auditories i serveis de Delegat de Protecció de Dades.

El Sistema Intern d'Informació incorpora obligacions rellevants en matèria de privacitat, seguretat i confidencialitat. Per això, la seva adequació en protecció de dades és una part important de l'anàlisi de compliment d'una organització.

Abans d'implantar o revisar un sistema d'aquestes característiques, convé diferenciar les obligacions jurídiques i organitzatives dels requisits tecnològics de l'eina utilitzada.

La designació del Responsable del Sistema, l'aprovació dels procediments i la contractació de possibles proveïdors externs s'han d'analitzar d'acord amb la Llei 2/2023 i el règim de responsabilitats aplicable.

Si la teva organització necessita revisar les obligacions de protecció de dades relacionades amb el seu Sistema Intern d'Informació, pots contactar amb SIBPRODASA per valorar l'abast de l'assessorament necessari.

Preguntes freqüents sobre el canal de denúncies

És obligatori per a totes les escoles i clíniques?

No.

Els centres educatius i sanitaris privats no hi estan obligats únicament pel fet de desenvolupar aquestes activitats o tractar dades sensibles.

Amb caràcter general, les entitats privades amb 50 o més persones treballadores han de disposar del sistema. També hi pot haver obligacions específiques per la naturalesa jurídica de l'entitat o per la normativa sectorial aplicable.

Les entitats integrants del sector públic estan subjectes a les obligacions previstes per la Llei, amb les particularitats corresponents.

Es pot presentar una denúncia anònima?

Sí.

El canal intern ha de permetre la presentació i tramitació de comunicacions anònimes.

Quan la persona informant facilita la seva identitat, aquesta s'ha de protegir mitjançant les garanties legals de confidencialitat i les restriccions d'accés aplicables.

Què passa si es comunica una informació que finalment no es demostra?

Que una informació no s'arribi a acreditar no significa automàticament que s'hagi presentat de mala fe.

La Llei protegeix les persones que, entre altres condicions, tenien motius raonables per creure que la informació era veraç i entrava dins del seu àmbit d'aplicació.

És diferent comunicar informació sabent que és falsa, una conducta que la Llei tipifica com a infracció molt greu.

N'hi ha prou amb contractar un programari de denúncies?

No.

L'eina tecnològica constitueix únicament una part del Sistema Intern d'Informació.

L'organització també ha de disposar d'una política, un procediment de gestió, un Responsable del Sistema i les garanties de funcionament exigides per la Llei.

Pot un tercer extern gestionar les comunicacions?

La Llei permet la intervenció de tercers externs en els termes previstos legalment.

Tanmateix, l'externalització no elimina les responsabilitats atribuïdes al Responsable del Sistema ni les obligacions de l'entitat.

S'ha de comunicar el nomenament del Responsable del Sistema?

Sí.

Els nous nomenaments i cessaments s'han de notificar en el termini de deu dies hàbils a l'AIPI o, quan correspongui, a l'autoritat autonòmica competent.

Protegeix la confiança de la teva organització amb una gestió responsable

La transparència no consisteix únicament a disposar d'un canal per rebre comunicacions.

També implica establir un procediment que permeti escoltar, analitzar i respondre amb rigor, preservant els drets de les persones implicades.

Un Sistema Intern d'Informació correctament organitzat pot ajudar a detectar possibles infraccions i reforçar una cultura de responsabilitat dins de l'empresa.

A SIBPRODASA treballem perquè les organitzacions comprenguin i gestionin les seves obligacions en matèria de protecció de dades i compliment normatiu.

Si tens dubtes sobre el tractament de dades personals al canal de la teva empresa o centre, pots contactar amb nosaltres per analitzar quins aspectes necessiten una revisió.