Procedimiento de Gestión del Sistema Interno de Información

1. OBJETIVO

El procedimiento de gestión del Sistema Interno de Información tiene por objeto la regulación
de aquellos actos y trámites que se lleven a cabo ASOCIACIÓN HECHOS, en adelante LA
ENTIDAD, como consecuencia de la presentación de informaciones a las que se refiere la Ley
2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre
infracciones normativas y de lucha contra la corrupción (en adelante, Ley 2/2023).

2. NORMATIVA Y LEGISLACIÓN DE REFERENCIA

• Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen
sobre infracciones normativas y de lucha contra la corrupción, por transposición de la
Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019,
relativa a la protección de las personas que informen sobre infracciones del Derecho de la
Unión.
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016,
relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos
personales (Reglamento general de protección de datos o RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los
derechos digitales (LOPDGDD).

3. ÁMBITO DE APLICACIÓN

Esta normativa es de aplicación a todo el ámbito de actuación de LA ENTIDAD y sus contenidos
derivan de las directrices de carácter más general definidas en la Política de Seguridad de la
Información de LA ENTIDAD.
Será de obligado cumplimiento por parte de todo el personal que, de manera permanente o
eventual, preste sus servicios en LA ENTIDAD, incluyendo el personal de proveedores externos
cuando sean usuarios de los Sistemas de Información de LA ENTIDAD.

4. DEFINICIONES

A los efectos de la presente regulación se entenderá por:
1.- Persona informante: persona física o jurídica que haya obtenido información sobre
infracciones en un contexto laboral o profesional y que las pongan en conocimiento de LA
ENTIDAD, comprendiendo en todo caso las previstas en el Artículo 3 apartados 1 y 2 de la Ley
2/2023.
2.- Persona afectada: persona física a la que se atribuye por el informante la comisión de las
infracciones a las que se refiere el artículo 2 de la Ley 2/2023. También se considerarán personas
afectadas, las que, sin haber sido objeto de información por el informante, a través de los actos
de instrucción del procedimiento se haya tenido conocimiento de la presunta comisión por parte
de éstas de las infracciones antes referenciadas.
3.- Terceros: personas físicas que pueden tener conocimiento de aspectos relacionados con
la infracción informada, ya sea como testigos directos o indirectos y que pueden aportar
información al procedimiento.
4.- Sistema Interno de Información: es el cauce de información establecido en LA ENTIDAD
para informar sobre las acciones u omisiones previstas en el artículo 2 de la Ley 2/2023, con las
funciones y contenidos recogidos en el artículo 5.2 de dicha norma. Incluye el Canal interno de
información y el Sistema de gestión de la información.
5.- Canal Interno de Información: es el canal específicamente habilitado por LA ENTIDAD para
recibir las informaciones relacionadas con el objeto de este procedimiento, bajo la
administración del responsable del Sistema Interno de Información de LA ENTIDAD.
6.- Sistema de Gestión de la Información: plataforma tecnológica integrada en el Sistema
Interno de Información, cuya finalidad es la llevanza, registro y conservación de las actuaciones
que tengan lugar como consecuencia de la presentación una información a la que sea aplicable
la Ley 2/2023.

5. DERECHOS Y GARANTÍAS DE LAS PERSONAS INFORMANTES

A las personas informantes se les garantizará el efectivo ejercicio de los siguientes derechos, sin
perjuicio de cualesquiera otros que les reconozca la Constitución y las leyes:
a. A presentar informaciones de modo anónimo y a que se mantenga el anonimato durante
el procedimiento.
b. A formular la comunicación verbalmente o por escrito. En el caso de presentación de la
comunicación de forma verbal, se ofrecerá a la persona informante la oportunidad de
comprobar, rectificar y aceptar mediante su firma la transcripción del mensaje.
c. A indicar un domicilio, correo electrónico o lugar seguro donde recibir las comunicaciones
que realice el Responsable del Sistema.
d. A comparecer ante el Responsable del Sistema o el gestor delegado por iniciativa propia.
e. A la renuncia de comunicarse con el Responsable del sistema o el gestor delegado que
instruya el procedimiento y, en su caso, a la revocación de dicha renuncia en cualquier
momento.
f. A la preservación de su identidad. La identidad del informante no podrá revelarse sin su
consentimiento expreso a ninguna persona que no sea competente para recibir y
gestionar las denuncias, con las excepciones que establece el derecho de la Unión
Europea o la normativa española en el contexto de investigaciones llevadas a cabo por
las autoridades o en el transcurso de procesos judiciales.
g. A la protección de sus datos personales.
h. A conocer la identidad del gestor delegado que instruya el procedimiento.
i. A la confidencialidad de las comunicaciones.
j. A las medidas de protección y apoyo en los términos previstos en la Ley 2/2023.
k. A presentar reclamación ante la Autoridad Independiente de Protección del Informante.
l. A no ser objeto de represalias, aun cuando del resultado de las investigaciones se
verificará que no ha existido incumplimiento de la normativa aplicable o del Código Ético
de LA ENTIDAD, siempre que no haya obrado de mala fe.

6. OBLIGACIONES DE LAS PERSONAS INFORMANTES

Las personas informantes, por lo que respecta a la presentación de sus comunicaciones a través
del Canal interno de información, estarán sujetas a las siguientes obligaciones:
a. Tener indicios razonables o suficientes sobre la certeza de la información que
comuniquen, no pudiendo formularse comunicaciones genéricas, de mala fe o con abuso
de derecho, en cuyo supuesto podrían incurrir en responsabilidad civil, penal o
administrativa
b. Describir de la manera más detallada posible los hechos o conductas que comuniquen,
proporcionando toda la documentación disponible sobre la situación descrita o indicios
objetivos para obtener las pruebas.
c. Abstraerse de formular comunicaciones con una finalidad diferente de la prevista por el
Canal o que vulneren los derechos fundamentales al honor, la imagen y la intimidad
personal y familiar de terceras personas o que sean contrarias a la dignidad de la persona.

7. DERECHOS DE LOS TERCEROS

A las personas consideradas como terceros en el procedimiento se les reconocerán los siguientes
derechos, sin perjuicio de la posibilidad de extender a éstos, en la medida de lo posible, las
medidas de apoyo y protección del informante previstas en la Ley 2/2023.
a. A indicar un domicilio, correo electrónico o lugar seguro donde recibir las comunicaciones
que realice al responsable del Sistema.
b. A comparecer ante el Responsable del Sistema o el gestor delegado por iniciativa propia.
c. A la preservación de su identidad. La identidad del tercero no podrá revelarse sin su
consentimiento expreso a ninguna persona que no sea competente para recibir y
gestionar las denuncias, con las excepciones que establece el derecho de la Unión
Europea o la normativa española en el contexto de investigaciones llevadas a cabo por
las autoridades o en el transcurso de procesos judiciales.
d. A la protección de sus datos personales.
e. A la confidencialidad de las comunicaciones.
f. A no ser objeto de represalias.

8. DERECHOS DE LAS PERSONAS AFECTADAS

Las personas afectadas tendrán los derechos reconocidos por la Constitución y las leyes, por
cuyo cumplimiento tendrá la obligación de velar el Responsable del Sistema. En especial, tendrán
los siguientes derechos:
a. A ser informadas, a la mayor brevedad posible, de la información que les afecta.
b. Al honor y a la intimidad
c. A la presunción de inocencia y a usar todos los medios válidos en derecho para su
defensa.
d. A ser asistidas por un abogado.
e. Al acceso a las actuaciones que se siguen contra ellas, sin perjuicio de las limitaciones
temporales que se puedan adoptar para garantizar el resultado de las actuaciones.
f. A conocer la identidad del gestor delegado que instruya el procedimiento.
g. A la preservación de su identidad, frente a cualquier persona ajena al Responsable del
Sistema.
h. A la protección de sus datos personales
i. A la confidencialidad de las comunicaciones

9. RESPONSABLE DEL SISTEMA INTERNO DE INFORMACIÓN

1- El/la Responsable del Sistema es la persona u órgano colegiado al que hace referencia el
artículo 8 de la Ley 2/2023, que serán designados por la Dirección.
2- El/la Responsable del Sistema, en el ejercicio de sus competencias, no pueden recibir
instrucciones de ninguna otra área de LA ENTIDAD, ni pueden ser removidos de sus puestos
por cuestiones relacionadas con su participación en el Sistema Interno de Información.
Asimismo, son independientes en el ejercicio de sus funciones y no están sometidos a
jerarquía dentro de dicho órgano colegiado.

10. ACCESO A LOS DATOS PERSONALES EN EL SISTEMA INTERNO DE INFORMACIÓN

El acceso a los datos personales en el Sistema Interno de Información por parte del personal de
LA ENTIDAD quedará limitado, dentro del ámbito de sus competencias y funciones y con
independencia de las responsabilidades profesionales de las personas que finalmente formen
parte del órgano colegiado Responsable del Sistema a:
a) El Responsable del Sistema o en quien éste delegue.
b) El responsable de Gestión de Personas, cuando pudiera proceder la adopción de medidas
disciplinarias contra un trabajador de LA ENTIDAD.
c) El responsable del Gabinete Jurídico, si procediera la adopción de medidas legales en
relación con los hechos relatados en la comunicación.
d) Los encargados del tratamiento que eventualmente se designen.
e) El Delegado de Protección de Datos de LA ENTIDAD.
Será lícito el tratamiento de los datos por otras personas, o incluso su comunicación a terceros,
cuando resulte necesario para la adopción de medidas correctoras en LA ENTIDAD o la
tramitación de los procedimientos sancionadores o penales que, en su caso, procedan.

11. PLAZOS DEL PROCEDIMIENTO

1. El plazo para resolver las actuaciones de investigación a las que da lugar el procedimiento de
gestión de informaciones no puede ser superior a 3 meses, salvo supuestos de especial
complejidad en cuyo caso podrá, motivadamente, acordarse la ampliación de dicho plazo
por el Responsable del Sistema hasta un máximo de otros tres meses adicionales.
2. El cómputo del plazo al que se refiere el apartado anterior se inicia desde la recepción de la
comunicación por parte del Responsable del Sistema o, si no se remite un acuse de recibo al
informante, desde el vencimiento del plazo de siete días después de haberse recibido la
comunicación.
Los plazos expresados en meses se computarán de fecha a fecha.
3. Los plazos en días a los que se hace referencia en la presente norma se considerarán hábiles,
salvo que expresamente se indique que son naturales.
Del cómputo del plazo en días hábiles se excluyen los sábados, los domingos y los declarados
festivos.

12. PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

1. Los tratamientos de datos personales que se deriven de la tramitación del presente
procedimiento de gestión de informaciones se realizarán de conformidad con lo dispuesto
en el Titulo VI de la Ley 2/2023.
2. El Sistema interno de información debe impedir el acceso no autorizado y preservar la
identidad y garantizar la confidencialidad de los datos correspondientes a las personas
afectadas y a cualquier tercero que se mencione en la información suministrada,
especialmente la identidad de la persona informante en caso de que se hubiera identificado.
La identidad de las personas informantes solo podrá ser comunicada a la Autoridad judicial,
al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una
investigación penal, disciplinaria o sancionadora, y estos casos estarán sujetos a las
salvaguardas establecidas en la normativa aplicable.
3. Si la información recibida contuviera categorías especiales de datos, se procederá a su
inmediata supresión, salvo que el tratamiento sea necesario por razones de un interés
público esencial conforme a lo previsto en el artículo 9.2. g) del Reglamento general de
protección de datos, según dispone el artículo 30.5 de la Ley 2/2023.
4. No se recopilarán datos personales cuya pertinencia no resulte manifiesta para tratar una
información específica o, si se recopilan por accidente, se eliminarán sin dilación indebida.
5. En todo caso, transcurridos 3 meses desde la recepción de la comunicación sin que se
hubiesen iniciado actuaciones de investigación, deberá procederse a su supresión, salvo que
la finalidad de la conservación sea dejar evidencia del funcionamiento del sistema.
Las comunicaciones a las que no se haya dado curso solamente podrán constar de forma
anonimizada, sin que sea de aplicación la obligación de bloqueo prevista en el artículo 32 de
la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales.

13. PROCEDIMIENTO

➢ Fase de recepción de la información
La información sobre la comisión de infracciones a las que se refiere el artículo 2.1 de la Ley
2/2023, así como cualquier otra derivada de la tramitación del presente procedimiento se
comunicará por escrito o verbalmente a través del medio electrónico establecido al efecto en el
canal interno de información habilitado en la página web de LA ENTIDAD.
A solicitud del informante, también podrá presentarse mediante una reunión presencial dentro
del plazo máximo de siete días.
Las comunicaciones verbales, incluidas las realizadas a través de reunión presencial,
telefónicamente o mediante sistema de mensajería de voz, deberán documentarse de alguna de
las maneras siguientes, previo consentimiento del informante:
a) mediante una grabación de la conversación en un formato seguro, duradero y accesible,
o
b) a través de una transcripción completa y exacta de la conversación realizada por el
personal responsable de tratarla.
Sin perjuicio de los derechos que le corresponden, de acuerdo con la normativa sobre protección
de datos personales, se ofrecerá al informante la oportunidad de comprobar, rectificar y aceptar
mediante su firma la transcripción de la conversación.
En todo caso, la comunicación deberá contener al menos la siguiente información:
• Identificación de la persona informante, salvo que éste opte por presentar la información
de modo anónimo.
• Descripción de los hechos y en su caso, determinación de la norma afectada.
• Identificación de la persona o personas afectadas.
• Identificación, en su caso, de terceros que puedan aportar información relevante.
• Si se ejerce el derecho a renunciar a comunicarse con el Responsable del Sistema
La persona informante podrá indicar un domicilio, correo electrónico, o lugar seguro a efectos
de recibir las comunicaciones.
Recibida la comunicación, en un plazo de siete días naturales siguientes a su recepción, se
procederá a acusar recibo y a comunicar la justificación al informante, salvo que no se haya
aportado ninguna vía de contacto o ejerza el derecho de renunciar a comunicarse con el
Responsable del Sistema o el gestor delegado que instruya el procedimiento.

➢ Fase de admisión
Registrada la comunicación, el/la Responsable del Sistema deberá comprobar si aquella expone
hechos o conductas que se encuentran dentro del ámbito subjetivo de aplicación previsto en el
artículo 3 de la Ley 2/2023 y, en un plazo de diez días hábiles desde la fecha de entrada de la
información en el registro podrá:
a) Inadmitir la comunicación, en alguno de los siguientes casos:
• Cuando los hechos relatados carezcan de toda verosimilitud
• Cuando los hechos relatados no sean constitutivos de infracción del ordenamiento
jurídico en el ámbito de aplicación de la Ley 2/2023.
• Cuando la comunicación carezca de fundamento o existan indicios racionales de
haberse obtenido mediante la comisión de un delito. En este último caso, además de
la inadmisión, se remitirá al Ministerio Fiscal relación circunstanciada de los hechos
que se estimen constitutivos de delito.
• Cuando la comunicación no contenga información nueva y significativa sobre
infracciones en comparación con una comunicación anterior respecto de la cual
hubieran concluido los correspondientes procedimientos, a menos que se den nuevas
circunstancias que justifiquen un seguimiento distinto.
• La inadmisión se comunicará al informante dentro de los cinco días hábiles siguientes,
salvo que la comunicación fuera anónima o el informante hubiera renunciado a
recibir comunicaciones.
b) Admitir a trámite la comunicación. La admisión a trámite se comunicará al informante
dentro de los cinco días hábiles siguientes, salvo que la comunicación fuera anónima o el
informante hubiera renunciado a recibir comunicaciones.
c) Remitir con carácter inmediato la información al Ministerio Fiscal cuando los hechos
pudieran ser indiciariamente constitutivos de delito o a la Fiscalía Europea en el caso de
que los hechos afecten a los intereses financieros de la Unión Europea.
d) Remitir la comunicación a la autoridad, entidad u organismo que se considere
competente para su tramitación.

➢ Fase de instrucción
La instrucción comprenderá todas aquellas actuaciones encaminadas a comprobar la
verosimilitud de los hechos relatados.
El/la gestor/a delegado/a que designe el Responsable del Sistema se considerará instructor del
procedimiento.
En el plazo máximo de 15 días desde la resolución de admisión, se dará conocimiento a la
persona afectada de la existencia de las actuaciones y de los hechos relatados de manera sucinta,
salvo que dicha comunicación pueda facilitar la ocultación, destrucción y alteración de pruebas,
en cuyo caso, el gestor delegado, de forma motivada, podrá modificar dicho plazo hasta que
desaparezcan dichas circunstancias.
En ningún caso se comunicará a los sujetos afectados la identidad de la persona informante ni
se dará acceso a la comunicación.
A fin de garantizar el derecho de defensa de la persona afectada, la misma tendrá acceso al
expediente sin revelar información que pudiera identificar a la persona informante, pudiendo
ser oída en cualquier momento, y se le advertirá de la posibilidad de comparecer asistida de
abogado.
La persona afectada tiene el deber de mantener la confidencialidad de la información a la que
tenga conocimiento como consecuencia del acceso al expediente, quedando prohibida cualquier
actuación tendente a identificar al informante o terceros, sin perjuicio de las obligaciones que
se derivan del cumplimiento de la normativa sobre protección de datos personales.

➢ Fase de finalización
Concluidas las actuaciones, el Responsable del Sistema emitirá un informe que se trasladará al/a
la directora/a Gerente de LA ENTIDAD y que contendrá al menos:
a) Una exposición de los hechos relatados junto con el número de expediente, la fecha de
registro y la del acuerdo de admisión.
b) Las actuaciones realizadas con el fin de comprobar la verosimilitud de los hechos que
recogerá, al menos y de manera sucinta, las alegaciones formuladas por la persona
afectada, incluida la entrevista en su caso, la documentación aportada por éste o
recabada por el Responsable del Sistema a través de terceros y cuantas otras
informaciones en las que se base la resolución adoptada.
c) Las conclusiones alcanzadas en la instrucción y la valoración de las diligencias y de los
indicios que las sustentan.
d) Las decisiones adoptadas.
Así mismo el informe se notificará a la persona informante, en la medida en que esté
identificada/o, y no haya hecho uso del derecho de renuncia, a comunicarse con el Responsable
del Sistema y la persona afectada.
El plazo para finalizar las actuaciones y dar respuesta a la persona informante, en su caso, no
podrá ser superior a tres meses desde la entrada en registro del sistema de gestión de la
información, sin perjuicio de la ampliación del plazo prevista en el artículo 9 de la Ley 2/2023.