El marco legal español en materia de compliance obliga a las empresas a replantear, con carácter urgente, el modo en que gestionan las comunicaciones de irregularidades internas. Desde la transposición de la Directiva europea de protección de denunciantes, el canal de denuncias interno ha dejado de ser una práctica voluntaria de buen gobierno para convertirse en una obligación jurídica con consecuencias directas sobre la responsabilidad penal y administrativa de la organización. Ignorar esta obligación no es una opción; actuar tarde puede ser costoso.
La obligación de implantar un canal de denuncias interno deriva de la transposición al ordenamiento español de la Directiva europea relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión. La norma española resultante establece un umbral de obligatoriedad vinculado, entre otros criterios, al número de personas empleadas en la organización.
Las empresas con cincuenta o más trabajadores están obligadas a contar con un sistema interno de información. Para las entidades del sector financiero, la obligación es independiente del tamaño. El legislador español ha ampliado además el ámbito de aplicación subjetivo: administraciones públicas, partidos políticos, sindicatos y organizaciones empresariales también quedan sujetos, con independencia de su plantilla.
¿Qué debe garantizar ese canal, en términos jurídicos? La normativa exige, como mínimo, que el sistema permita comunicaciones confidenciales o anónimas, que preservel la identidad del informante frente a posibles represalias y que establezca plazos de acuse de recibo y de respuesta sobre las investigaciones iniciadas. El plazo máximo para acusar recibo de una comunicación es de siete días naturales, y el informante debe recibir respuesta sobre las acciones adoptadas en un plazo máximo de tres meses.
Además, el canal de denuncias interno no puede diseñarse de espaldas a la normativa de protección de datos. Todo tratamiento de datos personales derivado de la gestión de denuncias queda sujeto al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD). La Agencia Española de Protección de Datos (AEPD) ha publicado directrices específicas sobre la interacción entre ambos marcos. Su incumplimiento acumulado puede derivar en procedimientos sancionadores paralelos: por el canal de denuncias y por protección de datos.
En nuestra experiencia asesorando a empresas medianas y grandes en España, el error más frecuente no es la ausencia total del canal, sino la implantación de un formulario web sin el soporte jurídico-organizativo necesario. Un formulario sin protocolo de investigación, sin responsable designado, sin registro del tratamiento de datos y sin política antirrepresalias no cumple la normativa. Es, en el mejor de los casos, un instrumento incompleto.
El ámbito de aplicación de la obligación no es uniforme. La norma distingue entre entidades obligadas por razón de su tamaño y entidades obligadas por razón de su actividad o naturaleza jurídica.
Dentro del primer grupo, la regla general fija el umbral en cincuenta trabajadores. Sin embargo, la norma española contempla que las empresas de entre cincuenta y doscientos cuarenta y nueve trabajadores puedan compartir recursos para la gestión del canal, siempre que se garantice la independencia y confidencialidad del sistema. Las empresas con doscientos cincuenta trabajadores o más deben disponer de un canal propio e independiente.
Las entidades financieras, aseguradoras, las sometidas a la normativa de prevención del blanqueo de capitales y las que operan en sectores regulados específicos quedan sujetas sin consideración del tamaño. Para estas organizaciones, el canal de denuncias se solapa frecuentemente con otros programas de compliance ya existentes: los programas de prevención del blanqueo, los programas de compliance penal o los marcos de cumplimiento en materia de competencia.
Conviene también considerar a las filiales de grupos multinacionales. La existencia de un canal corporativo global no exime automáticamente a la filial española de cumplir con los requisitos locales. La filial española debe verificar que el canal del grupo se adapta a los estándares de la normativa española, incluyendo las exigencias de la AEPD en materia de protección de datos y los plazos de respuesta locales. En nuestra práctica hemos acompañado a varias filiales en este proceso de homologación del canal corporativo a la regulación española.
La implantación de un canal de denuncias interno no es una decisión técnica delegable íntegramente al departamento de IT o al proveedor de software. Es una decisión estratégica que involucra al órgano de administración, a los responsables de recursos humanos, al responsable de cumplimiento normativo y, con frecuencia, al director financiero.
La primera decisión es la del modelo de gestión. La normativa permite que la empresa gestione el canal de forma interna o que externalice la recepción de comunicaciones a un tercero independiente. Cada modelo tiene implicaciones jurídicas distintas en materia de responsabilidad, de flujo de datos personales y de control de la investigación. Un modelo externo no elimina la responsabilidad del órgano de administración; la redistribuye, pero no la suprime.
La segunda decisión es la del responsable del sistema. La norma exige que exista una persona u órgano interno, con autonomía suficiente, encargado de la gestión del canal. En las empresas con un compliance officer ya designado, esta figura encaja de forma natural. Donde no existe, es necesario designarla formalmente y dotarla de las garantías de independencia que exige la normativa.
La tercera decisión –a menudo subestimada– es la del alcance del canal. ¿Debe el sistema limitarse a las infracciones del Derecho de la Unión Europea, o conviene ampliarlo a conductas que afecten al Derecho interno, a la ética corporativa o a posibles delitos? Desde la perspectiva del compliance penal, la respuesta casi siempre apunta a un canal de alcance amplio. Un canal restringido al mínimo legal puede resultar insuficiente para acreditar un programa de compliance robusto en el marco de la responsabilidad penal de la persona jurídica.
¿Se ha valorado también la política antirrepresalias? La normativa española prohíbe expresamente las represalias contra quienes comuniquen de buena fe, y prevé mecanismos de tutela para el informante. El incumplimiento de este mandato puede generar responsabilidad laboral, civil y administrativa de forma simultánea. Disponer de un protocolo claro, conocido por la plantilla y aplicado de forma coherente, es parte del diseño del canal, no un añadido posterior.
Este es, probablemente, el punto donde más fallos técnicos se concentran en la práctica. El canal de denuncias procesa datos personales de, al menos, tres categorías de personas: el informante, el investigado y los testigos o terceros mencionados en la comunicación. El tratamiento de estos datos debe cumplir con el principio de minimización, disponer de una base jurídica válida y estar documentado en el registro de actividades de tratamiento.
La AEPD ha reiterado que las empresas deben establecer con claridad el plazo de conservación de los datos derivados de las denuncias. Con carácter general, los datos no deben conservarse más de tres meses desde la recepción, salvo que sean necesarios para la tramitación del procedimiento. Una vez concluida la investigación, los datos deben eliminarse o bloquearse conforme a los criterios establecidos en el RGPD y la LOPDGDD.
Otro punto crítico es la notificación de brechas de seguridad relacionadas con el canal. Si el sistema de denuncias sufre una brecha que afecta a datos personales de informantes o investigados, la empresa dispone de setenta y dos horas para notificarla a la AEPD. En función de la gravedad, puede ser también necesario notificar a los propios afectados. La existencia de un protocolo de brechas específico para el canal es, por tanto, parte de la implantación completa del sistema.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, la coordinación entre el diseño del canal y el registro de tratamientos ha sido el factor que marcó la diferencia entre un sistema conforme y uno que generó observaciones en la primera auditoría interna.
Desde la reforma de la legislación penal española que introdujo la responsabilidad de la persona jurídica, las empresas tienen interés directo en poder acreditar, ante un tribunal, que disponían de un programa de compliance efectivo en el momento en que se produjo el hecho delictivo. El canal de denuncias interno es uno de los elementos estructurales que los tribunales y el Ministerio Fiscal valoran al evaluar ese programa.
No se trata de una cuestión puramente defensiva. Un canal de denuncias que funciona de manera efectiva permite detectar conductas irregulares antes de que cristalicen en un delito. Es, al mismo tiempo, un mecanismo de early warning y un elemento del programa de compliance penal. Ambas dimensiones son relevantes para la dirección de la empresa.
La práctica de los juzgados de lo mercantil y de los tribunales penales en España indica que la mera existencia formal del canal no es suficiente. Lo que se valora es la operatividad real del sistema: si las comunicaciones se tramitan, si las investigaciones se documentan, si las medidas correctoras se adoptan y si el órgano de administración tiene conocimiento y supervisión del sistema. Un canal implantado como trámite burocrático, sin una cultura interna de uso y confianza, aporta poco valor en términos de exoneración.
La coordinación entre el canal de denuncias y el programa de compliance penal debe reflejarse en los documentos del sistema: la política de compliance, el mapa de riesgos penales, el código ético y el propio reglamento del canal. Cuando estos documentos son coherentes entre sí y con la práctica real de la empresa, el conjunto constituye un programa creíble ante cualquier tribunal.
La pregunta que con más frecuencia plantea la dirección es si vale la pena invertir en asesoramiento jurídico para implantar el canal, cuando el mercado ofrece soluciones tecnológicas aparentemente llave en mano. La respuesta, en nuestra experiencia, es inequívoca: el coste del asesoramiento previo es siempre inferior al coste de corregir un canal mal diseñado o de gestionar una sanción.
El coste de la inacción o de la implantación defectuosa se manifiesta en tres vías. Primera, la sanción administrativa por incumplimiento de la normativa del canal de denuncias, que puede alcanzar importes significativos en función del tamaño de la empresa y de la gravedad del incumplimiento. Segunda, la sanción paralela por infracción de la normativa de protección de datos, gestionada por la AEPD, que opera con un régimen sancionador propio e independiente. Tercera, la debilidad en la defensa penal de la persona jurídica cuando los hechos delictivos se producen en una empresa que no disponía de un programa de compliance efectivo.
El asesoramiento temprano permite, además, adaptar el diseño del canal a la realidad de la empresa: su tamaño, su sector, su estructura de grupo, su exposición regulatoria específica y la cultura interna existente. No existe un canal estándar que sirva igual para una empresa de logística con quinientos empleados que para una entidad financiera o para un grupo industrial con filiales en varios países. La adaptación es, precisamente, lo que convierte el canal en un instrumento real de gestión de riesgos.
El mito más extendido que encontramos en la práctica es que con una política de privacidad en la web y un formulario de contacto ya se cumple con las obligaciones de compliance y protección de datos. La realidad es que el registro de tratamientos, el protocolo de gestión de brechas, el modelo de compliance y el canal de denuncias conforme a la normativa son los instrumentos que, actuando de forma coordinada, reducen la exposición sancionadora y fortalecen la posición defensiva de la empresa.
Nuestro servicio de implantación y asesoramiento en canal de denuncias interno cubre el ciclo completo del proyecto: diagnóstico de la situación de partida, diseño del modelo de gestión, elaboración del reglamento del canal y de la política antirrepresalias, integración con el registro de tratamientos de datos, coordinación con el programa de compliance penal existente y formación a los responsables internos.
Trabajamos con empresas que implanta el canal por primera vez y con organizaciones que necesitan revisar o actualizar un sistema ya existente. También acompañamos a filiales de grupos internacionales en la verificación de la conformidad de los canales corporativos con la normativa española.
Para las empresas que operan en sectores regulados –financiero, energético, sanitario– coordinamos el canal de denuncias con los programas de cumplimiento específicos del sector, evitando duplicidades y asegurando la coherencia del conjunto. Cuando la implantación del canal requiere coordinación con otras jurisdicciones, trabajamos con abogados locales de confianza en la jurisdicción correspondiente.
En los casos en que la empresa ya se enfrenta a una investigación o a un procedimiento sancionador relacionado con el canal de denuncias o con la protección de datos, colaboramos con abogados colegiados en los procedimientos que lo requieren para garantizar la defensa más efectiva posible.
Puede ampliar la información sobre nuestro enfoque en materia de cumplimiento normativo en nuestra área de Protección de datos y compliance. Si su empresa opera en sectores con exposición a blanqueo de capitales, puede resultar también relevante nuestro análisis sobre prevención del blanqueo de capitales para empresas del sector agroalimentario. Para empresas con operaciones o sede en Cataluña, nuestro equipo en Barcelona ofrece el mismo servicio adaptado al entorno local.
La implantación apresurada o la elección de soluciones tecnológicas sin soporte jurídico genera, de manera recurrente, los mismos errores. Conocerlos permite evitarlos.
Antes de dar por implantado el canal de denuncias interno, le recomendamos verificar que la empresa cumple con todos los siguientes elementos.
La implantación del canal de denuncias interno se integra habitualmente en un proyecto más amplio de compliance empresa. En Velarde & Vidal asesoramos también en la adaptación al RGPD, el diseño del registro de tratamientos, la gestión de brechas de seguridad ante la AEPD y la elaboración o revisión de programas de compliance penal. Si su empresa opera en sectores sujetos a prevención del blanqueo de capitales, el canal de denuncias se coordina con el sistema de control interno exigido por esa normativa. Si necesita revisar el conjunto de su exposición en materia de protección de datos y compliance, podemos diseñar un diagnóstico integral adaptado a la realidad de su organización.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.