GESTÃO DO SISTEMA DE INFORMAÇÃO INTERNO SISTEMA DE INFORMAÇÃO INTERNA

ÍNDICE

1. OBJECTIVO
2. NORMAS DE REFERÊNCIA E LEGISLAÇÃO
3. ÂMBITO DE APLICAÇÃO
4. DEFINIÇÕES
5. DIREITOS E GARANTIAS DOS INFORMADORES
6. OBRIGAÇÕES DOS INFORMADORES
7. DIREITOS DE TERCEIROS
8. DIREITOS DAS PESSOAS AFECTADAS
9. A PESSOA RESPONSÁVEL PELO SISTEMA DE INFORMAÇÃO INTERNO
10. ACESSO A DADOS PESSOAIS NO SISTEMA DE INFORMAÇÃO INTERNO
11. PRAZOS PROCESSUAIS
12. PROTECÇÃO DE DADOS PESSOAIS
13. PROCEDIMENTO

1. OBJECTIVO

O procedimento de gestão do Sistema de Informação Interno tem como objetivo regular os actos e procedimentos realizados pela TABLEROS HISPANOS S.L.U. (doravante “A EMPRESA”) em consequência da comunicação de informações a que se refere a Lei 2/2023, de 20 de fevereiro, que regula a proteção das pessoas que denunciam infracções regulamentares e a luta contra a corrupção (doravante, Lei 2/2023).

2. LEGISLAÇÃO E LEGISLAÇÃO DE REFERÊNCIA

• Lei 2/2023, de 20 de fevereiro, relativa à proteção das pessoas que denunciam infracções regulamentares e à luta contra a corrupção, que transpõe a Diretiva 2019/1937 do Parlamento Europeu e do Conselho, de 23 de outubro de 2019, relativa à proteção das pessoas que denunciam violações do direito da União.
• Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais (Regulamento Geral sobre a Proteção de Dados ou RGPD).
• Lei Orgânica 3/2018, de 5 de dezembro, sobre a proteção de dados pessoais e garantia dos direitos digitais (LOPD GDD).

3. ÂMBITO DE APLICAÇÃO

Este regulamento aplica-se a todo o âmbito de atuação da EMPRESA e o seu conteúdo decorre das orientações mais gerais definidas na Política de Segurança da Informação da entidade.

É obrigatório para todo o pessoal que, de forma permanente ou temporária, presta serviços à EMPRESA, incluindo o pessoal de fornecedores externos quando estes são utilizadores dos sistemas de informação da EMPRESA.

4. DEFINIÇÕES

Para efeitos do presente regulamento, entende-se por:

1.- Informador: pessoa singular ou colectiva que tenha obtido informações sobre infracções em contexto laboral ou profissional e que as comunique à EMPRESA, incluindo, em qualquer caso, as previstas nos nºs 1 e 2 do artigo 3º da Lei 2/2023.

Pessoa em causa: uma pessoa singular a quem o declarante atribui a prática das infracções referidas no artigo 2.º da Lei 2/2023. Consideram-se igualmente afectadas as pessoas que, sem terem sido objeto de informação por parte do informador, tenham tomado conhecimento, através dos actos de investigação do processo, da alegada prática, por essas pessoas, das infracções acima referidas.

3.- Terceiros: pessoas singulares que podem ter conhecimento de aspectos relacionados com a infração comunicada, quer como testemunhas directas ou indirectas, e que podem contribuir com informações para o processo.

4.- Sistema de Informação Interno: é o canal de informação estabelecido na EMPRESA para informar sobre as acções ou omissões previstas no artigo 2 da Lei 2/2023, com as funções e conteúdos estabelecidos no artigo 5.2 da referida lei. Inclui o Canal de Informação Interno e o Sistema de Gestão da Informação.

5.- Canal de Informação Interno: é o canal especificamente criado pela EMPRESA para receber informações relacionadas com o objeto do presente procedimento, sob a administração do responsável pelo Sistema de Informação Interno da EMPRESA.

6.- Sistema de Gestão de Informação: plataforma tecnológica integrada no Sistema de Informação Interno, que tem por finalidade manter, registar e conservar as ações que se realizam em resultado da apresentação de informação a que é aplicável a Lei 2/2023.

5. DIREITOS E GARANTIAS DOS AUTORES DE DENÚNCIAS

É garantido aos denunciantes o exercício efetivo dos seguintes direitos, sem prejuízo de quaisquer outros que lhes sejam conferidos pela Constituição e pela lei:

1. Apresentar informações de forma anónima e manter o anonimato durante o processo.
2. Fazer a comunicação oralmente ou por escrito. No caso de uma comunicação oral, o relator deve ter a oportunidade de verificar, retificar e aceitar, mediante assinatura, a transcrição da mensagem.
3. Indica um endereço, um endereço eletrónico ou um local seguro para receber comunicações do gestor de sistemas.
4. Comparecer perante o gestor do sistema ou o gestor delegado por sua própria iniciativa.
5. Renunciar ao direito de comunicar com o administrador do sistema ou com o gestor delegado responsável pelo procedimento e, se aplicável, revogar esta renúncia em qualquer altura.
6. Para a preservação da tua identidade. A identidade do informador não pode ser revelada sem o seu consentimento expresso a qualquer pessoa que não seja competente para receber e tratar queixas, com as excepções estabelecidas pela legislação da União Europeia ou pela regulamentação espanhola no âmbito de investigações levadas a cabo pelas autoridades ou no decurso de processos judiciais.
7. Para a proteção dos teus dados pessoais.
8. Conhecer a identidade do gestor delegado que executará o procedimento.
9. À confidencialidade das comunicações.
10. Às medidas de proteção e apoio nos termos da Lei 2/2023.
11. Apresentar uma queixa à Autoridade Independente para a Proteção dos Denunciantes.
12. Não ser objeto de represálias, mesmo que o resultado das investigações verifique que não houve violação da regulamentação aplicável ou do Código de Ética da EMPRESA, desde que não tenham agido de má fé.

6. OBRIGAÇÕES DOS REPÓRTERES

Os denunciantes estão sujeitos às seguintes obrigações no que respeita à apresentação das suas comunicações através do Canal de Denúncias Interno:

1. Ter indicações razoáveis ou suficientes quanto à exatidão das informações que comunicam e não podem fazer comunicações genéricas, de má fé ou com abuso de direito, caso em que poderão ser culpados de

responsabilidade civil, penal ou administrativa

1. Descreve o mais pormenorizadamente possível os factos ou comportamentos que relata, fornecendo toda a documentação disponível sobre a situação descrita ou provas objectivas que permitam obter provas.
2. Abstém-te de fazer comunicações com um objetivo diferente do previsto pelo Canal ou que violem os direitos fundamentais à honra, à imagem e à privacidade pessoal e familiar de terceiros ou que sejam contrárias à dignidade da pessoa.

7. DIREITOS DE TERCEIROS

São reconhecidos os seguintes direitos às pessoas consideradas terceiros no processo, sem prejuízo da possibilidade de lhes serem estendidas, na medida do possível, as medidas de apoio e proteção do informador previstas na Lei 2/2023.

1. Indicar um endereço, endereço eletrónico ou local seguro para receber comunicações dirigidas ao responsável pelo Sistema.
2. Comparecer perante o gestor do sistema ou o gestor delegado por sua própria iniciativa.
3. Para a preservação da tua identidade. A identidade do terceiro não pode ser revelada sem o seu consentimento expresso a qualquer pessoa que não seja competente para receber e tratar as queixas, com as excepções estabelecidas pela legislação da União Europeia ou pela regulamentação espanhola no contexto de investigações levadas a cabo pelas autoridades ou no decurso de processos judiciais.
4. Para a proteção dos teus dados pessoais.
5. À confidencialidade das comunicações.
6. Para não sofreres represálias.

8. DIREITOS DAS PESSOAS EM CAUSA

As pessoas afectadas têm os direitos reconhecidos pela Constituição e pelas leis, e o gestor do sistema tem a obrigação de garantir o respeito desses direitos. Em especial, gozam dos seguintes direitos:

1. Serem informados, o mais rapidamente possível, das informações que os afectam.
2. À honra e à privacidade
3. À presunção de inocência e à utilização de todos os meios de defesa legalmente válidos.
4. Seres assistido por um advogado.
5. Ter acesso ao processo contra si, sem prejuízo dos prazos que possam ser adoptados para garantir o resultado do processo.
6. Conhecer a identidade do gestor delegado que executará o procedimento.
7. À preservação da tua identidade perante qualquer pessoa exterior ao Gestor de Sistemas.
8. Para a proteção dos teus dados pessoais
9. Confidencialidade das comunicações

9. O RESPONSÁVEL PELO SISTEMA DE INFORMAÇÃO INTERNO

• O Gestor do Sistema é a pessoa ou órgão colegial referido no artigo 8.º da Lei 2/2023, que é nomeado pela Direção.
• O Gestor do Sistema, no exercício das suas competências, não pode receber instruções de qualquer outra área da EMPRESA, nem pode ser afastado do seu cargo por questões relacionadas com a sua participação no Sistema de Informação Interno. São independentes no exercício das suas funções e não estão sujeitos a qualquer hierarquia no seio do órgão colegial.

10. ACESSO AOS DADOS PESSOAIS NO SISTEMA DE INFORMAÇÃO INTERNO

O acesso aos dados pessoais do Sistema de Informação Interno pelo pessoal da EMPRESA limita-se, no âmbito das suas competências e funções e independentemente das responsabilidades profissionais das pessoas que, em última análise, fazem parte do órgão colegial responsável pelo Sistema, a:

1. O gestor do sistema ou a pessoa por ele delegada.
2. O Diretor de Gestão de Pessoas, quando podem ser tomadas medidas disciplinares contra um empregado da EMPRESA.
3. O responsável pelo Gabinete Jurídico, caso seja necessário intentar uma ação judicial relativamente aos factos descritos na comunicação.
4. As pessoas encarregadas do tratamento que podem ser nomeadas.
5. O Delegado para a Proteção de Dados da EMPRESA

O tratamento dos dados por outras pessoas, ou mesmo a sua comunicação a terceiros, é lícito quando for necessário para a adoção de medidas correctivas na entidade ou para o tratamento dos processos sancionatórios ou penais que, se for caso disso, possam ser aplicáveis.

11. PRAZOS DO PROCEDIMENTO

1. O prazo para a resolução das acções de investigação a que o procedimento de gestão da informação dá origem não pode ser superior a três meses, exceto em casos de especial complexidade, em que o gestor do sistema pode, fundamentadamente, decidir prorrogar este prazo até um máximo de mais três meses.

2. O cálculo do prazo referido na secção anterior começa a contar a partir da receção da comunicação pelo gestor do sistema ou, se não for enviado qualquer aviso de receção ao informador, a partir do termo do prazo de sete dias após a receção da comunicação.

Os prazos expressos em meses serão contados de data a data.

3. Os prazos em dias referidos na presente regra serão considerados dias úteis, exceto se forem expressamente indicados como dias de calendário.

Os sábados, domingos e feriados são excluídos do cálculo do período em dias úteis.

12. PROTECÇÃO DOS DADOS PESSOAIS

1. O tratamento dos dados pessoais decorrentes do processamento deste procedimento de gestão da informação será efectuado em conformidade com as disposições do Título VI da Lei 2/2023.

2. O sistema de informação interno deve impedir o acesso não autorizado e preservar a identidade e garantir a confidencialidade dos dados relativos às pessoas em causa e a quaisquer terceiros mencionados nas informações fornecidas, em especial a identidade do autor da denúncia, se este for identificado.

A identidade dos informadores só pode ser comunicada à autoridade judiciária, ao Ministério Público ou à autoridade administrativa competente no âmbito de um inquérito penal, disciplinar ou disciplinar, estando estes casos sujeitos às garantias previstas na regulamentação aplicável.

3. Se as informações recebidas contiverem categorias especiais de dados, devem ser imediatamente apagadas, a menos que o tratamento seja necessário por motivos de interesse público essencial, nos termos da alínea g) do n.º 2 do artigo 9.º do Regulamento Geral sobre a Proteção de Dados, conforme previsto no n.º 5 do artigo 30.º da Lei n.º 2/2023.

4. Os dados pessoais não devem ser recolhidos se não forem manifestamente relevantes para o tratamento de informações específicas ou, se recolhidos acidentalmente, devem ser apagados sem demora injustificada.

5. Em qualquer caso, se tiverem decorrido 3 meses desde a receção da comunicação e não tiver sido iniciada qualquer investigação, esta deve ser apagada, a menos que o objetivo do armazenamento seja deixar provas do funcionamento do sistema.

As comunicações que não tenham sido tratadas só podem ser registadas de forma anónima, sem que seja aplicável a obrigação de bloqueio prevista no artigo 32.º da Lei Orgânica n.º 3/2018, de 5 de dezembro, relativa à proteção dos dados pessoais e à garantia dos direitos digitais.

13. PROCEDIMENTO Fase de receção das informações

As informações sobre o cometimento de infracções referidas no artigo 2.1 da Lei 2/2023, bem como quaisquer outras informações derivadas do processamento deste procedimento, serão comunicadas por escrito ou verbalmente através dos meios electrónicos estabelecidos para o efeito no canal de informação interno disponibilizado no site da EMPRESA.

A pedido do declarante, pode também ser apresentado através de uma reunião presencial num prazo máximo de sete dias.

As comunicações verbais, incluindo as efectuadas através de reuniões presenciais, telefone ou sistema de mensagens de voz, devem ser documentadas de uma das seguintes formas, sob reserva do consentimento do informador:

1. através de uma gravação da conversa num formato seguro, duradouro e acessível, ou
2. através de uma transcrição completa e exacta da conversa feita pelo pessoal encarregado de a tratar.

Sem prejuízo dos seus direitos ao abrigo da regulamentação relativa à proteção dos dados pessoais, o informador deve ter a oportunidade de verificar, retificar e concordar com a transcrição da conversa, assinando-a.

Em qualquer caso, a comunicação deve conter, pelo menos, as seguintes informações:

• Identificação do autor da denúncia, a menos que este opte por uma denúncia anónima.
• Descrição dos factos e, se for caso disso, determinação da regra afetada.
• Identificação da(s) pessoa(s) em causa.
• Identifica, se for caso disso, os terceiros que possam fornecer informações relevantes.
• Se o direito de não comunicar com o Administrador do Sistema for exercido

O autor da denúncia pode indicar um endereço, um endereço eletrónico ou um local seguro para receber comunicações.

Uma vez recebida a comunicação, no prazo de sete dias de calendário a contar da sua receção, acusa-se a receção e comunica-se a justificação ao informador, a menos que não tenha sido fornecido qualquer meio de contacto ou que este exerça o direito de renunciar à comunicação com o gestor do sistema ou com o gestor delegado responsável pelo procedimento.

Fase de admissão

Uma vez registada a comunicação, o Gestor do Sistema deve verificar se esta enuncia factos ou condutas que se enquadram no âmbito subjetivo de aplicação previsto no artigo 3.º da Lei 2/2023 e, no prazo de dez dias úteis a contar da data de inscrição da informação no registo, pode:

1. Não admitir a comunicação, em qualquer dos seguintes casos:

• Quando os factos relatados não têm qualquer credibilidade
• Quando os factos relatados não constituem uma infração à lei no âmbito da Lei 2/2023.
• Se a comunicação for infundada ou se existirem motivos razoáveis para crer que foi obtida através da prática de uma infração. Neste último caso, para além da inadmissibilidade, é enviada ao Ministério Público uma exposição pormenorizada dos factos considerados como constitutivos de uma infração.
• Se a comunicação não contiver novas informações significativas sobre as infracções em relação a uma comunicação anterior relativamente à qual o processo relevante tenha sido concluído, a menos que existam novas circunstâncias que justifiquem um seguimento diferente.
• A rejeição será comunicada ao autor da denúncia no prazo de cinco dias úteis, exceto se a comunicação for anónima ou se o autor da denúncia tiver renunciado à receção das comunicações.

1. Admite a comunicação para processamento. O informador será notificado da admissão para tratamento no prazo de cinco dias úteis, a menos que a comunicação seja anónima ou que o informador tenha renunciado ao direito de receber comunicações.

1. Transmitir imediatamente a informação ao Ministério Público, quando os factos possam ser suspeitos de constituir uma infração, ou à Procuradoria Europeia, quando os factos afectem os interesses financeiros da União Europeia.

1. Encaminha a comunicação para a autoridade, entidade ou organismo considerado competente para a tratar.

Fase de pré-julgamento

A investigação incluirá todas as acções destinadas a verificar a plausibilidade dos factos comunicados.

O gestor delegado nomeado pelo gestor do sistema é considerado o instrutor do procedimento.

No prazo máximo de 15 dias a contar da decisão de admissão, a pessoa em causa é informada da existência do processo e dos factos sucintamente descritos, salvo se essa comunicação puder facilitar a ocultação, destruição ou alteração de provas, caso em que o gestor delegado pode, fundamentadamente, alterar esse prazo até que tais circunstâncias desapareçam.

Em caso algum a identidade do autor da comunicação será comunicada às pessoas em causa, nem será dado acesso à comunicação.

A fim de garantir os direitos de defesa da pessoa em causa, esta terá acesso ao processo sem revelar informações susceptíveis de identificar o informador e poderá ser ouvida em qualquer momento, sendo informada da possibilidade de ser assistida por um advogado.

A pessoa afetada tem o dever de manter a confidencialidade das informações a que tem acesso em virtude do acesso ao ficheiro, sendo proibida qualquer ação destinada a identificar o informador ou terceiros, sem prejuízo das obrigações decorrentes do cumprimento da regulamentação relativa à proteção dos dados pessoais.

Fase de conclusão

Uma vez concluídas as acções, o Gestor do Sistema emitirá um relatório que será enviado ao Diretor-Geral da ENTIDADE e que conterá, pelo menos

1. Uma exposição dos factos do processo, bem como o número do processo, a data de registo e a data da decisão de admissão.
2. As acções levadas a cabo para verificar a verosimilhança dos factos, que devem incluir, pelo menos e de forma sucinta, as alegações feitas pela pessoa afetada, incluindo a entrevista, se aplicável, a documentação fornecida por esta ou obtida pelo Gestor do Sistema através de terceiros e quaisquer outras informações em que se baseie a decisão adoptada.
3. As conclusões alcançadas no inquérito e a avaliação do processo e dos elementos de prova que as sustentam.
4. Toma decisões.

O relatório será igualmente notificado ao informador, na medida em que este esteja identificado e não tenha feito uso do direito de renunciar ao direito de comunicar com o Gestor do Sistema, e à pessoa em causa.

O prazo para concluir o processo e dar resposta ao informador, se for caso disso, não pode exceder três meses a contar da data de inscrição no registo do sistema de gestão da informação, sem prejuízo da prorrogação do prazo previsto no artigo 9.º da Lei n.º 2/2023.