0.- Leyes aplicables y definición de sujetos intervinientes
0.1.- Legislación aplicable.
- Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
- Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
0.2.- Definición de sujetos intervinientes.
- Persona denunciante: Es la persona que pone en conocimiento de la empresa u órgano de la administración competente, la comisión de irregularidades o infracciones en las que haya podido incurrir la empresa o una tercera persona vinculada a ella.
- Persona denunciada: Es la persona que presta servicios para la empresa o está estrechamente vinculada a ella y a la que se le acusa por la comisión de una presunta irregularidad o infracción de las normas de la empresa o legislación vigente.
- Responsable de Cumplimiento Interno (en adelante RCI): Es el sujeto que formará parte del personal de la empresa y que se encargará de llevar a cabo las tareas de recepción de la denuncia, entrega de acuse de recibo, investigación de los hechos previamente denunciados y comunicación a las partes involucradas.
- Órgano de Cumplimiento Interno (en adelante OCI): Será el órgano colegiado del cual formará parte el RCI, y que será el encargado de estudiar la investigación del expediente y dictaminar si ha existido o no infracción.
- Comité de Dirección: Es el conjunto de directores de DERMOFARM que representan cada una de las áreas / departamentos de la empresa y los cuales conocerán los dictámenes emitidos por el OCI y decidirán la sanción a aplicar en cada caso.
- Canal de Denuncias Interno (CDI): Es el canal mediante el cual cualquier trabajador de la empresa o tercero vinculada a ella podrá interponer una denuncia en caso de ser conocedor de alguna irregularidad o infracción en las materias que más adelante se desarrollaran.
1.- Objeto y finalidad del Canal de Denuncias.
El objeto del presente Canal (en adelante CDI) versa sobre la necesidad de la empresa de establecer una vía de comunicación interna a través de la cual pueda recibir y gestionar las denuncias (o comunicaciones) hechas por los miembros de la propia empresa o por terceras personas vinculadas a ella, sobre posibles conductas irregulares o ilícitas de las que puedan haber sido testigos o tengan conocimiento y que sean contrarias a las normas de la empresa o a la legislación vigente.
La finalidad del CDI es potenciar el fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público
2.- Ámbito material de aplicación.
Dichas conductas irregulares o ilícitas podrán ser comunicadas únicamente por personas físicas y solamente cuando las mismas se encuentren incluidas dentro de alguno de los siguientes supuestos:
- Cualesquiera acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea siempre que:
- Entren dentro del ámbito de aplicación de los actos de la Unión Europea enumerados en el anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, con independencia de la calificación que de las mismas realice el ordenamiento jurídico interno.
- Afecten a los intereses financieros de la Unión Europea tal y como se contemplan en el artículo 325 del Tratado de Funcionamiento de la Unión Europea (TFUE).
- Incidan en el mercado interior, tal y como se contempla en el artículo 26, apartado 2 del TFUE, incluidas las infracciones de las normas de la Unión Europea en materia de competencia y ayudas otorgadas por los Estados, así como las infracciones relativas al mercado interior en relación con los actos que infrinjan las normas del impuesto sobre sociedades o con prácticas cuya finalidad sea obtener una ventaja fiscal que desvirtúe el objeto o la finalidad de la legislación aplicable al impuesto sobre sociedades.
- Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. En todo caso, se entenderán comprendidas todas aquellas infracciones penales o administrativas graves o muy graves que impliquen quebranto económico para la Hacienda Pública y para la Seguridad Social.
- Esta protección no excluirá la aplicación de las normas relativas al proceso penal, incluyendo las diligencias de investigación.
- La protección prevista en esta ley para las personas trabajadoras que informen sobre infracciones del Derecho laboral en materia de seguridad y salud en el trabajo se entiende sin perjuicio de la establecida en su normativa específica.
- La protección prevista en esta ley no se aplicará a las informaciones que afecten a la información clasificada. Tampoco afectará a las obligaciones que resultan de la protección del secreto profesional de los profesionales de la medicina y de la abogacía, del deber de confidencialidad de las Fuerzas y Cuerpos de Seguridad en el ámbito de sus actuaciones, así como del secreto de las deliberaciones judiciales.
- No se aplicarán las previsiones de esta ley a las informaciones relativas a infracciones en la tramitación de procedimientos de contratación que contengan información clasificada o que hayan sido declarados secretos o reservados, o aquellos cuya ejecución deba ir acompañada de medidas de seguridad especiales conforme a la legislación vigente, o en los que lo exija la protección de intereses esenciales para la seguridad del Estado.
- En el supuesto de información o revelación pública de alguna de las infracciones a las que se refiere la parte II del anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, resultará de aplicación la normativa específica sobre comunicación de infracciones en dichas materias.
- También tiene como finalidad el fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público.
3.- Ámbito personal de aplicación.
El CDI, será el medio a través del cual cualquier miembro de la empresa o terceras personas vinculadas a ella, podrán informar sobre aquellos sucesos relativos a riesgos materializados, hechos sobre los que recaen sospechas de comisión de delito, o hechos que supongan una conducta irregular o mala Praxis; todo ello con el fin de cumplir con una correcta gestión empresarial.
Será de aplicación para todas las personas trabajadoras, miembros del órgano de administración o cualquier tercero interesado persona física que mantenga una relación mercantil con DERMOFARM que, actuando de buena fe, quiera comunicar las posibles conductas irregulares o ilícitas de las que puedan haber sido testigos o tengan conocimiento y que sean contrarias a las normas de la empresa, tanto internas como externas.
La presente ley se aplicará a los informantes que comuniquen o revelen públicamente información sobre infracciones obtenidas en el marco de una relación laboral o estatutaria ya finalizada, voluntarios, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el proceso de selección o de negociación precontractual.
También se aplicarán, en su caso, específicamente a los representantes legales de las personas trabajadoras en el ejercicio de sus funciones de asesoramiento y apoyo al informante.
4.- Confidencialidad y protección de los datos de carácter personal.
4.1. Deber de confidencialidad y protección al denunciante.
DERMOFARM se compromete a garantizar por todos los medios posibles la máxima confidencialidad sobre los datos e información que recabe en el marco de una denuncia por parte de una persona física (incluidos aquellos que se obtengan durante la fase de investigación) y, en especial, y entre otras cuestiones, sobre la identidad de la persona denunciante.
Todos los sujetos implicados en la tramitación de la denuncia asegurarán la máxima confidencialidad, sin perjuicio de las obligaciones legales y de la protección de las personas acusadas injustamente o de mala fe.
El presente canal de denuncias sustenta su funcionamiento sobre los siguientes principios:
- Integración en los procedimientos de la empresa
- Sencillez para el comunicante
- Diversidad de vías de acceso: correo postal, correo electrónico, presencialmente o vía telefónica
- Divulgación máxima de su existencia
- Fiabilidad de la información
- Confidencialidad
Todo trabajador que utilice el CDI para denunciar eventuales irregularidades ya sea de forma anónima o dando a conocer su identidad, tendrá derecho a ser protegido.
El CDI ha sido diseñado para que el denunciante que desee mantenerse en el anonimato pueda hacerlo con las garantías suficientes. En este sentido, si el denunciante opta libremente por no ocultar su identidad, el informe de resolución de la denuncia procurará no hacer referencia a la identidad del denunciante ni de las partes implicadas, en aras a garantizar la debida confidencialidad.
Cualquier acción contra el empleado denunciante que pueda entenderse como amenaza, discriminación o represalia por efectuar una denuncia tendrá, en su caso, la consideración de infracción laboral en los términos establecidos en la legislación vigente que resulte de aplicación.
4.2. Protección de datos de carácter personal.
La identidad y datos de contacto de la persona física que formule la comunicación, así como los hechos y documentos que comunique sobre la posible actuación irregular a través del CDI, tendrá siempre la consideración de información confidencial y, por lo tanto, no serán comunicadas sin su consentimiento al denunciado/a y/o terceros, conforme a lo dispuesto en el art. 31.1 de la Ley 2/2023 de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
No se recopilarán datos personales cuya pertinencia no resulte manifiesta para tratar una información específica o, si se recopilan por accidente, se eliminarán sin dilación indebida.
A los informantes y a quienes lleven a cabo una revelación pública se les informará, además, de forma expresa, de que su identidad será en todo caso reservada, que no se comunicará a las personas a las que se refieren los hechos relatados ni a terceros. La persona a la que se refieran los hechos relatados no será en ningún caso informada de la identidad del informante o de quien haya llevado a cabo la revelación pública.
Los datos de quien formule la comunicación, de las personas trabajadoras y/o terceros involucrados, deberán conservarse en el sistema de denuncias únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar o no una investigación sobre los hechos denunciados. El tratamiento de datos está legitimado por el art. 6.1 c) del RGPD y el artículo 8.1 de la LGPDGDD.
En todo caso, transcurridos tres meses desde la recepción de la comunicación sin que se hubiesen iniciado actuaciones de investigación, deberá procederse a su supresión, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del sistema. Las comunicaciones a las que no se haya dado curso solamente podrán constar de forma anonimizada, sin que sea de aplicación la obligación de bloqueo prevista en el artículo 32 de la LOPDGDD.
En caso de que los hechos sí resulten probados o con indicios suficientes, los datos se conservarán en tanto sea necesario para el ejercicio por parte de la entidad de sus derechos ante los tribunales de justicia, y cuando ya no sea necesario para ello, se suprimirán con medidas de seguridad adecuadas para garantizar la anonimidad de los datos o la destrucción total de los mismos.
Las denuncias a las que no se haya dado curso solamente podrán constar de forma anonimizada. Aquellas denuncias que se hayan efectuado de forma anónima serán identificadas por una referencia interna para poder ser incorporadas al sistema de denuncias.
Por otra parte, la realización de una comunicación o denuncia no implica más que un mecanismo de inicio de una actividad instructora o indagatoria por parte del RCI encargado del CDI, en aras a averiguar cuanta información pudiera recabar para verificar los hechos comunicados/denunciados, siendo que de ese modo resulta importante, por no decir imprescindible, que tanto para el comunicante como para el RCI sea posible ponerse en contacto para ampliar o matizar las informaciones enviadas o recibidas, en función de las necesidades de la investigación realizada.
El CDI es gestionado internamente, por lo que las denuncias serán recibidas, investigadas y resueltas en primera instancia por el RCI con apoyo del OCI, no obstante, en cualquier momento podrá externalizarse su gestión en un tercero que será el que realice las tareas de investigación.
De acuerdo con el artículo 32 de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, exclusivamente podrán acceder a las denuncias:
- El RCI y quien lo gestione directamente.
- El director de Recursos humanos o el órgano competente debidamente designado, solo cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador. En el caso de los empleados públicos, el órgano competente para la tramitación del mismo.
- El Responsable de los Servicios Jurídicos de la entidad u organismo, si procediera la adopción de medidas legales en relación con los hechos relatados en la comunicación.
- Los Encargados del Tratamiento que eventualmente se designen.
- El Delegado de Protección de Datos.
Todas las denuncias que se reciban serán investigadas adecuadamente y resueltas por el OCI. La persona que ha realizado la denuncia deberá ser informada posteriormente sobre el resultado de la investigación y sobre la resolución adoptada al respecto.
En todos los casos, la decisión sobre la resolución de la denuncia y sobre las medidas a adoptar, siempre deberá tomarse por el OCI en mayoría de voto.
Toda denuncia o comunicación recibida con trascendencia penal, implicará necesariamente el inicio de un expediente por parte del OCI.
Este sistema de denuncias internas está regulado a nivel nacional en la actual LOPDGDD, y a nivel europeo por la Directiva 1937/2019 relativa a la Protección de las Personas que informen sobre infracciones del Derecho de la Unión.
En concreto el Artículo 24 de la LOPDGDD establece, tras su modificación por la citada Ley 2/2023: Serán lícitos los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas.
Dichos tratamientos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en esta ley orgánica y en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
5.- ÓRGANO DE CUMPLIMIENTO INTERNO (OCI)
5.1. Funciones del OCI:
- Velar por el debido cumplimiento del modelo de prevención establecido, realizando las periódicas actualizaciones que puedan resultar necesarias.
- Las labores de instrucción y gestión del canal de denuncias, intentando mantener en la medida de lo posible, el carácter colegiado del mismo.
5.2. Composición:
El Órgano de Instrucción tiene carácter colegiado estando representado por:
- Un Responsable de Cumplimiento Interno (RCI).
- Un Asesor Jurídico Externo.
- El director de Recursos Humanos.
Siendo asistido por las personas de la organización que así se decidan en cada momento según la naturaleza del caso.
El Órgano de Instrucción tendrá encomendadas como mínimo las siguientes funciones:
- Gestión del canal de denuncias
- Recepción de denuncias
- Clasificación de denuncias
- Gestión de las denuncias recibidas
- Instrucción de la denuncia
- Redacción de informe, cuando proceda, dirigido al OCI
Para facilitar las tareas, tanto de clasificación como de instrucción, cada denuncia tendrá asignada un código de identificación que se facilitará a la persona que la presentó, de forma que permita al acceso a dicho expediente y la comunicación entre el OCI y el denunciante, en caso de requerir nuevas comunicaciones entre las partes.
6. Operativa del Canal de Denuncias.
6.1. Acceso y Recepción del Canal de Denuncias.
Las denuncias podrán comunicarse a través de las siguientes vías:
- Formulario puesto a disposición de los usuarios que accedan al portal web de Dermofarm https://www.dermofarm.com/ en el apartado – Sostenibilidad e Innovación – y dentro del subapartado – Canal de Denuncias y Comunicaciones.
- Mediante reunión presencial en las instalaciones de la empresa con el RCI perteneciente al departamento de Recursos Humanos.
- Mediante Correo Postal al domicilio social de la empresa.
- Vía telefónica al teléfono fijo de DERMOFARM comunicándose directamente en la extensión 2154.
Cualquier denuncia que sea enviada por una persona física deberá contener los datos necesarios para poder llevar a cabo el análisis de los hechos denunciados. Así cualquier formulario deberá contener lo siguiente:
- Exposición detallada de los hechos objeto de la denuncia, concretando en la medida de lo posible la vulneración de la conducta.
- Identificación del departamento en el que haya tenido lugar.
- Identificación de las personas que están involucradas con el comportamiento denunciado o que tengan conocimiento de los hechos acaecidos.
- Fecha y hora aproximada en el que ocurrieron los hechos objeto de denuncia.
- Aportación de pruebas tanto escritas como digitales (si existen las mismas) que puedan facilitar la actividad inspectora.
Todas las denuncias serán recibidas por el RCI y será éste con el apoyo del OCI quién se encargue de efectuar un análisis preliminar de los hechos denunciados y de decidir sobre la admisión a trámite de la denuncia.
Para garantizar la confidencialidad del denunciante y posibles implicados, una vez recibida la denuncia se generará automáticamente un código de identificación y será incorporado a la base de datos del CDI. Dicha base de datos se irá actualizando conforme vaya avanzando el procedimiento.
Al denunciante se le facilitará un justificante de la presentación y un registro de comunicación realizada en el canal en un plazo máximo de 7 días naturales a contar desde el día de la recepción, a efectos de acreditar el cumplimiento según lo dispuesto en el artículo 9 apartado c) de la ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
En el análisis preliminar, el OCI valorará los indicios de la infracción denunciada y, en consecuencia, decidirá sobre la conveniencia de iniciar o no una investigación. Esta primera fase finalizará con dos posibles decisiones (5.2 y 5.3), que habrán de constar por escrito en un informe justificativo sobre la procedencia de la decisión adoptada.
El plazo máximo para dar respuesta a las actuaciones de investigación no podrá ser superior a tres meses a contar desde la recepción de la comunicación o, si no se remitió un acuse de recibo al informante, a tres meses a partir del vencimiento del plazo de siete días después de efectuarse la comunicación, salvo casos de especial complejidad que requieran una ampliación del plazo, en cuyo caso, este podrá extenderse hasta un máximo de otros tres meses adicionales
6.2. Denegación de la admisión a trámite de la denuncia.
El OCI denegará la admisión a trámite de la denuncia formulada, mediante acuerdo de sus miembros, y se hará constar por escrito esta decisión y su correspondiente justificación
La denuncia podrá ser denegada cuando no exista suficiente información o ésta no sea clara hasta el punto de que impida llevar a cabo la investigación con garantías.
Cuando se dé la premisa anterior, el OCI deberá informar debidamente tanto a la persona denunciante como a la persona que ha sido objeto de denuncia, tanto de la recepción como de la no admisión a trámite de la denuncia.
6.3. Admisión a trámite de la denuncia.
Si realizado el análisis preliminar de la denuncia el OCI considera que los hechos denunciados se encuentran comprendidos en el ámbito objetivo del CDI, éste acordará su admisión a trámite, siempre que al menos uno de sus miembros estime que existen indicios suficientes para iniciar una investigación.
6.4. Inicio de la fase de investigación.
Una vez iniciado el expediente, el OCI designará a uno de sus miembros que preferentemente será el RCI, para que realice las oportunas investigaciones para comprobar la veracidad de los hechos denunciados.
Con carácter previo al inicio de las investigaciones, se deberá notificar a la persona denunciante del inicio de las investigaciones, así como deberá ser informada la persona denunciada sobre la apertura de la investigación y los hechos de los cuales se le acusa.
Dado el carácter confidencial de la denuncia interpuesta, es importante remarcar que la persona denunciada no tendrá acceso alguno a la identidad y datos de carácter personal de la persona denunciante.
El OCI podrá demorar la notificación del inicio de la fase de investigación hasta un máximo de tres meses a la persona denunciada, si de tal comunicación se pudiera prever un perjuicio tanto para la investigación en curso como para la persona denunciante.
6.5. Diligencias de la fase de investigación.
El RCI con carácter preferente, será la persona designada (salvo que se encuentre implicado en los hechos denunciados) para llevar a cabo las diligencias de averiguación necesarias para confirmar la veracidad realidad de las conductas denunciadas.
Si fuera necesario y siguiendo el principio de confidencialidad de las partes, podrá valerse de otros órganos o departamentos de la empresa para obtener información si fuera necesario.
A lo largo del proceso de investigación, se garantizará la presunción de inocencia a todas las personas afectadas.
6.6. Propuesta de Resolución.
Una vez el RCI haya concluido las tareas de investigación pertinentes, éste elaborará un informe previo con las conclusiones a las cuales haya llegado.
Posteriormente será el OCI quién mediante el voto favorable de la mayoría de sus integrantes, formulará por escrito una propuesta de resolución.
En dicha resolución pondrán darse dos situaciones:
- Archivo del expediente: Si se determina que no ha quedado acreditada la comisión de ninguna irregularidad, acto contrario a las normas internas de la empresa o a la ley, se acordará el archivo del expediente de denuncia sin necesidad de adoptar ninguna medida.
En todo caso será necesaria la elaboración de una propuesta de resolución escrita y fundamentada sobre las causas que han llevado al archivo del expediente por parte del OCI. - Acreditación de la comisión de infracción: Si después de las diligencias de investigación llevadas a cabo por el RCI y el OCI se dictamina que ha existido un acto contrario a la ley o a las normas internas de la empresa, se trasladará dicha resolución junto con el informe de la investigación al Departamento de Recursos Humanos de la empresa para los efectos disciplinarios oportunos.
6.7. Ejecución de la sanción.
Una vez el OCI haya puesto en conocimiento del Departamento de Recursos Humanos de la empresa los hechos acaecidos juntamente con el informe de la investigación llevada a cabo por el RCI, ejecutará la sanción, no sin antes trasladar la decisión tomada tanto al Director General como al Comité de empresa para su debido conocimiento.
El órgano de Administración de la Empresa deberá remitir la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea.
7. Publicidad y comunicación al personal de DERMOFARM.
La empresa ha adoptado las siguientes medidas de difusión:
- Notificación a todos los/as Empleados/as de la existencia del Canal de Denuncias a través de una circular informativa remitida por correo electrónico y una nota informativa en los tablones de anuncio del comedor.
- Puesta a disposición de todos los/as Empleados/as, de la Política de Uso del Canal de Denuncias a través de la web de la empresa en el apartado – Sostenibilidad e Innovación – y dentro del subapartado – Canal de Denuncias y Comunicaciones –
- Comunicación y consenso de la Política de Uso del Canal de Denuncias con el Comité de Empresa.