Canal de denuncias digital conforme a la ley: guía para empresas

Un canal de denuncias digital conforme a la ley permite que empleados y otras personas vinculadas laboral o profesionalmente con una organización puedan comunicar posibles irregularidades a través de una vía segura y estructurada.

La Ley 2/2023, que incorporó al ordenamiento español la Directiva (UE) 2019/1937, establece una serie de garantías para proteger a las personas informantes. Entre ellas se encuentran la confidencialidad, la protección frente a represalias y la posibilidad de presentar comunicaciones de forma anónima.

La normativa diferencia entre el sistema interno de la propia organización y el canal externo gestionado por la Autoridad Independiente de Protección del Informante (AIPI) o, cuando corresponda, por las autoridades autonómicas competentes. Por tanto, un proveedor especializado puede ayudar a gestionar el sistema interno, pero no sustituye al canal externo previsto legalmente.

Para que el sistema funcione correctamente también deben respetarse los plazos establecidos, definir quién será responsable de su gestión y controlar adecuadamente el acceso a la información.

Implantar un canal de denuncias digital conforme a la ley no debería entenderse únicamente como una forma de evitar sanciones. Bien gestionado, puede ayudar a detectar posibles problemas antes de que aumenten y ofrecer a la organización un procedimiento claro para actuar cuando alguien comunica una irregularidad.

Definición y marco legal del canal de denuncias digital conforme a la ley

Un canal de denuncias digital es una vía electrónica que permite comunicar información sobre posibles infracciones dentro de una organización. Forma parte del sistema interno de información regulado por la Ley 2/2023 y facilita que las comunicaciones puedan recibirse, registrarse y gestionarse desde un entorno centralizado.

La Ley 2/2023 entró en vigor en marzo de 2023 y regula las garantías que deben respetarse durante todo el procedimiento. Entre otros aspectos, contempla comunicaciones escritas y verbales y establece que los canales internos deben permitir también la presentación y posterior tramitación de comunicaciones anónimas.

Puede consultar directamente el texto de la Ley 2/2023, de 20 de febrero.

Un canal de denuncias digital conforme a la ley debe, por tanto, combinar tecnología y procedimiento. Tener una plataforma es importante, pero también deben existir responsables, protocolos y medidas adecuadas para proteger la información.

Ley 2/2023 y la Directiva UE de whistleblowing

La Ley 2/2023 incorporó a la normativa española la Directiva (UE) 2019/1937, conocida habitualmente como Directiva Ley Whistleblowing.

El objetivo de ambas normas es reforzar la protección de las personas que comunican determinadas infracciones conocidas dentro de un contexto laboral o profesional.

La legislación española desarrolla esta protección mediante diferentes elementos, entre ellos:

• El Sistema interno de información.
• El canal interno.
• La figura del Responsable del Sistema.
• Un procedimiento de gestión de las comunicaciones.
• El canal externo de información.
• Las medidas de protección frente a represalias.
• Las obligaciones relacionadas con la confidencialidad y la protección de datos.

La AIPI recuerda además que el Sistema interno de información comprende no solo el canal utilizado para recibir comunicaciones, sino también al Responsable del Sistema y el procedimiento mediante el que se gestionarán.

Tipos de canales: interno y externo

La Ley 2/2023 contempla una vía interna y una vía externa, pero ambas tienen funciones diferentes. El canal interno pertenece al Sistema interno de información de la organización. Puede admitir comunicaciones por escrito o verbalmente y debe permitir que se presenten comunicaciones anónimas.

La persona informante también puede acudir al canal externo, que en el ámbito estatal está gestionado por la Autoridad Independiente de Protección del Informante. Dependiendo de las competencias territoriales, también pueden intervenir autoridades independientes autonómicas.

Esto es importante porque a veces se confunde la externalización de la gestión del canal interno con el canal externo previsto por la ley. Son conceptos diferentes. Puede ampliar esta cuestión en esta explicación sobre la Ley del canal de denuncias.

Ámbito de obligatoriedad

No todas las empresas españolas están obligadas por el simple hecho de desarrollar una actividad empresarial. Con carácter general, deben disponer de un Sistema interno de información las empresas privadas con 50 o más trabajadores. Sin embargo, existen determinados sectores en los que la obligación puede aplicarse aunque la plantilla sea inferior.

También existen obligaciones para el sector público y para otras entidades específicamente contempladas por la Ley 2/2023. Por este motivo, antes de contratar un canal conviene comprobar la situación concreta de cada organización.

No disponer del sistema cuando existe obligación legal puede generar consecuencias importantes. Puede consultar los diferentes supuestos en nuestro artículo sobre Sanciones por no tener canal de denuncias.

Empresas por número de empleados

El número de trabajadores es uno de los criterios principales para determinar la obligación. Las empresas privadas con 50 o más trabajadores deben disponer, con carácter general, de un Sistema interno de información.

Los plazos iniciales de implantación finalizaron durante 2023. Las organizaciones incluidas en el plazo general tuvieron que adaptarse primero, mientras que las entidades jurídicas privadas con 249 trabajadores o menos dispusieron hasta el 1 de diciembre de 2023. Actualmente, por tanto, las empresas incluidas en estos supuestos ya deberían disponer del correspondiente sistema.

Para ellas, un Canal de denuncias digital conforme a la ley puede ser una de las formas más prácticas de gestionar las comunicaciones, especialmente cuando se necesita mantener la trazabilidad y controlar quién tiene acceso a cada expediente.

Sectores y administraciones públicas

El umbral de 50 trabajadores no es el único criterio que contempla la normativa. Determinadas entidades del sector privado están obligadas independientemente del tamaño de su plantilla por desarrollar actividades dentro de sectores específicamente regulados.

El sector público también está incluido dentro del ámbito de la Ley 2/2023, aunque existen particularidades dependiendo del tipo de organismo y de su estructura. Por eso es recomendable analizar cada situación antes de decidir que una empresa con menos de 50 trabajadores queda automáticamente fuera de la obligación.

Para ampliar esta parte puede consultar esta guía externa sobre cómo implementar un canal de denuncias.

Requisitos esenciales del canal

Un canal de denuncias digital conforme a la ley debe ofrecer algo más que un formulario donde escribir una comunicación.

La Ley 2/2023 exige que el Sistema interno de información se diseñe y gestione de manera que permita proteger adecuadamente a las personas informantes y mantener la confidencialidad durante todo el procedimiento.

Entre los aspectos principales que deben tenerse en cuenta se encuentran:

• La confidencialidad de la identidad del informante.
• La protección de las personas mencionadas en la comunicación.
• La posibilidad de presentar comunicaciones anónimas.
• La existencia de un Responsable del Sistema.
• Un procedimiento de gestión previamente definido.
• El cumplimiento de los plazos.
• La protección de los datos personales.
• El control del acceso a cada expediente.
• La trazabilidad de las actuaciones realizadas.

Además, las personas que utilicen el canal interno deben recibir información clara y accesible sobre las vías externas existentes.

Confidencialidad y anonimato

Confidencialidad y anonimato son conceptos relacionados, pero no significan exactamente lo mismo. La confidencialidad implica proteger la identidad de la persona informante y evitar que sea conocida por personas que no estén autorizadas para acceder a esa información. El anonimato, por su parte, permite que una persona realice una comunicación sin facilitar su identidad.

La Ley 2/2023 establece expresamente que los canales internos deben permitir la presentación y posterior tramitación de comunicaciones anónimas. Desde un punto de vista técnico, esto implica prestar atención a cuestiones como los permisos de acceso, el almacenamiento de la información y las medidas utilizadas para evitar que personas no autorizadas puedan acceder a los expedientes.

La AIPI señala precisamente la seguridad, la confidencialidad, el anonimato y la protección de datos como principios importantes del Sistema interno de información.

Plazos de acuse y de investigación

Los plazos son otro de los aspectos que deben controlarse correctamente. Cuando corresponda, el informante debe recibir el acuse de recibo de su comunicación en un máximo de 7 días naturales, salvo que hacerlo pueda poner en peligro la confidencialidad.

El plazo máximo para dar respuesta a las actuaciones de investigación es, con carácter general, de 3 meses. Si se trata de un asunto especialmente complejo, este periodo puede ampliarse hasta un máximo de otros tres meses adicionales.

Una plataforma digital puede resultar especialmente útil en este punto, ya que permite registrar cuándo se recibió cada comunicación y controlar los diferentes plazos asociados al expediente.

También puede incorporar recordatorios y avisos internos para reducir el riesgo de que una actuación quede pendiente por un simple error administrativo.

Responsables y documentación

La Ley 2/2023 establece la figura del Responsable del Sistema interno de información. Puede tratarse de una persona física o de un órgano colegiado y debe ejercer sus funciones de manera independiente y autónoma respecto al resto de órganos de la entidad.

Entre sus responsabilidades se encuentra supervisar la correcta gestión del sistema y garantizar que se aplique el procedimiento aprobado por la organización. También es necesario documentar correctamente las actuaciones realizadas durante la gestión de cada comunicación.

Ahora bien, conviene evitar interpretar que toda la información puede almacenarse durante diez años dentro de la plataforma. La normativa establece reglas específicas sobre conservación de datos y diferencia, entre otros aspectos, la información contenida en el sistema del libro-registro de informaciones.

Por ejemplo, si transcurren tres meses desde la recepción de una comunicación sin que se hayan iniciado actuaciones de investigación, los datos personales deben suprimirse del sistema salvo las excepciones previstas por la ley.

Pasos para implantar el canal digital

La implantación de un Canal de denuncias digital conforme a la ley debería realizarse de forma ordenada y adaptarse a las características de cada organización.

No se trata únicamente de contratar una plataforma y publicar el enlace. También deben definirse responsabilidades y procedimientos internos.

1. Analizar las necesidades de la organización

Antes de elegir una solución conviene revisar aspectos como:

• Número de trabajadores.
• Estructura de la empresa.
• Centros de trabajo.
• Personas que gestionarán las comunicaciones.
• Necesidad de diferentes niveles de acceso.
• Idiomas.
• Procedimientos internos existentes.
• Necesidades de integración tecnológica.

Este análisis permite evitar contratar funcionalidades innecesarias o, al contrario, implantar un sistema que posteriormente se quede corto.

2. Designar al Responsable del Sistema

La organización debe determinar quién ejercerá esta función y asegurarse de que pueda actuar con la independencia y autonomía exigidas.

También deben quedar claras las responsabilidades de otras personas o departamentos que puedan intervenir en determinados expedientes. Esto resulta especialmente importante cuando pueden aparecer conflictos de interés.

3. Seleccionar y configurar la plataforma

El siguiente paso consiste en elegir una solución tecnológica que permita gestionar las comunicaciones de forma segura y adaptada a la organización.

Entre los aspectos que conviene revisar están:

• Gestión de comunicaciones anónimas.
• Control de permisos.
• Comunicación segura con el informante.
• Trazabilidad.
• Gestión documental.
• Seguimiento de plazos.
• Registro de actuaciones.
• Facilidad de uso.
• Protección de datos.

Puede conocer un ejemplo de este tipo de solución en nuestra Plataforma canal de denuncias Ley 2/2023.

4. Definir el procedimiento de gestión

Antes de recibir la primera comunicación debe estar claro qué ocurrirá cuando alguien utilice el canal.

El procedimiento debería determinar cómo se realizará la recepción, quién realizará el análisis inicial, cómo se gestionarán los conflictos de interés, qué actuaciones pueden desarrollarse y de qué forma se documentará el cierre del expediente. También deben contemplarse los plazos y las garantías de confidencialidad durante todo el proceso.

5. Formar y comunicar

Una vez configurado el sistema, las personas responsables necesitan conocer tanto la plataforma como el procedimiento interno. Al mismo tiempo, empleados y demás personas que puedan utilizar el canal deben saber que existe y dónde pueden encontrarlo.

La Ley 2/2023 exige que la información sobre el canal interno y los principios esenciales de su procedimiento sea clara y fácilmente accesible. Cuando la entidad disponga de página web, esta información debe aparecer en la página de inicio, dentro de una sección separada y fácilmente identificable.

Un Canal de denuncias digital conforme a la ley funciona mejor cuando la tecnología, el procedimiento y la comunicación interna se han planteado conjuntamente. La plataforma facilita la gestión, pero es la combinación de estos elementos la que permite que el sistema pueda responder correctamente cuando llegue una comunicación.