Los canales de denuncia interna o canales éticos son mecanismos a través de los cuales se canalizan las denuncias o quejas de hechos o acciones que pueden constituir infracciones de las leyes o de la normativa interna (código ético) de organizaciones públicas o privadas, por sus empleados y/o los agentes relacionados con su actividad, como puedan ser proveedores, clientes, colaboradores, contratistas, subcontratistas, etc.
¿Cuándo tiene que crear una organización un canal de denuncias?
En cuanto a la obligación de establecer estos canales de denuncia interna, la Directiva (UE) 2019/1937, en el artículo 8.1, contempla que los Estados miembros velarán por que las entidades jurídicas de los sectores privado y público establezcan estos mecanismos, previa consulta a los interlocutores sociales y de acuerdo con ellos, cuando así lo establezca el Derecho nacional. En el apartado 3 del mismo precepto indica que se aplicará a las entidades jurídicas del sector privado cuando tengan 50 o más trabajadores.
La creación, mantenimiento y gestión de estos canales de denuncia supone un tratamiento de datos personales, por lo dicha actividad deberá adaptarse al Reglamento (UE) 2016/679 (GDPR) y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), ya que así lo dispone la propia Directiva (UE) 2019/1937 en su artículo 17.
El mismo precepto de la directiva, en consonancia con los principios relativos al tratamiento, se establece que no se recopilarán datos personales cuya pertinencia no resulte manifiesta para tratar una denuncia específica o, si se recopilan por accidente, se eliminarán sin dilación indebida.
Al implicar la creación, mantenimiento y gestión de estos canales de denuncias un tratamiento de datos personales se deberá incluir en su Registro de Actividades de Tratamiento (RAT).
Regulación
La LOPDGDD regula específicamente el tratamiento de datos personales que implican estos canales de denuncias internas. Además de permitir expresamente la denuncia anónima, también aclara explícitamente las siguientes:
- La legitimación del tratamiento: existencia de un interés público.
- La obligación de informar previamente a los empleados y terceros sobre su existencia, de esta forma se facilitará y promoverá el uso de los mismos.
- El carácter restringido de la información contenida en ellos, limitándolo a quienes, desarrollen las funciones de control interno. Así como también a los encargados del tratamiento que se designen a tal efecto. Se permitirá el acceso a otras personas cuando resulte necesario para la adopción de medidas disciplinarias (en este caso solo al personal con funciones de gestión y control de recursos humanos), o para la tramitación de los procedimientos judiciales.
- Cuando los hechos sean constitutivos de ilícito penal o administrativo, los datos obtenidos a través del sistema de denuncias internas podrán ser comunicados a la autoridad competente.
- Obligación de adoptar las medidas de seguridad necesarias para garantizar la confidencialidad de la identidad de denunciantes y también de los denunciados. Hay que tener especial atención con las posibles denuncias falsas que pueden afectar la reputación de una persona.
- Conservar los hechos durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación. En general 3 meses desde que se denuncia. Ssalvo que la conservación de dichos datos sea necesaria para evidenciar el buen funcionamiento del modelo de prevención de la comisión de delitos.
Los datos podrán seguir siendo tratados, por el órgano competente, para investigar los hechos denunciados, no conservándose en el sistema de información de denuncias internas.
En conclusión
Por tanto, podemos concluir, que además de ser lícita su creación, mantenimiento y gestión, y permitir las denuncias anónimas, deben ser conocidos por empleados y terceros relacionados con la entidad (stakeholders). Deben garantizar la confidencialidad; no conservar datos personales más tiempo del imprescindible (tres meses); anonimizar denuncias no cursadas, y si es necesario conservar los datos porque se ha iniciado una investigación, hacerlo fuera del propio canal.
Consulta esta nota de prensa de la AEPD.
