Imagina que en tu organización ocurre una irregularidad y la persona que la detecta no sabe a quién acudir. O, peor aún, teme sufrir represalias si decide comunicar lo que ha sucedido.

Esta situación puede comprometer la confianza de la plantilla y dificultar que una empresa o institución identifique a tiempo conductas contrarias a la normativa.

La Ley 2/2023, de protección de las personas informantes, establece la obligación de disponer de un Sistema Interno de Información para determinadas empresas y entidades. Su finalidad es facilitar la comunicación de posibles infracciones y proteger a quienes informan sobre ellas en las condiciones previstas legalmente.

No se trata únicamente de instalar un buzón digital. El sistema debe contar con procedimientos, responsables y garantías que permitan gestionar las comunicaciones de forma confidencial, segura y respetuosa con los derechos de todas las personas implicadas.

En SIBPRODASA, desde nuestras sedes de Barcelona y Madrid, trabajamos en el ámbito de la consultoría de protección de datos y cumplimiento normativo. Una materia especialmente relevante para estos sistemas, dado que su funcionamiento puede implicar el tratamiento de información personal especialmente delicada.

¿Está tu entidad obligada a disponer de un canal de denuncias?

La primera cuestión es determinar si tu organización se encuentra entre los sujetos obligados por la Ley 2/2023.

Con carácter general, deben disponer de un Sistema Interno de Información:

• Las empresas y otros empleadores del sector privado con 50 o más personas trabajadoras. La obligación comienza al alcanzar ese umbral, no al superarlo.
• Las entidades integrantes del sector público. La Ley establece esta obligación con las particularidades que contempla para determinadas organizaciones.
• Determinadas entidades privadas sujetas a normativa sectorial específica. Entre ellas, algunas actividades relacionadas con servicios y mercados financieros, prevención del blanqueo de capitales, seguridad del transporte o protección del medio ambiente, según los supuestos legalmente previstos.
• Partidos políticos, sindicatos, organizaciones empresariales y fundaciones creadas por estos cuando reciban o gestionen fondos públicos.

Por tanto, no todos los centros educativos o sanitarios privados están obligados por el simple hecho de pertenecer a esos sectores o tratar datos personales sensibles.

Una clínica privada o un colegio privado deberá analizar su plantilla, naturaleza jurídica y posible aplicación de obligaciones sectoriales específicas.

Las organizaciones que no estén obligadas también pueden establecer voluntariamente un Sistema Interno de Información, pero deberán respetar los requisitos de la Ley cuando opten por hacerlo.

Canal de denuncias y Sistema Interno de Información: ¿son lo mismo?

Aunque habitualmente se utiliza la expresión canal de denuncias, la Ley 2/2023 regula un concepto más amplio: el Sistema Interno de Información.

El canal es el medio que permite presentar comunicaciones sobre posibles infracciones. Puede adoptar diferentes soluciones organizativas o tecnológicas, siempre que cumpla los requisitos legales.

El Sistema Interno de Información comprende, además:

• Una política que establezca los principios generales del sistema y las garantías de protección de los informantes.
• Un procedimiento de gestión de las comunicaciones recibidas.
• La designación de un Responsable del Sistema.
• Medidas de confidencialidad y protección de datos personales.
• Reglas para la recepción, análisis, seguimiento y respuesta a las comunicaciones.
• Información accesible sobre los canales internos y externos disponibles.

Por eso, habilitar una dirección de correo electrónico o contratar una plataforma digital no significa, por sí solo, que la organización haya cumplido todas sus obligaciones.

Qué requisitos debe cumplir el Sistema Interno de Información

Una de las principales finalidades de la Ley es facilitar que las personas puedan comunicar determinadas infracciones sin quedar expuestas indebidamente.

Pero el sistema también debe respetar los derechos de quienes resulten afectados por esas comunicaciones.

Anonimato y confidencialidad

El canal debe permitir presentar y tramitar comunicaciones anónimas.

Cuando una persona se identifica, deben aplicarse las garantías legales de confidencialidad y restringirse el acceso a su identidad.

Esto no implica que la identidad del informante no pueda comunicarse bajo ninguna circunstancia. La Ley contempla determinados supuestos en los que puede revelarse a las autoridades competentes, respetando las garantías aplicables.

Protección frente a represalias

La normativa prohíbe las represalias contra las personas que comunican infracciones y cumplen las condiciones legales para recibir protección.

Estas represalias pueden manifestarse mediante medidas laborales perjudiciales, amenazas, intimidaciones u otras actuaciones vinculadas con la comunicación realizada.

La organización debe establecer medidas destinadas a prevenir estas situaciones y facilitar que las comunicaciones puedan gestionarse sin presiones indebidas.

Protección de las personas afectadas

El sistema no solo debe proteger al informante.

También debe respetar la presunción de inocencia, el derecho al honor y las garantías de defensa de las personas a las que se atribuyen los hechos comunicados.

Recibir una información no significa que los hechos denunciados hayan quedado demostrados.

Plazos de respuesta y seguimiento

La Ley establece plazos concretos para la tramitación de las comunicaciones.

El procedimiento debe prever un acuse de recibo en un máximo de siete días naturales desde la recepción, salvo que su envío pueda comprometer la confidencialidad.

El plazo máximo para responder a las actuaciones de investigación es, con carácter general, de tres meses, computados conforme al artículo 9 de la Ley.

En casos de especial complejidad, este plazo puede ampliarse hasta otros tres meses adicionales.

Es importante distinguir entre dar respuesta a las actuaciones de investigación y garantizar que cualquier procedimiento quede completamente resuelto dentro de ese plazo.

El Responsable del Sistema: una figura esencial

Un Sistema Interno de Información necesita una persona u órgano responsable de su funcionamiento.

La Ley permite designar a una persona física o a un órgano colegiado. En este último caso, debe delegarse en uno de sus miembros la gestión del sistema y la tramitación de los expedientes de investigación.

El Responsable del Sistema debe actuar con independencia y autonomía, sin recibir instrucciones en el ejercicio de sus funciones y contando con los medios necesarios.

Su designación corresponde al órgano de administración o de gobierno de la entidad.

Comunicación del nombramiento a la autoridad competente

Existe, además, una obligación administrativa que conviene tener especialmente presente.

El nombramiento y el cese del Responsable del Sistema deben notificarse a la Autoridad Independiente de Protección del Informante (AIPI) o, cuando corresponda, a la autoridad autonómica competente.

Para los nuevos nombramientos y ceses, la Ley establece un plazo de diez días hábiles desde que se producen.

La AIPI dispone de un procedimiento electrónico específico para esta comunicación. Las organizaciones también deben comprobar qué autoridad resulta competente según su ámbito y la normativa autonómica aplicable.

Protección de datos: un aspecto fundamental del canal

Las comunicaciones recibidas pueden incluir nombres, circunstancias laborales, información económica, hechos presuntamente irregulares o datos especialmente sensibles.

Por este motivo, la gestión del Sistema Interno de Información también debe cumplir con la normativa de protección de datos personales.

Entre los aspectos que deben revisarse se encuentran:

• La identificación del responsable del tratamiento y la información facilitada a las personas afectadas.
• La legitimación de los tratamientos realizados.
• Las personas autorizadas para acceder a las comunicaciones.
• Las medidas de seguridad y confidencialidad.
• Los plazos legales de conservación y supresión de los datos.
• Las condiciones aplicables cuando intervienen proveedores externos.

No se trata únicamente de almacenar denuncias de manera segura. Debe regularse todo el ciclo de tratamiento de la información, desde su recepción hasta su conservación o eliminación conforme a la normativa aplicable.

¿Se puede externalizar la gestión del canal?

La Ley 2/2023 contempla la posibilidad de acudir a un tercero externo para determinadas funciones de gestión del Sistema Interno de Información.

Sin embargo, la intervención de un proveedor externo no traslada automáticamente la responsabilidad legal del sistema a dicho proveedor.

El Responsable del Sistema conserva las funciones y responsabilidades que le atribuye la Ley.

Además, cuando interviene un tercero en el tratamiento de datos personales, deben establecerse las condiciones y garantías correspondientes.

Por este motivo, antes de contratar una herramienta o externalizar determinadas tareas, conviene analizar tanto los requisitos organizativos como las obligaciones de confidencialidad, independencia y protección de datos.

Qué comunicaciones están protegidas por la Ley de Informantes

El Sistema Interno de Información no debe confundirse con un buzón general de quejas o sugerencias.

La Ley 2/2023 se refiere a determinadas infracciones del Derecho de la Unión Europea y a acciones u omisiones que puedan constituir infracciones penales o administrativas graves o muy graves, entre otros supuestos definidos en su artículo 2.

Por tanto, no cualquier desacuerdo laboral o conflicto interpersonal queda automáticamente amparado por el régimen de protección de informantes.

Una organización puede habilitar el canal para recibir otras comunicaciones, pero deberá distinguir cuáles entran en el ámbito de protección de la Ley y cuáles deben gestionarse por procedimientos diferentes.

Qué consecuencias puede tener el incumplimiento

La Ley 2/2023 contempla un régimen sancionador específico.

El incumplimiento de la obligación de disponer de un Sistema Interno de Información, cuando resulta exigible, está tipificado como infracción muy grave.

Para las personas jurídicas, las infracciones muy graves pueden comportar multas de entre 600.001 y 1.000.000 de euros.

También pueden constituir infracciones muy graves determinadas represalias, vulneraciones de las garantías de confidencialidad o comunicaciones de información realizadas a sabiendas de su falsedad.

La existencia de una infracción y la cuantía de la sanción dependerán de los hechos y de los criterios legales de graduación.

Además de las multas, la Ley contempla determinadas consecuencias adicionales para las infracciones muy graves, en los supuestos previstos legalmente.

El objetivo de implantar correctamente el sistema no debería limitarse a evitar una sanción, sino a establecer un procedimiento fiable para detectar y gestionar posibles infracciones.

Qué aporta una gestión adecuada de las comunicaciones internas

Un Sistema Interno de Información bien organizado puede facilitar que una entidad conozca posibles irregularidades y adopte las medidas que correspondan.

También permite establecer responsabilidades, definir plazos y evitar que las comunicaciones se gestionen de manera improvisada.

Desde el punto de vista organizativo, puede contribuir a:

• Favorecer una cultura de comunicación responsable y transparencia interna.
• Disponer de un procedimiento conocido para comunicar posibles infracciones.
• Reducir el riesgo de accesos indebidos a información confidencial.
• Establecer garantías para informantes y personas afectadas.
• Documentar adecuadamente las actuaciones realizadas.
• Facilitar la identificación de aspectos organizativos que requieren mejora.

Estos beneficios dependen de que el sistema funcione realmente y no se limite a disponer de una herramienta o documentación formal.

Cómo puede ayudarte SIBPRODASA

En SIBPRODASA prestamos servicios de consultoría en protección de datos y cumplimiento normativo, incluyendo implantación y adecuación al RGPD y la LOPDGDD, auditoría y servicios de Delegado de Protección de Datos.

El Sistema Interno de Información incorpora obligaciones relevantes en materia de privacidad, seguridad y confidencialidad. Por ello, su adecuación en protección de datos es una parte importante del análisis de cumplimiento de una organización.

Antes de implantar o revisar un sistema de estas características conviene diferenciar las obligaciones jurídicas y organizativas de los requisitos tecnológicos de la herramienta utilizada.

La designación del Responsable del Sistema, la aprobación de los procedimientos y la contratación de posibles proveedores externos deben analizarse conforme a la Ley 2/2023 y al régimen de responsabilidades aplicable.

Si tu organización necesita revisar las obligaciones de protección de datos relacionadas con su Sistema Interno de Información, puedes contactar con SIBPRODASA para valorar el alcance del asesoramiento necesario.

Preguntas frecuentes sobre el canal de denuncias

¿Es obligatorio para todos los colegios y clínicas?

No.

Los centros educativos y sanitarios privados no están obligados únicamente por desarrollar esas actividades o tratar datos sensibles.

Con carácter general, las entidades privadas con 50 o más personas trabajadoras deben disponer del sistema. También pueden existir obligaciones específicas por la naturaleza jurídica de la entidad o por la normativa sectorial aplicable.

Las entidades integrantes del sector público están sujetas a las obligaciones previstas por la Ley, con las particularidades correspondientes.

¿Puede presentarse una denuncia anónima?

Sí.

El canal interno debe permitir la presentación y tramitación de comunicaciones anónimas.

Cuando el informante facilita su identidad, esta debe protegerse mediante las garantías legales de confidencialidad y las restricciones de acceso aplicables.

¿Qué ocurre si se comunica una información que finalmente no se demuestra?

Que una información no llegue a acreditarse no significa automáticamente que haya sido presentada de mala fe.

La Ley protege a las personas que, entre otras condiciones, tenían motivos razonables para creer que la información era veraz y entraba dentro de su ámbito de aplicación.

Es diferente comunicar información a sabiendas de su falsedad, una conducta que la Ley tipifica como infracción muy grave.

¿Es suficiente con contratar un software de denuncias?

No.

La herramienta tecnológica constituye únicamente una parte del Sistema Interno de Información.

La organización debe disponer también de una política, un procedimiento de gestión, un Responsable del Sistema y las garantías de funcionamiento exigidas por la Ley.

¿Puede un tercero externo gestionar las comunicaciones?

La Ley permite la intervención de terceros externos en los términos previstos legalmente.

Sin embargo, la externalización no elimina las responsabilidades atribuidas al Responsable del Sistema ni las obligaciones de la entidad.

¿Debe comunicarse el nombramiento del Responsable del Sistema?

Sí.

Los nuevos nombramientos y ceses deben notificarse en el plazo de diez días hábiles a la AIPI o, cuando corresponda, a la autoridad autonómica competente.

Protege la confianza de tu organización con una gestión responsable

La transparencia no consiste únicamente en disponer de un canal para recibir comunicaciones.

También implica establecer un procedimiento que permita escuchar, analizar y responder con rigor, preservando los derechos de las personas implicadas.

Un Sistema Interno de Información correctamente organizado puede ayudar a detectar posibles infracciones y reforzar una cultura de responsabilidad dentro de la empresa.

En SIBPRODASA trabajamos para que las organizaciones comprendan y gestionen sus obligaciones en materia de protección de datos y cumplimiento normativo.

Si tienes dudas sobre el tratamiento de datos personales en el canal de tu empresa o centro, puedes contactar con nosotros para analizar qué aspectos necesitan revisión.