Cuando se habla de la obligación de disponer de un Canal de Denuncias es habitual asociarla inmediatamente con la cifra de los 50 trabajadores. Y, efectivamente, la Ley 2/2023, de 20 de febrero, establece con carácter general que las personas físicas o jurídicas del sector privado que tengan contratados 50 o más trabajadores deben disponer de un Sistema interno de información. Sin embargo, quedarse únicamente con esta regla puede conducir a una conclusión equivocada en determinados sectores.

Uno de esos casos es el de la distribución de seguros y reaseguros. En este sector existe una obligación específica anterior a la Ley 2/2023 que deriva del artículo 199 del Real Decreto-ley 3/2020, de 4 de febrero. Y aquí está una de las cuestiones que más dudas genera: ¿ Puede un distribuidor de seguros o una correduría con menos de 50 trabajadores estar obligado a disponer de un canal interno para comunicar infracciones ?

La respuesta, con carácter general dentro del ámbito de aplicación de la normativa sectorial, es un SÍ rotundo. Para entender el por qué, vamos a analizar conjuntamente el Real Decreto-ley 3/2020 y la Ley 2/2023, de forma concisa y lo más detallada posible.

1. El origen de la obligación: el artículo 199 del Real Decreto-ley 3/2020

El Real Decreto-ley 3/2020, de 4 de febrero, incorporó al ordenamiento jurídico español distintas directivas europeas y contiene, entre otras materias, la regulación relativa a la distribución de seguros y reaseguros. Dentro de esta regulación encontramos el artículo 199, denominado:

“Denuncia pública y remisión al régimen sancionador de las entidades aseguradoras”.

Su apartado primero establece una obligación especialmente relevante para el sector:

“Los distribuidores de seguros y reaseguros deberán disponer de procedimientos adecuados para que sus empleados puedan notificar infracciones a nivel interno a través de un canal independiente, específico y autónomo…”

La importancia de esta disposición resulta evidente. La norma no se limita a recomendar que las organizaciones establezcan mecanismos internos para detectar irregularidades.

Establece una obligación: Los distribuidores de seguros y reaseguros deben disponer de procedimientos que permitan a sus empleados comunicar internamente las infracciones mediante un canal que reúna las siguientes características esenciales:

En primer lugar debe ser independiente, específico y autónomo. Además, el artículo 199 incorpora otras dos garantías fundamentales. Por una parte, los procedimientos deben garantizar la confidencialidad tanto de quien informa como de las personas físicas presuntamente responsables de la infracción. Por otra, deben garantizar que los empleados que comuniquen infracciones estén protegidos frente a represalias, discriminaciones o cualquier otro trato injusto.

Por tanto, ya encontramos en la normativa sectorial aseguradora tres elementos que posteriormente tendrán un desarrollo mucho más amplio en la Ley 2/2023:

• existencia de un canal interno;
• confidencialidad;
• protección frente a represalias. 
  
  2. Una obligación sectorial que no depende únicamente del número de trabajadores

Este es probablemente el aspecto más importante desde un punto de vista práctico. La obligación establecida por el artículo 199 se refiere a los distribuidores de seguros y reaseguros y no establece en ese precepto un umbral mínimo de trabajadores para exigir el canal. Por ello, no resulta correcto analizar la obligación de una correduría o de otro distribuidor de seguros mirando exclusivamente su plantilla.

Antes debemos preguntarnos: ¿ Está la organización sometida a una normativa sectorial que le obliga a disponer de un sistema o canal interno de información con independencia de l tamaño de su plantilla ?. En el ámbito de la distribución de seguros, el artículo 199 resulta esencial para responder a esta cuestión. Esta diferencia es particularmente importante porque una parte significativa del tejido empresarial dedicado a la mediación y distribución de seguros en España está formado por organizaciones de dimensiones reducidas.

Por ejemplo, una correduría con 8, 12 o 20 trabajadores podría pensar inicialmente:

“La Ley 2/2023 obliga a partir de 50 empleados, nosotros tenemos menos, por lo tanto, no estamos obligados.”

Ese razonamiento no es correcto, y por ello hay que analizar también la normativa sectorial aplicable. Y precisamente la propia Ley 2/2023 confirma este planteamiento

3. ¿ Qué cambia con la aprobación de la Ley 2/2023 ?

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, supuso un cambio profundo en la regulación española de los llamados “Canales de Denuncias”. Esta norma transpone la Directiva (UE) 2019/1937 y crea un verdadero estatuto jurídico de protección del informante.

Pero la Ley 2/2023 va mucho más allá de exigir simplemente la instalación de un “buzón de denuncias”. La norma regula un Sistema interno de información. Y esta diferencia terminológica tiene una enorme importancia. El Canal de Denuncias es solamente una parte del sistema. La propia exposición y estructura de la Ley distinguen entre el Sistema interno de información, el canal utilizado para recibir las comunicaciones, el Responsable del Sistema y el procedimiento para gestionar las informaciones recibidas.

Canal de Denuncias ≠ Sistema Interno de Información (SII).

Una organización puede disponer técnicamente de una página web o un formulario para presentar denuncias y, sin embargo, no haber implantado correctamente el Sistema interno de información acorde a la ley.

4. La clave está en el artículo 10 de la Ley 2/2023

Para entender la conexión entre ambas normas debemos acudir al artículo 10 de la Ley 2/2023. Como regla general, su apartado 1.a) obliga a disponer de un Sistema interno de información a las personas físicas o jurídicas del sector privado que tengan contratados 50 o más trabajadores. Pero el artículo 10.1.b) incluye también a determinadas personas jurídicas del sector privado comprendidas en el ámbito de aplicación de actos de la Unión Europea relativos, entre otras materias, a: servicios, productos y mercados financieros. Para estas entidades la Ley establece que deberán disponer de un Sistema interno de información regulado por su normativa específica con independencia del número de trabajadores que tengan. Y añade una regla de coordinación jurídica especialmente importante: la Ley 2/2023 será aplicable en todo aquello que no esté regulado por esa normativa específica. Aquí es donde se produce la conexión entre el artículo 199 del Real Decreto-ley 3/2020 y la Ley 2/2023. No debemos entender ambas normas como dos obligaciones completamente independientes. Existe una relación de especialidad y complementariedad. En el ámbito correspondiente, la normativa sectorial establece la obligación específica y la Ley 2/2023 completa el régimen jurídico en aquello que no haya sido específicamente regulado.

5. ¿ Qué supone esto para una correduría o distribuidor de seguros ?

Supongamos una correduría de seguros con 15 trabajadores. Si analizáramos exclusivamente el artículo 10.1.a) de la Ley 2/2023, podríamos pensar que no alcanza el umbral general de 50 trabajadores. Sin embargo, debemos continuar el análisis. Si se encuentra dentro del ámbito subjetivo de la normativa específica sobre distribución de seguros, entra en juego el artículo 199 del Real Decreto-ley 3/2020. Y, además, el artículo 10.1.b) de la propia Ley 2/2023 contempla precisamente la situación de las entidades sometidas a determinada normativa sectorial, estableciendo la obligación con independencia del número de trabajadores.

Por tanto, el tamaño de la plantilla no puede utilizarse como único criterio para determinar la existencia de la obligación. Este punto resulta especialmente relevante para pequeñas corredurías, sociedades de agencia, operadores de banca-seguros y otras organizaciones comprendidas dentro del ámbito de la distribución de seguros

6. Ya no basta con habilitar un buzón de correo electrónico

Otra consecuencia importante de la Ley 2/2023 es la profesionalización del sistema. El cumplimiento normativo no consiste simplemente en crear un correo electrónico del tipo: denuncias@eurolopd.com y comunicar esa dirección a los trabajadores. La Ley 2/2023 exige mucho más.

El artículo 5 establece que el Sistema Interno de Información debe estar diseñado, implantado y gestionado de forma segura y garantizar la confidencialidad de la identidad del informante, de terceros mencionados en la comunicación y de las actuaciones desarrolladas durante su gestión. También debe impedir el acceso de personal no autorizado.

Además, entre otros requisitos, debe:

• integrar los distintos canales internos existentes;
• garantizar el tratamiento efectivo de las comunicaciones;
• ser independiente;
• disponer de un Responsable del Sistema;
• contar con una política sobre el Sistema interno de información;
• disponer de un procedimiento de gestión de las informaciones;
• establecer garantías de protección de los informantes.

Estamos, por tanto, ante un sistema organizativo, jurídico y tecnológico, no simplemente ante una dirección de correo electrónico.

7. El anonimato: una diferencia especialmente relevante

El artículo 199 del Real Decreto-ley 3/2020 pone el acento en la confidencialidad. La Ley 2/2023 da un paso adicional. Su artículo 7 establece expresamente que:

los canales internos permitirán la presentación y posterior tramitación de comunicaciones anónimas.

Esto tiene consecuencias técnicas muy importantes. No basta con afirmar en una política interna que “se admiten denuncias anónimas”. La herramienta utilizada debe permitirlo realmente. Un sistema correctamente diseñado debería evitar que la identificación sea obligatoria para presentar la comunicación y, al mismo tiempo, permitir mantener una comunicación posterior con el informante cuando sea necesario, incluso cuando este haya decidido permanecer anónimo.

Esta es precisamente una de las razones por las que las plataformas específicas de gestión de Sistemas internos de información ofrecen mayores garantías que soluciones improvisadas basadas exclusivamente en correo electrónico.

8. Comunicación escrita, verbal y reunión presencial

Otro aspecto frecuentemente olvidado es que el sistema no puede diseñarse pensando únicamente en comunicaciones escritas. El artículo 7 de la Ley 2/2023 contempla comunicaciones por escrito o verbalmente y establece diferentes medios posibles.

Además, a solicitud del informante, debe existir la posibilidad de realizar la comunicación mediante una reunión presencial dentro de un plazo máximo de siete días. Cuando las comunicaciones sean verbales, la Ley establece también requisitos específicos respecto a su documentación y, cuando proceda, grabación o transcripción. Por tanto, el procedimiento interno debe prever qué ocurre cuando una persona solicita realizar la comunicación verbalmente. La tecnología es importante, pero el cumplimiento requiere también un procedimiento operativo

9. El Responsable del Sistema: una figura esencial

La Ley 2/2023 introduce otra figura fundamental: el Responsable del Sistema interno de informaciónque el órgano de administración o de gobierno de la entidad debe designar obligatoriamente. Puede tratarse de una persona física o, bajo las condiciones previstas legalmente, de un órgano colegiado que delegue las facultades de gestión y tramitación en uno de sus miembros. Pero lo realmente importante es su posición.

El Responsable debe desarrollar sus funciones de forma independiente y autónoma respecto de los demás órganos de la organización, sin recibir instrucciones en el ejercicio de sus funciones y contando con los medios necesarios para desarrollarlas. Esto conecta perfectamente con la filosofía que ya recogía el artículo 199 del Real Decreto-ley 3/2020 al exigir un canal: independiente, específico y autónomo.

10. Hay que disponer de un procedimiento de gestión de las informaciones

Recibir una denuncia es solamente el comienzo.

¿ Qué ocurre después ? ¿ Quién accede a ella ? ¿ Quién decide si se admite ?

¿ Cómo se investiga ? ¿ Quién puede conocer la identidad del informante ?

¿ Cómo se documentan las actuaciones ? ¿ Cómo se comunica con la persona informante ?

¿ Cuándo se archiva el expediente ? ¿ Cómo se conservan o eliminan los datos ?

Todas estas cuestiones deben estar previamente reguladas. El artículo 9 de la Ley 2/2023 obliga al órgano de administración o de gobierno a aprobar un procedimiento de gestión de las informaciones. Entre otros aspectos, establece un plazo de siete días naturales para enviar el acuse de recibo de la comunicación al informante, salvo que hacerlo pueda poner en peligro la confidencialidad. También establece, como regla general, un plazo máximo de tres meses para dar respuesta a las actuaciones de investigación, con posibilidad de ampliación en determinados supuestos de especial complejidad. Esto convierte la gestión del canal en un auténtico procedimiento de compliance.

11. Protección frente a represalias: el punto de encuentro entre ambas normas

Resulta especialmente interesante comprobar cómo el artículo 199 del Real Decreto-ley 3/2020 anticipó uno de los pilares fundamentales de la posterior Ley 2/2023. El artículo 199 exige garantizar que los empleados que comuniquen infracciones estén protegidos frente a:

represalias, discriminaciones y cualquier otro tipo de trato injusto.

La Ley 2/2023 desarrolla ampliamente este principio. Su objetivo no es únicamente facilitar un mecanismo para comunicar irregularidades. Busca que las personas puedan hacerlo sin temor a sufrir consecuencias negativas por haber informado de buena fe sobre una posible infracción. Esta protección resulta fundamental. Un canal técnicamente perfecto pero en el que los trabajadores temen sufrir consecuencias profesionales si lo utilizan es un sistema que, en la práctica, no funciona. La cultura interna de la organización resulta tan importante como la tecnología utilizada.

12. La protección de datos es una parte esencial del SII

Un Sistema Interno de Información (SII) implica necesariamente tratamiento de datos personales. Y potencialmente puede manejar información especialmente delicada:

datos identificativos, relaciones laborales, hechos presuntamente ilícitos, documentación contractual, comunicaciones, testimonios y, dependiendo del caso, incluso categorías especiales de datos personales.

La Ley 2/2023 dedica una sección específica al tratamiento de estos datos. El órgano de administración u órgano de gobierno de la entidad obligada es responsable de la implantación del Sistema y tiene la condición de responsable del tratamiento.

Cuando la gestión se encomienda a un tercero externo, este tendrá la consideración de encargado del tratamiento, debiendo regularse la relación conforme al artículo 28.3 del RGPD. Además, deben aplicarse medidas técnicas y organizativas que impidan accesos no autorizados y preserven especialmente la identidad del informante. La Ley establece expresamente que quien presenta una comunicación tiene derecho a que su identidad no sea revelada a terceros y limita los supuestos en los que dicha identidad puede comunicarse. Por ello, la protección de datos no debe incorporarse al final del proyecto. Debe formar parte del diseño del sistema desde el principio.

13. ¿ Puede externalizarse la recepción y la gestión de denuncias recogidas en el Sistema Interno de Información ?

La Ley 2/2023 permite que la gestión del Sistema interno de información se lleve a cabo internamente o recurriendo a un tercero externo. Esta posibilidad puede resultar especialmente interesante para organizaciones pequeñas y medianas.

Pensemos nuevamente en una correduría con diez trabajadores. Puede resultar complicado garantizar internamente una gestión verdaderamente independiente si prácticamente todas las personas con funciones directivas mantienen una relación directa y cotidiana entre ellas. La intervención de un tercero especializado puede contribuir a reforzar: la confidencialidad, la independencia, la profesionalización del procedimiento y la trazabilidad de las actuaciones.

Externalizar la gestión y recepción de denuncias no significa “externalizar” la responsabilidad jurídica de la organización. El órgano de administración continúa teniendo obligaciones propias respecto a la implantación y funcionamiento del Sistema.

14. Canal de Denuncias y Sistema Interno de Información no son exactamente lo mismo

Este concepto merece de mi insistencia porque sigue generando confusión. El Canal interno de informaciónes el medio que permite presentar la comunicación. Puede materializarse mediante una plataforma tecnológica, una solución web, mecanismos escritos, sistemas telefónicos u otros medios compatibles con la Ley.

El Sistema interno de información es algo mucho más amplio.

Incluye, entre otros elementos: el Canal, el Responsable del Sistema, la política interna, el procedimiento de gestión, las medidas de protección del informante, la gestión de los expedientes, las medidas de seguridad, la protección de datos y las garantías de confidencialidad.

Decir que “Tenemos un Canal de Denuncias” no significa necesariamente: “Cumplimos la Ley 2/2023”.

15. ¿ Qué debería revisar actualmente un distribuidor de seguros ?

Desde una perspectiva práctica, cualquier organización dedicada a la distribución de seguros debería realizar una revisión de su situación. No basta con verificar si existe un enlace denominado “Canal de Denuncias” en la página web.

La revisión debería incluir los siguientes aspectos:

1. Existe realmente un Sistema interno de información.

2. El canal es independiente, específico y autónomo.

3. Se garantiza la confidencialidad del informante y de las personas afectadas.

4. Se permiten comunicaciones anónimas.

5. Existe un Responsable del Sistema formalmente designado.

6. Existe una política del Sistema interno de información.

7. Existe un procedimiento documentado para gestionar las comunicaciones.

8. Se encuentran definidos los plazos de actuación.

9. Se han establecido medidas contra las represalias.

10. Se cumplen las obligaciones en materia de protección de datos personales.

11. Los accesos a los expedientes están restringidos a las personas autorizadas.

12. Existe trazabilidad suficiente de las actuaciones realizadas.

13. Se han previsto comunicaciones escritas y verbales en los términos exigidos legalmente.

14. Los trabajadores y demás personas potencialmente informantes conocen la existencia y funcionamiento del sistema.

15. La información sobre el canal resulta clara y accesible.

La revisión conjunta de estos elementos permite pasar de un simple “canal” a un verdadero Sistema Interno de Información, totalmente acorde con la normativa.

16. De una obligación normativa a una herramienta de compliance

El Sistema interno de información no debería entenderse exclusivamente como una carga administrativa. Bien implantado, puede convertirse en una herramienta preventiva de enorme utilidad. Permite detectar irregularidades antes de que se conviertan en problemas mayores. Puede alertar sobre prácticas comerciales incorrectas, incumplimientos normativos, conflictos de interés, actuaciones contrarias a los procedimientos internos o conductas que puedan generar responsabilidad para la organización.

En definitiva, permite que la organización tenga la oportunidad de conocer determinados problemas antes de que los conozcan terceros o produzcan consecuencias irreversibles. Precisamente la Ley 2/2023 considera el Sistema interno de información como cauce preferente cuando la infracción pueda tratarse eficazmente dentro de la propia organización y no exista riesgo de represalia para el informante. Desde esta perspectiva, el sistema no debe verse solamente como una obligación. Debe formar parte del modelo de control interno y compliance de la organización.

17. Una obligación especialmente relevante para el sector asegurador

El sector asegurador maneja información económica y personal de enorme importancia y se encuentra sometido a un elevado nivel de regulación y supervisión. Por ello, disponer de mecanismos eficaces para detectar internamente posibles incumplimientos no es una cuestión secundaria. El artículo 199 del Real Decreto-ley 3/2020 ya estableció específicamente para los distribuidores de seguros y reaseguros la necesidad de disponer de un canal interno independiente, específico y autónomo.

Posteriormente, la Ley 2/2023 ha desarrollado en España un marco mucho más completo para la protección de las personas informantes y para la configuración de los Sistemas internos de información. Ambas normas deben analizarse conjuntamente. Y la consecuencia práctica es especialmente importante:

En el sector de la distribución de seguros, tener menos de 50 trabajadores no permite concluir, por sí solo, que la organización está exenta de disponer de un Sistema interno de información.

La normativa sectorial puede imponer esa obligación con independencia del tamaño de la plantilla. Por ello, corredores, corredurías, sociedades de agencia, operadores de banca-seguros y demás distribuidores afectados deberían revisar no solamente si disponen de un “Canal de Denuncias”, sino si han implantado un Sistema interno de información jurídicamente adecuado, técnicamente seguro y organizativamente operativo.

Porque cumplir la normativa no consiste únicamente en colocar un formulario en una página web. Consiste en garantizar que existe un mecanismo independiente, confidencial, seguro y efectivo, que las comunicaciones pueden ser correctamente investigadas y que quien informa de una posible infracción puede hacerlo con las garantías que establece nuestro ordenamiento jurídico. Ese es el verdadero sentido del artículo 199 del Real Decreto-ley 3/2020 y de su conexión con la Ley 2/2023.

Y es también la diferencia entre tener un Canal de Denuncias y tener realmente implantado un Sistema interno de información.