BOLETÍN OFICIAL DEL ESTADO
Martes 21 de febrero de 2023

Sec. I. Pág. 26157

2. El Sistema interno de información, en cualquiera de sus fórmulas de gestión,
deberá:
a) Permitir a todas las personas referidas en el artículo 3 comunicar información
sobre las infracciones previstas en el artículo 2.
b) Estar diseñado, establecido y gestionado de una forma segura, de modo que se
garantice la confidencialidad de la identidad del informante y de cualquier tercero
mencionado en la comunicación, y de las actuaciones que se desarrollen en la gestión y
tramitación de la misma, así como la protección de datos, impidiendo el acceso de
personal no autorizado.
c) Permitir la presentación de comunicaciones por escrito o verbalmente, o de
ambos modos.
d) Integrar los distintos canales internos de información que pudieran establecerse
dentro de la entidad.
e) Garantizar que las comunicaciones presentadas puedan tratarse de manera
efectiva dentro de la correspondiente entidad u organismo con el objetivo de que el
primero en conocer la posible irregularidad sea la propia entidad u organismo.
f) Ser independientes y aparecer diferenciados respecto de los sistemas internos de
información de otras entidades u organismos, sin perjuicio de lo establecido en los
artículos 12 y 14.
g) Contar con un responsable del sistema en los términos previstos en el artículo 8.
h) Contar con una política o estrategia que enuncie los principios generales en
materia de Sistemas interno de información y defensa del informante y que sea
debidamente publicitada en el seno de la entidad u organismo.
i) Contar con un procedimiento de gestión de las informaciones recibidas.
j) Establecer las garantías para la protección de los informantes en el ámbito de la
propia entidad u organismo, respetando, en todo caso, lo dispuesto en el artículo 9.
Artículo 6. Gestión del Sistema interno de información por tercero externo.
1. La gestión del Sistema interno de información se podrá llevar a cabo dentro de la
propia entidad u organismo o acudiendo a un tercero externo, en los términos previstos
en esta ley. A estos efectos, se considera gestión del Sistema la recepción de
informaciones.
2. La gestión del sistema por un tercero externo exigirá en todo caso que este
ofrezca garantías adecuadas de respeto de la independencia, la confidencialidad, la
protección de datos y el secreto de las comunicaciones.
La existencia de corresponsables del tratamiento de datos personales requiere la
previa suscripción del acuerdo regulado en el artículo 26 del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento
General de Protección de Datos), y en la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales.
3. La gestión del Sistema interno de información por un tercero no podrá suponer
un menoscabo de las garantías y requisitos que para dicho sistema establece esta ley ni
una atribución de la responsabilidad sobre el mismo en persona distinta del Responsable
del Sistema previsto en el artículo 8.
4. El tercero externo que gestione el Sistema tendrá la consideración de encargado
del tratamiento a efectos de la legislación sobre protección de datos personales. El
tratamiento se regirá por el acto o contrato al que se refiere el artículo 28.3 del
Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril
de 2016.

cve: BOE-A-2023-4513
Verificable en https://www.boe.es

Núm. 44