Ativação do formulário oficial AIPD: prazo de dois meses para notificar o responsável pelo canal de denúncias

Em 1 de setembro de 2025, a Autoridade Independente para a Proteção dos Denunciantes (AINPI) iniciou oficialmente as suas actividades. Desde então, existe a obrigação legal de comunicar a esta autoridade quem é o responsável pelo Sistema de Informação Interno em cada organização sujeita ao regulamento.

No entanto, em 8 de outubro de 2025, a AINPI emitiu uma nota informativa esclarecendo que o prazo de dois meses para efetuar esta notificação só começaria a contar quando o formulário oficial estivesse disponível na plataforma eletrónica.

Esse momento chegou e hoje, segunda-feira, 9 de fevereiro de 2026, o formulário já está operacional e acessível em https://sede.proteccioninformante.gob.es, o que significa que o prazo de notificação de dois meses começa agora.

Quem é obrigado a comunicar esta nomeação?

Em primeiro lugar, todas as entidades do sector público, sem exceção. No sector privado, a obrigação recai sobre as empresas com cinquenta ou mais trabalhadores. Além disso, determinados sectores considerados estratégicos ou regulamentados (como o financeiro, a prevenção do branqueamento de capitais, os transportes, o ambiente, a saúde ou a proteção de dados) devem cumprir esta obrigação independentemente do número de trabalhadores que tenham.

Um ponto importante a ter em conta é que as entidades que anteriormente comunicavam através de correio eletrónico devem agora fazê-lo também através do formulário oficial, uma vez que a notificação inicial por correio eletrónico não tem efeito legal pleno e deve, portanto, ser formalizada através do canal oficial disponível.

O responsável pelo Sistema de Informação Interno desempenha um papel central em todo o mecanismo do canal de denúncia. As suas principais funções incluem receber e registar devidamente as comunicações, acusar a sua receção num prazo máximo de sete dias, manter o denunciante informado sobre o estado da sua comunicação num prazo máximo de três meses, garantir sempre a confidencialidade absoluta da identidade do denunciante e, claro, assegurar que não existem represálias contra a pessoa que fez a comunicação.

Relativamente aos prazos, tal como indicámos, existe um prazo extraordinário de dois meses a contar da ativação do formulário, que tem início a 9 de fevereiro de 2026. Este prazo extraordinário aplica-se a todas as entidades que já tinham designado a sua pessoa responsável antes de o formulário estar disponível. Decorrido este prazo, entra em vigor o regime ordinário, que obriga a que qualquer nova designação ou cessação seja comunicada no prazo de dez dias úteis a contar da sua ocorrência.

As consequências do incumprimento são significativas. Não comunicar a nomeação ou cessação da pessoa responsável constitui uma infração grave, penalizada para as pessoas colectivas com coimas que podem ir de 10.001€ a 600.000€. Mais grave ainda é não dispor de um Sistema de Informação Interno quando este é obrigatório: neste caso, estamos perante uma infração muito grave, com coimas que podem atingir um milhão de euros.

Mas não é tudo. Para além destas sanções económicas, podem existir sanções adicionais com um impacto considerável, como a repreensão pública da entidade, a proibição de obter subsídios públicos até quatro anos, a impossibilidade de contratar com o sector público durante três anos e até a publicação da sanção no Boletim Oficial do Estado.

Para além do domínio administrativo, não podemos esquecer outras consequências indirectas, mas igualmente graves, como os evidentes danos à reputação, a potencial responsabilidade civil decorrente de eventuais represálias contra os denunciantes, as dificuldades em demonstrar a isenção de responsabilidade penal da pessoa colectiva ao abrigo do artigo 31.º-A do Código Penal ou a perda de certificações de conformidade.

É por esta razão que, se a sua organização ainda não o fez, deve primeiro verificar se a nomeação da pessoa responsável foi devidamente formalizada através de uma resolução do órgão competente da organização.

Em seguida, deve aceder à sede eletrónica (seja com um certificado digital, um identificador eletrónico ou o sistema Cl@ve) e preencher o formulário oficial. Uma vez preenchido, é essencial que guarde o comprovativo eletrónico que demonstra que o formulário foi entregue. Ao mesmo tempo, é aconselhável informar todo o pessoal sobre a existência do canal e a identidade da pessoa responsável pela sua gestão.

Por último, é altamente recomendável aproveitar esta oportunidade para garantir que o sistema cumpre todos os requisitos adicionais da regulamentação aplicável: acessibilidade web, confidencialidade, possibilidade de denúncias anónimas, cumprimento dos prazos estabelecidos, formação do pessoal envolvido e existência de um procedimento documentado.

Em suma, as entidades afectadas têm dois meses para agir e não é aconselhável atrasar este processo. A nomeação e comunicação do responsável pelo canal de denúncias não é uma mera formalidade burocrática, mas uma parte fundamental do sistema de proteção dos denunciantes e de prevenção de condutas ilegais nas organizações.

Por esta razão, na ECIJA insistimos na conveniência de efetuar esta comunicação o mais rapidamente possível, evitando assim tanto as sanções económicas como outras consequências negativas que possam advir do seu incumprimento.

Nota informativa elaborada pelo Departamento de Compliance da ECIJA Madrid.