1. Los buzones de denuncias en materia antifraude: conceptos básicos
Estamos ante una nueva obligación legal. La Directiva 1937/2019 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, establece la necesidad de promover los canales de denuncia interna y externa: “los Estados miembros promoverán la comunicación a través de canales de denuncia interna antes que la comunicación a través de los canales de denuncia externa.” (art.7.2). La norma establece una preferencia de los canales de denuncia interna frente a los externos, “los Estados miembros promoverán la comunicación a través de canales de denuncia interna (…), siempre que se pueda tratar la infracción internamente de manera efectiva y siempre que el denunciante considere que no hay riesgos de represalias.” (art.7.2). Esta necesidad de promover la implantación de los canales de denuncia interna, se complementa con de la de articular los procedimientos de denuncia y seguimiento adecuados, previa consulta a los interlocutores sociales y de acuerdo con ellos cuando así lo establezca el Derecho nacional.
No obstante, el denunciante podrá dirigirse directamente al canal externo si tras la denuncia interna, no se toman las medidas oportunas; si se presume que la denuncia a sus superiores no va a producir efectos; o bien cuando exista peligro inminente o manifiesto para el interés público.
Por su parte, el Anteproyecto de Ley de transposición de la Directiva 2019/1937 (en adelante, APL), se refiere a los sistemas internos de información, optando por esta terminología menos contundente, casi un eufemismo, y disponiendo que estos sistemas internos de información son el cauce preferente para informar sobre las acciones u omisiones previstas en el artículo 2, en definitiva sobre las infracciones sobre el Derecho de la Unión previsto en la Directiva (artículo 4 APL). El órgano de administración o de gobierno de cada entidad u organismo será el responsable de la implantación del sistema interno de información, previa consulta con la representación legal de las personas trabajadoras (art. 5 APL). La gestión de los sistemas internos de información se podrá llevar a cabo dentro de la propia entidad o acudiendo a un tercero externo. (art. 6 APL). Además, todos los canales internos de información estarán integrados dentro del sistema interno de información.
El Anteproyecto también se refiere a la anonimización o confidencialidad del informante (entiéndase “denunciante”). Así, establece que los canales internos de información deberán permitir la presentación y posterior tramitación de comunicaciones anónimas (art. 7.3 APL). Por su parte, el procedimiento de gestión de las comunicaciones internas (entiéndase “denuncias”) es el establecido en el art. 8 APL, al cual nos remitimos. En todo caso habrá que seguir la evolución del texto ya en las fases de Proyecto de ley, informes y tramitación en sede parlamentaria.
Lo que sí parece claro es que la inmensa mayoría de las entidades públicas y privadas deben tenerlos: “Los Estados miembros velarán por que las entidades jurídicas de los sectores privado y público establezcan canales y procedimientos de denuncia interna y seguimiento (…)” (art. 8.1 Directiva). Según la propia Directiva, el establecimiento de un canal o buzón de denuncias es obligatorio para las entidades jurídicas del sector privado de más de 50 trabajadores. Los Estados miembros podrán exigirlo a las entidades de menos de 50 trabajadores, pero esta decisión se deja al desarrollo normativo nacional. De momento, el citado anteproyecto de ley regula de manera general la obligación únicamente para las personas jurídicas privadas de 50 o más trabajadores. No ocurre lo mismo en el sector público, donde los canales de denuncia serán obligatorios. En este caso la Directiva vuelve a establecer la posibilidad de que los Estados miembros puedan eximir a los municipios de menos de 10.000 habitantes o con menos de 50 trabajadores, así como a otras entidades jurídicas del sector público con menos de 50 trabajadores. Pero aquí el anteproyecto de Ley no exime a ninguna entidad del sector público de la obligación, y habida cuenta de que las dificultades de los Ayuntamientos pequeños se pueden solventar con la compartición de recursos y, sobre todo, con la acción de apoyo y asistencia de Diputaciones, Cabildos y Consejos, es más que probable que se mantenga la obligatoriedad.
2. El buzón de denuncias de la Agencia Valenciana Antifraude: un modelo a reproducir
¿Cómo articular la aludida obligación de crear y mantener un buzón de denuncias en nuestras entidades del sector público? Nuestra propuesta particular es el modelo de la Agencia Valenciana Antifraude. Nuestro buzón de denuncias, en este caso interno y, como oficina antifraude, también externo en el sentido anteriormente explicado, se encuentra en funcionamiento desde 2018. Está basado en la plataforma Globaleaks y fue originariamente adaptado a la tecnología y legislación vigente por Xnet, de esta forma pudo ser utilizada y replicada en diferentes instituciones y organismos en España de forma rápida, ágil y sin coste.
La herramienta puede ser descargada desde la web del creador de la misma https://www.globaleaks.org/ donde se puede acceder a las principales características de la misma y que nos gustaría agrupar en cuatro grupos:
1. A nivel de usuario: gestión sencilla desde un interfaz web, traducida a más de 60 idiomas, completamente configurable y personalizable con los colores y logos corporativos de las diferentes administraciones. Permite también su adecuación a la casuística de cada proyecto, permitiendo la denuncia anónima, creación de cuestionarios avanzados, conversaciones privadas e intercambio de información e informes estadísticos.
2. A nivel técnico: mantenimiento a largo plazo garantizado por el desarrollador (LTS), aplicación totalmente autónoma (sin necesidad de disponer de servidores web o de otras aplicaciones), construida mediante tecnologías de navegación ligera, sistema de copia de seguridad integrado, configuración automatizada de acceso a través de la red privada TOR y preparada para ser integrada con otras páginas web e intranets.
3. A nivel legal: cumple con los estándares de la ISO 37002:2021 (Sistemas de gestión de la denuncia de irregularidades) así como con la Directiva Comunitaria 2019/1937 sobre protección del denunciante de corrupción. Cumple con el reglamento europeo de protección de datos GDPR permitiendo configurar las políticas de retención de datos, del mismo modo garantiza la custodia de la identidad del denunciante (si se facilita) mediante la protección del acceso a las denuncias así como mediante la ausencia de registro de las direcciones IP de quienes realizan estas comunicaciones.
4. A nivel de seguridad: garantiza el acceso a través de protocolos HTTPS y red TOR. Está continuamente expuesta a diferentes pruebas de pentesting para garantizar y mejorar su seguridad. Permite el acceso mediante doble factor de autenticación, todo el contenido facilitado queda cifrado y únicamente accesible a los receptores autorizados. No deja rastro en la memoria caché de los navegadores, dispone de mecanismos anti-spam y ofrece soporte para el intercambio de mensajes mediante PGP (Cifrado y Firma de los mensajes).
Por último, a nivel de soporte y mantenimiento específico, existen diversos foros públicos de la herramienta donde es posible consultar y proponer nuevas dudas que suelen ser resueltas por los propios desarrolladores. Si es necesario un soporte más personalizado y una atención directa, aunque no es necesario, es posible contratar con el desarrollador un mantenimiento más específico, aunque con la información disponible y la comunidad de usuarios existente la mayoría de dudas quedan resueltas de forma ágil. Del mismo modo, las actualizaciones del producto son constantes y su distribución y aplicación gratuitas, lo que garantiza la integridad de la plataforma y su continua mejora y adaptación a la tecnología y normativa vigente.
En resumen, nos encontramos ante la solución que en términos de eficiencia funcional y económica mejor respuesta va a ofrecer a las obligaciones impuestas por los artículos 7 y 10 de la Directiva 2019/1937 en cuanto a la obligación de disponer de canales de denuncia interna y externa. La herramienta es adaptable a ambas necesidades y cumple con las medidas técnicas y de seguridad que garantizan la protección de la identidad del denunciante y el acceso a la información denunciada únicamente a aquellos usuarios que estén autorizados a ello.
Víctor Almonacid Lamelas. Director de Prevención, Formación y Documentación de la AVAF
Javier Alamá Izquierdo. Jefe del Servicio de Sistemas de Información de la AVAF
