Información ampliada Ley 2/2023

CUESTIONES GENERALES (Ley 2/2023 de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción)

Con la aprobación de la Ley 2/2023 (Enlace EXTERNO) , de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción se incorpora al Derecho español la Directiva (UE) 2019/1937 (Enlace EXTERNO) del Parlamento europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del derecho de la Unión.

La finalidad de la norma es la de proteger frente a represalias a las personas que un contexto laboral o profesional detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados.

En cumplimiento de lo establecido en la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, en INFOGRAN hemos desarrollado una aplicación web que cumple con la finalidad de la citada Ley, en la modalidad de SaaS (Enlace EXTERNO) "Software as a Service", o Software como Servicio, poniéndola a disposición de los clientes que deseen contratarla, permitiendo así que las personas físicas puedan informar sobre algunas de las acciones u omisiones a las que se refiere su artículo 2, fundamentalmente infracciones del derecho de la UE e infracciones administrativas graves o muy graves o hechos delictivos.

La Ley también tiene como finalidad el fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público.

¿Qué es lo que se puede comunicar?

Todas las comunicaciones que versen sobre:

• Infracciones del Derecho de la Unión Europea, cuando afecten a alguna de las materias señaladas en el Anexo de la Directiva (UE) 2019/1937 (Enlace EXTERNO) del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del derecho de la Unión, afecten a los intereses financieros de la Unión Europea, o incidan en el mercado interior.

• Infracciones administrativas graves o muy graves.

• Hechos delictivos.

Se contemplan algunas excepciones, como por ejemplo: las comunicaciones relativas a información clasificada, o que puedan afectar a la seguridad del Estado, que no entrarían en el ámbito de protección de la norma.

¿Dónde se puede comunicar una infracción o acto contra la corrupción?

La persona que quiera comunicar una infracción normativa o acto de corrupción puede hacerlo a través del indistintamente denominado Canal Interno de Información o Sistema Interno de Información que tendrá a su disposición en la web de la Entidad, en este caso será un enlace pasarela a la aplicación desarrollada por INFOGRAN al efecto, y que que le indicaremos al cliente al contratar el servicio. Este es el medio que ha sido recomendado utilizar de manera preferente para canalizar la información. No obstante, la persona interesada puede elegir hacerlo por este medio o bien utilizar el canal externo de información puesto a su disposición por la Autoridad Independiente de Protección del Informante (A.A.I.), pero como dicha Autoridad aún no se ha establecido, en su defecto puede utilizar el canal autonómico si su comunidad lo tiene.

Se puede utilizar este canal directamente, o con posterioridad a la previa formulación de información ante el canal interno.

¿Quién puede presentar una comunicación por infracción u acto contra la corrupción y a quién protege la Ley?

La Ley dice que cualquier persona que en un contexto laboral o profesional haya obtenido información sobre presuntas infracciones, ya sea en el sector público o en el privado.

El marco de la protección es tan amplio que incluye, entre otros, a las personas que tengan la condición de empleados públicos, los trabajadores por cuenta ajena, los autónomos, los accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos, así como a cualquier otro que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores, sin olvidar a los que prestan asistencia legal a los informantes y a las personas del entorno que puedan sufrir represalias. Incluso, en un paso más allá, la ley protege a los informantes que comuniquen o revelen públicamente información sobre infracciones obtenida en el marco de una relación laboral o estatutaria ya finalizada, voluntarios, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el proceso de selección o de negociación precontractual.

¿Se puede presentar una comunicación anónima?

Se ha de destacar que la Ley establece que se permita la comunicación anónima. Cuando se traslade una comunicación en el marco del Sistema Interno de Información, que entre dentro del ámbito de aplicación de la Ley, se aplicará la regla específica contenida en esta en cuanto a la posibilidad de presentación y tramitación de comunicaciones anónimas en línea con el artículo 24.1 de la Ley Orgánica 3/2018 (Enlace EXTERNO), de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Para presentar una comunicación anónimamente mediante el servicio ofrecido por INFOGRAN basta con no cumplimentar los datos relativos a la identificación. Aun siendo obligatoria la confidencialidad y la normativa de protección de datos, puede quedar rastro de la IP desde la que se accede a la aplicación, sin embargo, al ser un servicio externo prestado por INFOGRAN a los clientes que lo contraten, INFOGRAN garantiza que estos no tendrán nunca acceso a esa información, y además existe nuestro compromiso expreso de que nosotros NUNCA rastrearemos ni archivaremos este acceso.

La opción de presentación mediante telefonía o reunión se realizará ante el Responsable del Sistema de Información Interno designado por cada Entidad, que asignará un número de comunicación. Se documentará a través de una transcripción completa para lo que se ofrecerá la oportunidad de comprobar, rectificar y aceptar con su firma la transcripción de lo comunicado.

¿Existe la obligación de las entidades de establecer, publicar y actualizar un procedimiento de gestión de las informaciones recibidas?

Existe la obligación de disponer de un procedimiento de gestión de informaciones de cuya tramitación diligente responderá el Responsable del Sistema. Este procedimiento responderá como mínimo a los siguientes principios:

• Identificación del canal o canales internos de información a los que se asocian.

• Inclusión de información clara y accesible sobre los canales externos de información ante las autoridades competentes y, en su caso, ante las instituciones, órganos u organismos de la Unión Europea. La plataforma de INFOGRAN lo incluye.

• Envío de acuse de recibo de las comunicaciones al informante en el plazo de siete días naturales siguientes a su recepción, salvo que ello pueda poner en peligro la confidencialidad de la comunicación. Para este caso la aplicación de INFOGRAN permite el seguimiento anónimo por parte del denunciante del estado de su comunicación mediante un código de seguimiento y una clave generados automáticamente durante la tramitación de la denuncia y de los que sólo el denunciante tendrá conocimiento.

• Determinación del plazo máximo para dar respuesta a las actuaciones de investigación que no podrá ser superior a tres meses a contar desde la recepción de la comunicación o, si no se remitió un acuse de recibo al informante, a los tres meses a partir del vencimiento del plazo de siete días después de efectuarse la comunicación, salvo casos de especial complejidad que requieran una ampliación del plazo, en cuyo caso, este podrá extenderse hasta un máximo de otros tres meses adicionales.

• Previsión de la posibilidad de mantener la comunicación con el informante. La aplicación desarrollada por INFOGRAN permite el anvío automático de notificaciones al Responsable, y al denunciante si este así lo especifica. Y como se ha mencionado antes, también permite el seguimiento anónimo por parte del denunciante accediendo con el código de seguimiento y la contraseña asignados a su denuncia.

• Establecimiento del derecho de la persona afectada a que se le informe de las acciones u omisiones que se le atribuyen, y a ser oída en cualquier momento.

• Garantía de confidencialidad.

• Exigencia de respeto a la presunción de inocencia y al honor de las personas afectadas.

• Respeto a las disposiciones sobre protección de datos personales.

• Remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito.

¿Existe la obligación de establecer garantías para la protección de los informantes en el ámbito de la propia entidad u organismo?

Habrán de establecerse, en el ámbito interno por parte de cada Entidad, respetando lo dispuesto en el artículo 9 de la Ley 2/2023 (Enlace EXTERNO).

Son principios esenciales la garantía de confidencialidad de la identidad del informante y de cualquier tercero mencionado, así como del tratamiento de la información y su investigación; las garantías frente a la adopción de represalias; el respeto al principio de presunción de inocencia y derecho de defensa de las partes afectadas; la garantía de independencia, imparcialidad y ausencia de conflictos de interés y la tramitación efectiva de las comunicaciones.

La Ley protege a las personas informantes mediante la prohibición de represalias, entendidas como cualquier acto u omisión que esté prohibido por la ley o que, de forma directa o indirecta, suponga un trato desfavorable que sitúe a las personas que las sufren en particular desventaja con relación a otra en el contexto laboral o profesional, sólo por su condición de informantes, o por haber realizado una revelación pública.

El artículo 36 hace un listado enunciativo de lo que se puede considerar represalia:

• Suspensión del contrato de trabajo, despido o extinción de la relación laboral o estatutaria, incluida la no renovación o terminación anticipada de un contrato de trabajo temporal una vez superado el período de prueba, o terminación anticipada o anulación de contratos de bienes o servicios, imposición de cualquier medida disciplinaria, degradación o denegación de ascensos u otras modificaciones sustanciales de las condiciones de trabajo y la no conversión de contrato temporal en indefinido.

• Daños, incluidos los de carácter reputacional, o pérdidas económicas, coacciones, intimidaciones, acoso u ostracismo.

• Evaluación o referencias negativas en relación con el desarrollo laboral o profesional.

• Inclusión en listas negras o difusión de información en un determinado ámbito sectorial, que dificulten o impidan el acceso al trabajo o la contratación de obras o servicios.

• Denegación o anulación de una licencia o permiso.

• Denegación de formación.

• Discriminación, o trato desfavorable o injusto.

¿La Ley contempla medidas de protección de las personas afectadas?

Durante la tramitación del expediente las personas afectadas por la comunicación tendrán la presunción de inocencia, al derecho de defensa y al derecho de acceso al expediente en los términos regulados en esta ley, así como a la misma protección establecida para los informantes, preservándose su identidad y garantizándose la confidencialidad de los hechos y datos del procedimiento.

Normas comunes de protección de datos a cualquier forma de presentación de las comunicaciones

Al formular una comunicación mediante la plataforma de INFOGRAN a una entidad, esta deberá aplicar OBLIGATORIAMENTE POR CONTRATO las previsiones sobre los datos y las informaciones a las que se refieren el artículo 13 del Reglamento (UE) 2016/679 (Enlace EXTERNO), del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas con respecto al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y el artículo 11 de la Ley orgánica 3/2018 (Enlace EXTERNO), del 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, en especial sobre la posibilidad de las personas que comunican los hechos de ejercer los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad.

En el caso de que se incluyan datos personales en el formulario de denuncia en la plataforma de INFOGRAN, los mismos serán tratados por el cliente conforme a su Política de Protección de Datos Personales que este debe exponer obligatoriamente en su web.

El tratamiento de los datos personales incluidos en la denuncia están sujetos a lo previsto en el título VI de la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

PRINCIPIOS ESENCIALES DEL SISTEMA INTERNO DE INFORMACIÓN

• Garantía de confidencialidad de la identidad del informante y de cualquier tercero mencionado, así como del tratamiento de la información y su investigación.

• Garantías frente a la adopción de represalias.

• Respeto al principio de presunción de inocencia y derecho de defensa de las partes afectadas.

• Garantía de independencia, imparcialidad y ausencia de conflictos de interés.

• Tramitación efectiva de las comunicaciones.

Ejes en los que se estructura este Sistema Interno de Información

Compete a la persona Responsable del Canal impulsar la implantación del SII, previa consulta con la representación legal de las personas trabajadoras, teniendo así la condición de Responsable a efectos de la aplicación, en su caso, de las conductas infractoras y de sus consiguientes sanciones.

Igualmente, la persona Responsable tendrá la condición de Responsable del Tratamiento de los datos personales de conformidad con lo dispuesto en la normativa sobre protección de datos personales.

1.- Responsable del SII.

Recomendamos unificar el nombramiento de Responsable del Canal Interno de Información (CII) con el de Responsable del Sistema Interno de Información (SII) y el Encargado del Tratamiento de Datos Personales (RGPD), por entender que es la medida más operativa en lugar de atribuir esa función a un órgano colegiado, que a su vez debe delegar en uno de sus miembros para realizar el ejercicio de las funciones asignadas a esta figura por la Ley 2/2023 (Enlace EXTERNO), pero cada cliente es libre de designar los Responsables como desee.

2.- El Canal Interno de Información.

Mediante la plataforma desarrollada por INFOGRAN permitimos a los clientes que contraten el servicio, poner a disposición de las personas comprendidas en el artículo 3 de la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, un Canal Interno de Información (CII) de carácter confidencial, con el objeto de permitir la realización de comunicaciones ante sospechas o violaciones del ordenamiento jurídico detectadas en el marco de una relación profesional o laboral con la Entidad. Este canal, dotado de múltiples vías, acusará recibo de las irregularidades y, en su caso, instará la corrección de éstas ante las autoridades competentes.

La responsabilidad del Canal Interno de Información corresponde a la persona Responsable del Sistema Interno de Información, que asegurará que se cumplan las estipulaciones del artículo 7 de la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción y, especialmente, vigilará los siguientes aspectos:

• Garantizar la independencia de las distintas vías que puedan existir para recibir las denuncias, integrando las existentes y las que puedan establecerse en el futuro dentro de la Entidad.

• Difundir por distintos medios a los empleados, que prestan sus servicios en o a la Entidad, la obligatoriedad de su colaboración activa en las investigaciones como resultado de las denuncias recibidas.

• Garantizar la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación, la protección de sus datos y de las actuaciones desarrolladas. En este sentido, se deberá garantizar la confidencialidad de la información cuando se remita a terceros interesados en conocer y corregir cualquier irregularidad.

• Permitir la presentación de comunicaciones por escrito o verbalmente. En ambos casos, se advertirá a quienes utilicen estos medios de información de la existencia de canales externos de los que podrán hacer uso si así lo deciden. En el caso de la comunicación verbal o presencial, se dará cuenta al informante del tratamiento de sus datos y se pondrá en su conocimiento que la comunicación o entrevista será grabada.

3.- El procedimiento de recepción, gestión y registro de denuncias.

El procedimiento establece las previsiones necesarias para que el Sistema Interno de Información y las vías de información existentes cumplan con los requisitos establecidos en la Ley 2/2023 (Enlace EXTERNO) , de 20 de febrero, reguladora de la protección de personas que informen sobre infracciones normativas y de lucha contra la corrupción:

• Se identifican las siguientes vías internas de información:
  § En la página web de la Entidad, en el Canal Interno de Información, que será un enlace pasarela al servicio ofrecido por INFOGRAN.
  § Correo postal remitido al Responsable del Canal Interno de Información de la Entidad.
  § Correo electrónico remitido al Responsable del Canal Interno de Información a la cuenta establecida al efecto.
  § Teléfono establecido al efecto por el Responsable del Canal Interno de Información .
  § Reunión presencial en las dependencias de la Entidad, siempre previa solicitud del denunciante, realizándose un acta pormenorizada de dicha reunión, sin necesidad de hacer constar la identidad del denunciante si este así lo manifestara de forma expresa. Se ofrecerá al denunciante la oportunidad de comprobar, rectificar y aceptar mediante su firma el acta de la reunión.

• INFOGRAN ofrece en la aplicación, información clara y accesible sobre los canales externos de información ante las autoridades competentes y, en su caso, ante las instituciones, órganos u organismos de la Unión Europea.

• El Responsable del Canal Interno de Información garantizará el envío de acuse de recibo de la comunicación al informante, en el plazo de siete días naturales siguientes a su recepción, salvo que se pueda poner en peligro la confidencialidad de aquélla, o esta sea anónima, en cuyo caso, si ha sido presentada mediante la plataforma desarrollada por INFOGRAN, el denunciante podrá consultar libre y anónimamente el estado de su comunicación mediante el código de seguimiento y la contraseña generados automáticamente por aplicación en el momento de la tramitación y que sólo será conocido por el denunciante.

• Se determina un plazo máximo de tres meses para dar respuesta a las actuaciones de investigación a contar desde la recepción de la comunicación o, si no se remite un acuse de recibo al informante, a los tres meses a partir del vencimiento del plazo de siete días después de efectuarse la comunicación, salvo en los casos de especial complejidad que requieran una ampliación del plazo, en cuyo caso, se podrá extender por el responsable del SII hasta un máximo de otros tres meses adicionales.

• Se prevé la posibilidad de mantener la comunicación con el informante y, si se considera necesario, de solicitarle datos adicionales.

• Se establece el derecho de la persona afectada a que se le informe de las acciones u omisiones que se le atribuyen, y a ser oída en cualquier momento. Dicha comunicación tendrá lugar en el tiempo y forma que se considere adecuado para garantizar el buen fin de la investigación.

• El Responsable del Canal garantizará la confidencialidad cuando la comunicación sea remitida por otras vías de denuncia que no sean las aquí enumeradas o se formulen a miembros del personal no responsable de su tratamiento, al que se habrá formado en esta materia advirtiendo tanto de la tipificación como infracción muy grave de su quebranto como de la obligación del receptor de la comunicación de remitirla inmediatamente al Responsable del SII.

• Se respetará la presunción de inocencia y al honor de las personas afectadas, así como las disposiciones sobre protección de datos personales de acuerdo con lo previsto en el Título VI de la Ley 2/2023 (Enlace EXTERNO).

• Se permite la posibilidad de realizar denuncias y comunicaciones anónimas.

• Se permite la remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los intereses financieros de la Unión Europea, la información correspondiente se remitirá a la Fiscalía Europea.

DETALLES DEL PROCEDIMIENTO DE RECEPCIÓN, GESTIÓN Y REGISTRO DE DENUNCIAS

Objeto, finalidad y ámbito de aplicación

El Sistema Interno de Información de la Entidad (SII) constituye un instrumento al alcance de todos los empleados y demás personas que tengan relación directa o indirecta con éstos, con el fin de formular denuncias, sobre posibles infracciones relativas a las materias previstas en el artículo 2 de la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

De acuerdo con la prescripción establecida en el artículo 42 de la Ley 2/2023 (Enlace EXTERNO), el SII constituye el cauce preferente para informar sobre las acciones u omisiones previstas en la propia norma. La opción del legislador al considerar este camino como el más eficaz para acusar recibo de las irregularidades e instar su corrección, no impide al informante de elegir el modo, interno o externo, en que quiere trasladar su denuncia en función del riesgo que asuma y la posibilidad de recibir represalias.

El SII se debe encontrar disponible en una sección separada y fácilmente identificable del portal web de la Entidad, en este caso será un enlace a la plataforma desarrollada por INFOGRAN que está diseñada para garantizar que la confidencialidad de la identidad del denunciante y de cualquier tercero mencionado en la denuncia se encuentren protegidas y se impida el acceso a ellas por parte terceros, sin embargo es responsabilidad del Responsable del SSI de la Entidad velar por evitar el acceso de personal no autorizado.

INFOGRAN, mediante sistemas avanzados de encriptación y seguridad en su plataforma, garantiza la confidencialidad de los datos durante el procedimiento de recepción, gestión y registro de las comunicaciones. El Responsable del SII por su parte garantiza que cualquier denuncia presentada será tratada de forma profesional y confidencial, adoptando las medidas oportunas para proteger los derechos y los intereses del denunciante y de los implicados, en cumplimiento de las previsiones de la Directiva (UE) 2019/1937 (Enlace EXTERNO) de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión y de la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Alcance

Según dispone la Ley 2/2023 (Enlace EXTERNO), informante podrá ser cualquier persona que en un contexto laboral o profesional haya obtenido información sobre presuntas infracciones, ya sea en el sector público o en el privado.

En base a lo anterior, se resalta que la protección no se circunscribe a los empleados sino también a cualquier otra persona que, en el ejercicio profesional o en el marco de la prestación de servicios, haya interactuado con la Entidad.

Sin ánimo de agotar la casuística, la norma incluye a los empleados públicos, los trabajadores por cuenta ajena, los autónomos, los accionistas, miembros del órgano de administración, dirección o supervisión de una entidad, los voluntarios, becarios y trabajadores en períodos de formación, y cualquier persona que trabaje para contratistas, subcontratistas y proveedores. Además, las comunicaciones pueden referirse a hechos conocidos en el ámbito de una relación laboral o profesional todavía en vigor, ya finalizada o incluso no iniciada (por ejemplo, si se refiere a infracciones relativas a procesos de selección o de negociación precontractual). En último término, el alcance de la protección se extiende a las personas relacionadas con el informante (compañeros de trabajo, familiares, personas jurídicas para las que trabaje o de las que sea titular, etc.), así como a toda persona física que haya asistido al informante y, específicamente, a los representantes legales de los trabajadores en el ejercicio de sus funciones de asesoramiento y apoyo.

Se contempla la denuncia escrita o verbal, pudiendo ser indistintamente utilizadas ambas vías para el mismo fin por cualquier persona que tenga relación directa o indirecta con la Entidad. En su caso, será posible por vía telefónica o, previa solicitud del denunciante, por medio de una reunión presencial.

Se permite la presentación de denuncias y posterior tramitación de comunicaciones con carácter anónimo en los términos prescritos en el artículo 7.3 de la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Responsable del Sistema Interno de Información

El responsable del Sistema Interno de Información será el órgano de control y seguimiento de las denuncias formuladas. Examinará, gestionará y, en su caso, tramitará las denuncias y comunicaciones recibidas, dando cuenta de éstas, cuando sea necesario, a los órganos direcctivos de la Entidad a los efectos de adoptar las medidas que resulten procedentes en cada caso. Como responsable del Sistema Interno de Información se encargará de la tramitación de la denuncia, mantendrá la comunicación con el denunciante y, si lo estimase necesario, solicitará a éste información adicional y le dará respuesta. Asimismo, garantizará que toda denuncia formulada se analiza y tramita de forma independiente, asegurando la confidencialidad de la identidad de la persona que la formule y de cualquier tercero mencionado en ella, informando tan solo a las personas estrictamente necesarias en el proceso de tramitación.

Procedimiento de denuncia

Requisitos mínimos de la denuncia con persona identificada.

Para que pueda ser considerada como tal y disponer de una serie de elementos mínimos para que se produzca la posterior investigación, la comunicación de la denuncia deberá contener la siguiente información:

• Identificación del denunciante, que deberá ser tratada con la debida confidencialidad, y sobre la que, en todo caso, se cumplirá la normativa aplicable en materia de protección de denunciantes y de protección de datos de carácter personal.

• Descripción detallada del hecho o situación sospechosa, aportando si fuese posible, documentos o evidencias e indicando si fuese factible los siguientes aspectos: la conducta o situación potencial o actualmente irregular; las posibles personas implicadas; las fechas aproximadas del suceso; los medios a través de los que se ha realizado la posible conducta ilícita; el área de actividad afectada; el posible impacto económico; así como cualesquiera otras posibles repercusiones, ya sea en en cualquier ámbito público o privado.

Requisitos mínimos de la denuncia anónima.

La denuncia anónima la entiende el legislador como una pieza clave para actuar desde un punto de visto preventivo, ya que implica que los potenciales autores de infracciones sopesaran abstenerse de cometer actos ilícitos ante la posibilidad de iniciarse una investigación de los hechos sin necesidad de proceder a la identificación de la persona que denuncia.

Es por este motivo que se podrán recibir denuncias anónimas, estando obligado el órgano de control y seguimiento a iniciar el expediente correspondiente. En ningún momento se solicitará la identificación de la persona que realiza la denuncia, realizando un análisis de los datos aportados para comprobar si existen indicios suficientes para iniciar un procedimiento investigador.

Vías de recepción de la comunicación o denuncia.

La persona que tuviese conocimiento de la comisión de una infracción de las previstas en Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, podrá comunicar o denunciar los hechos a través de alguna de las vías indicadas anteriormente, aunque el legislador establece como canal preferente el telemático, es decir y en este caso, el servicio ofrecido por INFOGRAN.

Una vez efectuada la denuncia, siempre que sea posible se remitirá o entregará un acuse de recibo de ésta a la persona denunciante en un plazo máximo de siete días a partir de la recepción.

Tramitación.

Iniciación del procedimiento.

Las actuaciones se iniciarán siempre en virtud de denuncia o comunicación, presentada a través del Canal Interno de Información, o por cualquier medio descrito anteriormente.

Evaluación previa de verosimilitud de la comunicación o denuncia.

El inicio de actuaciones deberá siempre ir precedida del análisis de verosimilitud de los hechos o conductas por parte del Responsable del SII, que hayan sido objeto de denuncia o comunicación o que hayan fundamentado las mismas.

Esta evaluación previa debe durar el tiempo indispensable, que no podrá exceder del plazo de diez días hábiles desde la presentación de la denuncia o comunicación. En su caso, la rectificación o la complementación de los datos aportados abrirá un nuevo plazo.

Iniciación de actuaciones de investigación.

El acuerdo de iniciación de una actuación de investigación del Responsable del SII incluirá la descripción de los hechos conocidos y las personas implicadas, siempre que puedan ser identificadas, y determina la apertura del correspondiente expediente.

El citado expediente deberá cerrarse en el plazo de tres meses a contar desde la recepción de la comunicación o, si no se remitió un acuse de recibo al informante, a partir del vencimiento del plazo de siete días después de efectuarse la comunicación, salvo casos de especial complejidad que requieran una ampliación del plazo, en cuyo caso, el Responsable del SII podrá extenderlo de manera razonada hasta un máximo de otros tres meses adicionales.

En las actuaciones que se desarrollen el Responsable del Sistema Interno de Información deberá adoptar las siguientes medidas:

• Llevar a cabo las actuaciones necesarias para facilitar la buena marcha de la investigación, de tal forma que se permita la preservación de las pruebas y el respeto a los derechos del denunciante y demás afectados. Estas actuaciones podrán incluir entrevistas personales con el denunciante para recabar información complementaria, entrevistas personales con el personal implicado en la conducta irregular denunciada o cualquier otra que sea necesaria para el esclarecimiento de los hechos.

• Garantizar que, en aras de la confidencialidad absoluta de los datos del denunciante, las personas que por motivo de la investigación deban conocer su contenido firmen un compromiso de confidencialidad.

Expedientes de investigación.

Los expedientes de investigación, como conjunto ordenado de actuaciones y documentación. En este sentido, comprenderá la incorporación sucesiva de acuerdos, notificaciones, informes y otros documentos, en cualquier soporte físico u electrónico, así como de otras actuaciones de comprobación que sean procedentes.

Conclusión de los expedientes de investigación.

Los expedientes de investigación terminarán mediante acuerdo motivado del Responsable del SII, mediante alguna de las siguientes conclusiones:

a.- Propuesta al órgano directivo para formalizar denuncia ante la autoridad judicial o el Ministerio Fiscal.

b.- Comunicación al órgano directivo de las actuaciones realizadas, así como de las limitaciones de alcance en la investigación, para que inicie, en su caso, los procedimientos administrativos sancionadores que correspondan.

c.- Sobreseimiento y archivo de las actuaciones.

El acuerdo motivado deberá siempre incluir, en todo caso, la relación de los hechos ocurridos y los fundamentos jurídicos alegados y, en los casos expresados en las letras a y b anteriores, al menos el siguiente contenido:

• La comunicación recibida acerca de la conducta irregular.

• Las actuaciones realizadas para esclarecer los hechos.

• Los resultados documentados de la investigación y posibles consecuencias jurídicas.

• Las acciones correctoras que, en su caso, se deban aplicar, así como las posibles medidas disciplinarias que pudieran corresponder.

• En su caso, las recomendaciones o propuestas preventivas o de mejora con el fin de evitar su repetición en el futuro.

Protección de los denunciantes y de las personas afectadas.

La persona Responsable de SII velará por la protección y efectividad de los derechos de los denunciantes y otras personas afectadas reconocidos por la Directiva (UE) 2019/1937 (Enlace EXTERNO) de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión y la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción; en particular, el derecho de confidencialidad para preservar la identidad del denunciante y otras personas afectadas, la prohibición de represalias y las medidas de apoyo que procedan.

Las medidas de protección previstas en el Título VII de la Ley también se aplicarán, en su caso, específicamente a los representantes legales de las personas trabajadoras en el ejercicio de sus funciones de asesoramiento y apoyo al informante.

Registro de las denuncias

En cumplimiento de los requisitos de confidencialidad, la persona responsable del Sistema Interno de Información mantendrá un registro de todas las denuncias recibidas, de los informes de investigación, de los informes de conclusiones y cualesquiera otros emitidos en el seno del procedimiento, así como de los documentos relevantes incorporados a cada expediente.

Igualmente, se incluirán en el registro las actas o transcripciones de las conversaciones y de las reuniones en caso de denuncias formuladas verbalmente.
Esta documentación se conservará únicamente durante el período que sea necesario y proporcionado, con el fin de cumplir con los requisitos impuestos por la Directiva (UE) 2019/1937 (Enlace EXTERNO) y Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

El acceso a los datos contenidos en el registro de denuncias quedará limitado exclusivamente a quienes desarrollen las funciones de fiscalización, de control interno y de cumplimiento, sin perjuicio de su remisión a las autoridades judiciales o al Ministerio Fiscal cuando resulte pertinente.

Protección de datos de carácter personal

La persona responsable del Sistema Interno de Información se compromete a tratar en todo momento los datos de carácter personal recibidos a través del procedimiento de recepción, gestión y registro de denuncias de forma absolutamente confidencial y de acuerdo con las finalidades previstas en la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, adoptando las medidas de índole técnica y organizativas necesarias para garantizar la seguridad de los datos y evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a los que están expuestos, todo ello en cumplimiento de lo dispuesto en la legislación sobre protección de datos de carácter personal.

La legitimación para el tratamiento de los datos reside en el interés público, conforme a la Ley Orgánica 3/2018 (Enlace EXTERNO), de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, así como en el cumplimiento de una obligación legal en base a lo dispuesto en la Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

La persona responsable del Sistema Interno de Información empleará en cada formulario de recogida de datos o acuse de recibo de denuncias aquellas cláusulas exigidas por la Ley para informar a los interesados claramente de las finalidades y usos del tratamiento de sus datos de carácter personal.

No está prevista la cesión de datos de carácter personal a terceros, salvo que se considere que los hechos denunciados pudieran ser constitutivos de delito o infracción administrativa en cuyo caso la persona Responsable del SII los pondrá en conocimiento de la autoridad administrativa o judicial competente. No se realizarán tampoco transferencias internacionales de datos.

Legislación

Ley 2/2023 (Enlace EXTERNO), de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción

Directiva (UE) 2019/1937 (Enlace EXTERNO) del Parlamento europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del derecho de la Unión, afecten a los intereses financieros de la Unión Europea, o incidan en el mercado interior.

Ley Orgánica 3/2018 (Enlace EXTERNO), de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Reglamento (UE) 2016/679 (Enlace EXTERNO) , del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas con respecto al tratamiento de datos personales y a la libre circulación de estos datos (RGPD).