El fraude y la corrupción constituyen una lacra que ha sacudido a todas las sociedades desde los orígenes de la humanidad. La lucha contra estas conductas contrarias a la moralidad y legalidad, ha sido una constante en todos los tiempos, frente a lo cual, la actuación de terceras personas, sobre todo de quienes trabajan en y para la organización, denunciando aquellas prácticas, ha sido siempre esencial. No obstante, las denuncias de las infracciones o irregularidades en la mayoría de los casos no llegan a realizarse por temor a sufrir represalias.
En este contexto se publicó la Directiva 2019/1937/UE, de 23 de octubre, “Directiva Whistleblowing”, con el objetivo de establecer unos parámetros comunes en la protección a las personas que informen sobre infracciones del Derecho de la Unión. La obligación que impone la Directiva de disponer de estos canales de denuncia no constituye un fin en sí mismo, sino que se trata de un medio para la consecución de un fin superior, vinculado a erradicar esas prácticas corruptas . Precisamente por eso, todas las medidas que se adopten en esta materia deben formar parte de una estrategia de integridad.
Esta Directiva ha sido objeto de trasposición con la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante, Ley de protección del informante), parte de la premisa de que la colaboración ciudadana resulta indispensable para la eficacia del Derecho, colaboración que aquí se proyecta sobre el deber de los trabajadores, funcionarios y profesionales de informar de las irregularidades de que tengan conocimiento en el contexto de su relación laboral y profesional, con el objetivo de prevenir prácticas fraudulentas y corruptas. Sobre la base de este planteamiento, la norma persigue un doble fin:
- Otorgar una protección adecuada frente a las represalias que puedan sufrir las personas físicas que informen sobre alguna de las infracciones a las que la misma se refiere;
- El fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público.
La exigencia de la Directiva, respecto a los canales de denuncia interna, es que se integren con procedimientos que permitan garantizar el seguimiento diligente de las denuncias en el seno de la propia organización, conformando así un conjunto integrado bajo la autoridad de un responsable; requerimiento que ha sido acogido por la Ley de protección del informante, al obligar a las entidades, incluidas las pertenecientes al sector público, a disponer de un “Sistema de Información Interno”.
I. Definiciones
A los efectos del presente protocolo, se entenderá por:
- «infracciones»: las acciones u omisiones que:
- sean ilícitas y estén relacionadas con los actos y ámbitos de actuación de la Unión que entren dentro del ámbito de aplicación material del artículo 2, o
- desvirtúen el objeto o la finalidad de las normas establecidas en los actos y ámbitos de actuación de la Unión que entren dentro del ámbito de aplicación material del artículo 2 de la Directiva 2019/1937;
- «información sobre infracciones»: la información, incluidas las sospechas razonables, sobre infracciones reales o potenciales, que se hayan producido o que muy probablemente puedan producirse en la organización en la que trabaje o haya trabajado el denunciante o en otra organización con la que el denunciante esté o haya estado en contacto con motivo de su trabajo, y sobre intentos de ocultar tales infracciones;
- «denuncia» o «denunciar»: la comunicación verbal o por escrito de información sobre infracciones;
- «denuncia interna»: la comunicación verbal o por escrito de información sobre infracciones dentro de una entidad jurídica de los sectores privado o público;
- «denuncia externa»: la comunicación verbal o por escrito de información sobre infracciones ante las autoridades competentes;
- «revelación pública» o «revelar públicamente»: la puesta a disposición del público de información sobre infracciones;
- «denunciante»: una persona física que comunica o revela públicamente información sobre infracciones obtenida en el contexto de sus actividades laborales;
- «facilitador»: una persona física que asiste a un denunciante en el proceso de denuncia en un contexto laboral, y cuya asistencia debe ser confidencial;
- «contexto laboral»: las actividades de trabajo presentes o pasadas en el sector público o privado a través de las cuales, con independencia de la naturaleza de dichas actividades, las personas pueden obtener información sobre infracciones y en el que estas personas podrían sufrir represalias si comunicasen dicha información;
- «persona afectada»: una persona física o jurídica a la que se haga referencia en la denuncia o revelación pública, como la persona a la que se atribuye la infracción o con la que se asocia la infracción;
- «represalia»: toda acción u omisión, directa o indirecta, que tenga lugar en un contexto laboral, que esté motivada por una denuncia interna o externa o por una revelación pública y que cause o pueda causar perjuicios injustificados al denunciante;
- «seguimiento»: toda acción emprendida por el destinatario de una denuncia o cualquier autoridad competente a fin de valorar la exactitud de las alegaciones hechas en la denuncia y, en su caso, de resolver la infracción denunciada, incluso a través de medidas como investigaciones internas, investigaciones, acciones judiciales, acciones de recuperación de fondos o el archivo del procedimiento;
- «respuesta»: la información facilitada a los denunciantes sobre las medidas previstas o adoptadas para seguir su denuncia y sobre los motivos de tal seguimiento;
- «autoridad competente»: toda autoridad nacional designada para recibir denuncias de conformidad con el capítulo III y para dar respuesta a los denunciantes, y/o designada para desempeñar las funciones previstas en la presente Directiva, en particular en lo que respecta al seguimiento.
II. Infracciones a informar
A. Irregularidades e infracciones susceptibles de ser informadas
Con la aprobación del presente Protocolo de uso del canal de denuncias de $ se persigue una doble finalidad:
- por un lado, fomentar el ejercicio de actuaciones internas que favorezcan la posibilidad de informar de las siguientes categorías de irregularidades de que el informante haya tenido conocimiento en el contexto de la relación laboral o profesional que mantiene o ha mantenido con Bindset servicios de protección de datos SL y
- por otro, articular el procedimiento y requisitos para su utilización, con pleno respeto a los principios y directrices de la Ley de protección del informante.
Respecto a las diversas categorías de irregularidades e infracciones legalmente previstas, se extiende la protección a las personas que informen sobre:
Infracciones del Derecho de la Unión en determinados ámbitos:
- Las que afecten a los intereses financieros de la Unión,
- Las que afecten al mercado interior, o
- Las que entren dentro del ámbito de aplicación de los actos de la Unión en determinados sectores concretos:
- Contratación pública,
- Servicios financieros, prevención del blanqueo de capitales y la financiación del terrorismo.
- Seguridad de los productos comercializados.
- Seguridad del transporte,
- Protección del medio ambiente,
- Protección frente a las radiaciones y seguridad nuclear,
- Cadena alimentaria, sanidad animal y bienestar de los animales,
- Salud pública y protección de los consumidores,
- Protección de la privacidad y de los datos personales, y seguridad de las redes y los sistemas de información;
- Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa, grave o muy grave.
La protección no solo opera en los supuestos en que se informe de irregularidades que ya se han cometido, sino también de aquellas otras que todavía no se han materializado en todos sus extremos, o incluso si se informa de conductas encaminadas a ocultar esas irregularidades.
No estarían amparadas por esa protección:
- Informaciones vinculadas a reclamaciones sobre conflictos interpersonales.
- Informaciones sobre irregularidades que ya estén completamente disponibles para el público, o que no contenga información nueva respecto de otras anteriores.
- Las informaciones que no sean más que meros rumores o que carezcan de toda verosimilitud y las que se hayan obtenido mediante la comisión de un delito.
No obstante, sus remitentes no serán beneficiarios de la protección dispensada por la Ley de protección del informante.
B. Informantes susceptibles de ser protegidos
Este protocolo protegerá a todas las personas que informen y pertenezcan a cualquiera de los colectivos siguientes:
- Trabajadores al servicio del organismo o entidad, con independencia de la naturaleza del vínculo que mantengan con la entidad (funcionarios, estatutarios, laborales, eventuales, altos cargos, personal directivo, trabajadores no asalariados, becarios, trabajadores en prácticas, etc.), de su duración (incluidos los trabajadores a tiempo parcial y aquellos con contratos de duración determinada, incluso aquellos cuya relación laboral haya finalizado o todavía no haya comenzado, como es el caso de las infracciones cometidas durante el proceso de selección o de negociación precontractual); y con independencia también de que perciban o no remuneración.
- Autónomos, cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.
- Personas físicas que, en el marco de la organización en la que preste servicios el informante, asistan al mismo en el proceso,
- Personas físicas que estén relacionadas con el informante y que puedan sufrir represalias, como compañeros de trabajo o familiares del informante, y
- Personas jurídicas, para las que trabaje o con las que mantenga cualquier otro tipo de relación en un contexto laboral o en las que ostente una participación significativa.
C. Requerimientos del sistema interno de información
La dirección de Bindset servicios de protección de datos SL, previa consulta con los representantes de las personas trabajadoras, ha decidido la implantación de un «canal de comunicaciones interno», el cual cumplirá los requerimientos siguientes:
- Se permite que todas las personas antes referidas puedan acudir a este sistema informando de las categorías de infracciones señaladas.
- Su diseño, establecimiento y gestión se ha realizado de una forma segura, garantizando la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación, de las actuaciones que se desarrollen en la gestión y tramitación de la misma, así como la protección de datos, impidiendo el acceso de personal no autorizado.
- Se permite la presentación de comunicaciones por escrito o verbalmente.
- Se integran todos los distintos canales internos de información que pudieran establecerse dentro de la entidad.
- Se garantiza que las comunicaciones presentadas puedan tratarse de manera efectiva con el objetivo de que Bindset sea el primero en conocer la posible comisión de una irregularidad o infracción.
- Se ha nombrado un Responsable del sistema, concretamente, Rafael Soler Muñoz , a quien le corresponderá la tramitación diligente de las comunicaciones.
- Se dispone de una política o estrategia con los principios generales informadores del sistema interno de información y defensa del informante, la cual está debidamente publicitada en los principios del sistema interno de información.
- Se ha establecido un procedimiento de gestión de las informaciones recibidas.
- Se establecen garantías para la protección de los informantes.
- Se dispone de un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad previstos en la Ley de protección del informante.
D. Condiciones de protección de los informantes
Los denunciantes tendrán derecho a protección en virtud del presente protocolo siempre que:
- Quien comunica la infracción tenga motivos razonables para pensar en ese momento que dicha información es veraz.
La protección no queda supeditada a la veracidad de la información, sino a que quien formula la denuncia tenga motivos razonables para pensar que los hechos que denuncian son ciertos, a la luz de las circunstancias y de la información de que dispongan en el momento de presentarla. Aunque no se aporten pruebas concluyentes, es suficiente que se planteen dudas o sospechas razonables. No obstante, quedarán exentos de la protección quienes comuniquen información que ya esté completamente disponible para el público, o rumores y habladurías no confirmados.
Los motivos personales o profesionales de quienes denuncian las irregularidades deben ser irrelevantes para determinar si esas personas deben recibir protección que otorga la regulación.
- La comunicación de la infracción o irregularidad debe realizarse a través del canal interno establecido por esta entidad.
Se otorgará también protección a quien revele públicamente infracciones si se cumplen las condiciones siguientes:
Que, tras realizar la comunicación primero por canales internos y externos, o directamente por canales externos, no se hayan tomado medidas apropiadas al respecto en el plazo establecido.
Que se tengan motivos razonables para pensar que la infracción puede constituir un peligro inminente o manifiesto para el interés público (en particular cuando se da una situación de emergencia, o existe un riesgo de daños irreversibles, incluido un peligro para la integridad física de una persona); o también cuando, en caso de comunicación a través de canal externo de información, exista riesgo de represalias o haya pocas probabilidades de que se dé un tratamiento efectivo a la información debido a las circunstancias particulares del caso (ej. ocultación o destrucción de pruebas, connivencia de una autoridad con el autor de la infracción, etc.).
III. Gestión del canal de denuncias
A. Procedimiento de gestión del canal de denuncias
Este procedimiento tiene por objeto profundizar en el conocimiento de los hechos denunciados para valorar de forma preliminar la exactitud y trascendencia de los mismos. Siendo así, la investigación que se desarrolle en este ámbito debe restringirse, tanto en su contenido, como en su duración, a lo estrictamente necesario para estos fines. Finalizada esa actuación, si se considera que pudiera ser constitutiva de una infracción administrativa o de un ilícito penal se remitirá lo actuado a la autoridad competente (administrativa o penal).
Los informantes podrán acceder al canal de denuncias de Bindset servicios de protección de datos SL a través de canalbindset.com y podrán enviar sus informaciones nominativa o anónimamente; en este último caso se garantizará el anonimato. El sistema que garantiza esa confidencialidad es el siguiente: $……………….. .
Los informantes, al acceder al Canal de denuncias, podrán consultar fácilmente la información relativa a los canales externos de información de autoridades independientes nacional o autonómica y a la de instituciones, órganos u organismos de la Unión Europea; concretamente la siguiente: $……………….. .
Las comunicaciones podrán realizarse:
- Por escrito: $……………….. .
- Verbalmente: vía telefónica o a través de otros sistemas de mensajería de voz. Incluso, previa solicitud del informante, por medio de reunión presencial, a celebrar en el plazo de 7 días, o
- De ambos modos , por escrito o verbalmente.
Se advertirá al informante de que la comunicación será grabada, en su caso, y de que sus datos personales serán tratados conforme al Reglamento de Protección de datos. Además, estas comunicaciones deberán ser documentadas mediante grabación de la conversación o a través de una transcripción de la conversación realizada por el personal responsable de tratarla. Se le ofrecerá al informante la posibilidad de comprobar, rectificar y aceptar mediante su firma la transcripción del mensaje de la comunicación. Podrá indicar un domicilio, correo o lugar a efectos de notificaciones.
El informante recibirá acuse de recibo de la comunicación o información realizada en el plazo de los siete días naturales siguientes a su recepción.
El Responsable del Sistema será el encargado de recepcionar, tramitar, investigar, gestionar y dar respuesta sobre las informaciones recibidas. La investigación que se desarrolle a los efectos de esclarecer los hechos, debe restringirse, tanto en su contenido, como en su duración, a lo estrictamente necesario.
El plazo máximo para dar respuesta al informante no podrá ser superior a tres meses a contar desde la recepción de la comunicación, salvo casos de especial complejidad que requieran una ampliación del plazo, en cuyo caso, este podrá extenderse hasta un máximo de otros tres meses adicionales.
El sistema permitirá mantener la comunicación con el informante y, si se considera necesario, se le solicitará información adicional.
La persona afectada por la información tiene derecho a ser informada de las acciones u omisiones que se le atribuyen, y a ser oída en cualquier momento.
En toda actuación regirá el principio de presunción de inocencia y la protección del honor de las personas afectadas.
Se garantiza la confidencialidad cuando la comunicación sea remitida a personal no competente por canales de denuncia que no sean los establecidos o a miembros del personal no responsable de su tratamiento.
Se respetan todas las disposiciones sobre protección de datos personales.
Cuando indiciariamente los hechos pudieran ser constitutivos de delito, el Responsable del Sistema remitirá la información al Ministerio Fiscal con carácter inmediato; a la Fiscalía Europea si afectasen a los intereses financieros de la Unión Europea. En caso de tratarse de una infracción administrativa grave o muy grave, se remitirá a la autoridad administrativa competente para profundizar en los hechos y resolver como proceda, siempre con las debidas garantías de defensa para el presunto responsable.
Se ha decidido gestionar la recepción de la información obtenida a través del canal de denuncias, por tercero externo, concretamente, $ , dada la insuficiencia de medios propios de la entidad para asumirlo, tal y como quedó acreditado en $……………….. .
IV. Protección de datos
Los tratamientos de datos personales derivados de esta Ley se regirán por el Reglamento 2016/679 y La Ley Orgánica 7/2021.
No se recopilarán datos personales cuya pertinencia no resulte manifiesta para tratar una información específica. En caso de accidente se eliminarán sin dilación indebida.
La licitud del tratamiento de los datos personales en los supuestos de comunicación internos, se basará:
- En el cumplimiento de una obligación legal cuando sea obligatorio contar con un sistema de información legal aplicable al responsable del tratamiento.
- En los casos en que no sea obligatorio, en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
La información a facilitar a los interesados sobre datos obtenidos directamente de ellos:
- la identidad y los datos de contacto del responsable.
- los datos de contacto del delegado de protección de datos.
- los fines del tratamiento y la base jurídica del tratamiento.
- los destinatarios o las categorías de destinatarios de los datos personales , en su caso;
- la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión , o , en el caso de las transferencias internacionales de datos , referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
- el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión , o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos ;
- el derecho a presentar una reclamación ante una autoridad de control;
- si la comunicación de datos personales es un requisito legal, que está informado de las posibles consecuencias de no facilitar tales datos;
- la existencia de decisiones automatizadas, incluida la elaboración de perfiles. Los interesados podrán ejercer los derechos de acceso, rectificación, supresión, limitación, notificación de la rectificación, supresión o limitación y la portabilidad.
En caso de ejercitarse el derecho de oposición, se presume la existencia de motivos legítimos para el tratamiento de los datos.
Se limita el acceso a los datos personales en el sistema interno de información a una serie de perfiles:
- Responsable del Sistema y a quien lo gestione directamente.
- Responsable de RRHH, cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador. En el caso de los empleados públicos, el órgano competente para la tramitación del mismo.
- Responsable de los servicios jurídicos
- Los encargados del tratamiento.
- El Delegado de Protección de Datos.
Será lícito el tratamiento de los datos por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la tramitación de los procedimientos sancionadores o penales.
En ningún caso serán objeto de tratamiento los datos personales que no sean necesarios.
Los datos que sean objeto de tratamiento podrán conservarse únicamente durante el tiempo imprescindible para decidir si iniciar o no la investigación. Transcurridos tres meses desde la recepción de la comunicación sin que se hubiesen iniciado actuaciones de investigación, deberá procederse a su eliminación.
V. Seguimiento del Protocolo
Con el objeto de asegurar el cumplimiento del presente Protocolo se creará un órgano de seguimiento y gestión, formado por $……………….. , quien con la periodicidad de ….. emitirá un informe de conclusiones y propuestas de mejora.
