La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción introdujo un debate al establecer quién debía ser el responsable del tratamiento del canal de denuncias. En la redacción de su artículo 5.1. se indica lo siguiente:
“Artículo 5. Sistema interno de información.
1. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado por esta ley será el responsable de la implantación del Sistema interno de información, previa consulta con la representación legal de las personas trabajadoras, y tendrá la condición de responsable del tratamiento de los datos personales de conformidad con lo dispuesto en la normativa sobre protección de datos personales”.
A través de dicha redacción se da pie a considerar al órgano de administración u órgano de gobierno de cada entidad u organismo como responsable del tratamiento, de forma que se alejaría del principio general de considerar responsable a la persona jurídica que determine los fines y medios del tratamiento. En consecuencia, la AEPD ha emitido el informe jurídico 0054/2023 en el que ha esclarecido esta cuestión. Así pues, el último párrafo del informe establece lo siguiente:
“Por todo ello, la correcta interpretación del artículo 5 de la Ley 2/2023, de 20 de febrero, desde la perspectiva de la protección de datos personales, requiere identificar como responsable del tratamiento a la entidad u organismo obligado por la ley a disponer de un Sistema interno de información, sin perjuicio de que las decisiones necesarias para su correcta implantación deban adoptarse por el correspondiente órgano de administración u órgano de gobierno.”
En definitiva, el responsable del tratamiento es la compañía, no el órgano de gestión del canal de denuncias.
Ver en medio original