Opinion

Les principals novetats de la Llei 2/2023, de 20 de febrer, reguladora de la protecció de persones que informin sobre infraccions normatives i de lluita contra la corrupció ja foren resumides en un article de l’Alba Torres publicat en la newsletter del passat mes de febrer. Ara tornem a pronunciar-nos sobre aquesta llei per un doble motiu: el primer, atès que des d’aquest mes de desembre qualsevol entitat que tingui 50 treballadors o més, així com tot municipi amb menys de 10.000 habitants, ja té obligació de tenir implementat un sistema intern d’informació (SII).

El segon, perquè interessa destacar certs aspectes del SII que tenen incidència amb la privacitat i seguretat i, en particular, amb l’acompliment de la normativa de protecció de dades. En efecte, no és casual que en el títol VI de la Llei 2/2023 es regulin aspectes de protecció de dades, ni tampoc que en la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals, ja s’hi inclogués entre les disposicions aplicables a tractaments concrets, una d’explícita referent als sistemes d’informació de denúncies internes. És per això que a continuació se citen de forma resumida aquells punts que considerem més essencials i que, amb la nostra experiència, no sempre acaben d’estar ben treballats en la majoria d’organitzacions.

• És evident que la informació que es genera en el marc del SII constitueix un tractament de dades i, per tant, convé que es revisi el registre d’activitats de tractament (RAT) i que s’hi incorpori l’esmentat tractament de dades. Aquest tractament, que pot incloure categories especials de dades, troba la seva habilitació en un interès públic essencial, d’acord amb l’article 9.2.g) RGPD, i té com a base jurídica el compliment d’un deure legal, d’acord amb l’article 6.1.c) RGPD.
• Tot i que la descripció errònia que es fa en l’article 5.1 de la Llei 2/2023 podria originar confusió, és clar que el responsable d’aquest tractament de dades (igual com qualsevol altre del RAT) és la pròpia entitat, tal i com afirma l’informe jurídic 54/2023 de l’Agència Espanyola de Protecció de Dades.
• El responsable del tractament ha d’informar de forma clara i transparent sobre aquest tractament de dades i per tant, s’han d’incorporar els extrems exigits en l’article 13 RGPD, a banda dels propis de la Llei 2/2023. Sobre aquest punt, cal tenir present que el règim general de drets d’accés, rectificació, supressió, oposició, portabilitat i limitació del tractament pot veure’s en part modulat.
• Caldrà aplicar els principis rectors de la protecció de dades i sobretot, comprovar que només es recullen les mínimes dades necessàries i que aquestes dades es conservaran durant un temps limitat. És per això que, per exemple, resulta bàsic revisar els camps d’informació que es demanen en formularis predefinits per a tramitar una petició, i oferir sempre l’opció de l’anonimat; o també, que no s’excedeix en els terminis de custòdia de les dades indicats en la Llei 2/2023.
• És imprescindible que es faci una anàlisi de riscos d’aquest tractament i és possible que també correspongui efectuar una avaluació d’impacte de protecció de dades, considerant el que contempla l’article 35 RGPD i els llistats publicats per les autoritats de control.
• Quant a si la persona delegada de protecció de dades (DPO) pot compatibilitzar el seu rol amb el de responsable intern del sistema, en termes generals, considerem que és complicat, si bé caldrà valorar-ho cas a cas tenint en compte l’execució de les funcions assignades i vetllant perquè no es produeixi conflicte d’interès. No obstant, restem a l’espera de pronunciaments que puguin fer al respecte les diferents autoritats de control, de la mateixa manera que s’han fet en rols com el de responsable de seguretat de l’Esquema Nacional de Seguretat.
• Per últim, esmentar que la pròpia Llei 2/2023 contempla que la gestió del SII la pot efectuar un tercer extern. Des de la vessant de protecció de dades, aquesta situació suposa un encàrrec del tractament que haurà d’estar formalitzat a través del corresponent contracte, segons els requeriments de l’article 28.3 RGPD. Igualment, en el cas dels grups d’empreses, a les quals es permet que el responsable del sistema pugui ser una de les empreses per a tot el grup, suposaria també un encàrrec del tractament. No obstant, en els caos de grups d’empreses que usen un únic SII s’haurà d’analitzar si en comptes d’un encàrrec del tractament la situació no sigui la de corresponsabilitat sobre un mateix tractament de dades, i si fos així, faria falta l’acord en els termes que exigeix l’article 26 RGPD.

És per tot l’exposat que recomanem que en la major brevetat es revisi i s’adeqüi el SII per tal d’evitar incórrer en incompliment. En aquest sentit, cal recordar que no disposar del sistema intern d’informació suposaria una infracció, segons es disposa en l’article 63 de la Llei 2/2023, que podria suposar una multa entre 100.000 i 1.000.000 euros, a banda que també podria implicar infracció segons el règim sancionador que contempla la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals.