Las carencias de la Ley Whistleblower y el deber de remitir las denuncias recibidas

El pasado 13 de marzo de 2023 entró en vigor la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta Ley nació con la finalidad de incorporar a nuestro ordenamiento interno el contenido de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

Su principal objetivo es el de proteger a aquellas personas que informen sobre vulneraciones del ordenamiento jurídico en el marco de una relación profesional[1]. A diferencia del legislador europeo, quien optó por referirse a dichas personas como “denunciantes”[2], nuestro legislador ha optado por llamarles “informantes”. En este sentido, la Ley 2/2023 emplea los términos “informaciones” o “comunicaciones” para referirse a lo que tradicionalmente se han llamado “denuncias internas”.

En su título segundo, la Ley 2/2023 establece el régimen normativo aplicable a los sistemas internos de información, los cuales deberán integrar los distintos canales internos de información (canales de denuncia) existentes en la empresa. El artículo 7 de la misma ley regula estos canales internos de información. Entre las exigencias que deben reunir los sistemas de información, se contempla en el artículo 5.2 i) de la Ley 2/2023 que deberán “contar con un procedimiento de gestión de las informaciones recibidas”. Los requisitos y contenido mínimo de estos procedimientos de gestión se encuentran contemplados en el artículo 9 de la referida norma. Entre ellos, se establece en el artículo 9.2 j) que los procedimientos de gestión de la información que se reciba a través de los canales internos de información tendrán que contemplar la “remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea”. Además, el incumplimiento de dicho deber parecería encontrar encaje dentro de las infracciones leves establecidas en el artículo 63.3 c), cuya sanción puede alcanzar hasta cien mil euros.

La ley establece que las empresas deberán contar con un procedimiento de gestión de las informaciones recibidas. (Foto: E&J)

Cambios respecto de la Directiva

La primera pregunta que uno se puede hacer es si este elemento esencial de los Procedimientos de Gestión se encontraba en la Directiva. La respuesta ha de ser negativa. La norma europea recogía en su artículo 9 el contenido mínimo de los procedimientos de denuncia interna [3] y entre ellos no se encontraba esta obligación. A la hora de transponer la Directiva, nuestro legislador optó por añadir obligaciones que no se encontraban en la misma, entre las cuales se encuentra la remisión obligatoria de información que pueda ser constitutiva de delito al Ministerio Fiscal. No hay referencia o justificación alguna en relación con la inclusión de esta obligación en el preámbulo de la Ley 2/2023. La única referencia relativa a la remisión de información de hechos que pudieran ser constitutivos de delito al Ministerio Fiscal se hace en relación con la gestión de denuncias realizada por la nueva Autoridad Independiente de Protección del Informante, la AAI.

La segunda cuestión que uno se plantea probablemente es qué impacto tiene esta obligación sobre nuestro ordenamiento penal preexistente. Se nos ocurren varias cuestiones que no obtienen respuesta en la Ley 2/2023 y que pueden suponer problemas en la práctica. Por razones de extensión de esta tribuna apuntaremos únicamente hacia alguna de ellas.

En primer lugar, cabe preguntarse sobre la compatibilidad del deber de remisión de información de hechos que pudieran ser constitutivos de delito al Ministerio Fiscal con el derecho a no autoincriminarse de las personas jurídicas cuando la denuncia recibida pueda generar responsabilidad penal para éstas. Como ha establecido la Sala Segunda del Tribunal Supremo en reiteradas ocasiones, los derechos y garantías constitucionales que protegen a los investigados persona física también son aplicables a las personas jurídicas. Asimismo, la jurisprudencia del Tribunal Europeo de Derechos Humanos (TEDH) ha considerado contraria al Convenio Europeo de Derechos Humanos la obtención coercitiva de elementos incriminatorios y su posterior empleo para fundamentar una condena penal. Autodenunciarse, bajo apercibimiento de multa de hasta 100.000 euros, podría llegar a considerarse como una vulneración de este derecho fundamental.

En segundo lugar, la creación del deber recogido en el artículo 9.2 j) de la Ley 2/2023 choca de frente con el régimen existente en nuestra normativa penal en relación con las autodenuncias. La autodenuncia o confesión se recoge en el artículo 21.4ª del Código Penal como circunstancia atenuante de la responsabilidad penal de las personas físicas y en el artículo 31 quater del mismo texto para las personas jurídicas. Así, el legislador incluyó un incentivo para aquellas personas que, arrepentidas, reconocieran los hechos y colaborasen con la investigación. La sanción prevista en la Ley 2/2023 por el incumplimiento del deber del art. 9.2 j) no se cohonesta con el espíritu del Código Penal en la medida que la autodenuncia o confesión ya no respondería al arrepentimiento de la persona, sino al cumplimiento de un deber impuesto a través de una ley ordinaria.

«La Ley 2/2023 choca de frente con el régimen existente en nuestra normativa penal en relación con las autodenuncias». (Foto: E&J)

Información que se debe remitir

Finalmente, además de las cuestiones a las que hemos apuntado, la falta de desarrollo de este deber plantea muchas dudas y problemas prácticos a la hora de ser aplicado. Por ejemplo, ¿qué información debe remitirse al Ministerio Fiscal con carácter inmediato? Por una parte, se podría entender de una interpretación gramatical del precepto que el responsable del sistema únicamente está obligado a remitir la información recibida, entendida como la denuncia, siempre que ésta recoja hechos que pudieran ser considerados penalmente relevantes[4]. Por otra, se podría interpretar que el legislador se refiere a información en sentido amplio e incluye toda la documentación interna de la empresa que guarde relación con la denuncia y su investigación, aunque sea preliminar. En relación con esta interpretación, la Sección 4ª de la Audiencia Nacional declaró en su Auto 391/2021, de 1 de julio declaró que “estarían amparados por aquél [el derecho a no auto incriminarse], los documentos internos procedentes del «canal de denuncias» de las empresas en los que consten los hechos denunciados y los resultados de las investigaciones internas que, voluntariamente haya llevado a cabo la entidad, así como cualesquiera declaraciones bien de la entidad, o de sus representantes legales, admitiendo la existencia de irregularidades o ilegalidades en su actuación corporativa”.

Así las cosas, la falta de desarrollo de la Ley 2/2023 en general, y del deber recogido en el artículo 9.2 j) de la misma ley generan muchas dudas y plantearán en la práctica diversas problemáticas que los distintos operadores jurídicos tendrán que ir superando al tiempo que se van concretando a la vista de las interpretaciones que hagan las autoridades competentes, la jurisprudencia y las eventuales circulares de la Fiscalía General del Estado.

Notas

[1] Vid. primera parte del preámbulo de la Ley 2/2023.

[2] Vid. Artículo 5. 7) de la Directiva.

[3] “1. Los procedimientos de denuncia interna y seguimiento a que se refiere el artículo 8 incluirán lo siguiente:

a) canales para recibir denuncias que estén diseñados, establecidos y gestionados de una forma segura que garantice que la confidencialidad de la identidad del denunciante y de cualquier tercero mencionado en la denuncia esté protegida, e impida el acceso a ella al personal no autorizado;

b) un acuse de recibo de la denuncia al denunciante en un plazo de siete días a partir de la recepción;

c) la designación de una persona o departamento imparcial que sea competente para seguir las denuncias, que podrá ser la misma persona o departamento que recibe las denuncias y que mantendrá la comunicación con el denunciante y, en caso necesario, solicitará a este información adicional y le dará respuesta;

d) el seguimiento diligente por la persona o el departamento designados a que se refiere la letra c);

e) el seguimiento diligente cuando así lo establezca el Derecho nacional en lo que respecta a las denuncias anónimas;

f) un plazo razonable para dar respuesta, que no será superior a tres meses a partir del acuse de recibo o, si no se remitió un acuse de recibo al denunciante, a tres meses a partir del vencimiento del plazo de siete días después de hacerse la denuncia;

g) información clara y fácilmente accesible sobre los procedimientos de denuncia externa ante las autoridades competentes de conformidad con el artículo 10 y, en su caso, ante las instituciones, órganos u organismos de la Unión.

2. Los canales previstos en el apartado 1, letra a), permitirán denunciar por escrito o verbalmente, o de ambos modos. La denuncia verbal será posible por vía telefónica o a través de otros sistemas de mensajería de voz y, previa solicitud del denunciante, por medio de una reunión presencial dentro de un plazo razonable.”

[4] En este sentido, el carácter inmediato exigido por el precepto limita la existencia de documentos internos adicionales relacionados con una potencial investigación interna.