En los últimos meses han surgido dudas entre entidades públicas y privadas respecto a qué autoridad deben notificar el nombramiento del Responsable del Sistema Interno de Información (RSII) según exige la Ley 2/2023. La publicación de nuevos criterios por parte de la AIPI y la OAC ha generado interpretaciones divergentes que afectan especialmente a entidades con actividad en varias comunidades autónomas.

Marco normativo aplicable

La Ley 2/2023 establece las obligaciones de disponer de un Sistema Interno de Información y de comunicar el nombramiento y cese del RSII. El artículo 10 determina la autoridad competente en función del ámbito territorial, y el artículo 8 regula la independencia y funciones del RSII. Este marco sirve de base para interpretar qué autoridad debe recibir la notificación.

Criterio de la Oficina Antifraude de Cataluña (OAC)

La OAC sostiene que la notificación debe realizarse únicamente a la autoridad del lugar donde la empresa tenga su domicilio social, de acuerdo con la legislación mercantil, al considerar que es allí donde se ubica el centro de administración y dirección efectiva. Por ello, las empresas con domicilio en Cataluña deben notificar solo a la OAC, aunque operen en otras comunidades. Además, aclara que, si ya se notificó ante la OAC, no se debe repetir la comunicación ante otras autoridades.

El Criterio de la Autoridad Independiente de Protección del Informante (AIPI) 

La AIPI, en su guía más reciente de preguntas frecuentes, adopta una posición expresa respecto de las entidades del sector privado, al afirmar que el domicilio social resulta irrelevante a efectos de la aplicación de la Directiva (UE) 2019/19373.

No obstante, en coherencia con sus guías anteriores, la AIPI introduce esta afirmación de forma explícita que en versión previas, aunque venía manteniendo el criterio basado en la presencia territorial de la entidad, según el cual deben notificar ante la autoridad estatal aquellas con establecimientos en más de una Comunidad o aquellas ubicadas en una Comunidad que no disponga de autoridad competente4.

Para definir “establecimiento”, recurre a la Directiva 2006/123/CE5, que incluye cualquier infraestructura estable en la que se realice actividad económica de manera continua.

Este criterio, tanto en la nueva guía como en las versiones precedentes, evidencia que la AIPI continúa ajustando su postura interpretativa y que persiste el conflicto con el criterio del domicilio social adoptado por la OAC.

La confusión en la práctica

La coexistencia de ambos criterios genera incertidumbre. Por ejemplo, una empresa con domicilio social en Cataluña y centros de trabajo en Madrid u otras comunidades no sabe si debe notificar a la OAC, a la AIPI o a ambas. Bajo el criterio de la OAC, solo corresponde la notificación autonómica; bajo el criterio de la AIPI, la empresa estaría obligada a notificar a la autoridad estatal. Esta situación también afecta a empresas con múltiples centros fuera de Cataluña, como en Valencia, Navarra, Madrid, etc.

El incumplimiento de la obligación de notificar puede derivar en sanciones, lo que genera preocupación entre las empresas debido al potencial impacto legal y económico. La incertidumbre derivada de la falta de criterios unificados incrementa este riesgo.

Recomendación respecto a esta confusión de criterios

Ante la divergencia interpretativa y en ausencia de un criterio único, la recomendación más prudente es realizar una doble notificación, tanto a la OAC y a la AIPI, para las empresas con domicilio social en Cataluña y presencia estable en otras comunidades. Aunque supone un trámite adicional, es la opción más garantista para evitar posibles sanciones y asegurar el cumplimiento normativo frente a ambas interpretaciones.