A finalidade desta normativa é protexer as persoas que, nun contexto laboral ou profesional, detecten infraccións penais ou administrativas graves ou moi graves e as denuncien a través dos mecanismos establecidos nela. Ademais, ten como obxectivo fortalecer a cultura da información, a infraestrutura de integridade das organizacións e promover unha cultura da información e a comunicación como mecanismo de prevención e detección de ameazas ao interese público.

A Lei protexe os denunciantes ao prohibir as represalias: calquera acto ou omisión prohibida pola lei ou que, directa ou indirectamente, resulte nun trato desfavorable que poña as persoas que o sofren nunha situación de desvantaxe particular en relación con outras no contexto laboral ou profesional, unicamente pola súa condición de denunciantes ou por ter feito unha denuncia pública.

O artigo 36 da Lei 2/2023 ofrece unha lista ilustrativa do que pode considerarse represalia.

A Lei 2/2023 obriga ás entidades locais a implantar un Sistema de Información Interno (SII) que inclúa unha canle de información interna, que debe cumprir certos requisitos e garantías, e debe estar deseñado, establecido e xestionado de forma segura, permitindo a presentación e tramitación de queixas anónimas.

A canle interna de denuncias é o método preferido para as queixas internas porque se cre que garante que a información chegue á organización máis rapidamente, o que leva a unha resposta máis rápida e eficiente. Non obstante, pode optar por denunciar a través desta canle ou usar a canle externa de denuncias proporcionada pola Autoridade Independente de Protección de Denunciantes.

• Autoridade Galega para a Protección de Informantes (AGPI)

• Autoridade independente de protección de denunciantes

• Comunicación de información sobre feitos ou irregularidades que afecten aos fondos da Unión Europea

• Oficina Europea de Loita contra a Fraude

Persoas físicas ou órganos colexiais. Se é un órgano colexiais, debe delegar nun dos seus membros as facultades de xestión do Sistema de Información Interno e tramitación de expedientes de investigación.

Só se considerarán informantes as persoas que comuniquen ou divulguen información sobre irregularidades das que teñan coñecemento no seu ámbito profesional ou laboral. É precisamente esta conexión a que permite o acceso á información e determina a súa condición de informante para os efectos desta lei. O informante non ten a condición de parte interesada (Art. 20.5).

Polo tanto, a lei aplícase en todos os casos a:

a. Persoas que teñan a condición de empregados ou empregadas públicas.

b. Os traballadores autónomos.

c. Accionistas, partícipes e persoas pertencentes ao órgano de administración, dirección ou supervisión dunha sociedade, incluídos os membros non executivos.

d. Calquera persoa que traballe para ou baixo a supervisión e dirección de contratistas, subcontratistas e provedores.

e. Calquera persoa que denuncie infraccións obtidas no marco dunha relación laboral ou estatutaria que xa finalizou.

f. Voluntarios, persoas en prácticas, traballadores en períodos de formación independentemente de que reciban ou non remuneración, así como aqueles cuxa relación laboral aínda non se iniciou, nos casos en que se obtivese información sobre infraccións durante o proceso de selección ou a negociación precontractual.

O informante pode enviar a información a través dos seguintes medios:

a) Por escrito e verbalmente, por correo postal ou por calquera medio electrónico habilitado para tal fin, ou verbalmente, por teléfono ou por un sistema de mensaxería vocal

b) Reunión presencial, que deberá ter lugar nun prazo máximo de sete días.

c) Os sistemas internos permitirán a presentación de comunicacións anónimas.

Durante o proceso de denuncia, podes decidir se queres ou non proporcionar a túa información persoal. Se decides non facelo, terás que facer un seguimento do teu caso a través da canle de denuncia para ver o seu progreso e a súa resolución. A canle proporcionarache un nome de usuario e un contrasinal para acceder ao estado da túa denuncia.

A canle é independente da empresa e non rexistra información sobre o enderezo IP desde o que se conecta.

Desafortunadamente, por razóns de seguridade, só a persoa que presentou a alerta coñece o seu código de acceso e contrasinal. Se perde algún destes, non poderá rastrexar a comunicación. Isto non significa que a comunicación se deteña, senón que non poderá ver o seu progreso nin proporcionar máis información se a empresa a solicita.

Algúns consellos para acadar o máximo anonimato, ademais de indicar que a denuncia é anónima, son:

• Asegúrate de que a descrición da comunicación non inclúa ningunha información que poida identificarte facilmente. O mesmo aplícase a calquera documento que achegues como posible proba.

• Non envíes informes desde un ordenador conectado á rede da empresa, incluído un teléfono móbil conectado á wifi corporativa. Ithikios non rexistra información, pero antes de chegar aos nosos sistemas debe pasar polos nosos propios sistemas de control, como proxies ou firewalls, e pode haber configuracións que nos permitan saber a que servizos se conecta.

· Podes usar o navegador TOR de código aberto, que anonimiza o teu enderezo IP.

O alcance da norma inclúe todas as comunicacións relativas a:

• infraccións do Dereito da Unión Europea cando (i) afecten a calquera das materias enumeradas no anexo I da Directiva sobre denuncia de irregularidades, (ii) afecten os intereses financeiros da Unión ou (iii) teñan un impacto no mercado interior;

• infraccións administrativas graves ou moi graves;

• actos criminais

- Porque carece de verosimilitude

- Porque se refire a infraccións que non están incluídas no ámbito de aplicación da Lei 2/2023.

- Porque a información carece manifestamente de fundamento.

- Por motivos razoables para crer que a información se obtivo mediante a comisión dun delito.

- Porque non é información nova e significativa con respecto a unha anterior sobre a que concluíu o procedemento.

Lévase a cabo mediante un procedemento que debe ser previamente aprobado pola entidade e xestionado pola persoa responsable do sistema.

O prazo máximo para responder ás actuacións de investigación establécese en tres meses desde o vencemento do prazo de sete días despois de que se realizase a comunicación, agás nos casos de especial complexidade que requiran unha prórroga do prazo, nese caso poderá prorrogarse ata un máximo doutros tres meses adicionais.

De conformidade co disposto no artigo 29 da LPI, o tratamento de datos persoais derivados da aplicación desta lei rexerase polo disposto no Regulamento (UE) 2016/679 do Parlamento Europeo e do Consello, do 27 de abril de 2016, na Lei Orgánica 3/2018, do 5 de decembro, de Protección de Datos Persoais e Garantía dos Dereitos Dixitais, e na Lei Orgánica 7/2021, do 26 de maio, de protección de datos persoais tratados para fins de prevención, detección, investigación e axuizamento de delitos penitenciarios e execución de sancións penitenciarias.

A lei estipula que un terceiro pode xestionar o sistema de información interno, sempre que se cumpran certos requisitos:

• Só podes recibir a información.

• Deberase observar o respecto á independencia, á confidencialidade, á protección de datos e ao segredo das comunicacións, así como a sinatura dun acordo previo de corresponsabilidade en materia de protección de datos persoais e a súa circulación.

• Débense garantir as mesmas garantías e requisitos esixidos para a autoxestión e, especificamente, non se lle deben atribuír responsabilidades diferentes á persoa responsable do sistema.

• O terceiro que xestiona o Sistema será considerado o encargado do tratamento para os efectos da lexislación de protección de datos persoais.

A canle de denuncias opera nunha plataforma externa, https://ithikios.com . Esta empresa recibe as denuncias e envíallas automaticamente á empresa para a súa avaliación. Os servidores de Ithikios están situados en centros de datos dentro de Europa. Os seus datos están cifrados para minimizar o risco de intrusión.