Índice
- Introducción..
- Principios rectores del canal de denuncias.
- Canal de denuncias
- Gestión del canal de denuncias
- Comunicación
- Actuaciones en materia de protección de datos
1. Introducción
El Canal de Denuncias se configura como un elemento clave del Modelo de Cumplimiento (en adelante Compliance) de “EMPRESA S.A.” y constituye mecanismo eficaz para prevenir y detectar la comisión de delitos en el seno de la compañía.
El Canal de Denuncias es una herramienta que permite comunicar, de manera confidencial y a través de un sencillo formulario, aquellas actividades y conductas potencialmente irregulares que puedan suponer un incumplimiento de cualquiera de nuestros códigos éticos y/o la posible comisión de un delito penal.
Adicionalmente las comunicaciones permitirán la formulación de cualquier duda o consulta en materia de ética y cumplimiento del Código de Conducta o para la realización de sugerencias o propuestas relacionadas con este. Todas las comunicaciones serán recibidas y analizadas diligente, rigurosa y confidencialmente por el Comité de Compliance de “EMPRESA S.A.”, órgano designado por la Dirección para prestar soporte y asesoramiento a “EMPRESA S.A.” en la supervisión y funcionamiento del modelo de Compliance. En todos los casos, serán recibidas por este Comité y a todas se les aplicará un protocolo definido de manera detallada y basado en las mejores prácticas, con el objetivo de darles respuesta y tratamiento ordenado.
El Canal de Denuncias de “EMPRESA S.A.” cumple una doble función. Por un lado, ayuda a garantizar el cumplimiento del Código de Conducta, al permitir comunicar posibles violaciones de los principios y valores fundamentales de la empresa. Por otro, es un requerimiento de la última reforma del Código Penal para cualquier Modelo de Prevención y Detección de Delitos Penales.
La normativa detallada en este documento define el funcionamiento y principios del Canal de Denuncias de “EMPRESA S.A.” y será aplicable a todas las comunicaciones enviadas desde este formulario por las personas que integran la compañía, así como por aquellos terceros que envíen sus denuncias o consultas desde el formulario habilitado por la empresa con este fin.
2. Principios rectores del Canal de Denuncias
El Canal de Denuncias y su gestión se adecua a los siguientes principios generales:
- Confidencialidad
El Canal de Denuncias de “EMPRESA S.A.” tiene carácter preferentemente confidencial, garantizando en todo momento la máxima confidencialidad sobre los datos e información recabada en el marco de la denuncia (incluidos aquellos que se obtengan durante la fase de investigación) y, en especial, y entre otras cuestiones, sobre la identidad de la persona denunciante.
Todos los órganos implicados en la tramitación de la denuncia aseguran la máxima confidencialidad, sin perjuicio de las obligaciones legales y de la protección de las personas acusadas injustamente o de mala fe.
- Ausencia de represalias
Queda rigurosamente prohibido adoptar medida alguna contra un/a denunciante que constituya una represalia o cualquier tipo de consecuencia negativa por haber formulado una denuncia.
Las denuncias deberán estar basadas en criterios de veracidad y proporcionalidad. Por ello, la prohibición de represalias prevista en el párrafo anterior no impide la adopción de las medidas disciplinarias que procedan cuando la investigación interna determine que la comunicación es falsa y que la persona que la ha realizado es consciente de su falsedad.
- Respeto a los derechos fundamentales
La validez de las pruebas obtenidas en el marco de la investigación de una denuncia, así como de las actuaciones del órgano gestor del Canal y de otros departamentos y personas implicadas en la tramitación, estará condicionada a la observancia y respeto de los derechos fundamentales del denunciado en el marco de la investigación.
A tal efecto, la gestión y tramitación de las denuncias se ajusta a los siguientes principios y derechos constitucionales: (i) principio de presunción de inocencia, (ii) derecho a un proceso con todas las garantías, y (iii) principio de contradicción.
3. Canal de Denuncias
- Ámbito objetivo
El ámbito de aplicación objetivo del Canal de Denuncias de “EMPRESA S.A.” abarca (i) todas aquellas conductas tipificadas en el Código Penal que sean susceptibles de generar responsabilidad penal para la compañía, así como (ii) los incumplimientos del Código de Conducta, de la Política de Cumplimiento y de otra normativa interna de la compañía en caso de existir.
- Ámbito subjetivo
El ámbito subjetivo comprende la delimitación de aquellas personas que pueden comunicar su sospecha sobre la comisión de alguna irregularidad a través del Canal de Denuncias.
Todas las personas cuyos datos personales puedan ser tratados bajo el sistema, habrán de mantener con la EMPRESA un vínculo de derecho laboral, civil o mercantil.
Las personas que deberán hacer uso del Canal de Denuncias serán los trabajadores/as, directivos/as, administradores/as y representantes de la compañía.
En cuanto a las personas que pueden ser denunciadas, y en consonancia con lo establecido en el Código Penal, serán los administradores/as y representantes (de hecho o derecho) de la compañía así como todas aquellas personas sometidas a la autoridad de los anteriores, tales como empleados/as y, en su caso, empresas subcontratadas.
A la vista de lo anterior, “EMPRESA S.A.” ha optado por un Canal de Denuncias de ámbito mixto, y en consecuencia:
- Todos los Empleados/as, así como los terceros relacionados con “EMPRESA S.A.”, deberán comunicar, a través del Canal de Denuncias, cualquier irregularidad de la que tengan conocimiento y que esté incluida en su ámbito objetivo, sin miedo a ser objeto de despido o de cualquier otro tipo de represalia; y
(ii) Pueden ser objeto de denuncia todos los Empleados/as de “EMPRESA S.A.” que hayan cometido alguna irregularidad o conducta de las previstas en el ámbito objetivo antes definido.
De conformidad con el Modelo de Compliance de la compañía, el término “Empleados/as” abarca a todos los/as empleados/as y personas dependientes de “EMPRESA S.A.” (incluidas las subcontratas), así como a sus representantes legales y administradores/as de hecho o de derecho. En este sentido, se hace constar expresamente que este término se utiliza en sentido amplio para referirse al conjunto de personas que puedan actuar en nombre y bajo la autoridad de “EMPRESA S.A.” en el ejercicio de sus actividades, de conformidad con los términos expuestos en el artículo 31 bis del Código Penal, ya se trate de una relación laboral y/o mercantil.
- Ámbito territorial
“EMPRESA S.A.” ha optado por extender el funcionamiento y uso del Canal de Denuncias a las irregularidades y conductas que se produzcan en territorio español.
4. Gestión del Canal de Denuncias
A continuación, pasa a definirse el procedimiento de gestión y tramitación de las denuncias. A tal efecto deberán tenerse en cuenta las siguientes consideraciones:
- El órgano encargado de la gestión del Canal de Denuncias será el designado por la Dirección de la compañía como órgano responsable del control y seguimiento del Modelo de Compliance.
- Recepción de las denuncias
Las denuncias se comunicarán a través del formulario puesto a disposición a través de la web de la compañía en el enlace (www.empresasa.es/canal-denuncias).
Las denuncias recibidas deberán contener los datos necesarios para poder llevar a cabo el análisis de los hechos denunciados. Así, las comunicaciones recibidas deberán cumplir como mínimo los siguientes requisitos:
- Exposición clara y detallada de los hechos, concretando en lo posible la vulneración del Código de Conducta
- Identificación del centro de trabajo y departamento en el que hayan tenido
- Identificación de las personas involucradas con el comportamiento denunciado o con conocimiento del
- Momento en el que ocurrió o ha estado ocurriendo el
- Aportar, si se considera necesario, documentos, archivos u otra información que se estime relevante para la evaluación y resolución de la
- Lugar,
Las denuncias podrán ser Anónimas o Confidenciales donde:
- Anónimas: La persona denunciante no tiene porque identificarse.
- Confidenciales: La persona denunciante se identificará pero la información de su identidad será mantenida de manera confidencial durante todo el proceso y a posteriori.
Todas las denuncias serán recibidas por el Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía), que será el órgano responsable de efectuar un análisis preliminar de los hechos denunciados y decidir sobre la admisión a trámite de la denuncia.
En este análisis preliminar, el Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) valorará los indicios de la infracción denunciada y, en consecuencia, decidirá sobre la conveniencia de iniciar o no una investigación.
Esta primera fase finalizará con dos posibles decisiones, que habrán de constar por escrito en un informe justificativo sobre la procedencia de la decisión adoptada:
a) Denegación de la admisión a trámite de la denuncia
El Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) denegará la admisión a trámite de la denuncia formulada, mediante el acuerdo de sus miembros, y se hará constar por escrito esta decisión y su justificación (por expresa mención en el acta de la reunión).
La denuncia podrá ser denegada cuando concurran elementos tales como la imposibilidad de llevar a cabo la investigación para el esclarecimiento de los hechos por falta de información suficiente.
Cuando, por cumplirse alguna de las circunstancias anteriores, no se admita a trámite la denuncia, el Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) deberá informar, tanto a la persona denunciante como a la denunciada, de la recepción de la denuncia y de la decisión de no admitirla a trámite, asegurándose de la correcta recepción de tal comunicación.
b) Admisión a trámite de la denuncia e inicio de la fase de investigación
Si se admite a trámite la denuncia, se deberán realizar las averiguaciones oportunas sobre los hechos denunciados. Una vez realizada dicha labor, el Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) se reunirá con el fin de acordar
(a) su archivo, indicando la motivación de esta decisión, o
(b) la remisión de la denuncia así como de todas las pruebas obtenidas durante la investigación al departamento de Gestión de Personas para que se siga el procedimiento legal o disciplinario correspondiente en caso de que se confirmasen los indicios de una conducta contraria a los principios y obligaciones del Modelo.
Más en concreto, cuando la denuncia formulada cumpla con los requisitos de forma exigidos y, además, los hechos denunciados se encuentren comprendidos en el ámbito objetivo del Canal de Denuncias, el Comité de Compliance acordará su admisión a trámite, siempre que al menos uno de sus miembros estime que existen indicios suficientes para iniciar una investigación.
- Investigación de los hechos denunciados
Admitida a trámite la denuncia, el Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) delegará en uno de sus miembros (que no podrá estar implicado en los hechos denunciados) o en un experto externo la realización de las oportunas investigaciones para comprobar la veracidad de los hechos denunciados.
a) Información a la persona denunciante
En el momento de la recepción de la denuncia, y con carácter previo al inicio de la fase de investigación, el Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) deberá informar a la persona denunciante
(i) de la recepción de la denuncia,
(ii) de la tramitación absolutamente confidencial de la misma, y
(iii) del traslado de su queja a la dirección de Gestión de Personas para que estudie los hechos y las posibles medidas a adoptar.
b) Información a la persona denunciada
Asimismo, la persona denunciada deberá ser informada sobre
(i) la recepción de la denuncia,
(ii) el hecho del que se le acusa,
(iii) los departamentos y terceros que podrán ser destinatarios de la denuncia, y
(iv) cómo ejercitar sus derechos de acceso, rectificación, cancelación y oposición, de conformidad con la normativa de protección de datos.
A estos efectos, se hace constar que el derecho de acceso de la persona denunciada estará limitado a los propios datos de carácter personal objeto de tratamiento. Dado el carácter confidencial de las denuncias, en ningún caso, el denunciado tendrá acceso a la identidad y datos de carácter personal de la persona denunciante.
No obstante lo anterior, si – a juicio del Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) – existe riesgo de que la notificación a la persona denunciada comprometa la investigación, dicha comunicación podrá aplazarse hasta que el citado riesgo desaparezca. En todo caso, el plazo para informar a la persona denunciada no excederá de un máximo de tres meses si existen razones justificadas para ello. Todo ello sin perjuicio de que, a la vista de las circunstancias concretas, la ley establezca la obligación de observar un plazo superior.
c) Diligencias de investigación
El Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) delegará en uno de sus miembros (que no podrá estar implicado en los hechos denunciados) o en un experto externo la realización de las diligencias de averiguación que estime necesarias para confirmar la veracidad y realidad de las conductas denunciadas
- Propuesta de resolución
Una vez concluida la investigación, el/la responsable de la misma pondrá en conocimiento del Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) los resultados de su investigación.
A la vista de los resultados obtenidos, el Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía), mediante el voto favorable de la mayoría de sus integrantes, formulará por escrito una propuesta de resolución -debidamente justificada- del archivo de la denuncia o, en su defecto, de las posibles medidas disciplinarias a adoptar.
El Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) remitirá la denuncia, los resultados documentados de la investigación y la propuesta de resolución al departamento de Gestión de Personas para que se siga el procedimiento legal o disciplinario correspondiente en caso de que se confirmasen los indicios de una conducta contraria a los principios y obligaciones del Modelo.
- Decisión de las medidas a adoptar
El Comité de Compliance (o en su defecto el órgano designado por la Dirección de la compañía) deberá exponer por escrito la decisión final sobre el archivo de la denuncia o las medidas y/o sanciones a aplicar en cada supuesto, así como los motivos justificativos de la decisión adoptada. Dicho informe será remitido al Consejo de Administración/Dirección (a efectos informativos), así como al Departamento de Gestión de Personas encargado de ejecutar la sanción.
- Ejecución de la sanción
Corresponderá aplicar la sanción acordada en cada caso al Departamento de Gestión de Personas.
5. Comunicación
“Cuevas Obras.” ha adoptado las siguientes medidas de difusión:
- Notificación a todos los/as Empleados/as de la existencia del Canal de Denuncias a través de una circular informativa remitida por correo electrónico/papel o, en su defecto, a través de la intranet y una nota informativa en los tablones de anuncio y/o pantallas digitales de comunicación de los diferentes centros de
- Puesta a disposición de todos los/as Empleados/as, de la Política de Uso del Canal de Denuncias a través de la Intranet/página web
- Entrega del presente documento y del Código Ético a las nuevas incorporaciones en el momento de la contratación.
6. Actuaciones en materia de protección de datos
De conformidad con la normativa vigente sobre protección de datos de carácter personal, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter Personal y Garantías de los Derechos Digitales y la doctrina establecida por la Agencia Española de Protección de Datos, se tienen en cuenta las siguientes consideraciones adicionales.
- Deber de información en materia de protección de datos de carácter personal
Los datos personales recabados de los empleados/as y terceros en el marco del Canal de Denuncias serán tratados con la exclusiva finalidad de tramitar las denuncias y, si procede, investigar la realidad de los hechos denunciados, dando cumplimiento así a la exigencia legalmente establecida en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter Personal y Garantías de los Derechos Digitales, expresamente con lo dispuesto en el artículo 24.
Los datos personales de quien formule la comunicación (denuncia) y de los empleados/as y terceros deberán conservarse en el sistema de denuncias únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos denunciados. En todo caso, transcurridos tres meses desde la introducción de los datos, deberá procederse a su supresión, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del modelo de prevención de la comisión de delitos por la persona jurídica. Las denuncias a las que no se haya dado curso, solamente podrán constar de forma anonimizada.
El acceso a los datos personales de quien realiza la comunicación, del resto de empleados/as y terceros recabados en el marco de la investigación de una denuncia quedará limitado al Comité de Compliance (cómo órgano responsable de la gestión del Canal de Denuncias), al Órgano de Administración de GRUPO “EMPRESA S.A.” , o en su caso a los encargados de tratamiento que eventualmente se designen a tal efecto. En caso de que pudiera proceder la adopción de medidas disciplinarias contra un trabajador/a podrá tener también acceso el Departamento de Gestión de Personas encargado de ejecutar la correspondiente sanción.
Tanto la persona denunciante como la denunciada serán informadas debidamente, en cada caso, de las personas, órganos concretos y encargados/as de tratamiento designados que van a tener acceso a sus datos. No obstante, será lícito su acceso por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas disciplinarias o para la tramitación de los procedimientos judiciales o administrativos que, en su caso, procedan.
Por aplicación de los artículos 12 a 18, ambos inclusive, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter Personal y Garantías de los Derechos Digitales las personas interesadas podrán ejercitar sus derechos de acceso, rectificación, supresión, limitación, oposición, portabilidad y revocación en el formulario web creado al efecto “Ejercicio de derechos ArSol”.
No obstante lo anterior, el derecho acceso de la persona denunciada estará limitado a sus propios datos de carácter personal, no teniendo acceso en ningún caso -dado el carácter confidencial del Canal de Denuncias- a los datos sobre la identidad de la persona denunciante. Asimismo, se reconocerá dicho derecho siempre que ello no constituya un ejercicio fraudulento de los mismos, o que hacerlo implique poner en grave riesgo el resultado de la investigación.
- Principio de proporcionalidad
Los datos personales recabados en el marco del Canal de Denuncias:
- Se limitarán a los estricta y objetivamente necesarios para tramitar las denuncias y, si procede, comprobar la realidad de los hechos denunciados;
- Serán tratados en todo momento de conformidad con la normativa de protección de datos aplicable, para fines legítimos y específicos en relación a la investigación que pueda surgir como consecuencia de la denuncia;
- No se utilizarán para fines incompatibles;
- Serán adecuados y no excesivos en relación con las citadas
- Plazos de cancelación y conservación
Los datos de quien formule la comunicación y de los empleados o empleadas y terceros deberán conservarse en el sistema de denuncias únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos denunciados.
En todo caso, transcurridos tres meses desde la introducción de los datos, deberá procederse a su supresión del sistema de denuncias, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del modelo de prevención de la comisión de delitos por la persona jurídica. Las denuncias a las que no se haya dado curso solamente podrán constar de forma anonimizada.
- Medidas de seguridad
La custodia y archivo de las denuncias recibidas serán responsabilidad del Comité de Compliance.
Este se asegurará de todas las medidas necesarias para preservar la identidad y garantizar la confidencialidad y la seguridad de los datos correspondientes a las personas afectadas por la información suministrada, especialmente la de la persona que hubiera puesto los hechos en conocimiento de la entidad, en caso de que se hubiera identificado de conformidad con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter Personal y Garantías de los Derechos Digitales.