La Autoridad Independiente de Protección del Informante (AIPI) ha publicado en su página web una serie de criterios interpretativos dirigidos a las empresas obligadas a implantar un canal de denuncias conforme a la Ley 2/2023, de 20 de febrero.
Aunque estas directrices no tienen carácter normativo, sí fijan una interpretación clara de la ley y marcan el estándar que las organizaciones deben seguir para evitar riesgos de incumplimiento. El mensaje es contundente:
el canal interno de información no puede ser un simple buzón ni una cuenta de correo electrónico, sino que debe implantarse mediante una plataforma tecnológica segura, accesible y cifrada.
Exigencia clave: plataforma segura y cifrada de extremo a extremo
La confidencialidad del canal de denuncias es una garantía esencial para la protección efectiva de las personas informantes y para la validez y eficacia de todo el Sistema Interno de Información. Dicha confidencialidad debe integrarse en el diseño organizativo y funcional del sistema desde su origen.
Por ello, la AIPI sostiene que el canal de denuncias debe operar mediante una plataforma segura y cifrada de extremo a extremo que impida la identificación directa o indirecta del informante, con accesos estrictamente restringidos y trazabilidad controlada, extendiendo la confidencialidad no solo a la identidad de las personas implicadas, sino también al contenido de las comunicaciones y a cualquier dato que permita inferirla, y previniendo activamente usos indebidos del sistema o represalias de cualquier tipo
Esto excluye en la práctica soluciones como:
- Cuentas genéricas de correo electrónico.
- Formularios web sin cifrado reforzado.
- Buzones físicos tradicionales.
- Herramientas internas sin control de accesos ni registro de actividad.
¿Cuál es la importancia de las recomendaciones de la AIPI?
La AIPI es el organismo público creado en España a raíz de la aprobación de la Ley 2/2023. Su función principal es garantizar el óptimo funcionamiento de los canales de denuncia, garantizando los derechos de las personas que denuncian irregularidades, fraudes, o delitos en las organizaciones.
Las competencias de la AIPI son múltiples. Las principales son el establecimiento de recomendaciones para el correcto funcionamiento de los canales de denuncia internos de las empresas, así como la potestad sancionadora que tiene a través de la Ley 2/2023. Esto implica que es el organismo con capacidad de imponer sanciones por incumplir la normativa aplicable en esta materia. Las sanciones previstas en la Ley 2/2023 oscilan entre los 300.000 euros para las sanciones leves, y un millón de euros, para las sanciones muy graves. La normativa señala como faltas muy graves:
- Cualquier actuación que suponga una efectiva limitación de los derechos y garantías previstos en la Ley 2/2023
- La adopción de cualquier represalia derivada de la comunicación frente a los informantes o las demás personas incluidas en el ámbito de protección de la normativa
- Vulnerar las garantías de confidencialidad y anonimato previstas en la normativa y de forma particular cualquier acción u omisión tendente a revelar la identidad del informante cuando este haya optado por el anonimato, aunque no se llegue a producir la efectiva revelación de la misma.
- Vulnerar el deber de mantener secreto sobre cualquier aspecto relacionado con la información.
- La comisión de una infracción grave cuando el autor hubiera sido sancionado mediante resolución firme por dos infracciones graves o muy graves en los dos años anteriores a la comisión de la infracción.
- Comunicar o revelar públicamente información a sabiendas de su falsedad.
- Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley.
Implantar el canal de denuncias utilizando un mecanismo ineficaz, cómo una dirección de correo electrónico, o un formulario web sin cifrado reforzado, supone un riesgo de incumplimiento normativo. Ello se debe a que implantarlo sin los mecanismos de cifrado y trazabilidad controlada pueden quebrantar la seguridad de las comunicaciones, la confidencialidad, así como el anonimato de las partes implicadas.
En definitiva, el riesgo de incurrir en una infracción de la Ley 2/2023 es muy elevado en caso de no contar con una herramienta tecnológica en la implantación del canal de denuncias.
¿Qué requisitos mínimos debo cumplir en la implantación del canal de denuncias?
Además de contar con una herramienta tecnológica, la AIPI ha establecido como elementos mínimos en la implantación de los canales de denuncias en las empresas:
- Consulta previa a la representación sindical.
- Acuerdo del órgano de gobierno aprobando el Sistema Interno de Información y la política de funcionamiento del mismo.
- Designación formal del Responsable del Sistema Interno de Información (RSI).
- Notificación del nombramiento del Responsable del Sistema Interno de Información a la AIPI, o en su defecto a la autoridad autonómica competente.
- Implementación técnica del canal de denuncias (Software/Buzón seguro).
- Aprobación del procedimiento de gestión de Informaciones.
- Publicidad del canal en la página web (acceso visible y fácil).
- Formación al personal sobre el uso del canal.
Implanta tu canal de denuncias con todas las garantías legales
En LEGAL ESI contamos con soluciones tecnológicas que permiten implantar el canal de denuncias en tu empresa cumpliendo las exigencias de seguridad, cifrado, confidencialidad y anonimato establecidas por la Ley 2/2023 y los criterios de la AIPI.
Además, nuestro equipo especializado en cumplimiento normativo te acompaña en todo el proceso para asegurar una implantación correcta y alineada con la normativa vigente.
Si todavía no has implantado el canal de denuncias o tienes dudas sobre su adecuación legal, contacta con nosotros y te ayudaremos a hacerlo de forma segura y conforme a la ley.