Canal de denuncias: obligaciones para el Sector Público

El 21 de febrero de 2023 se publicó en el BOE la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, que incorpora al Derecho español la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019.

La ley entrará en vigor a los veinte días de su publicación en el BOE.

Las entidades obligadas a disponer de un Sistema interno de información son tanto del sector privado (artículo 10), como del sector público (artículo 13). En esta breve nota destacamos lo siguiente:

Estarán obligadas todas las entidades que integran el sector público (Administración General del Estado, las Administraciones de las comunidades autónomas, Administración Local, organismos y entidades públicas vinculadas o dependientes, universidades públicas, fundaciones del sector público, sociedades mercantiles, etc.). El artículo 13.1 detalla las entidades que a efectos de esta ley comprenden el sector público.

La finalidad de esta ley es otorgar una protección adecuada frente a las represalias que pueden sufrir las personas físicas que informen sobre alguna de las acciones u omisiones a que se refiere el artículo 2 de la misma, aplicándose a los informantes que trabajen en el sector privado o público y que hayan obtenido información sobre infracciones en un contexto laboral o profesional.

La ley establece la obligación de implementar un Sistema interno de información (canal de denuncias) que permita comunicar información sobre las infracciones previstas en el articulo 2 de la misma, debiendo garantizar la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación y de las actuaciones que se desarrollen y, entre otros aspectos, deberá integrar los distintos canales internos de información que pudieran establecerse dentro de la entidad.

El Sistema interno de información deberá cumplir con los requisitos establecidos en la Ley, debiendo dar cumplimiento a la normativa de protección de datos.

Destacamos asimismo que las entidades obligadas deberán designar una persona física responsable de la gestión del Sistema interno de información. Tanto el nombramiento como el cese deberá ser notificado, en el plazo de 10 días hábiles, a la Autoridad Independiente de Protección al Informante (AAI) que esta ley crea.

Igualmente, todos los obligados deberán disponer de un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando los requisitos de confidencialidad previstos en la ley. Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente podrá accederse total o parcialmente.

El Título VI de la Ley regula las obligaciones derivadas del tratamiento de los datos personales de este Sistema, modificándose mediante la Disposición final séptima el artículo 24 de la LOPD, relativo a los Sistemas de información de denuncias internas (que tiene carácter de ley ordinaria).

Finalmente, destacamos que la Disposición transitoria segunda de la ley indica que el plazo máximo para el establecimiento de Sistemas internos de información será, con carácter general, de tres meses a partir de la entrada en vigor de la ley, esto es, el 13 de junio de 2023. Como excepción, para los municipios de menos de diez mil habitantes, el plazo para su establecimiento se extiende hasta el 1 de diciembre de 2023.

Barcelona, 9 de marzo de 2023.

TORNOS ABOGADOS