• Saltar a la navegación principal
  • Saltar al contenido principal
APDTIC

APDTIC

Consultora especializada en el derecho tecnológico, dispuestos a ayudarte en los nuevos retos digitales.

  • Blog
  • Formación
  • Contacto

Nueva ley de protección al informante: qué es, a quién afecta y claves para su implementación

apdtic.com · Mar 8, 2023 ·

Aunque con algo de retraso, nuestro país cuenta ya con una ley destinada a proteger a las personas que informen sobre la comisión de infracciones tanto administrativas como penales: la ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, conocida como ley de protección al informante.

 Y decimos que llega con retraso porque se trata de la transposición al derecho español de la directiva europea conocida como Whistleblowing, aprobada en 2019 y para cuya adaptación disponíamos de un periodo de dos años que nuestro país y otros Estados miembro han incumplido.

El texto europeo insta a las autoridades de cada país a proporcionar a sus ciudadanos canales internos y externos que sirvan como medio de comunicación con los organismos especializados que se requieran en cada caso. Y así es como se ha materializado esta obligación en nuestro marco jurídico:

La filosofía de la norma 2/2023, nuestra adaptación de la Directiva Whistleblowing

El objetivo de esta nueva ley no es otro que otorgar protección a quienes decidan informar a las autoridades competentes de la comisión de alguna infracción de la que han sido o son víctimas o testigos. 

Muchas veces, estas denuncias no se llevan a cabo por miedo a las posibles represalias y esta norma busca evitarlas y asegurar la integridad de estas personas físicas que decidan dar el paso. Por su parte, para la Entidad tener conocimiento de estas irregularidades puede ayudarle a evitar costosos litigios y daños irreparables en su reputación.

¿Qué hechos se pueden denunciar?

La ley no es muy explícita a la hora de acotar qué hechos pueden denunciarse a través de estos canales de información. Sin embargo, podemos concluir que se contempla la comunicación de los siguientes tipos de acciones delictivas:

  • Infracciones del Derecho de la UE.
  • Conductas que afecten a los intereses financieros de la UE.
  • Infracciones en materia de competencia y subvenciones europeas.
  • Infracciones penales o administrativas que sean graves o muy graves.
  • Incumplimientos relacionados con el Derecho Laboral.
  • Todas aquellas actuaciones ilícitas que afecten a la Hacienda Pública.

¿Qué entidades deberán asegurarse de cumplir con lo establecido en esta nueva ley?

No todas las Entidades están obligadas con la aprobación de esta ley a establecer un canal interno de información. Las que sí lo están son las siguientes:

  • Entidades privadas de 50 o más trabajadores.
  • Entidades privadas que, aunque tengan menos de 50 empleados, trabajen en el ámbito de la Unión Europea en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente.
  • Los partidos políticos, sindicatos, organizaciones de empresas y fundaciones que gestionen fondos públicos.
  • Todas las entidades públicas.

En el caso de que se disponga ya de un canal interno de información, habrá que asegurarse de que este cumple con la normativa y, si no es así, introducir los cambios que sean necesarios.

¿Cuánto tiempo tienen las entidades obligadas para adaptarse?

Según el texto de la ley, las entidades sujetas a esta nueva ley dispondrán de tres meses para garantizar su cumplimiento, a contar desde el día de la entrada en vigor de la norma, que será el próximo 13 de marzo. 

Pero hay una excepción: tendrán de plazo hasta el 1 de diciembre las empresas de menos de 250 trabajadores y los municipios con menos de 10.000 habitantes.

¿Cómo debe ser el sistema interno de información? Los requisitos

En líneas generales, estas son las características básicas que deben definir a todos los sistemas internos de información que busquen cumplir lo requerido en esta norma:

  • El sistema debe estar diseñado y gestionado de forma segura, de modo que la confidencialidad tanto de la identidad de los informantes como de las actuaciones que decidan efectuarse esté protegida.
  • El responsable de la implementación del sistema (que, además, será el responsable del tratamiento de los datos) ha de ser el órgano de administración o gobierno de cada entidad.
  • El responsable del sistema debe ser una persona designada a tal efecto.
  • Se permite que la gestión del sistema se lleve a cabo de manera interna o externa, recurriendo a un tercero.
  • Todas los responsables se notificarán a la autoridad competente de protección al informante. 
  • El sistema ha de posibilitar la comunicación tanto escrita como verbal, en cuyo caso se establecerá una cita presencial en menos de 7 días.                              

La protección de los datos personales, un elemento clave de la ley 2/2023

La necesidad de contar con sistemas de denuncias internos en las Entidades no es algo nuevo. Al contrario, la LOPDGDD 3/2018 ya recogía esta cuestión en su artículo 24, un contenido que ahora también se incluye en la nueva ley de protección al informante. 

En resumen, podemos decir que estos son los puntos de la ley que más directamente afectan a lo que aquí nos atañe, la protección de los datos personales:

  • La legitimación del tratamiento se establece por la obligación legal y el interés público que define a dicho tratamiento, incluso en el caso de las categorías especiales de datos.
  • La identidad de los informantes será siempre reservada y este hecho se les comunicará de forma expresa a los interesados. 
  • El derecho de oposición por parte de la persona a la que se refieran las informaciones queda en este caso limitado, por entenderse que existen motivos imperiosos que legitiman el tratamiento. 
  • Únicamente tendrán acceso al sistema su responsable, los encargados del tratamiento designados y el delegado de protección de datos. Adicionalmente, si procede, podrán acceder también el responsable de recursos humanos y el responsable legal de la Entidad.
  • En cuanto a la conservación de los datos, estos deberán suprimirse una vez que transcurran 3 meses sin que se decida iniciar ninguna acción, o en cuanto se demuestre que no se trata de una información veraz.

Una ley útil y muy necesaria

Incluso aunque tu Entidad no esté obligada a llevarla a cabo, la implementación de un sistema de este tipo es altamente recomendable para construir una imagen de marca comprometida con la ética y con la transparencia. Algo que, sin duda, repercutirá de forma muy positiva en la mente de tus empleados, clientes y proveedores.

Si necesitas más datos acerca de los requisitos técnicos y funcionales del canal de comunicación que prevé la ley de protección al informante o quieres ampliar más información acerca del contenido íntegro de la ley, puedes consultar esta guía que hemos preparado para ti desde APDTIC.           

Compartir en Twitter Compartir en Facebook Compartir en LinkedIn

APDTIC

¿Quieres estar al día en las cuestiones legales digitales ?



Síguenos en

linkedin Facebook Twitter
APDTIC PROFESIONALES, S.L.

Rúa Hórreo, 22, 1º Oficina B,15701, Santiago de CompostelaTlf: 881 80 50 20

Logo-Esquema-AEPD-DPD_AndreCasteloLogo APEP

Copyright © 2023 APDTIC

Aviso legal Política de Privacidad y Cookies
Canal de denuncias

Gestionar el Consentimiento de las Cookies
Utilizamos tres tipos de cookies para optimizar nuestro sitio web. Te recomendamos aceptar también las cookies de analítica y personalización para una mejor experiencia de navegación.
Funcional Siempre activo
El almacenamiento o acceso técnico es estrictamente necesario para el propósito legítimo de permitir el uso de un servicio específico explícitamente solicitado por el abonado o usuario, o con el único propósito de llevar a cabo la transmisión de una comunicación a través de una red de comunicaciones electrónicas.
Preferencias
El almacenamiento o acceso técnico es necesario para la finalidad legítima de almacenar preferencias no solicitadas por el abonado o usuario.
Analítica
El almacenamiento o acceso técnico que es utilizado exclusivamente con fines estadísticos. El almacenamiento o acceso técnico que se utiliza exclusivamente con fines estadísticos anónimos. Sin un requerimiento, el cumplimiento voluntario por parte de tu Proveedor de servicios de Internet, o los registros adicionales de un tercero, la información almacenada o recuperada sólo para este propósito no se puede utilizar para identificarte.
Personalización
El almacenamiento o acceso técnico es necesario para crear perfiles de usuario para enviar publicidad, o para rastrear al usuario en un sitio web o en varios sitios web con fines de marketing similares.
Administrar opciones Gestionar los servicios Gestionar proveedores Leer más sobre estos propósitos
Ver cookies
{title} {title} {title}