El canal de denuncias, denominado por la normativa como Sistema interno de información, se ha convertido en una herramienta esencial para que las organizaciones puedan detectar y gestionar posibles incumplimientos de forma segura, confidencial y ordenada. Su implantación no consiste únicamente en habilitar un formulario o una dirección de correo electrónico: requiere establecer un sistema que garantice la protección de las personas informantes y permita tramitar adecuadamente las comunicaciones recibidas. La Ley 2/2023, de 20 de febrero, regula la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, estableciendo qué organizaciones deben disponer de un sistema interno de información y cuáles son las garantías que debe cumplir.
¿Cuándo es obligatorio disponer de un canal de denuncias?
En el sector privado, están obligadas a disponer de un Sistema interno de información las empresas y otras personas jurídicas que tengan 50 o más trabajadores. También existen obligaciones específicas para determinadas entidades de sectores regulados, como los servicios y productos financieros, la prevención del blanqueo de capitales y la financiación del terrorismo, la seguridad del transporte o la protección del medio ambiente, con independencia de su número de trabajadores.
La obligación también alcanza a los partidos políticos, sindicatos, organizaciones empresariales y fundaciones creadas por ellos cuando reciban o gestionen fondos públicos. En el sector público, la Ley 2/2023 establece igualmente la obligación de disponer de estos sistemas para las entidades que integran el sector público.
Las empresas que no estén obligadas por estos supuestos también pueden implantar voluntariamente un sistema interno de información. En estos casos, si deciden hacerlo, deberán respetar igualmente las garantías y requisitos establecidos por la normativa.
¿Qué debe incluir un canal de denuncias?
Uno de los errores más habituales es considerar que un canal de denuncias se limita a crear un buzón para recibir comunicaciones. La normativa exige un Sistema interno de información que integre diferentes elementos y permita gestionar las comunicaciones de manera eficaz.
El sistema debe garantizar la confidencialidad de la identidad del informante, de las personas mencionadas en la comunicación y de las actuaciones realizadas durante su tramitación. Además, debe impedir el acceso de personas que no estén autorizadas y contar con medidas adecuadas para proteger los datos personales tratados.
También debe existir un Responsable del Sistema, una política o estrategia sobre el funcionamiento del sistema, un procedimiento para gestionar las informaciones recibidas y garantías específicas para proteger a las personas informantes frente a posibles represalias.
¿Qué tipo de comunicaciones pueden realizarse?
El canal interno debe permitir comunicar las infracciones comprendidas dentro del ámbito de aplicación de la Ley 2/2023. Las comunicaciones pueden realizarse por escrito o verbalmente, y la normativa contempla incluso la posibilidad de realizar comunicaciones de forma anónima.
Cuando se trate de comunicaciones verbales, estas pueden realizarse por vía telefónica, mediante sistemas de mensajería de voz o, a solicitud del informante, mediante una reunión presencial. En determinadas circunstancias, las comunicaciones verbales deberán documentarse mediante una grabación o una transcripción completa y exacta, respetando las garantías establecidas legalmente.
Por tanto, la implantación del canal debe plantearse desde una perspectiva jurídica, organizativa y tecnológica. No basta con disponer de una herramienta: es necesario establecer cómo se reciben, analizan, investigan y resuelven las comunicaciones.
Canal de denuncias y protección de datos
La gestión de un canal de denuncias implica necesariamente el tratamiento de datos personales, algunos de ellos potencialmente relacionados con infracciones o situaciones especialmente sensibles. Por este motivo, el sistema debe diseñarse teniendo en cuenta las obligaciones derivadas del RGPD y de la normativa española de protección de datos.
La propia Ley 2/2023 establece que el órgano de administración o de gobierno de la entidad obligada será responsable de la implantación del sistema y tendrá la consideración de responsable del tratamiento de los datos personales. Además, la ley contempla expresamente que la gestión pueda realizarse mediante un tercero externo, que tendrá la consideración de encargado del tratamiento en los términos previstos por la normativa de protección de datos.
También es necesario prestar atención a la conservación de la información. Las entidades obligadas deben disponer de un registro de las informaciones recibidas y de las investigaciones internas, garantizando la confidencialidad, y los datos personales únicamente deben conservarse durante el periodo necesario y proporcionado.
¿Necesitas implantar un canal de denuncias en tu empresa?
En FORLOPD te ayudamos a diseñar e implantar un Sistema interno de información adaptado a la actividad y características de tu organización, teniendo en cuenta las obligaciones de la Ley 2/2023 y la normativa de protección de datos.
¿Cómo puede ayudarte FORLOPD a implantar el canal de denuncias?
La implantación de un canal de denuncias requiere coordinar diferentes aspectos legales y organizativos. En FORLOPD ofrecemos un servicio orientado a que la empresa pueda disponer de un sistema correctamente estructurado y adaptado a sus necesidades.
El proceso comienza con el análisis de la situación de la organización para determinar sus obligaciones y las características que debe reunir su sistema interno de información. A partir de este análisis se pueden definir los procedimientos, responsables y garantías necesarias para su funcionamiento.
FORLOPD también puede ayudarte a establecer el procedimiento de gestión de las comunicaciones, definir las medidas necesarias para preservar la confidencialidad y adaptar el sistema a las obligaciones de protección de datos. De esta forma, el canal no queda reducido a una herramienta tecnológica, sino que se integra dentro de la estructura de cumplimiento de la empresa.
Además, la normativa permite que la gestión del sistema sea realizada por un tercero externo. Esta opción puede resultar especialmente interesante para organizaciones que no disponen internamente de los recursos, conocimientos o independencia necesarios para gestionar las comunicaciones y las investigaciones.
Un canal de denuncias debe formar parte del cumplimiento normativo
El canal de denuncias debe entenderse como una parte más del sistema de cumplimiento de la organización. Su objetivo no es únicamente cumplir una obligación legal, sino facilitar que posibles irregularidades puedan ser comunicadas y gestionadas antes de que generen consecuencias mayores para la empresa, sus trabajadores o terceros.
Una correcta implantación permite disponer de un sistema definido para recibir las comunicaciones, proteger al informante, controlar el acceso a la información y establecer una metodología para su análisis e investigación. Todo ello debe realizarse con garantías de confidencialidad, independencia, protección de datos y ausencia de represalias.
Si tu empresa está obligada a disponer de un Sistema interno de información o quieres implantar voluntariamente un canal de denuncias con garantías, contar con asesoramiento especializado permite evitar que el sistema se limite a cumplir formalmente la normativa y facilita su integración en la gestión diaria de la organización.
