En la actualidad existen varios ámbitos legales en los que puede resultar recomendable contar con un canal interno de denuncias (también llamado «canal ético«) en materia de prevención del blanqueo de capitales y de la financiación del terrorismo, así como también en materia de prevención penal para evitar la comisión de delitos dentro de la organización.
El canal de denuncias puede ser una importante herramienta en los indicados ámbitos, una que permite a diversos actores implicados (entre los que pueden contarse los propios trabajadores de la organización o incluso proveedores externos) informar de incumplimientos legales. De no existir dichos canales, es posible que la Alta Dirección nunca supiera que hay estas vulneraciones de la Ley. Ello, a su vez, impediría adoptar las medidas correctoras, investigadoras o sancionadoras destinadas a eliminar los incumplimientos y paliar sus efectos negativos.
Sin embargo, desde la perspectiva del tratamiento de datos de carácter personal, estos canales pueden resultar peligrososa. La información que allí se recoge es especialmente delicada, y en muchas ocasiones conviene proteger el anonimato del denunciante.
Ahora bien ¿es compatible la búsqueda de estas finalidades con las obligaciones que nos exige el RGPD y la LOPD-GDD?
La respuesta es afirmativa, sobre todo si tenemos en cuenta esta última norma. Porque la LOPD-GDD, en su artículo 24, no solo da carta de naturaleza a los canales éticos, sino que establece una regulación bastante clara para delimitar su funcionamiento y requisitos de validez.
El punto de partida de la LOPD-GDD es admitir la licitud de estos sistemas de información. Cosa que retira toda duda al respecto de si nuestra organización está legitimada para ponerlos en marcha.
Ahora bien, que sean lícitos no quiere decir que puedan estructurarse o funcionar de cualquier manera.
Para empezar, hemos de tener presente que estos canales solo serán válidos si se crean con la finalidad de poner en conocimiento de la organización actuaciones que sean contrarias a la normativa aplicable. Un canal ético que aproveche para cumplir otras finalidades incompatibles con esta podría resultar ilegal.
Para seguir, el canal interno de denuncias no puede ser algo más o menos secreto. La LOPD-GDD exige que la organización informe de su existencia. Y no solo a trabajadores, sino que se incluye de forma expresa a «terceros» (por ejemplo, proveedores u otras entidades que de algún modo colaboren con la organización). De modo que este canal deberá tener la máxima publicidad posible; caso contrario, será difícil que pueda cumplir con su misión, ya que los posibles denunciantes desconocerán que tienen esa vía a su alcance.
La LOPD-GDD también resuelve una duda que subyacía sobre estos métodos de información de irregularidades. En concreto la que hace referencia la identificación del denunciante. Se había venido discutiendo si las denuncias deberían ser siempre nominativas o si cabría la posibilidad de usar el anonimato. En el primer caso, se suponía que habría más garantías para evitar denuncias injustificadas. Pero se podía caer en el riesgo de que los denunciantes no notificaran las infracciones que conocieran, sobre todo si al hacerlo se enfrentaban a sus superiores jerárquicos en la organización, poniendo en peligro su puesto de trabajo.
El sistema español opta por una doble vía: el canal de información podrá admitir denuncias nominativas pero, si el denunciante lo desea, también tendrán cabida las denuncias anónimas. Eso sí, la LOPD-GDD exige que -tanto en uno como en otro caso- se adopte las medidas oportunas para preservar la identidad del denunciante y para garantizar la confidencialidad de los datos relativos al mismo. Estas precauciones, como es natural y para evitar cualquier represalia, deberán ser mayores cuando estemos ante una información proporcionada por una persona identificada.
En la misma línea, la LOPD-GDD limita la posibilidad de acceso a los datos del canal de denuncias. No cualquier persona podrá consultarlos, sino únicamente aquellas personas que desarrollen funciones de control interno o de cumplimiento de la normativa vigente. La Ley trata aquí de la misma forma a las personas que lleven a cabo estas tareas, con independencia de que estén incardinadas en la organización o sean terceros en quienes se externaliza las mismas.
También pueden acceder a los datos quienes los necesiten para la adopción de medidas disciplinarias o la tramitación de procedimientos judiciales como consecuencia de los hechos denunciados. Por esta vía podrá acceder, por ejemplo, el personal con funciones de gestión y control de recursos humanos.
Los datos personales que consten en la denuncia, como es habitual en cualquier tratamiento que desee cumplir con el RGPD, no podrán conservarse sin plazo previsto de cancelación. Antes al contrario, solo podrán estar en el sistema de denuncias durante el tiempo imprescindible para decidir si procede o no iniciar una investigación sobre los hechos. En caso de que la denuncia sea procedente, los datos no podrán conservarse en el canal de denuncias, sino directamente en los sistemas de la persona u órgano encargado de gestionar la investigación. Si se decide que no procede tramitar la investigación, los datos solo podrán constar de forma anonimizada (por ejemplo, para poder hacer un estudio estadístico global del canal ético).
En cualquier caso, una vez hayan transcurrido tres meses desde la introducción de los datos, los mismos deberán ser suprimidos. Únicamente podrán conservarse si existe la finalidad -ponderada y motivada- de dejar en evidencia el correcto funcionamiento del modelo de prevención de delitos de la organización.
Por tanto, a la hora de diseñar y poner en funcionamiento un canal interno de denuncias, le recomendamos que sea consciente de todas estas obligaciones. En caso de que persista alguna duda, por supuesto, siempre puede ponerse en contacto con nosotros para que le ofrezcamos nuestro asesoramiento profesional.
Fabián Plaza Miranda, Auren Abogados y asesores Fiscales