Tengo que implantar el canal de denuncias, ¿y ahora qué hago?
Reflexiones sobre algunas cuestiones prácticas surgidas desde la entrada en vigor de la Ley 2/2023.
A escasos días para que se cumpla el último plazo, 1 de diciembre, que la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante “Ley 2/2023) concede a los sujetos obligados para que implanten o adapten los canales de denuncias, hemos querido hacer una reflexión sobre algunas cuestiones surgidas en los procesos de implantación del canal de denuncias.
A pesar de que la Ley 2/2023 entró en vigor el 13 de marzo, no son pocas las entidades del sector público y privado que, a día de hoy, no cuentan con canal de denuncias o no han actualizado el que ya tenían a los requisitos de la Ley 2/2023. En este artículo queremos compartir algunas reflexiones sobre determinados aspectos en los que se pueden generar dudas sobre cómo llevar a la práctica los requisitos recogidos en la referida norma:
- Responsable del Sistema – sector público: Con carácter general, la Ley 2/2023 está redactada desde la perspectiva del sector privado, por lo que una de las dificultades que se pueden plantear es a la hora de aplicar sus requisitos al sector público. Por ejemplo, respecto a quién debe ser Responsable del Sistema, el art. 8.4 establece expresamente que, en el sector privado, el Responsable debe ser un Directivo; excluyendo al sector público al referirse el precepto únicamente al sector privado.
Una forma de resolver esta cuestión es que, si bien no hay una referencia expresa al sector público, la Ley sí establece que la persona que se designe como responsable del sistema (o miembro del órgano, en caso de ser colegiado) debe actuar de forma autónoma e independiente del órgano de administración o de gobierno, por lo que se deberá nombrar a aquellos miembros de la corporación o entidad pública que, por razón de su cargo, puedan actuar conforme estos criterios de autonomía e independencia.
- Responsable del Sistema – sector privado: Continuando con el Responsable del Sistema, se puede plantear la duda respecto a quién debe ostentar este cargo ya que, a diferencia de otras normativas, como puede ser el RGPD con el Delegado de Protección de Datos, la Ley no regula qué aptitudes profesionales debe tener quien sea designado como Responsable. Además, una duda recurrente suele ser si los miembros del área legal pueden ser parte de este órgano.
Analizando el ámbito de aplicación material de la Ley y lo previsto en el art. 32.1, sería recomendable que el responsable del área legal forme parte de este órgano ya que sus conocimientos facilitarán la decisión sobre la admisión o inadmisión a trámite de las denuncias y la gestión del procedimiento.
- Preservar la identidad del Informante: Otra cuestión de especial importancia es la obligación del Responsable del Sistema de mantener reservada la identidad del Informante en todo momento. Esta obligación puede ser complicada de cumplir si se pone en relación con la notificación del procedimiento a la persona afectada (denunciado) y al derecho de ésta de formular alegaciones, ya que se habrá de buscar un equilibrio entre la supresión de toda información que identifique y haga identificable al Informante, pero manteniendo el sentido de la notificación para que la persona afectada pueda formular alegaciones y proponer prueba. El cumplimiento de esta obligación se debe observar durante todo el procedimiento ya que su vulneración podría calificarse como infracción grave o muy grave y puede conllevar multas desde los 100.001€ a 1.000.000€.
- Plazo de conservación: Respecto a los plazos de conservación de la información, se debe tener en cuenta que la Ley limita (art. 32.4) el plazo de supresión a los 3 meses de recibir la comunicación a aquellas comunicaciones respecto de las que no se hayan iniciado actuaciones de investigación, estableciéndose un plazo general de conservación en el sistema por el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación estableciéndose un plazo máximo de conservación de 10 años (art. 26.2). Poniendo estos tres plazos en común, parece que quizá en lo que el legislador estaba pensando es que la comunicación dentro del sistema interno de información (del propio canal) solo se conserve durante el tiempo imprescindible para su investigación, pudiendo conservarlo la entidad en sus propios sistemas por un tiempo máximo de 10 años, sin olvidar los deberes de confidencialidad y protección de la información.
Estas son solo algunas de las cuestiones que se nos han planteado en la práctica en la implantación de canales de denuncias, tanto en el sector privado como en el sector público.
De lo anterior se puede extraer como conclusión que la Ley no resulta lo suficientemente clara en determinados aspectos, generando dudas sobre cómo proceder en la práctica. Esto hará necesario que, cuando se cree, la Autoridad Independente de Protección al Informante, se pronuncie sobre las cuestiones que se están dando en la práctica y emita guías o directrices para darles respuesta y unificar criterios.
En cualquier caso, se debe recordar que la Ley permite la gestión externa de los canales de denuncias, por lo que, la entidad siempre puede acudir y apoyarse en terceros a la hora de implantar los requisitos de la Ley 2/2023.
Área TMT y Compliance ECIJA