La finalidad de la norma es la de proteger a las personas que en un contexto laboral o profesional detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma. Además, tiene como finalidad el fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público.

La Ley protege a las personas informantes mediante la prohibición de represalias: cualquier acto u omisión que esté prohibido por la Ley o que, de forma directa o indirecta, suponga un trato desfavorable que sitúe a las personas que las sufren en particular desventaja con relación a otra en el contexto laboral o profesional, solo por su condición de informantes, o por haber realizado una revelación pública.

El artículo 36 de la Ley 2/2023 hace un listado enunciativo de lo que se puede considerar represalia.

La ley 2/2023, obliga a las entidades locales a la implantación de un Sistema interno de información (SII) que incluya un canal interno de información, que debe cumplir unos requisitos y garantías, y debe estar diseñado, establecido y gestionado de forma segura, permitiendo la presentación y tramitación de denuncias anónimas.

El canal interno de información se configura como el cauce preferente de denuncia interna porque se considera que a través de ello se garantiza la información va a llegar más rápidamente a la organización y con ello se produzca una actuación más ágil y eficiente para su resolución. No obstante, puede elegir hacerlo por este medio o bien utilizar el canal externo de información puesto a disposición por la Autoridad Independiente de Protección del Informante

• Autoridad gallega de protección de la persona informante (AGPI)

• Autoridad independiente de protección del informante

• Comunicación de información sobre hechos o irregularidades que afecten a fondos de la Unión Europea

• Oficina Europea de Lucha contra el Fraude

Personas físicas u órganos colegiados. Si se trata de un órgano colegiado, este debe delegar en uno de sus miembros las facultades de gestión del Sistema interno de información y de tramitación de expedientes de investigación.

Tendrán la consideración de informantes únicamente las personas físicas, a título individual, que comunican o revelan información sobre irregularidades de las que son conocedoras en su ámbito profesional o laboral. Es precisamente esta vinculación la que posibilita el acceso a la información y que determina la consideración de informante a los efectos de esta ley. La persona informante no ostenta la condición de interesado (art. 20.5).

Por lo tanto, la ley se aplica en todo caso a:

a. Las personas que tengan la condición de empleados públicos o trabajadores por cuenta ajena.

b. Los autónomos.

c. Los accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos.

d. Cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.

e. Cualquier persona que informe sobre infracciones obtenida en el marco de una relación laboral o estatutaria ya finalizada.

f. Voluntarios, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el proceso de selección o de negociación precontractual.

La persona informante podrá presentar las informaciones a través de las siguientes formas:

a) Escrita y verbal, través de correo postal o a través de cualquier medio electrónico habilitado al efecto, o verbalmente, por vía telefónica o a través de sistema de mensajería de voz

b) Reunión presencial, que deberá realizarse dentro del plazo máximo de siete días.

c) Los sistemas internos permitirán la presentación de comunicaciones anónimas.

En el proceso de denuncia usted podrá decidir si informa de sus datos personales o no. Si decide no hacerlo, deberá establecer su propio seguimiento mediante el canal de denuncias para ver los avances y la resolución. El canal le ofrecerá un usuario y clave para acceder al avance de la denuncia.

El canal es independiente de la empresa y no registra información de la ip desde donde se conecta.

Lamentablemente, y por motivos de seguridad, solo el alertador conoce su código de acceso y su clave. Si pierde cualquiera de ellos, no podrá hacer un seguimiento de la comunicación, eso no quiere decir que la comunicación no siga su curso, simplemente que no podrá ver como avanza, ni aportar más información si la empresa lo requiere.

Algunos consejos para conseguir el máximo anonimato, además de informar que la denuncia es anónima son:

· Asegúrese de que en la descripción de la comunicación no incluye información con la que sea fácil identificarle. Lo mismo aplica a los documentos que anexe como posibles pruebas.

· No denuncie desde un ordenador conectado a la red de la empresa, incluido un móvil conectado a la wifi corporativa. Ithikios no registra información, pero antes de llegar a nuestros sistemas debe pasar por los propios sistemas de control como proxy’s o firewalls y puede haber configuraciones que permitan saber a que servicios se conecta.

· Puede utilizar el navegador de código abierto TOR , que anonimiza la dirección IP.

El ámbito objetivo de la norma comprende todas las comunicaciones relativas a:

• infracciones del Derecho de la Unión Europea cuando (i) afecten a alguna de las materias señaladas en el Anexo I de la Directiva de Whistleblowing, (ii) afecten a los intereses financieros de la Unión o (iii) incidan en el mercado interior;

• infracciones administrativas graves o muy graves;

• hechos delictivos

- Por carecer de verosimilitude

- Porque estar referida a infracciones que no están incluidas en el ámbito de aplicación de la Ley 2/2023.

- Porque las informaciones carecen manifiestamente de fundamento.

- Por indicios racionales de que la información se obtuvo mediante la comisión de un delito.

- Porque no se trata de información nueva y significativa respeto de una anterior sobre la que el procedimiento tiene concluído.

Se realiza mediante un procedimiento que ha de ser previamente aprobado por la entidad y gestionado por el responsable del sistema.

El plazo máximo para dar respuesta a las actuaciones de investigación se establece en tres meses a partir del vencimiento del plazo de siete días después de efectuarse la comunicación, salvo casos de especial complejidad que requirieran una ampliación del plazo, en cuyo caso este podrá extenderse hasta un máximo de otros tres meses adicionales.

De acuerdo con el señalado en el art. 29 de la LPI, los tratamientos de datos personales que deriven de la aplicación de esta ley rexiranse por el dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enxuízamento de infraccións penitenciarias y de ejecución de sanciones penitenciarias

La ley prevé que un tercero pueda gestionar el sistema interno de información cumpliendo determinados requisitos:

• Sólo puede recibir las informaciones.

• Deben observarse el respeto de la independencia, la confidencialidad, la protección de datos y el secreto de las comunicaciones, así como suscribir previamente un acuerdo de corresponsabilidades respecto a la protección de datos personales y su circulación.

• Deben garantizarse las mismas garantías y requisitos que se exigen para la gestión propia y específicamente no atribuir responsabilidades diferentes para el responsable del sistema.

• El tercero externo que gestione el Sistema tendrá la consideración de encargado del tratamiento a efectos de la legislación sobre protección de datos personales.

El canal de denuncias funciona sobre una plataforma externa, https://ithikios.com . Esta empresa recibe las denuncias y las envía automáticamente a la empresa para su evaluación. Los servidores de ithikios están en CPD’s en territorio europeo. Sus datos están encriptados para evitar al máximo los riesgos de intrusión.