Procedimento de Gestão do Sistema Interno de Informação
Canal de Denúncias · GAMBASTAR, S.L.
1. OBJETIVO
O procedimento regula os atos e diligências realizados pela GAMBASTAR, S.L. (a ENTIDADE) após a apresentação de comunicações abrangidas pela Lei espanhola 2/2023, de 20 de fevereiro, relativa à proteção das pessoas que comunicam infrações normativas e ao combate à corrupção.
2. NORMAS E LEGISLAÇÃO DE REFERÊNCIA
• Lei 2/2023, de 20 de fevereiro, que transpõe a Diretiva (UE) 2019/1937 do Parlamento Europeu e do Conselho, de 23 de outubro de 2019, sobre a proteção das pessoas que denunciam violações do direito da União.
• Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais (Regulamento Geral sobre a Proteção de Dados ou RGPD).
• Lei Orgânica espanhola 3/2018, de 5 de dezembro, relativa à Proteção de Dados Pessoais e à Garantia dos Direitos Digitais (LOPDGDD).
3. ÂMBITO DE APLICAÇÃO
O procedimento aplica-se a toda a atividade da ENTIDADE e segue a sua Política de Segurança da Informação. É obrigatório para todo o pessoal permanente ou temporário, incluindo o pessoal de fornecedores externos que utilize os sistemas de informação da ENTIDADE.
4. DEFINIÇÕES
1. Denunciante. Pessoa singular ou coletiva que obteve informação sobre infrações num contexto laboral ou profissional e a comunica à ENTIDADE, incluindo as pessoas previstas no artigo 3.º, n.os 1 e 2, da Lei 2/2023.
2. Pessoa afetada. Pessoa singular a quem é atribuída uma infração prevista no artigo 2.º da Lei 2/2023, incluindo quem, sem ter sido referido na comunicação inicial, seja identificado durante a instrução como presumível autor.
3. Terceiro. Pessoa singular que possa conhecer factos relacionados com a infração comunicada, como testemunha direta ou indireta, e prestar informações ao procedimento.
4. Sistema Interno de Informação. Via estabelecida pela ENTIDADE para comunicar as ações ou omissões previstas no artigo 2.º da Lei 2/2023, com as funções e os conteúdos do artigo 5.º, n.º 2. Inclui o Canal Interno de Informação e o Sistema de Gestão da Informação.
5. Canal Interno de Informação. Canal criado para receber comunicações abrangidas pelo procedimento, sob a administração do responsável pelo Sistema da ENTIDADE.
6. Sistema de Gestão da Informação. Plataforma tecnológica integrada no Sistema Interno de Informação que gere, regista e conserva as diligências decorrentes de comunicações abrangidas pela Lei 2/2023.
5. DIREITOS E GARANTIAS DOS DENUNCIANTES
Sem prejuízo dos demais direitos constitucionais e legais, são garantidos aos denunciantes os seguintes direitos:
a. Apresentar comunicações anónimas e manter o anonimato durante o procedimento.
b. Comunicar verbalmente ou por escrito. No caso de comunicação verbal, verificar, retificar e aceitar a transcrição mediante assinatura.
c. Indicar uma morada, um endereço de correio eletrónico ou um local seguro para receber comunicações do responsável pelo Sistema.
d. Comparecer por iniciativa própria perante o responsável pelo Sistema ou o gestor delegado.
e. Renunciar à comunicação com o responsável pelo Sistema ou o gestor delegado e revogar essa renúncia a qualquer momento.
f. Preservar a sua identidade. Sem consentimento expresso, esta apenas pode ser revelada a pessoas competentes para receber e gerir denúncias, ressalvadas as exceções previstas no direito da União ou espanhol em investigações oficiais ou processos judiciais.
g. Beneficiar da proteção dos seus dados pessoais.
h. Conhecer a identidade do gestor delegado que instrui o procedimento.
i. Beneficiar da confidencialidade das comunicações.
j. Beneficiar das medidas de proteção e apoio previstas na Lei 2/2023.
k. Apresentar reclamação junto da Autoridade Independente de Proteção do Denunciante.
l. Não sofrer represálias, mesmo quando a investigação conclua que não houve violação das normas aplicáveis ou do Código de Ética da ENTIDADE, desde que não tenha agido de má-fé.
6. OBRIGAÇÕES DOS DENUNCIANTES
a. Ter indícios razoáveis ou suficientes de que a informação é verdadeira. Não são permitidas comunicações genéricas, de má-fé ou com abuso de direito, que podem dar lugar a responsabilidade civil, penal ou administrativa.
b. Descrever os factos ou as condutas com o maior detalhe possível e fornecer os documentos disponíveis ou indícios objetivos para obter provas.
c. Abster-se de comunicações com fins alheios aos do Canal, que violem os direitos de terceiros à honra, à imagem e à intimidade pessoal e familiar ou que contrariem a dignidade humana.
7. DIREITOS DOS TERCEIROS
São reconhecidos aos terceiros os direitos seguintes, podendo ser-lhes estendidas, sempre que possível, as medidas de apoio e proteção da Lei 2/2023.
a. Indicar uma morada, um endereço de correio eletrónico ou um local seguro para receber comunicações do responsável pelo Sistema.
b. Comparecer por iniciativa própria perante o responsável ou o gestor delegado.
c. Preservar a sua identidade. Sem consentimento expresso, esta apenas pode ser revelada a pessoas competentes para receber e gerir denúncias, ressalvadas as exceções previstas no direito da União ou espanhol em investigações oficiais ou processos judiciais.
d. Beneficiar da proteção dos dados pessoais.
e. Beneficiar da confidencialidade das comunicações.
f. Não sofrer represálias.
8. DIREITOS DAS PESSOAS AFETADAS
O responsável pelo Sistema deve garantir os direitos constitucionais e legais das pessoas afetadas, designadamente:
a. Ser informadas, o mais rapidamente possível, das informações que lhes digam respeito.
b. Beneficiar do direito à honra e à intimidade.
c. Beneficiar da presunção de inocência e usar todos os meios legais de defesa.
d. Ser assistidas por advogado.
e. Aceder às diligências que lhes digam respeito, com as limitações temporárias necessárias para garantir o resultado das mesmas.
f. Conhecer a identidade do gestor delegado.
g. Preservar a sua identidade perante pessoas alheias ao responsável pelo Sistema.
h. Beneficiar da proteção dos dados pessoais.
i. Beneficiar da confidencialidade das comunicações.
9. RESPONSÁVEL PELO SISTEMA INTERNO DE INFORMAÇÃO
1. A Direção designa a pessoa ou o órgão colegial referido no artigo 8.º da Lei 2/2023.
2. No exercício das suas competências, os responsáveis atuam com independência, não recebem instruções de outras áreas da ENTIDADE e não estão sujeitos a hierarquia no órgão colegial. Não podem ser afastados por motivos relacionados com a sua participação no Sistema.
10. ACESSO AOS DADOS PESSOAIS NO SISTEMA INTERNO DE INFORMAÇÃO
O acesso pelo pessoal da ENTIDADE limita-se às seguintes pessoas, no âmbito das suas funções e competências, independentemente das responsabilidades profissionais de quem integre o órgão colegial:
a) O responsável pelo Sistema ou a pessoa em quem delegue.
b) O responsável pela gestão de pessoas, quando possam ser adotadas medidas disciplinares contra um trabalhador da ENTIDADE.
c) O responsável pelo gabinete jurídico, quando possam ser adotadas medidas legais relativas aos factos comunicados.
d) Os subcontratantes de tratamento eventualmente designados.
e) O encarregado de proteção de dados da ENTIDADE.
O tratamento por outras pessoas ou a comunicação a terceiros é lícito quando necessário para medidas corretivas na ENTIDADE ou para procedimentos sancionatórios ou penais aplicáveis.
11. PRAZOS DO PROCEDIMENTO
1. A investigação deve ser concluída em três meses. Em casos especialmente complexos, o responsável pode prorrogar o prazo por até mais três meses, mediante fundamentação.
2. O prazo começa com a receção da comunicação pelo responsável ou, se não for enviado aviso de receção, com o termo dos sete dias após a receção. Os prazos em meses contam-se de data a data.
3. Os prazos em dias são contados em dias úteis, salvo indicação expressa de dias de calendário. Excluem-se sábados, domingos e feriados.
12. PROTEÇÃO DE DADOS PESSOAIS
1. O tratamento de dados ao abrigo deste procedimento cumpre o título VI da Lei 2/2023.
2. O Sistema deve impedir acessos não autorizados, preservar identidades e garantir a confidencialidade das pessoas afetadas e de terceiros referidos, em especial do denunciante identificado. A sua identidade só pode ser comunicada à autoridade judicial, ao Ministério Público ou à autoridade administrativa competente numa investigação penal, disciplinar ou sancionatória, com as garantias da legislação aplicável.
3. Não se recolhem dados pessoais cuja pertinência para a comunicação não seja manifesta. Os dados recolhidos acidentalmente são apagados sem demora injustificada.
4. Decorridos três meses desde a receção sem início de investigação, a comunicação deve ser apagada, salvo se a conservação se destinar a provar o funcionamento do Sistema. As comunicações sem seguimento só podem constar de forma anonimizada. Não se aplica a obrigação de bloqueio prevista no artigo 32.º da Lei Orgânica espanhola 3/2018, de 5 de dezembro.
13. PROCEDIMENTO
Receção da informação
As infrações previstas no artigo 2.º, n.º 1, da Lei 2/2023 e outras informações decorrentes do procedimento são comunicadas por escrito ou verbalmente através do meio eletrónico do Canal Interno de Informação no sítio Web da ENTIDADE. A pedido do denunciante, a comunicação pode ser feita numa reunião presencial no prazo máximo de sete dias.
Com o consentimento prévio do denunciante, as comunicações orais em reunião, por telefone ou por mensagem de voz são documentadas mediante gravação segura, duradoura e acessível ou transcrição completa e exata pelo pessoal responsável. Sem prejuízo dos direitos em matéria de dados pessoais, o denunciante pode verificar, retificar e aceitar a transcrição mediante assinatura.
A comunicação deve incluir, pelo menos:
• A identidade do denunciante, salvo se optar pelo anonimato.
• A descrição dos factos e, se aplicável, a norma afetada.
• A identificação da pessoa ou pessoas afetadas.
• A identificação de terceiros que possam fornecer informação relevante, se aplicável.
• A indicação de eventual renúncia à comunicação com o responsável pelo Sistema.
O denunciante pode indicar uma morada, endereço eletrónico ou local seguro para receber comunicações. A receção é confirmada nos sete dias de calendário seguintes, salvo se não tiver indicado contacto ou tiver renunciado à comunicação com o responsável ou o gestor delegado.
Admissão
Após o registo, o responsável verifica se os factos ou condutas se incluem no âmbito subjetivo do artigo 3.º da Lei 2/2023. No prazo de dez dias úteis a contar do registo, pode:
a) Rejeitar a comunicação se os factos forem totalmente inverosímeis, não constituírem infração abrangida pela Lei 2/2023, a comunicação for infundada ou houver indícios razoáveis de que foi obtida através de crime, ou não trouxer informação nova e significativa face a uma comunicação anterior cujo procedimento terminou, salvo novas circunstâncias que justifiquem outro seguimento. Havendo indícios de crime na obtenção da informação, envia também ao Ministério Público uma descrição circunstanciada dos factos. A rejeição é comunicada em cinco dias úteis, salvo anonimato ou renúncia à comunicação.
b) Admitir a comunicação e notificar o denunciante em cinco dias úteis, com as mesmas exceções.
c) Remeter imediatamente a informação ao Ministério Público se os factos puderem constituir crime ou à Procuradoria Europeia se afetarem os interesses financeiros da União Europeia.
d) Remeter a comunicação à autoridade, entidade ou organismo considerado competente.
Instrução
A instrução inclui as diligências destinadas a verificar a verosimilhança dos factos. O gestor delegado designado pelo responsável pelo Sistema é o instrutor.
No prazo máximo de 15 dias após a admissão, a pessoa afetada é informada das diligências e recebe uma descrição sucinta dos factos. Se a notificação puder facilitar a ocultação, destruição ou alteração de provas, o gestor pode alterar fundamentadamente o prazo até cessar esse risco.
Em caso algum é revelada à pessoa afetada a identidade do denunciante ou concedido acesso à comunicação. Para garantir a defesa, pode aceder ao processo sem informações que permitam identificar o denunciante, ser ouvida em qualquer momento e comparecer assistida por advogado. Deve manter a confidencialidade da informação a que aceda e abster-se de identificar o denunciante ou terceiros, sem prejuízo das obrigações de proteção de dados.
Conclusão
Concluídas as diligências, o responsável pelo Sistema envia à Direção-Geral da ENTIDADE um relatório com, pelo menos:
a) Os factos comunicados, o número do processo, a data de registo e a data da decisão de admissão.
b) As diligências efetuadas para verificar a verosimilhança dos factos, incluindo pelo menos um resumo das alegações da pessoa afetada, eventual entrevista, documentos apresentados ou obtidos através de terceiros e demais informações em que se baseia a decisão.
c) As conclusões da instrução e a avaliação das diligências e dos indícios que as sustentam.
d) As decisões adotadas.
O relatório é também notificado à pessoa afetada e ao denunciante, se identificado e se não tiver renunciado à comunicação com o responsável pelo Sistema.
As diligências e a eventual resposta ao denunciante devem ser concluídas em três meses a contar da entrada no registo do Sistema de Gestão da Informação, sem prejuízo da prorrogação prevista no artigo 9.º da Lei 2/2023.