Sin lugar a dudas, dos de los conceptos más buscados en el mundo legal/empresarial en las últimas semanas de 2021 y primeras de 2022 están siendo y serán el “canal de denuncias” y el “whistleblowing”. Una nueva directiva que debía estar transpuesta el 17 de diciembre y que está pendiente para el primer trimestre del 2022, es la causa.
En este artículo vamos a intentar hacer un resumen para ponerse de cero a cien en este tema en 5 minutos. Lo haremos en forma de preguntas y respuestas.
¿Qué es la directiva europea del whistleblower o UE 2019/1937?
La directiva UE 2019/1937 o del whistleblower es una directiva de ámbito europeo que afecta a las organizaciones que operan en el ámbito de la UE y tiene como principal objetivo proteger a los denunciantes que comuniquen alguna irregularidad que esta sucediendo en una organización. Inicialmente, las irregularidades afectadas son aquellas que tienen impacto en las arcas de la unión, como puede ser corrupción, medio ambiente, blanqueo de capitales, salud pública, seguridad, entre otros.
La directiva debía ser traspuesta por los diferentes paises antes del 17/12/21. Pocos paises, Dinamarca, Suecia o Portugal lo han hecho, el resto, entre ello España la tienen pendiente y se prevé para el primer trimestre del 2022. La transposición puede proporcionar algún cambio sobre el alcance inicial de la directiva haciéndola más restrictiva, pero en estos momentos no se sabe cómo quedará en España.
El punto clave de directiva es la protección del denunciado, pero tienen un requisito legal que tendrá impacto en muchas organizaciones. Todas las empresas de 50 o más trabajadores deberán de tener un canal de denuncias interno de forma obligatoria. Igualmente, las entidades publicas de más de 10.000 ciudadanos también deberán disponer de un canal.
Si bien cuando se habla de la directiva, muchas veces se hace foco en el canal de denuncias, esto no es lo más importante, pero sí que puede ser obligatorio implementarlo en función del tamaño de la organización.
¿Qué es un canal de denuncias?
Es un sistema de información que permite intercambiar información entre una persona/alertador y la organización de forma confidencial e incluso anónima. El nombre canal de denuncia, igual no es el mejor, en inglés se habla del “Whitleblowing” que se podría traducir en alertador. Son sinónimos de canal de denuncia y tal vez con un significado más neutro: canal ético, canal alertas, canal de cumplimiento o canal de whistleblowing.
En España, se ha intentado no hablar de canal de denuncias, pero con la traducción de la directiva haciendo referencia a un canal de denuncias, va a ser dificil cambiar el concepto a alguno menos «negativo».
¿Para que sirve un canal de denuncia?
Gracias a los canales de denuncia, cualquier persona que identifique una irregularidad tiene un mecanismo sencillo para comunicarlo y facilitar su identificación y corrección si procede. Con los canales de denuncia, la “policía” son los propios empleados, clientes y/o proveedores. Con la directiva, se protege al denunciante para que sufra posibles represalias.
Hay diferentes normativas que requieren la implantación de un canal…
- Blanqueo de capitales
- Directiva Europea 2019/1937
- Compliance Penal
- ISO 37301
- Planes de igualdad
¿Quién debe gestionar un canal de denuncia?
El canal debe estar gestionado por alguien independiente que pueda trabajar sin presiones para poder realizar las gestiones del canal de forma diligente. No es obligatorio que sea alguien externo a la organización, pero en organizaciones de menos de 250 empleados, la directiva habla explícitamente de poder tener un canal compartido por varias organizaciones.
Es importante que el gestor del canal tenga claros los protocolos de gestión y el proceso que se debe llevar a cabo. Para determinados canales, como pueden ser los de acoso, puede ser necesario que el gestor del canal tenga una titulación específica.
¿Son obligatorios los canales de denuncia?
Los canales de denuncia son obligatorios para cumplir determinadas normativas. Así, si bien el compliance penal no es obligatorio, si se implementa, si es obligatorio implantar un canal de denuncia.
Con la nueva directiva y a falta del detalle de la transposición en España, será obligatorio durante el 2022 para empresas de 250 o más empleados y admistración pública. También lo será para empresas de más de 50 empleados, pero todo indica que el plazo será hasta el 2023.
Atentos también, determinados sectores afectador por la Ley de Prevención de Blanqueo de Capitales, que deben de tener un canal independientemente del número de empleados.
¿Qué es el whistleblower?
El whistleblower es el término anglosajón con el que se denomina al alertador o denunciante, la persona que inicia la denuncia.
¿Qué diferencia hay entre un canal de denuncias interno y externo?
Según a quien preguntes te explicarán una cosa u otra. Nosotros, siguiendo la descripción de la directiva europea entendemos que el canal interno es aquel que debe implantar la organización (empresa o entidad pública) para solventar las denuncia en una primera instancia, tal como se indica en la directiva, dentro de la propia organización. El canal interno, puede a su vez estar “externalizado” tanto el software como la gestión. De hecho se recomienda, que como mínimo el software sea externalizado, para evitar posibles manipulaciones por personal de la propia organización.
El canal externo, es el que deberá implantar algún organismo público para dar continuidad a las denuncias que se han comunicado a través de algún canal interno, pero no han sido solventadas adecuadamente.
¿Qué elementos son clave para implantar correctamente un canal de denuncias?
Los tres elementos clave para una correcta implantación de un canal de denuncias son:
- Definir el protocol del canal y la protección de datos. Es muy importante definir el alcance concreto del canal, ya que una misma herramienta se puede utilizar con diferentes objetivos y hay que informar previamente a los usuarios de que se puede y que no denunciar por el mismo.
- Implantar una herramienta con garantías de seguridad. Se recomienda, aunque no es imprescindible que esté certificada ISO27001 y disponga de mecanismo para poder integrarse con los sistemas de autenticación de usuarios de la empresa, azureAD, Google o similar.
- Formación y difusión de la existencia del canal para fomentar el uso del mismo.
¿Qué dice protección de datos sobre los canales de denuncia?
Según la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales el art. 24 de la norma específica:
1. Será lícita la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable. Los empleados y terceros deberán ser informados acerca de la existencia de estos sistemas de información.
2. El acceso a los datos contenidos en estos sistemas quedará limitado exclusivamente a quienes, incardinados o no en el seno de la entidad, desarrollen las funciones de control interno y de cumplimiento, o a los encargados del tratamiento que eventualmente se designen a tal efecto. No obstante, será lícito su acceso por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas disciplinarias o para la tramitación de los procedimientos judiciales que, en su caso, procedan.
Sin perjuicio de la notificación a la autoridad competente de hechos constitutivos de ilícito penal o administrativo, solo cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador, dicho acceso se permitirá al personal con funciones de gestión y control de recursos humanos.
3. Deberán adoptarse las medidas necesarias para preservar la identidad y garantizar la confidencialidad de los datos correspondientes a las personas afectadas por la información suministrada, especialmente la de la persona que hubiera puesto los hechos en conocimiento de la entidad, en caso de que se hubiera identificado.
4. Los datos de quien formule la comunicación y de los empleados y terceros deberán conservarse en el sistema de denuncias únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos denunciados.
En todo caso, transcurridos tres meses desde la introducción de los datos, deberá procederse a su supresión del sistema de denuncias, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del modelo de prevención de la comisión de delitos por la persona jurídica. Las denuncias a las que no se haya dado curso solamente podrán constar de forma anonimizada, sin que sea de aplicación la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica.
Transcurrido el plazo mencionado en el párrafo anterior, los datos podrán seguir siendo tratados, por el órgano al que corresponda, conforme al apartado 2 de este artículo, la investigación de los hechos denunciados, no conservándose en el propio sistema de información de denuncias internas.
5. Los principios de los apartados anteriores serán aplicables a los sistemas de denuncias internas que pudieran crearse en las Administraciones Públicas.
¿Voy a recibir muchas denuncias por el canal?
No hay que tener miedo a implantar un canal de denuncias. El volumen de denuncias está relacionado con el tamaño de la empresa y la cultura de la misma. Un canal esta pensado como herrmienta preventiva y para identificar y corregir malas prácticas. La cultura no favorece a la denuncia, así que mientras no vaya cambiando la cultura a nivel general y de la organización no es habitual recibir demasiadas denuncias.
