El pasado martes 21 de febrero, se publicó en el BOE la ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de la lucha contra la corrupción.
¿Quién es sujeto obligado de esta ley?
Tanto empresas del sector público como del sector privado que tengan 50 o más trabajadores contratados, así como partidos políticos, sindicatos, organizaciones empresariales y fundaciones creadas por cualquiera de las anteriores, siempre que reciban o gestionen fondos públicos.
¿Cuándo entra en vigor?
| Empresas con 250 empleados o más | A los 3 meses desde la entrada en vigor de la ley |
| Empresas con 249 empleados o menos | El 1 de diciembre de 2023 |
¿A quién protege?
A las personas que informen sobre infracciones de las que hayan tenido conocimiento en un contexto laboral o profesional, tales como empleados, autónomos, accionistas, partícipes, personas pertenecientes al órgano de administración, dirección o supervisión de la empresa, cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores, ….
¿Cómo debe ser el canal de denuncias?
- Debe permitir tanto las denuncias anónimas como las identificadas.
- Debe permitir tanto las denuncias por escrito como las verbales.
- Debe permitir el seguimiento y evolución de la denuncia por parte del denunciante.
- Debe incorporar a un responsable del sistema del canal de denuncias.
- Deben establecerse las políticas, mecánicas y garantías de dicho canal.
- Debe establecer un procedimiento de gestión de informaciones.
- Debe darse publicidad clara y accesible del canal.
Prohibición de represalias para los denunciantes
No cabe ninguna conducta de represalia contra las personas que presenten una comunicación que cumpla con los requisitos establecidos en la ley.
¿Qué medidas de protección de datos se deben aplicar?
Entre otras:
- Los datos recogidos en los canales de denuncias se regirán por la legislación vigente en protección de datos (RGPD, LOPDGDD y Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales).
- El tratamiento de los datos se considerará necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, o bien por el interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
- Cuando se obtengan los datos directamente del interesado, se le deberá facilitar la información a la que se refiere el art. 13 del RGPD.
- Los interesados podrán ejercer sus derechos de acceso, rectificación, supresión, limitación, portabilidad, oposición, y a no ser objeto de decisiones individualizadas automatizadas, incluida la elaboración de perfiles.
- Limitación al acceso de los datos personales contenidos en el canal de denuncias a las personas que establece la ley.
- Plazo de conservación de los datos: Se conservarán únicamente durante el tiempo imprescindible para decidir si se inicia o no una investigación sobre los hechos informados. Si no es veraz la información, se suprimirá inmediatamente salvo que pueda constituir un ilícito pena, en cuyo caso se conservará por el tiempo en el que se tramite el procedimiento judicial.
En cualquier caso, transcurridos 3 meses desde la comunicación en el canal sin que se hubieran iniciado actuaciones de investigación, se deben suprimir los datos personales. No obstante, los datos personales se podrán conservar de forma anonimizada si es para dejar evidencia del funcionamiento del sistema.
- Aplicación de medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
- Recomendación de designación de un Delegado de Protección de Datos (DPO).
¿Cuáles son las sanciones por incumplimiento?
Las personas jurídicas pueden ser multadas con una cuantía de hasta 100.000€ en caso de infracciones leves, de 100.001 a 600.000€ en caso de infracciones graves y entre 600.001 a 1.000.000€ en caso de infracciones muy graves.
Quedamos a su entera disposición por si necesita que le ampliemos información al respecto.
