Principais questões de governação, conformidade e relacionadas com o trabalho no âmbito dos sistemas de informação internos Recomendação 1/2026

Lançamento do formulário 

Em conformidade com as disposições do art. 8 da Lei 2/2023 de 20 de fevereiro, a Autoridade Independente para a Proteção do Informador lançou o formulário para a comunicação das Pessoas Responsáveis pelos Sistemas de Informação Interna.

Assim, tal como previsto no Real Decreto 1101/2024, de 29 de outubro, que aprovou o Estatuto da Autoridade, as entidades obrigadas do sector privado e público têm agora um período de dois meses para notificar a Autoridade da pessoa responsável por cada sistema de informação interno.

• Ligação ao formulário: https: //sede.proteccioninformante.gob.es/login/index/idp/1

Juntamente com o formulário, a Autoridade também fornece às partes interessadas um Manual para o preenchimento do formulário de comunicação RSII, bem como um endereço de correio eletrónico para comunicar eventuais incidentes na comunicação do Responsável pelo Tratamento.

• Ligação para o Manual: https: //sede.proteccioninformante.gob.es/procedimientos/index/categoria/1
• Endereço de correio eletrónico de incidentes: incidenciasformulario@proteccioninformante.es

Recomendações da Autoridade Independente para a Proteção dos Denunciantes

Em 16 de janeiro de 2026, a Autoridade Independente para a Proteção dos Denunciantes (AINPI) publicou também recentemente as suas três primeiras Recomendações sobre os sistemas de informação internos regulados pela Lei n.º 2/2023, de 20 de fevereiro, uma de carácter geral, aplicável a todos os sistemas de informação internos do sector privado e público, e duas específicas para os Partidos Políticos e para a Administração Local.

De seguida, apresentamos os principais aspectos-chave da Recomendação geral, ou seja, a Recomendação 1/2026 da AINPI, nas perspectivas da governação, compliance e laboral.

Principais pontos-chave da Recomendação 1/2026 em matéria de governação

Em primeiro lugar, vale a pena destacar a contextualização que a AINPI faz do Sistema de Informação Interno, definindo-o como uma infraestrutura básica sobre a qual assenta a governação ética moderna. Neste sentido, sublinha em várias ocasiões a importância de a aprovação final e a responsabilidade última pela implementação do sistema caberem, em qualquer caso, ao órgão de direção da entidade.

Nesta perspetiva, a Recomendação salienta ainda três ideias fundamentais:

• A definição do Sistema de Informação Interno como uma infraestrutura de integridade que deve ser aprovada pelo órgão de direção da entidade ou equivalente.
• A necessidade de autonomia e independência da pessoa responsável pelo sistema em relação ao órgão de direção ou a outros executivos, reforçando assim os requisitos de liderança e responsabilidade desta função.
• O exercício da sua função com autonomia e independência, o que implica também a necessidade de garantir a inexistência de conflitos de interesses.

No caso dos grupos de empresas, embora se mantenha a possibilidade de estabelecer um sistema interno de informação comum para as entidades do grupo, a Recomendação sublinha que a existência de um sistema único não transforma o grupo numa única entidade obrigada, nem altera o carácter individual da obrigação prevista no artigo 10.

Na mesma linha, sublinha a importância de adaptar o sistema aos requisitos da legislação espanhola, independentemente de ser único para um grupo internacional: se o sistema utilizado pela sociedade-mãe não estiver configurado para cumprir estes requisitos, ou se a sua conceção o impedir de garantir a autonomia operacional da filial, a entidade espanhola não poderá utilizá-lo como SII válido para efeitos de cumprimento do artigo 10. Recorde-se que, para além das empresas com presença ou estabelecimento permanente em Espanha, as empresas do sector privado obrigadas incluem também sucursais, agentes ou mesmo aquelas que prestam serviços em Espanha sem estabelecimento permanente.

Além disso, em relação à figura do único responsável pelo RSI para o grupo de empresas, a Recomendação sublinha que esta não deve ser entendida como um assunto abstrato, mas que a mesma estrutura pessoal ou organizacional pode assumir o estatuto de responsável por várias empresas, designado e comunicado nos termos da lei. Cada empresa tem o seu próprio responsável, mas, neste caso, seria a mesma pessoa para as várias empresas do grupo. É necessário um acordo expresso da entidade obrigada que designa o RSII.

Principais elementos da Recomendação 1/2026 do ponto de vista da conformidade

Do ponto de vista da conformidade, destacam-se as seguintes ideias essenciais:

• Desenvolve o requisito de ter uma política ou estratégia que estabeleça os princípios gerais do sistema, passando a exigir a aprovação de um documento específico e formal (uma política), adequadamente divulgado, que inclua uma lista de garantias que assegurem que não sofrerá consequências negativas ou represálias por ter comunicado de boa fé.
• A Recomendação alarga o conteúdo do Procedimento de Gestão para incluir, para além do estipulado no artigo 9º da Lei, a regulamentação de cada uma das suas fases operacionais.
• Continuando com a figura do responsável pelo SII, a Recomendação, em relação aos órgãos colegiais, indica que, para serem operacionais, o número de membros não deve ser superior a cinco, devendo os poderes de gestão e tramitação dos processos de investigação ser sempre delegados num deles. Não será exigido que todos façam parte da organização, mas em qualquer caso, o órgão deve ter pelo menos um membro interno da entidade obrigada. O órgão colegial será responsável pelo sistema da referida entidade, independentemente da origem dos seus membros.
• No que respeita à receção de outras categorias de comunicações não previstas na Lei, a Recomendação introduz o seguinte esclarecimento: "O canal pode ser autorizado a receber outras comunicações, como, por exemplo, infracções ao código de conduta, acções que, sem constituírem crime ou contraordenação grave ou muito grave, envolvam ou encobrem acções fraudulentas, etc., mas deve ser claramente referido que estas estão fora do âmbito de proteção da Lei".
• Inclui a obrigação de o sistema funcionar através de uma plataforma segura e encriptada de ponta a ponta que impeça a identificação direta ou indireta do informador, com acesso estritamente restrito e rastreabilidade controlada, estendendo a confidencialidade não só à identidade das pessoas envolvidas, mas também ao conteúdo das comunicações e a quaisquer dados que possam ser inferidos, e impedindo ativamente a utilização indevida do sistema ou represálias de qualquer tipo.
• Um ponto controverso, devido à sua diferença em relação às disposições da própria Lei, é o que se refere ao duplo meio de receção das comunicações (verbais e escritas). A este respeito, como boa prática para maximizar a eficácia do canal, recomenda-se que este suporte ambos os métodos de entrada.

Principais elementos da Recomendação 1/2026 na perspetiva do emprego

Finalmente, do ponto de vista do emprego, destacam-se os seguintes aspectos:

• Estabelece-se a determinação dos critérios para o cálculo do limiar de cinquenta ou mais trabalhadores. Nestes casos, a Recomendação menciona o artigo 3.º do Real Decreto 901/2020, de 13 de fevereiro, que regula os Planos de Igualdade (independentemente do número de centros de trabalho ou do tipo de contrato de trabalho; cálculo de um trabalhador temporário por cada 100 dias; cálculo, pelo menos, no último dia de junho e dezembro, etc.), sendo também contabilizados para estes efeitos os teletrabalhadores que prestam serviços a partir do estrangeiro e os trabalhadores destacados no estrangeiro.
• Outro aspeto de especial interesse para as entidades obrigadas é o relativo aos canais de prevenção do assédio. A este respeito, a Recomendação indica que "Se a entidade tiver várias caixas de correio ou canais de reclamação sectoriais que recebam comunicações nos termos do artigo 2.º da Lei 2/2023 (por exemplo, assédio no local de trabalho, assédio sexual, etc.), todos eles devem convergir sob a supervisão do RSII", com o objetivo de oferecer uma "janela única" para a receção de tais informações e a aplicação uniforme das garantias legais (confidencialidade, segurança, informação ao informador, prazos, etc.). Além disso, o procedimento de gestão deve prever a referência expressa a todos os canais que compõem o sistema interno de informação, incluindo o canal que pode ser regulamentado no protocolo de prevenção do assédio.
• Do mesmo modo, a implementação dos requisitos e novidades já referidos nesta Nota traz consigo, como consequência ou recomendação adicional, a necessidade de formação do pessoal sobre a utilização do canal, como elemento fundamental da verificação básica para a conceção e implementação de um sistema de informação interno.

Lista de verificação básica para a conceção e implementação do Sistema de Informação Interno

Em conclusão, a Recomendação 1/2026 fornece uma lista de verificação básica para a conceção e implementação de um sistema de informação interno que consiste nos seguintes elementos essenciais:

• Consulta prévia da representação sindical.
• Acordo do órgão de direção que aprova o sistema e a política.
• Designação formal do gestor do sistema (RSII).
• Notificação da nomeação ao AIPI/Autoridade Autónoma.
• Implementação técnica do Canal (Software/Caixa de Correio Segura).
• Aprovação do Procedimento de Gestão da Informação.
• Publicidade do canal no sítio Web (visível e de fácil acesso).
• Formação do pessoal sobre a utilização do canal.

Ligação para as recomendações acima referidas: https://www.proteccioninformante.gob.es/circulares-recomendaciones-y-guias

Nota informativa redigida pela área de Governação e Conformidade e de Trabalho da ECIJA Madrid.