La esperada nueva Ley de informantes: canal de denuncias obligatorio y poca coordinación con el Código Penal

En breve

La entrada en vigor de la ya conocida como Ley de Informantes va a suponer un verdadero reto para las empresas españolas. La influencia decisiva en la forma de gestionar la información que tendrá la norma traerá importantes consecuencias en todo el tejido empresarial español y, no solo, en las empresas de más de cincuenta trabajadores, que son las obligadas por la Ley. Este artículo persigue el análisis en profundidad de la nueva norma, con el objetivo de que las compañías afectadas conozcan los detalles de la misma, evitando posibles sanciones.

Introducción

Hace pocos días se aprobó la tan esperada Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Decimos esperada porque España ha tardado más de dos años en transponer la Directiva (UE) 2019/1937 (llamada comúnmente Directiva de Whistleblowers) que regulaba los canales de denuncia y la protección a los informantes internos.

Resulta verdaderamente novedoso, como veremos a continuación, cómo la norma nos acerca a cuestiones hasta hace bien poco muy discutibles, como son las denuncias anónimas, la gestión y las consecuencias de las denuncias falsas, la presencia del canal de denuncias en la página web de la empresa, o la misma publicidad del canal dentro de la empresa. Parece, en definitiva, un verdadero cambio de paradigma en lo que eran hasta ahora los llamados canales de denuncia, que ahora la Ley denomina “sistemas internos de información”.

«Una de las cuestiones más novedosas de la Ley es que establece la obligación de abrir el canal de denuncias a terceros, más allá de los empleados». (Foto: E&J)

También resulta ciertamente interesante la lectura de la Exposición de Motivos de la Ley, donde el legislador desgrana pormenorizadamente los criterios que ha seguido para la confección del texto de la Ley. Así, se hacen referencias explícitas a canales de denuncia ya creados con anterioridad por la legislación vigente, como sucede en el caso de prevención de blanqueo de capitales y la protección de datos.

Como sucede en todas las transposiciones de Directivas comunitarias, la laxitud del legislador comunitario ha sido sustituida por cierta taxatividad del legislador nacional, obligando a establecer determinados protocolos y medidas en la empresa, que resultaban discutibles de la mera lectura de la Directiva de Whistleblowers.

La norma establece como cuestiones prioritarias, siguiendo los dictados de la Directiva comunitaria, tanto la protección de los informantes, como el establecimiento de los requisitos mínimos que han de cumplir los canales de denuncia.

Análisis de la norma

A continuación, realizaremos un análisis de la norma, sobre sus puntos esenciales y las cuestiones más novedosas que se introducen a través de la Ley de Informantes.

1. ¿Qué se puede denunciar?

La Ley prevé en su art. 2 el ámbito material de aplicación de la Ley, describiendo de forma muy amplia este ámbito. Así, introduce una cláusula general que señala como dentro del ámbito de la norma la denuncia de “infracciones del Derecho de la Unión, con independencia de la calificación que de las mismas realice el ordenamiento jurídico interno” añadiendo, además, cualquier conducta que afecte a “los intereses financieros de la Unión”, y cualquier infracción en materia de competencia y ayudas otorgadas por los Estados, así como cualquier conducta que infrinja las normas del impuesto de sociedades.

También, y esta es la cuestión más relevante dentro del ámbito de la norma, deberán aceptarse denuncias sobre acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave, incluyendo en todo caso las que afecten a la Hacienda Pública.

Se incluyen también infracciones de Derecho laboral en materia de seguridad y salud en el trabajo.

2. ¿Quién puede denunciar?

Una de las cuestiones más novedosas de la Ley es que establece la obligación de abrir el canal de denuncias a terceros, más allá de los empleados. Señala el art. 3 una sucinta enumeración que incluye también ejemplos, como son los empleados públicos o trabajadores por cuenta ajena, los autónomos, cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.

También entran dentro del objeto de protección de la norma –informantes- que hayan tenido una relación laboral o estatutaria ya finalizada, voluntarios, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como aquellos cuya relación laboral no haya comenzado, como sucede en los casos de entrevistas de trabajo, procesos de selección o negociación precontractual.

Como hemos dicho, el principal objetivo confesado de la Ley es la protección al informante, para lo que el mismo art. 3.4 añade como sujetos susceptibles de protección no sólo al denunciante, sino también a personas relacionadas, como compañeros de trabajo o familiares, o personas jurídicas para las que trabaje o mantenga cualquier tipo de relación.

3. La vía para la comunicación de estas informaciones: el sistema interno de información (canal de denuncias)

Para canalizar todas estas posibles denuncias de los incumplimientos normativos que pueda realizar la empresa, o de los que tenga conocimiento el informante y de los que pueda informar a la empresa, la Ley prevé la creación e implantación de lo que denomina como “sistema interno de información” que no es otra cosa que un canal de denuncias.

Este canal deberá cumplir unos estrictos requisitos:

• Garantizar la confidencialidad del denunciante.
• Permitir las denuncias verbales y escritas.
• Integrar los diferentes canales de denuncia implementados (blanqueo, RPPJ).
• Independencia en la investigación de las denuncias.
• Política conteniendo los principios generales en materia de sistemas de información y defensa del informante, con la debida publicidad en la empresa.
• Procedimiento de gestión de las informaciones recibidas.
• Nombrar un responsable del sistema (que podrá ser el Compliance Officer).
• Garantías de la protección del informante.

Una de las cuestiones más novedosas, la encontramos en el art. 6 que autoriza explícitamente la externalización del canal de denuncia a un tercero externo, que deberá ofrecer garantías en cuanto a la independencia, confidencialidad, protección de datos y secreto de las comunicaciones.

4. ¿Qué empresas están obligadas a implementar estos canales de denuncia?

El art. 10 de la Ley prevé que todas las empresas de más de 50 trabajadores deberán contar con un sistema de información, si bien amplía el ámbito de obligados a las diferentes empresas obligadas por la normativa de prevención de blanqueo de capitales, seguridad del transporte y protección del medio ambiente, incluyendo empresas que pese a no tener su domicilio en territorio nacional, desarrollen en España actividades a través de sucursales o agentes o mediante prestación de servicios sin establecimiento permanente.

También los partidos políticos, los sindicatos y las organizaciones empresariales o fundaciones creadas por unos y por otros, siempre que reciban o gestionen fondos públicos.

Finalmente, introduce la obligación en el art. 10.2 para todas las empresas del sector privado que no entren dentro de la enumeración anterior, que siempre que tengan un canal de denuncias deberán cumplir en todo caso con los requisitos previstos en la Ley.

5. La Autoridad Independiente de Protección del Informante (AAI)

Una de las cuestiones que más polémica ha generado es la creación de un Organismo público, configurado como canal de denuncias externo, donde podrá denunciarse directamente o previa comunicación a través del correspondiente canal interno. Será esta AAI la que también tramite los expedientes sancionadores en caso de incumplimiento de la Ley.

6. La gestión de informaciones

Establece el art. 17 de la Ley que las denuncias podrán ser anónimas, y tramitarse de igual modo que las que no lo sean. En todo caso, deberá poderse informar verbalmente, por escrito, a través de correo postal, por vía telefónica o a través de un sistema de mensajería de voz, o a través de una reunión presencial en un plazo máximo de siete días.

También deberá acusar recibo de la denuncia en un plazo no superior a cinco días.

La empresa analizará las informaciones realizando las investigaciones oportunas, dividiendo la investigación en sucesivas fases de admisión, instrucción y terminación de las actuaciones, que terminará con un informe conteniendo la exposición de los hechos, la clasificación de la comunicación, las actuaciones realizadas y las conclusiones alcanzadas.

7. Las denuncias anónimas

La Ley establece la obligatoriedad de aceptar y tramitar denuncias anónimas, para lo que obliga en el art. 33 a adoptar medidas técnicas y organizativas adecuadas para preservar la identidad y garantizar la confidencialidad de los datos de las personas afectadas, especialmente la identidad del informante, que en los casos en los que se haya identificado el denunciante sólo podrá ser desvelada la identidad a la Autoridad Judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.

8. La prohibición de represalias

Siempre que la información ofrecida sea veraz y entre dentro del ámbito de aplicación de la Ley y, además, se haya realizado conforme a los requerimientos previstos en la Ley, los informantes tendrán derecho a la protección que establece el art. 36, que prohíbe expresamente los actos constitutivos de represalia, incluidas las amenazas y las tentativas de represalia.

«Nos encontramos ante muchas obligaciones que serán un verdadero reto para cualquier empresa». (Foto: E&J)

Resulta interesante la definición de represalia que ofrece la propia Ley, en una clara interpretación auténtica de la misma, señalando que “se entiende por represalia cualesquiera actos u omisiones que estén prohibidos por la ley, o que, de forma directa o indirecta, supongan un trato desfavorable que sitúe a las personas que las sufren en desventaja particular con respecto a otra en el contexto laboral o profesional, solo por su condición de informantes, o por haber realizado una revelación pública. Se exceptúa el supuesto en que dicha acción u omisión pueda justificarse objetivamente en atención a una finalidad legítima y que los medios para alcanzar dicha finalidad sean necesarios y adecuados.”

9. Protección de datos personales

Teniendo en cuenta el elevado número de datos que pueden manejarse a través del canal de denuncias, la Ley establece un especial régimen jurídico para el tratamiento de datos personales, según desarrollan los arts. 29 a 34.

Se prevé la cesión de datos cuando resulte necesario para la tramitación de los procedimientos sancionadores o penales que procedan, en su caso, pero de estos tratamientos serán únicamente conocidos por el Responsable del Sistema de Información y quien lo gestione directamente, el responsable de Recursos Humanos, el responsable de los servicios jurídicos, los encargados de tratamiento y el Delegado de Protección de Datos.

En los casos en los que la empresa no tuviese obligación previa para designar un Delegado de Protección de Datos (art. 34), deberán hacerlo tras la implantación del canal de denuncias, para todos los tratamientos de datos llevados a cabo en el Sistema interno de información.

10. Régimen sancionador

Finalmente, ante el incumplimiento de las obligaciones establecidas en la Ley, se articula un régimen sancionador que será ejercido por la Autoridad Independiente de Protección del Informante (A.A.I.), según dispone el art. 63.

Divide la norma entre infracciones muy graves, graves y leves:

Entre las infracciones muy graves, nos encontramos con la limitación de derechos y garantías previstas en la Ley, es decir, cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o de impedir o frustrar o ralentizar su seguimiento, la adopción de cualquier represalia, vulnerar las garantías de confidencialidad y anonimato, vulnerar el secreto sobre cualquier aspecto relacionado con la información, la comisión de una infracción grave cuando ya se haya sancionado al autor por dos infracciones graves o muy graves en los dos años anteriores, comunicar o revelar públicamente información a sabiendas de su falsedad, y finalmente el incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en la Ley.

Las graves y las leves, son similares, pero quedan previstas para los casos en los que no tengan consideración de muy graves.

Si son personas jurídicas (art. 65.1.b) las multas tendrán una cuantía de hasta 100.000 euros en las infracciones leves, de 100.001 a 600.000 en las infracciones graves, y de 600.001 a 1.000.000 de euros en caso de infracciones muy graves.

Para las personas físicas, (art. 65.1.b) se establecen multas de 1.001 a 10.000 euros por la comisión de infracciones leves, de 10.001 a 30.000 euros por la comisión de infracciones graves, y de 30.001 a 300.000 euros por la comisión de infracciones muy graves.

Conclusiones

Como puede observarse, nos encontramos ante muchas obligaciones que serán un verdadero reto para cualquier empresa. La posible colisión de diferentes derechos –los de los denunciantes y los de los denunciados- con la empresa como árbitro en muchas ocasiones, nos llevará necesariamente a tener que extremar las precauciones en la gestión del canal de denuncias, pues cualquier medida adoptada en la investigación de la denuncia, puede generar importantes consecuencias para la empresa.