Canal de denúncies internes o canal ètic

Els canals de denúncia interna o canals ètics són mecanismes a través dels quals es canalitzen les denúncies o queixes de fets o accions que poden constituir infraccions de les lleis o de la normativa interna (codi ètic) d'organitzacions públiques o privades, pels seus empleats i/o els agents relacionats amb la seva activitat, com ara proveïdors, clients, col·laboradors, contractistes, subcontractistes, etc.

Pel que fa a l'obligació d'establir aquests canals de denúncia interna, la Directiva (UE) 2019/1937, en l'article 8.1, preveu que els Estats membres han de vetllar perquè les entitats jurídiques dels sectors privat i públic estableixin aquests mecanismes, amb la consulta als interlocutors socials i d'acord amb ells, quan així ho estableixi el dret nacional. En l'apartat 3 de el mateix precepte indica que s'aplicarà a les entitats jurídiques de el sector privat quan tinguin 50 o més treballadors.

La creació, manteniment i gestió d'aquests canals de denúncia suposa un tractament de dades personals, per la qual aquesta activitat s'ha d'adaptar al Reglament (UE) 2016/679 (GDPR) i a la Llei Orgànica 3/2018, de 5 de desembre, de protecció de Dades Personals i Garantia dels Drets Digitals (LOPDGDD), ja que així ho disposa la mateixa Directiva (UE) 2019/1937 en el seu article 17.

El mateix precepte de la directiva, d'acord amb els principis relatius al tractament regulats pel GDPR en el seu article 5, estableix que no es recopilaran dades personals la pertinència no resulti manifesta per tractar una denúncia específica o, si es recopilen per accident, s'eliminaran sense dilació indeguda.

A l'implicar la creació, manteniment i gestió d'aquests canals de denúncies un tractament de dades personals s'haurà d'incloure en el seu Registre d'Activitats de Tractament (RAT) d'acord amb el que estipula l'article 30 del GDPR.

La LOPDGDD regula específicament en el seu article 24 el tractament de dades personals que impliquen aquests canals de denúncies internes. Aquest article, a més de permetre expressament la denúncia anònima, també aclareix explícitament les següents qüestions aplicables tant en entitats privades com en Administracions Públiques, sobre els canals de denúncia:

• La legitimació del tractament l'estableix la LOPDGDD en el seu preàmbul, i prové de l'existència d'un interès públic, en els termes que estableix l'article 6.1.e) del GDPR.

• L'obligació d'informar prèviament als empleats i tercers sobre la seva existència, d'aquesta manera es facilitarà i promourà l'ús dels mateixos.

• El caràcter restringit de la informació continguda en ells, limitant-lo a qui, desenvolupin les funcions de control intern i de compliment, o a les entitats externes (encarregats del tractament) que eventualment es designin a aquest efecte, això últim suposa la possibilitat que es pugui externalitzar per les organitzacions la gestió dels canals de denúncia. Es permetrà l'accés a altres persones quan resulti necessari per a l'adopció de mesures disciplinàries (en aquest cas només a el personal amb funcions de gestió i control de recursos humans), o per a la tramitació dels procediments judicials.

• Quan els fets siguin constitutius d'il·lícit penal o administratiu, les dades obtingudes a través del sistema de denúncies internes podran ser comunicades a l'autoritat competent.

• L'obligació d'adoptar les mesures de seguretat necessàries per garantir la confidencialitat de la identitat de denunciants i també dels denunciats. Caldrà tenir especial atenció amb les possibles denúncies falses que poden afectar la reputació d'una persona.

• La conservació durant el temps imprescindible per decidir sobre la procedència d'iniciar una investigació sobre els fets denunciats i en general 3 mesos des que es denuncia, llevat que la conservació d'aquestes dades sigui necessària per evidenciar el bon funcionament de el model de prevenció de la comissió de delictes.
  La anonimització de les denúncies no tramitades sense que sigui necessari el previ "bloqueig" que estableix l'art. 32 de la LOPDGDD com a pas previ a la supressió de les dades personals.
  Les dades podran seguir sent tractades, per l'òrgan competent, per investigar els fets denunciats, no conservant-se en el sistema d'informació de denúncies internes.

Per tant, podem concloure sobre els canals de denúncia, que a més de ser lícita la seva creació, manteniment i gestió, i permetre les denúncies anònimes, han de ser coneguts pels empleats i tercers relacionats amb l'entitat (stakeholders); han de garantir la confidencialitat; no conservar dades personals més temps de l'imprescindible (tres mesos); anonimitzar denúncies no cursades, i si cal conservar les dades perquè s'ha iniciat una investigació, fer-ho fora del propi canal.