El llamado “whistleblowing” ya está aquí.
En virtud de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, se obliga a las empresas a implantar un sistema de información y de garantía de la protección de los informantes de infracciones penales y administrativas graves o muy graves, en el ámbito del derecho comunitario. Esta Ley se encarga de transponer la Directiva 1937/2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, también conocida como “Directiva Whistleblowing”.
Una vez publicada ya en el BOE, entrará en vigor a partir del 13 de marzo de 2023. A partir de este momento, se obligará a las empresas que tengan más de 50 empleados a que cuenten con un canal de denuncias (un buzón de correo electrónico o página web, por ejemplo) y a gestionar todas las comunicaciones que les entren por esta vía. El periodo de adaptación se prevé de 3 meses para las empresas grandes con más de 249 trabajadores (hasta el 13 de junio) y hasta el 1 de diciembre de 2023 para las medianas que tengan entre 50 y 249 trabajadores o las que se ubiquen en municipios de 10.000 habitantes.
Esta nueva obligación se suma a los actuales protocolos, planes, códigos y procedimientos de los que disponen las empresas y que deben implantar en relación con sus plantillas de trabajadores para proteger y garantizar cuestiones tales como: la igualdad, la desconexión digital, el trabajo a distancia, la protección ante el acoso y la violencia sexual por razón de género, entre otros.
Para poder ser objeto de esta especial protección con relación a las informaciones y comunicaciones sobre infracciones de derecho comunitario, así como sobre infracciones penales y administrativas graves o muy graves, se tienen que haber llevado a cabo con buena fe y honestidad, existiendo motivos razonables de veracidad de la posible infracción y se deberá encontrar enmarcada dentro del ámbito de protección de la Ley 2/2023.
Esta Ley se encarga de proteger a, entre otros: personas trabajadoras; autónomos; accionistas; partícipes; miembros del órgano de administración; plantilla de contratistas; subcontratistas y proveedores; becarios y trabajadores en periodos de formación con o sin retribución y la dirección o supervisión de una empresa. Asimismo, aparte de las figuras mencionadas, se protege: a las personas físicas que presten servicios en el mismo marco que la persona que informe sobre la comisión de las infracciones, compañeros de trabajo o familiares de la persona que informe sobre las infracciones y personas jurídicas para las que esta persona trabaje o con las que mantenga cualquier otra relación laboral en las que ostente una participación significativa.
El sistema a través del cual se tiene que comunicar esta situación no será único, es decir, las comunicaciones se podrán llevar a cabo a través: del canal interno de la empresa; de una plataforma web, red social, medio de comunicación… cuando los cauces internos o externos no hayan funcionado, cuando exista una amenaza inminente para el interés público, o cuando exista riesgo de represalias o de que no se produzca un tratamiento efectivo; y, por último, a través de un canal externo o Autoridad Independiente de Protección del Informante (AAI). Esta AAI se regula en virtud de la Ley 2/2023 y está sujeta al régimen jurídico de la Ley 40/2015 del Sector Público. La AAI es una autoridad administrativa independiente, con personalidad jurídica propia, plena capacidad de actuar de manera pública y privada, con potestad administrativa, consultiva y sancionadora. Se configura también como el canal de denuncias externo al que pueden acudir los denunciantes de corrupción, para denunciar delitos que se estén produciendo en el seno de su organización, empresa, partido político…, siempre que la infracción o delito denunciado afecta o produzca efectos en el ámbito territorial de más de una comunidad autónoma.
En el plazo de 7 días desde la recepción de la comunicación se deberá dar acuse de recibo al informante. El proceso de gestión e investigación de las comunicaciones no podrá ser superior a 3 meses, salvo casos que resulten de especial complejidad (en cuyo caso se podrá prorrogar otros 3 meses). El sistema deberá contar con un responsable, que deberá ser un directivo de la empresa nombrado por el órgano de administración, debiendo ejercer su cargo con independencia. Asimismo, podrá ostentar el cargo de responsable el “compliance officer” (o responsable del cumplimiento normativo).
Una vez que se recibe la comunicación, que podrá realizarse de forma anónima o con reserva de la identidad del informante, de forma escrita o verbal, el articulado de la norma aborda el trámite de admisión, en el que después de realizar un análisis preliminar, se decide sobre su admisión a trámite, inadmisión motivada, comunicación inmediata al Ministerio Fiscal en el caso de que se entienda que la conducta descrita puede ser constitutiva de delito o remisión, o remisión a otra Autoridad u Organismo que pueda resultar competente para tramitar la comunicación.
Un aspecto relevante en esta Ley 2/2023 es la protección de los datos de carácter personal, que se encuentra regulada en los artículos 29 a 34. El tratamiento de los datos personales dentro de estos canales de denuncia que se deben habilitar se considerará lícito cuando sea obligatorio disponer del sistema de información al ser necesario para el cumplimiento de una obligación legal (cuestión recogida y amparada por el art. 6.1.c) del Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el art. 8 de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales). El tratamiento también será válido cuando el sistema no sea obligatorio, pero de forma voluntaria se decida crear uno, al ser necesario para la satisfacción del interés público (cuestión también recogida por el art. 6.1.e) Reglamento (UE) 2016/679 y por el art. 8 Ley Orgánica 3/2018).
La protección al firmante se extenderá durante un periodo de 2 años. Estará protegido frente a las medidas que pudieran adaptarse como represalia por la información que haya sido revelada. En el caso de que pueda demostrar de forma razonable que ha sufrido una represalia corresponderá a la persona que haya tomado esta medida perjudicial probar que la medida se basó en motivos justificados ajenos a la comunicación. Los actos que sean constitutivos de represalias serán nulos y darán lugar a medidas disciplinarias o de responsabilidad (incluyendo indemnización por daños y perjuicios).
- RÉGIMEN SANCIONADOR
El ejercicio de la potestad sancionadora se llevará a cabo conforme a los principios y con sujeción a las reglas de procedimiento previstas en las leyes 40/2015 y 39/2015.
Como se ha adelantado en este artículo, el ejercicio de la acción sancionadora será llevado a cabo por la Autoridad Independiente de Protección al Informante y a los órganos competentes de las comunidades autónomas.
Serán consideraras infracciones muy graves, por ejemplo, no tener implantado el sistema o adoptar represalias contra los informantes, sancionable con multa de 30.001€ a 300.000€ para las personas físicas, y multa de entre 600.001€ y 1.000.000€ para las personas jurídicas.
Se contemplan acciones accesorias como la amonestación, la prohibición de obtener subvenciones u otros beneficios durante un plazo de 4 años, así como la prohibición de contratar con el sector público durante 3 años.
Las conclusiones que se pueden sacar de la redacción de esta nueva Ley es que se está produciendo un “tirón de orejas”, ya que en muchas ocasiones, aunque las empresas tengan un departamento de Recursos Humanos, no se encuentran capacitadas para investigar este tipo de denuncias o, en el caso de que sí lo estén, no se cumple debidamente con la investigación de estas cuestiones, por lo tanto, lo que se viene a exigir ahora es que el mero de hecho de tener un canal de comunicación no es suficiente, sino que se deberá gestionar de forma efectiva y eficiente, dando siempre respuesta.
Las dudas que pueden surgir irán encaminadas a cómo se interpretarán en la práctica ciertas disposiciones, sobre todo en relación con las elevadas sanciones que se prevén y cómo van a afectar. Resulta destacable el hecho de que, en nuestra Ley de Enjuiciamiento Criminal, más concretamente en su art. 259, se recoge una sanción de 250 pesetas en caso de no comunicar al Ministerio Fiscal la denuncia en el caso de que se prevea que los hechos pueden ser constitutivos de delito, cuestión que por cómo se encuentra recogida por la Ley 2/2023 parece que va a revestir una sanción bastante más gravosa. Por otro lado, si las empresas se ven obligadas a denunciar ante el Misterio Fiscal hechos de los que pueda resultar ser penalmente responsable se estaría viendo afectado su derecho constitucional a no auto inculparse. Para esta última cuestión, se podría plantear el acto de denuncia como un acto voluntario en vez de como un acto obligatorio, también con esto se estaría en la línea del sistema de eximentes o atenuantes para la persona jurídica recogido en nuestro Código Penal en forma de exención de la pena (art. 31.bis 2 y 4) o de circunstancias de confesión y colaboración con la investigación (art. 31 quarter) parten de la premisa de su actuación voluntaria.
El tiempo decidirá el nivel de cumplimiento y, en especial, la efectividad real de esta nueva ley.
