Preguntas frecuentes

• No encuentro la clave de acceso al área de seguimiento que se me facilitó, ¿cómo puedo recuperarla?

  Por motivos de seguridad y confidencialidad, solo es posible recuperarla si la comunicación se realizó de forma identificada, facilitando una dirección de correo electrónico. En ese caso se remitiría un e-mail en el que se habilitará la restauración de contraseña.

  En caso de que se hubiera realizado de forma anónima, deberás enviarnos una nueva comunicación en la que nos indiques lo ocurrido para que sepamos que se trata del mismo asunto y obtendrás así una nueva clave de acceso que nosotros internamente referenciaremos a tu anterior comunicación.

• Acabo de remitir por el canal electrónico una información, ¿Cuánto tiempo tendré que esperar para saber el resultado?

  Tras analizar tu comunicación te notificaremos cuál va a ser el camino a seguir. Si se inicia una investigación, te notificaremos la fecha prevista de finalización. Esta será como máximo 3 meses a partir de tu comunicación o 6 meses si la investigación es compleja. Al finalizar la investigación recibirás el resultado. 

• ¿Por qué debería denunciar algo?

  Porque tu información nos permite detectar y eliminar cualquier conducta indeseada y contraria a los objetivos de integridad y cumplimiento de BEAZ.

• ¿Seré identificada/o si presento una denuncia?

  NO. En ningún caso se te va a exigir identificarte para enviarnos la información. Puedes hacerlo de forma anónima, y si decidieras facilitarnos tus datos éstos sólo los conocerán las personas gestoras del sistema y no se facilitará en ningún caso a las persona o personas afectadas.

• ¿Puedo presentar una denuncia por represalias?

  SI. Si hubieras sufrido represalias por haber realizado una comunicación, podría constituir una infracción administrativa muy grave según la LPI por lo que puedes denunciarlo tanto a través de nuestros canales internos, como directamente al canal externo de la Autoridad Independiente (ver información sobre el canal externo en la web).

• ¿Cómo se presentan y tramitan las comunicaciones de información en el sistema interno de información de BEAZ? ¿Qué derechos tienes en protección de datos?

  El Sistema interno de información de BEAZ permite presentar y tramitar las comunicaciones de información. Estas comunicaciones pueden ser:

  Anónimas: son las que aseguran que no se conozcan el nombre y los datos de la persona informante (Ley 2/2023, art.33.7)

  Identificativas: la persona informante aporta sus datos personales como nombre, apellidos, número documento de identidad y correo electrónico. La persona informante tiene derecho a:

  • Que su identidad no se dé a conocer a terceras personas (Ley 2/2023, art. 33.1). Solo se dará a conocer en los accesos y comunicaciones que permite esa Ley.
  • Que sus datos personales se traten cumpliendo la normativa de protección de datos y de seguridad de la información:
    • Reglamento General de Protección de Datos (RGPD) de la Unión Europea 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.
    • Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
    • Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. 
    • Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
    • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  • Ejercitar sus derechos en protección de datos personales (RGPD, art. 15 a 22).
  • Recibir información sobre protección de datos (RGPD, art.13 y 14). La información es la siguiente:
    • Nombre y datos de contacto de la persona responsable del tratamiento.
    • Datos de contacto de la persona delegada de protección de datos.
    • Fines a los que se destina el tratamiento de datos personales y su base jurídica.
    • Categorías de personas destinatarias de los datos personales, en su caso.
    • Plazo durante el que se conservarán los datos personales o los criterios para establecerlo cuando no sea posible.
    • Sobre el derecho de la persona interesada a solicitar a la responsable del tratamiento el acceso a los datos personales y otros derechos que le reconoce la normativa de protección de datos.
    • Sobre el derecho a presentar una reclamación ante una autoridad de control.
    • Categorías (tipos) de datos personales de que se trate.
    • Fuente de la que proceden los datos personales.

• ¿Dónde y cómo se ejercen los derechos de protección de datos?

  Las personas interesadas podrán ejercer sus derechos de protección de datos según el tratamiento de datos realizado (RGPD art. 15 a 22). Si la persona a la que se refiere en la comunicación se opone al tratamiento de sus datos personales (RGPD art. 21 prevalecerá el tratamiento de sus datos personales, salvo que haya pruebas de lo contrario.

  La persona interesada puede ejercer sus derechos de protección de datos enviando un escrito al domicilio social de BEAZ o en caso de que estuviera habilitada, en la sede electrónica de BEAZ.

  La persona interesada también tiene derecho a reclamar ante la autoridad de control pertinente.

• ¿Qué nos habilita a tratar los datos personales?

  BEAZ tratará los datos personales que sean necesarios para gestionar su sistema interno de información. Para ello, seguirá estas normas:

  • Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).
  • Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
  • Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.
  • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS). 
  • Título VI de la Ley 2/2023, de 20 de febrero, que regula la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (LPI). 

  Para gestionar las comunicaciones recibidas, no es necesario tratar los datos personales de categoría especial (RGPD, art. 9.1). Por ello, cuando los datos personales son de categoría especial, su tratamiento puede:

  • Regla general:

    Considerarse no necesario: los datos personales se eliminarán de manera inmediata sin registrarlos y tratarlos. 

  • Examinada la comunicación:
    • Considerarse necesario: para el tratamiento se cumplirá la letra g) del artículo 9.2. del RGPD: el tratamiento es necesario por un interés público esencial, sobre la base del derecho de la Unión Europea o de los estados miembros. Ese interés debe:
      • ser proporcional al objetivo
      • respetar en lo esencial el derecho a la protección de datos
      • establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales de la persona interesada.

• ¿Quién es la persona responsable del tratamiento de los datos personales? ¿Cómo se asegura que las solicitudes se gestionan de manera adecuada en este ámbito?

  El órgano de administración de BEAZes el órgano responsable de crear el Sistema interno de información y es responsable del tratamiento de los datos personales.

  El órgano de administración de BEAZ en calidad de responsable de la implantación del sistema interno de información y responsable del tratamiento, atribuye al Órgano responsable del sistema interno de información (ORSII), la condición de Responsable del Sistema interno de información .

  El ORSII tendrá como funciones la gestión y resolución de solicitudes de derechos de protección de datos y presentación de alegaciones ante la Agencia Vasca de Protección de Datos cuando haya posibles violaciones de seguridad y denuncias. De esta manera, se agilizará la gestión de las solicitudes de la persona interesada y la comunicación con las autoridades y organismos de control. 

• ¿Qué personas pueden acceder a los datos personales contenidos en el sistema interno de información?, ¿Se comunican a terceras personas?

  Acceso a los datos:

  A los datos que están en el sistema interno de información solo podrán acceder:

  • Personas que forman parte del órgano responsable del SII (ORSII) y la persona física en quien este delega las facultades de gestión del sistema interno de información y de tramitación de expedientes de investigación.
  • La persona delegada de la protección de datos de BEAZ.
  • La persona responsable de recursos humanos, solo cuando se deben tomar medidas disciplinarias contra personas empleadas de la Diputación Foral de Bizkaia.
  • La persona responsable de los Servicios Jurídicos, si es necesario tomar medidas legales sobre los hechos que se comunican.
  • Personas encargadas del tratamiento designadas en cada caso.

  El aplicativo del sistema interno de información cuenta con un libro-registro de las informaciones recibidas y sus investigaciones correspondientes (cumpliendo con los requisitos previstos en la LPI). Su acceso no es público. Solo podrá accederse a un registro o parte de un registro, dentro de un procedimiento judicial, bajo tutela de la Autoridad judicial competente y mediante un auto de dicha autoridad.

  Cuando una comunicación tiene datos personales, la persona que presenta la comunicación tiene derecho a que su identidad no se revele a terceras personas. Sólo se podrá revelar cuando lo autorice la Ley 2/2023, de 20 de febrero, que regula la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

  Comunicación de datos: 

  Se podrán comunicar a terceras personas los datos personales que hay en el sistema interno de información cuando sea necesario para tomar medidas correctoras en la Diputación Foral de Bizkaia o tramitar procedimientos sancionadores o penales.

  El sistema interno de información permitirá presentar comunicaciones de forma anónima. 

  Cuando la persona informante revela su identidad, la identidad solo se podrá comunicar a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente para una investigación penal, disciplinaria o sancionadora. En este caso, se salvaguardarán todos los datos que da la persona informante según las normas. 

  Antes de revelar su identidad, se le comunicará a la persona informante, solo si así no se compromete la investigación o el procedimiento judicial. Para ello, la autoridad competente le enviará un escrito explicando por qué se revelan los datos confidenciales.

• ¿Durante cuánto tiempo se conservan los datos personales?

  Durante el tiempo necesario y proporcionado, en cumplimiento de la Ley 2/2023. 

  • Los datos se conservarán hasta que se decida iniciar la investigación.
  • Los datos se suprimirán si pasados 3 meses desde la comunicación, no se inicia la investigación. Solo se podrán conservar si es necesario para el funcionamiento del sistema. En los casos muy complejos, se podrán conservar los datos otros 3 meses  como máximo. 
  • Los datos se eliminarán:
    • Si no son necesarios para la investigación. También los datos de categoría especial que no se tratarán para la investigación. 
    • Si comunican conductas que no aparecen en la LPI. 
    • Si se acredita que no son veraces.
    • Si la no veracidad supone un delito penal, entonces se guardarán durante el tiempo que dure el procedimiento judicial.
  • Los datos del libro-registro de informaciones recibidas e investigaciones internas nunca se conservarán por un periodo superior a 10 años.

• ¿Qué medidas de seguridad aplica BEAZ para proteger la confidencialidad de mis datos personales?

  BEAZ aplica las medidas de seguridad del Anexo II Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

• ¿Se ha realizado una Evaluación de Impacto de Datos Personales (EIPD)? ¿Qué es?

  El órgano de administración de BEAZ como responsable de tratamiento de datos ha hecho una Evaluación de Impacto en Protección de Datos (EIPD), antes de tratar los datos personales (RGPD, art.35). La razón es que el tratamiento de datos personales puede implicar un alto riesgo para los derechos y libertades de las personas interesadas.

  La EIPD ha permitido:

  • Valorar la idoneidad y reforzar las garantías y medidas de seguridad de los tratamientos de datos para gestionar el sistema interno de información.
  • Asumir el nivel de riesgo que no se trata con las medidas de seguridad técnicas y de organización disponibles para que el sistema interno de información se apruebe, según el artículo 35 del RGPD y cumpliendo el plazo de 3 meses de la disposición transitoria segunda de la LPI.

  Para realizar la EIPD se ha procedido a:

  • Describir las operaciones y fines del tratamiento previsto: análisis de datos e identificadores de las personas y operaciones a realizar que se recogerán en el sistema interno de información.
  • Evaluar si las operaciones de tratamiento de los datos e identificadores son necesarias y proporcionadas a los fines para los que vayan a ser recogidos.
  • Identificar los riesgos de las operaciones de tratamiento para las personas interesadas e incluir medidas y garantías para eliminarlos; en especial las dirigidas a minimizarlos (RGPD, art. 25.2) mediante el pseudónimo o el cifrado de datos cuando fuera necesario (RGPD, art. 32.1). Todo ello cumpliendo también con el resto de obligaciones de la normativa de protección de datos (RGPD y LODGDD ) y de sectorial que fuera de aplicación.