La Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, obliga a muchas empresas a contar con un canal interno de denuncias. No es una moda de cumplimiento, sino una exigencia legal con sanciones, y afecta a más pymes de lo que se cree.
Quién está obligado
El artículo 10 de la ley obliga a disponer de un sistema interno de información a las personas físicas o jurídicas del sector privado que tengan contratadas cincuenta o más personas trabajadoras. También a otras entidades que la propia ley enumera, con independencia del número de empleados, por razón de su actividad.
Una empresa que crece hasta cincuenta empleados debe preverlo con antelación, porque no basta con improvisar un buzón de correo.
Qué es el sistema interno
Es el cauce preferente para que empleados y otras personas relacionadas con la organización comuniquen infracciones graves o muy graves del ordenamiento y otras conductas relevantes. Debe permitir comunicaciones por escrito, verbales o ambas, y garantizar la confidencialidad de la identidad del informante y de los terceros mencionados.
Elementos esenciales
Un sistema correcto debería incluir:
- Un responsable del sistema, designado por el órgano de administración.
- Un procedimiento de gestión con plazos de acuse de recibo y de resolución.
- Garantías de confidencialidad y prohibición de represalias.
- Un registro de las informaciones recibidas.
- Información clara y accesible sobre su existencia y uso.
Protección de los informantes
La ley prohíbe expresamente las represalias contra quienes comunican de buena fe, incluidas las amenazas y las tentativas. Una empresa que sanciona o aparta a un empleado por haber denunciado se expone a consecuencias graves. Por eso el diseño del canal debe acompañarse de formación para mandos intermedios.
Datos personales
El canal trata datos personales y debe respetar la normativa de protección de datos. Hay que limitar el acceso a las personas autorizadas, conservar la información solo durante el tiempo necesario y documentar el tratamiento en el registro de actividades.
Si la empresa no llega a cincuenta
Las empresas más pequeñas no están obligadas, pero pueden implantar un canal voluntario. Es una herramienta útil para detectar problemas internos antes de que lleguen a una autoridad y refuerza el modelo de prevención de delitos.
Revise su plantilla y compruebe si está obligado. Si es así, no deje la implantación para el final, porque exige decisiones sobre responsable, herramienta y procedimiento.
Este asunto se incluye en el servicio de protección de datos y compliance.
Carlos Babot Horcajadas
Abogado colegiado en Málaga, nº 10.971. Socio de Babot Aranguren Abogados. Más sobre el autor.