Directiva Whistleblowing - Todo lo que necesita saber

Los alertadores deben poder informar por escrito o verbalmente a través de uno o varios de estos canales:

– un canal de denuncias digital

– un buzón de correo electrónico

– correo postal

– una línea telefónica directa o un contestador automático

Por diversas razones, un canal de denuncias digital es el más adecuado tanto para pymes como para grandes empresas e instituciones públicas. Dado que todas las denuncias sobre infracciones y comportamientos poco éticos deben documentarse y se deben tomar medidas de seguimiento, cada una de ellas debe ser recuperable y fácil de gestionar por el personal de cumplimiento. Por lo tanto, el funcionamiento del canal de denuncia debe ser intuitivo y sencillo. Es especialmente importante que el alertador pueda estar 100% seguro de que su identidad está totalmente protegida. Por ello, las plataformas digitales de denuncia con un historial probado de seguridad y fiabilidad son especialmente recomendables para pequeñas y grandes empresas e instituciones públicas. Un sistema certificado de protección de datos y seguridad informática también garantiza que ni terceros ni proveedores tengan acceso a los datos sensibles. Asimismo, por razones de la legislación sobre protección de datos, resulta relevante el hecho de que los servidores de los proveedores que gestionan las denuncias estén situados en Alemania.

Las empresas internacionales también deben asegurarse de que las denuncias puedan presentarse independientemente del lugar y el momento para garantizar el cumplimiento de la Directiva de la UE y evitar así sanciones o multas.

Las organizaciones privadas y públicas deberían poner en marcha un canal de denuncias anónimo lo antes posible, ya que su aplicación puede tardar de varias semanas a varios meses, dependiendo del tamaño y la complejidad de la estructura organizativa.

En un plazo de siete días, la empresa debe confirmar al alertador que ha recibido la denuncia. En un plazo de tres meses, el alertador debe ser informado de las medidas adoptadas, del estado de la investigación interna y de sus resultados.

Algunos ejemplos de acciones de seguimiento:

«Remisión a otros canales o procedimientos en el caso de denuncias exclusivamente relacionadas con los derechos individuales del denunciante

§ Cierre del procedimiento por falta de pruebas u otros motivos

§ La apertura de investigaciones internas, posiblemente con indicación de los resultados y las posibles medidas para remediar el problema

§ Remisión a una autoridad competente para que continúe la investigación, siempre que esta información no afecte a las investigaciones internas o a la propia investigación y no perjudique los derechos de la persona afectada por la denuncia

El alertador debe ser informado del progreso y del resultado de la investigación a medida que ésta avanza.

No. El personal que gestiona las denuncias debe estar especialmente formado y familiarizado con las normas de protección de datos aplicables. Esto les permite gestionar los informes con eficacia e iniciar la comunicación con el alertador y las medidas de seguimiento adecuadas. Tanto los datos personales del alertador como de los acusados deben ser tratados de acuerdo con el RGPD.

Según la Directiva, no debería ser posible basarse en las obligaciones legales o contractuales de los individuos, como las cláusulas de lealtad en los contratos o los acuerdos de confidencialidad o no divulgación, para:

– Excluir la posibilidad de denuncia de irregularidades

– Negarse a proteger a los alertadores

– Imponerles sanciones por presentar información sobre infracciones o hacer una revelación cuando la transmisión de la información cubierta por dichas cláusulas y acuerdos sea necesaria para detectar la infracción

Si se cumplen estas condiciones, los alertadores no pueden ser considerados responsables en virtud del derecho civil, penal o administrativo ni respecto a su empleo.

Según la Directiva, «los alertadores (…) tampoco deben ser responsables cuando la obtención o el acceso a la información o los documentos en cuestión planteen un problema de responsabilidad civil, administrativa o laboral». Este sería el caso, por ejemplo, si los alertadores hubieran obtenido la información accediendo a los correos electrónicos o a los archivos de un miembro del personal que normalmente no utiliza en el curso de su trabajo, fotografiando los locales de la organización o entrando en salas a las que normalmente no tienen acceso.

Sin perjuicio de la protección prevista en el artículo 21, apartado 7, de la presente Directiva, cuando los denunciantes hayan cometido un delito, como la intrusión o la piratería informática, para obtener o acceder a la información o los documentos en cuestión, deben seguir siendo considerados penalmente responsables de conformidad con la legislación nacional aplicable.

Las denuncias sobre infracciones del Derecho comunitario se refieren a ámbitos como la contratación pública, los servicios financieros, el blanqueo de capitales, la seguridad de los productos y el transporte, la seguridad nuclear, la salud pública, la protección del medio ambiente y la protección de los consumidores y los datos.