Así debe ser según la ley el nuevo canal de denuncias en las empresas

El canal de denuncias de empresas y organizaciones deberán disponer de mecanismos de seguridad y de encriptación de datos para respetar el anonimato de los denunciantes. Con estas herramientas, las organizaciones obligadas deberán dar cumplimiento a las exigencias de confidencialidad y la criticidad de la información que requiere la implementación del canal de información o whistleblowing, obligatorio para empresas desde 50 trabajadores. Tal como hemos informado en THE OBJECTIVE, es uno de los principales retos legales para las empresas y otras organizaciones a lo largo de 2023.

Así lo establece la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta norma traspone la Directiva (UE) 2019/1937, más conocida como «Directiva Whistleblowing», que debió adaptarse a la legislación española en diciembre de 2021, pero que finalmente entró en vigor a principios de este año.

Antes de que termine el año, todas aquellas empresas que tengan 50 trabajadores o más deberán contar con un canal de denuncias, que debe ofrecer garantías a los informantes, tanto si son trabajadores como colaboradores externos, proveedores o clientes.

Y la ‘pseudonimización’ para proteger la identidad de quienes denuncian se presenta como una herramienta adecuada para cumplir con el deber de confidencialidad y para evitar las posibles represalias, que están prohibidas por ley. En este sentido, el rol del responsable del sistema resulta crítico y será necesario que cuente con un equipo de abogados especializados que respalde sus actuaciones.

Canal de denuncias: los informantes

La ley establece la obligación a las empresas de integrar sus canales para que los denunciantes puedan acudir a un único punto para plantear su denuncia. De este modo no sólo se garantiza la confidencialidad y la protección de los informantes, sino que también se promueve la utilización de los canales de información internos.

Según la firma de servicios profesionales BDO, hasta ahora el miedo a represalias impedía la circulación de la información y de denuncias sobre posibles delitos cometidos en el seno de la empresa.

La nueva ley establece que se debe cumplir con criterios de confidencialidad y protección del denunciante, que en ningún caso puede ser objeto de represalias por parte de la empresa. Para cumplir con estos objetivos, las empresas pueden aplicar medidas de seguridad como la pseudonimización y la encriptación de datos.

Otras medidas para reforzar el funcionamiento del canal de denuncias y cumplir con lo que establece la normativa de whistleblowing es el establecimiento de protocolos de comunicación confidencial de las áreas afectadas (Compliance, Legal, Recursos Humanos, etc.). Esto contribuiría a garantizar precisamente que no se llevan a cabo represalias ante los denunciantes o, incluso aplicar medidas de protección y apoyo a los mismos en las empresas y organizaciones que quieran ir más allá de lo estipulado en la ley.

El responsable del canal de denuncias

El responsable del sistema tiene un papel clave en todo el proceso ya que se encargará de la gestión de todos los protocolos y herramientas asociados al canal de denuncias. Esta figura es nombrada por el órgano de administración o de gobierno de cada entidad.

En caso de que los hechos pudieran ser indiciariamente constitutivos de delito, el responsable del sistema debe remitir la información al Ministerio Fiscal con carácter inmediato, mientras que si los hechos denunciados repercuten en los intereses financieros de la Unión Europea, deberá remitirlo a la Fiscalía Europea.

Desde BDO aseguran que estas funciones son compatibles con las del responsable de cumplimiento o compliance officer, resultando poco recomendable en el supuesto de los delegados de protección de datos en relación con el conflicto de interés.

La gestión del responsable del sistema no supone necesariamente que deba realizar la investigación. De hecho, dependiendo de la materia de la denuncia, será necesario el asesoramiento legal de especialistas. Es el caso de denuncias por acoso, en las que se puede acudir a abogados laboralistas y expertos en prevención de riesgos laborales. Una vez examine la denuncia de forma preliminar, el responsable del sistema podrá requerir acompañamiento legal para su investigación.

Consecuencias legales

Este asesoramiento legal por parte de especialistas cobra especial importancia teniendo en cuenta que la persona o personas físicas responsables del sistema tendrán responsabilidad frente a las resoluciones sancionadoras de la Autoridad Independiente de Protección del Informante, incluso cuando la relación con la empresa haya cesado.

Para mitigar esta responsabilidad, es recomendable que el responsable sea abogado colegiado y ejerciente. También podría serlo un tercero externo, como un bufete de abogados, dado que no le afectará esta obligación de comunicación al Ministerio Fiscal o Fiscalía Europea al acogerse al secreto profesional.

Pseudonimización y encriptación

Uno de los pilares de esta nueva ley es la protección que se debe ofrecer a todas las personas que denuncien corrupción o fraude y violaciones de la legislación de la Unión Europea (UE) y del ordenamiento jurídico interno. No puede haber represalias de ningún tipo ni contra ellas ni contra sus familiares.

Podrán denunciar diversos hechos, desde situaciones de acoso laboral a prácticas relacionadas con delitos de corrupción o blanqueo de capitales, así como conductas que contravengan las políticas y el código ético de la organización.

Junto con garantizar la confidencialidad y la anonimidad de los informantes, las empresas pueden habilitar formularios para que pueda realizar un seguimiento de su denuncia. Para ello, puede contar con un usuario y clave aleatorios, de forma que compatibilicen la posibilidad de cumplir con la anonimidad y el derecho del informante a recibir una copia de la denuncia.

Respecto a los datos personales de categorías especiales (sobre el origen étnico, ideologías políticas o religiosas, entre otras), a pesar de que la ley no ha considerado el criterio emitido por la Agencia Española de Protección de Datos (AEPD), las empresas deben realizar un análisis previo sobre la necesidad de evaluar el impacto en la protección de datos, así como establecer un procedimiento interno que identifique los tipos de datos de categorías especiales, posibles escenarios y garantías adicionales.

Por estos motivos, se recomienda realizar un el análisis previo en cada empresa en relación con la integración del protocolo de acoso, ya que su adaptación a la ley whistleblowing no sólo requerirá consulta sino negociación con la representación legal de las personas trabajadoras en caso de que se hubiese implementado dentro del marco del Plan de Igualdad.

Quiénes deben tener un canal de denuncias

La implantación del canal de denuncias tiene carácter obligatorio para empresas privadas con una plantilla de 50 o más trabajadores, así como para empresas del sector público. Los partidos políticos, sindicatos y organizaciones empresariales deben contar con un sistema interno de denuncias independientemente del número de empleados.

Igualmente deberán tenerlo las fundaciones que dependan de dichas entidades, siempre que reciban fondos públicos para su financiación, y todas las administraciones locales con independencia del número de habitantes.

En cuanto a los plazos, las empresas de menos de 250 empleados y los municipios de menos de 10.000 habitantes tendrán hasta el 1 de diciembre de 2023 para implantar su canal de denuncias. Estos municipios tendrán la opción de compartir no solo el canal de información, también los recursos para investigar las ilegalidades que se denuncien. Las empresas de mayor tamaño y las administraciones públicas disponen de tres meses desde la entrada en vigor.

Las sanciones se aplicarán tanto a las empresas que incumplan con la normativa sobre el canal de denuncias como a los trabajadores que, aprovechando la normativa de whistleblowing, realicen denuncias falsas.