3. COMUNICACIÓN DE IRREGULARIDADES

3.1. Identificación de una irregularidad

La persona que conozca la existencia de una conducta irregular, incumplimiento o vulneración de las Normas deberá reportarla inmediatamente. El canal de denuncias constituye el cauce preferente a través del cual efectuar estas comunicaciones, que deberán formularse por escrito, y serán recepcionadas de manera anónima por el responsable de la Unidad de Cumplimiento. Así mismo, el informante podrás solicitar una reunión presencial para comunicar la irregularidad. Esta solicitud deberá atenderse en el plazo máximo de siete días de acuerdo con lo que establezca la ley aplicable.
Si la comunicación no se cursa a través de los canales de denuncias integrados en el Sistema Interno de Información, y se utilizan otras vías de comunicación, el ISMC garantiza en todo caso la confidencialidad de la información, que será tratada en un entorno seguro atendiendo además a las previsiones de protección de datos personales legalmente exigibles.
Las comunicaciones verbales mediante reunión presencial deberán documentarse de alguna de las maneras siguientes:

a) Mediante una grabación de la conversación en un formato seguro, duradero y accesible, siempre que se advierta previamente al informante de que su comunicación será grabada, se le informe del tratamiento de sus datos conforme a la Ley aplicable y se recabe su consentimiento, o
b) A través de una transcripción completa y exacta de la conversación realizada por el personal responsable de tratarla, en cuyo caso, se le trasladará al informante para comprobar, rectificar y aceptar mediante su firma la transcripción del mensaje.
El intercambio de información entre la unidad de cumplimiento normativo y la dirección general se realizará siempre en un entorno de confidencialidad, y tendrá como objetivo la adecuada coordinación y el mejor desempeño en cumplimiento de lo establecido en este procedimiento.

Así mismo, la persona que conozca la existencia de una conducta irregular, incumplimiento o vulneración de las normas, también podrá informar a las autoridades competentes y si fuera el caso a las instituciones, órganos u organismos de la Unión Europea. El informante podrá también acudir a los Cuerpos y Fuerzas de Seguridad del Estado o los Tribunales si considerase necesaria tal cuestión.

3.2. Comunicación y recepción de la comunicación.

La comunicación debe ser lo más descriptiva y detallada posible, facilitando de esta forma al receptor la identificación de la conducta potencialmente irregular y de la/las persona/s o departamento/s implicados. Todo aquel que formule una denuncia deberá hacerlo según un principio irrenunciable de buena fe, con razones suficientes y pruebas objetivas que demuestren la existencia del incumplimiento.
En cualquier caso, dada la posibilidad del anonimato en el canal de denuncias, las denuncias contendrán todos los datos que permitan analizar los hechos y en la medida de lo posible la siguiente información:

−  Exposición clara y detallada de los hechos.
− Identificación de la Sociedad o Unidad de Negocio en la que hayan tenido lugar.
− Identificación de las personas involucradas con el comportamiento denunciado o con conocimiento del mismo.
− Momento en el que ocurrió o ha estado ocurriendo el hecho.
− Cuantificación, siempre y cuando sea posible, del impacto del hecho denunciado.
− Aportar, si se considera necesario, documentos, archivos u otra información que se estime relevante para la evaluación y resolución de la denuncia.

Al hacer la comunicación, el informante podrá indicar un domicilio, correo electrónico o lugar seguro a efectos de recibir las notificaciones.
Salvo que ello pueda poner en peligro la confidencialidad de la comunicación, se procederá a remitir acuse de recibo de la denuncia en un plazo máximo de diez días a partir de su recepción.

Se podrá mantener la comunicación con el informante y si fuera necesario se le podrá solicitar información adicional que pueda ser de utilidad para la tramitación de la denuncia, siempre en un entorno de seguridad y confidencialidad.

3.3. Recepción y clasificación de las denuncias

Las denuncias informadas a través del canal de denuncias son recibidas por la Unidad de Cumplimiento del ISMC, quien determinará en una primera fase si la información aportada constituye una irregularidad que debe ser investigada y los recursos, métodos y procedimientos adecuados para la investigación de cada denuncia teniendo en consideración la naturaleza y gravedad de la misma:
− Denuncias de ámbito laboral o de recursos humanos
− Denuncias de ámbito financiero o contable
− Denuncias referentes a otros ámbitos de regulación externa
− Otras denuncias o quejas.
La Unidad de Cumplimiento del ISMC, atendiendo siempre a la relevancia o riesgo de los hechos denunciados, podrá poner los mismos, de forma previa y extraordinaria, en conocimiento de la dirección general quienes valoraran la adopción de actuaciones de carácter previo, antes de la resolución de la denuncia presentada, sin perjuicio de ponerlo en conocimiento de las autoridades oportunas, si se calificaran indiciariamente como constitutivos de delito. Informándose de manera inmediata al Ministerio Fiscal o ala Fiscalía Europea si los hechos afectasen a intereses europeos de la Unión.
Las decisiones adoptadas por la Unidad de Cumplimiento del ISMC en esta fase deberán quedar convenientemente documentadas.

3.4. Comunicación al informante.

Si la denuncia constituye una irregularidad que indiciariamente no suponga un ilícito penal, la Unidad de Cumplimiento tras el análisis de la información aportada, contactará con el informante que haya facilitado una vía de contacto, si se requiriera información adicional y, en un plazo razonable que no será superior a 3 MESES desde que se notificó el acuse de recibo, que podrá ampliarse a 6 MESES en casos de especial complejidad, desde la recepción de la comunicación.
En el caso de denuncias que no constituyan irregularidades, sino que puedan considerarse otro tipo de quejas o solicitud de información, la Unidad de Cumplimiento referirá las mismas a la unidad, área o departamento correspondiente para que proceda a su análisis o gestión y en su caso, a notificar la respuesta.

3.5. Información al afectado.

En el momento y en la forma que la UC del ISMC considere adecuado para garantizar el buen fin de la investigación, y en coordinación en su caso, con la dirección general o terceros que apoyen el proceso de investigación, se informará convenientemente a la persona afectada sobre las acciones y omisiones que se le atribuyen.
La persona afectada tendrá también derecho a ser oída en cualquier momento durante la investigación de los hechos informados, y su declaración deberá documentarse formalmente
En ningún caso se revelará la identidad del informante.
El receptor de la denuncia y el que en su caso la tramite siempre respetará la presunción de inocencia del afectado, así como su derecho al honor.

3.6. Protección de datos de carácter personal.

En el plazo máximo de tres meses, desde la fecha de la comunicación, se deberá iniciar la investigación de las denuncias fundamentadas.
Los datos personales de las denuncias para las que no proceda su investigación, por no estar fundamentadas, deberán borrarse o anonimizarse transcurridos tres meses desde su recepción.
Los datos personales de las denuncias que no sean investigadas podrán mantenerse transcurrido este plazo siempre que la finalidad de la conservación sea dejar evidencia del funcionamiento del sistema.

El ISMC contará con un registro de las informaciones recibidas y de las investigaciones llevadas a cabo de acuerdo con lo establecido en la ley. Los datos personales se conservarán durante el periodo que sea necesario y proporcionado a efectos de cumplir con las previsiones legales.
En ningún caso podrán conservarse los datos por un período superior a diez años.

El tratamiento de los datos personales relativos a las informaciones recibidas y a las investigaciones que se realicen por el ISMC tendrán como objeto cumplir con las obligaciones legales y realizar las acciones de investigación que se estimen necesarias En ningún caso serán objeto de tratamiento los datos personales, incluidos los de categorías especiales, que no sean necesarios para el conocimiento e investigación de las denuncias, procediéndose, en su caso, a su inmediata supresión.

Las comunicaciones recibidas por otras vías diferentes al canal de denuncias, deberán eliminarse inmediatamente después de informar al responsable dela Unidad de Cumplimiento.
El acceso a los datos personales contenidos en el sistema de información quedará limitado, dentro del ámbito de sus competencias y funciones, exclusivamente a:

− El Responsable del Sistema y a quien lo gestione directamente.
− El responsable de recursos humanos o el órgano competente debidamente designado, solo cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador. En caso de no existir dichas figuras en el ISMC y ser prestados los servicios por terceros, serán aquellos los responsables del tratamiento de dichos datos.
− El responsable de los servicios jurídicos de la entidad u organismo, si procediera la adopción de medidas legales en relación con los hechos relatados en la comunicación.
− Los encargados del tratamiento que eventualmente se designen.
− El delegado de protección de datos.

No obstante, será lícito el tratamiento de los datos por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas correctoras en la entidad o la tramitación de los procedimientos sancionadores o penales que, en su caso, procedan. Si se acreditara que los datos personales facilitados en la comunicación no son veraces se procederá a su inmediata supresión desde el momento en que se tenga constancia de dicha circunstancia, salvo que dicha falta de veracidad pueda constituir un ilícito penal, en cuyo caso se guardará la información por el tiempo necesario durante el que se tramite el procedimiento judicial.
Los usuarios del canal de denuncias pueden ejercitar, siempre que resulten de aplicación, los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad respecto de sus datos personales en él recogidos mediante comunicación escrita al ISMC en su domicilio social, acreditando suficientemente su identidad, e identificándose como usuario del Canal de Denuncias.
Los trabajadores y colaboradores del ISMC, como sujetos pasivos de posibles denuncias, son informados de la existencia de este sistema de denuncias internas, a través de las respectivas políticas de privacidad para trabajadores y colaboradores.

3.7 Medidas de protección al informante

1. Actos constitutivos de represalias. Se prohíben expresamente los actos constitutivos de represalia, incluidas las amenazas de represalia y las tentativas de represalia contra las personas que presenten una comunicación conforme a lo previsto en la ley. Se entiende por represalia cualesquier acto u omisión que esté prohibido por la ley, o que, de forma directa o indirecta, suponga un trato desfavorable que sitúe a las personas que la sufren en desventaja particular con respecto a otra en el contexto laboral o profesional, solo por su condición de informantes, o por haber realizado una revelación pública.
   A los efectos de lo previsto en la Ley 2/2023, y a título enunciativo, se consideran represalias las que se adopten en forma de:
   a) Suspensión del contrato de trabajo, despido o extinción de la relación laboral o estatutaria, incluyendo la no renovación o la terminación anticipada de un contrato de trabajo temporal una vez superado el período de prueba, o terminación anticipada o anulación de contratos de bienes o servicios, imposición de cualquier medida disciplinaria, degradación o denegación de ascensos y cualquier otra modificación sustancial de las condiciones de trabajo y la no conversión de un contrato de trabajo temporal en uno indefinido, en caso de que el trabajador tuviera expectativas legítimas de que se le ofrecería un trabajo indefinido; salvo que estas medidas se llevaran a cabo dentro del ejercicio regular del poder de dirección al amparo de la legislación laboral o reguladora del estatuto del empleado público correspondiente, por circunstancias, hechos o infracciones acreditadas, y ajenas a la presentación de la comunicación.
   b) Intimidaciones, acoso u ostracismo.
   c) Evaluación o referencias negativas respecto al desempeño laboral o profesional.
   d) Inclusión en listas negras o difusión de información en un determinado ámbito sectorial, que dificulten o impidan el acceso al empleo o la contratación de obras o servicios.
   e) Denegación o anulación de una licencia o permiso.
   f) Denegación de formación.
   g) Discriminación, o trato desfavorable o injusto.
   Los actos administrativos que tengan por objeto impedir o dificultar la presentación de comunicaciones y revelaciones, así como los que constituyan represalia o causen discriminación tras la presentación de aquellas al amparo de la Ley 2/2023, serán nulos de pleno derecho y darán lugar, en su caso, a medidas correctoras disciplinarias o de responsabilidad, pudiendo incluir la correspondiente indemnización de daños y perjuicios al perjudicado
2. Medidas de protección del informante frente a represalias
   No se considerará que las personas que comuniquen información sobre las acciones u omisiones recogidas en el apartado TERCERO, o que hagan una revelación pública de conformidad con la Ley 2/2023, hayan infringido ninguna restricción de revelación de información y no incurrirán en responsabilidad de ningún tipo en relación con dicha comunicación o revelación pública, siempre que tuvieran motivos razonables para pensar que la comunicación o revelación pública de dicha información era necesaria para revelar una acción u omisión en virtud de dicha ley, todo ello sin perjuicio de lo dispuesto en las normas específicas de protección aplicables en el ámbito laboral. Esta medida no afectará a las responsabilidades de carácter penal.
   Lo previsto en el párrafo anterior se extiende a la comunicación de informaciones realizadas por los representantes de las personas trabajadoras si las hubiere, aunque se encuentren sometidas a obligaciones legales de sigilo o de no revelar información reservada. Todo ello sin perjuicio, igualmente, de las normas específicas de protección aplicables en el ámbito laboral.
   Las medidas de protección del informante también se aplicarán, en su caso, a:
   a) personas físicas que asistan al ISMC en el proceso.
   b) personas físicas que estén relacionadas con el informante y que puedan sufrir represalias, como compañeros de trabajo o familiares del informante.
   c) personas jurídicas, para las que trabaje o con las que mantenga cualquier otro tipo de relación en un contexto laboral o en las que ostente una participación significativa. A estos efectos, se entiende que la participación en el capital o en los derechos de voto correspondientes a acciones o participaciones es significativa cuando, por su proporción, permite a la persona que la posea tener capacidad de influencia en la persona jurídica participada.
   Los informantes no incurrirán en responsabilidad respecto de la adquisición o el acceso a la información que es comunicada o revelada públicamente, siempre que dicha adquisición o acceso no constituya un delito.
   Cualquier otra posible responsabilidad de los informantes derivada de actos u omisiones que no estén relacionados con la comunicación o la revelación pública, o que no sean necesarios para revelar una infracción en virtud de la Ley 2/2023 será exigible conforme a la normativa aplicable.
   En los procedimientos ante un órgano jurisdiccional u otra autoridad, relativos a los perjuicios sufridos por los informantes, una vez que el informante haya demostrado razonablemente que ha comunicado o ha hecho una revelación pública de conformidad con la Ley 2/2023 y que ha sufrido un perjuicio, se presumirá que el perjuicio se produjo como represalia por informar o por hacer una revelación pública. En tales casos, corresponderá a la persona que haya tomado la medida perjudicial probar que esa medida se basó en motivos debidamente justificados no vinculados a la comunicación o revelación pública.
   En los procesos judiciales, incluidos los relativos a difamación, violación de derechos de autor, vulneración de secreto, infracción de las normas de protección de datos, revelación de secretos empresariales, o a solicitudes de indemnización basadas en el derecho laboral o estatutario, los informantes no incurrirán en responsabilidad de ningún tipo como consecuencia de comunicaciones o de revelaciones públicas protegidas por la Ley 2/2023. Dichas personas tendrán derecho a alegar en su descargo y en el marco de los referidos procesos judiciales, el haber comunicado o haber hecho una revelación pública, siempre que tuvieran motivos razonables para pensar que la comunicación o revelación pública era necesaria para poner de manifiesto una infracción en virtud de la Ley 2/2023.