Los organismos públicos y empresas privadas deberán instaurar canales de denuncia obligatorios para que los empleados que detecten irregularidades en su entorno laboral puedan notificarlas sin temor a represalias. Así lo dicta tanto la Directiva Whistleblowing, como la nueva Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, que transpone lo dispuesto en la Directiva Whistleblowing.
Tabla de contenidos
1. ¿Qué es la Directiva Whistleblowing?
La denuncia de hechos delictivos en el seno de las organizaciones ha sido siempre una actividad de riesgo. Desde Snowden y Falciani a centenares de empleados anónimos, muchas personas que en un momento de sus carreras decidieron reportar actos ilícitos en sus empresas han pasado por un auténtico calvario personal y profesional debido a las represalias que han sufrido.
La Unión Europea quiere poner fin a esta “ley del silencio” dentro de las organizaciones y está obligando a los Estados miembros a proteger a los informantes o whistleblowers. El objetivo es cortar de raíz la red de complicidades que permite a algunas empresas e instituciones mantener ocultas sus actividades ilegales.
En España, el Consejo de Ministros presentó, hace ya casi un año, el Anteproyecto de Ley, el cual fue aprobado el 13 de septiembre del 2022. Tras su aprobación por parte del Senado y la introducción de varias enmiendas en el texto, la Ley fue aprobada por el Congreso de los Diputados el pasado jueves 16 de febrero y fue publicada en el BOE en fecha 20 de febrero. Esta Ley sirve para regular la protección de los trabajadores que informen sobre delitos o infracciones en empresas públicas y privadas.
Para proteger a los whistleblowers, la ley obliga a las organizaciones a establecer los mecanismos necesarios para preservar el anonimato y evitar represalias hacia las personas que notifiquen hechos ilícitos. Para ello, los denunciantes deberán tener acceso a canales de comunicación internos y externos para informar de las irregularidades desde el anonimato.
Estos canales de denuncia serán independientes y funcionarán paralelamente a los mecanismos ya establecidos para informar acerca de infracciones en materia laboral, como el buzón de la inspección de trabajo del Ministerio de Trabajo.
2. Finalidad de la Directiva 2019/1937
El espíritu de la Directiva Whistleblowing 2019/1937 de la UE y de la Ley española para proteger a las personas que informen sobre corrupción es fomentar un cambio cultural respecto a la percepción social de los “whistleblowers”.
Según el abogado Francisco Bonatti, existe un estigma alrededor de las personas que exponen delitos e irregularidades en su trabajo. Muy a menudo, su entorno valora negativamente a estos empleados, considerándolos delatores o “chivatos”. En realidad, son personas que dan un paso al frente por un fuerte sentido de la responsabilidad y de la justicia, y muchas veces acaban sacrificando su carrera profesional y personal en el proceso.
En este sentido, Estados Unidos lleva una gran ventaja a Europa, ya que la mentalidad estadounidense valora más positivamente la responsabilidad individual en los temas que afectan a colectivos sociales. Desde hace décadas, los norteamericanos favorecen e incluso recompensan económicamente a los whistleblowers.
La nueva Ley 2/2023 destaca la importancia de la colaboración ciudadana y el compromiso colectivo para el buen funcionamiento de las instituciones públicas y privadas. El texto subraya las “consecuencias penosas para quienes han comunicado tales prácticas corruptas y otras infracciones”: presiones y aislamiento por parte de los compañeros de trabajo, despidos improcedentes e incluso escraches a sus familiares.
En consecuencia, “resulta indispensable que el ordenamiento jurídico proteja a la ciudadanía cuando muestra una conducta valiente de clara utilidad pública”. En resumen, la finalidad principal de la ley es establecer las normas necesarias para que los ciudadanos pierdan el miedo a denunciar irregularidades en su entorno profesional.
Cuando el pasado 4 de marzo de 2022 se anunció la publicación del Anteproyecto de Ley en relación a la Directiva Whistleblowing, la Ministra de Justicia, Pilar Llop, ya avanzó que las represalias contra los denunciantes de corrupción serán sancionadas con hasta un millón de euros.
Además, insistió en el cambio de paradigma cultural necesario para romper el silencio en las redes clientelares: “con esta nueva regulación se va a incrementar la cultura anticorrupción, de la transparencia y de la calidad democrática en el ámbito público y empresarial».
3. ¿Cuándo entra en vigor la Directiva Whistleblowing en España?
En primer lugar, hay que señalar que la Directiva 2019/1937 es una regulación de mínimos, es decir, que no basta con trasponerla y publicarla en el BOE, sino que cada Estado de la UE debe adaptar y ampliar la Directiva, de forma que sea coherente con las circunstancias y las leyes en vigor de cada país. De modo que se trata de un proceso largo y el cual se ha demorado más de un año de lo previsto.
En concreto, según las directrices de la UE, la adaptación legal de la Directiva Whistleblowing tenía como primer plazo el 17 de diciembre de 2021. España ha aprobado esta ley en el mes de febrero de 2023, por lo que ha excedido el tiempo límite. Pese a ello, se ha aprobado.
Actualmente, los Estados miembros que ya han hecho los deberes, adaptando la Directiva 2019/1937 a sus respectivos ordenamientos jurídicos, son:
- Austria: febrero de 2023.
- Bélgica: diciembre de 2022.
- Bulgaria: enero de 2023.
- Chipre: enero de 2022.
- Croacia: abril de 2023.
- Dinamarca: junio de 2021.
- España: febrero de 2023.
- Finlandia: diciembre de 2022.
- Francia: diciembre de 2022.
- Grecia: noviembre de 2022.
- Irlanda: enero de 2023.
- Letonia: enero de 2022.
- Lituania: enero de 2022.
- Malta: diciembre de 2022.
- Países Bajos: enero de 2023.
- Portugal: enero de 2022.
- Rumania: diciembre de 2022.
- Suecia: octubre de 2021.
El texto original ha sufrido algunas enmiendas, las cuales han sido votadas y aprobadas por el Senado y, de manera definitiva, por el Congreso. Algunas de las propuestas de enmiendas se han basado en las presentadas por XNET, una organización activista en temas de derechos digitales. XNET proponía ampliar el alcance de la ley, de modo que incluyera más supuestos de malas praxis, en la línea de Francia y Suecia. También planteaba ampliar la protección de denunciantes a toda la ciudadanía, aunque las irregularidades no se cometan en su entorno laboral.
No obstante, según la Disposición Final Duodécima de la nueva Ley 2/2023, esta entrará en vigor a los veinte días de su publicación en el BOE, esto es, a partir del 13 de marzo de 2023.
4. ¿A qué empresas afecta la normativa sobre el Whistleblowing?
La trasposición de la Directiva Whistleblowing europea es muy específica en relación a qué entidades deberán regular la protección de los empleados que denuncien delitos o infracciones en el seno de sus organizaciones, y subraya que la ley concierne por igual a los sectores público y privado.
4.1 Organismos del sector público que deben adoptar la normativa Whistleblowing
Según la nueva Ley 2/2023, “todas las entidades que integran el sector público estarán obligadas a disponer de un sistema interno de información”. A este efecto, se entiende que están comprendidos en el sector público:
- La Administración General del Estado, las Administraciones de las Comunidades Autónomas, ciudades con Estatuto de Autonomía y las Entidades que integran la Administración Local.
- Los Organismos y Entidades públicas vinculadas o dependientes de alguna Administración pública, así como las asociaciones y corporaciones en las que participen Administraciones y organismos públicos.
- Las Autoridades Administrativas Independientes, el Banco de España y las Entidades gestoras y Servicios comunes de la Seguridad Social.
- Las Universidades públicas.
- Las Corporaciones de Derecho público.
- Las fundaciones del sector público.
- Las sociedades mercantiles con participación de determinados entes públicos en su capital social.
- Los órganos constitucionales, los de relevancia constitucional e instituciones autonómicas análogas a los anteriores.
En el caso de los municipios con menos de 10.000 habitantes, podrán compartir entre sí o con otras Administraciones públicas que se ubiquen dentro del territorio de la comunidad autónoma el sistema interno de información y los recursos destinados a las investigaciones y las tramitaciones.
4.2 Empresas del sector privado que deben adoptar la normativa Whistlerblowing
Las características de las empresas privadas que están obligadas a crear sistemas internos de denuncias son las siguientes:
- Las personas físicas o jurídicas del sector privado que tengan contratados a 50 o más trabajadores.
- Independientemente del número de empleados, todas las empresas que entren en el ámbito de aplicación de los actos de la Unión Europea en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente. Además, este tipo de empresas tendrán una normativa específica.
- Los partidos políticos, sindicatos, patronales y fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.
Las empresas que tengan entre 50 y 249 trabajadores podrán compartir el sistema y los recursos necesarios para el proceso de recepción, revisión e investigación de denuncias, que también podrán ser externalizados.
En cuanto a los grupos de sociedades, la sociedad dominante aprobará una política general relativa al sistema interno de información, asegurando su aplicación al resto de sociedades del grupo. El responsable del sistema podrá ser una sola persona para todo el grupo, aunque también se puede designar a un responsable para cada sociedad.
5. Protección de los informantes según la normativa Whistleblowing
Para proteger con garantías a los informantes, la Directiva Whistleblowing crea una nueva figura jurídica que también se regula en la nueva Ley española: la Autoridad Independiente de Protección del Informante. Este organismo gestionará los canales externos de denuncia y se ocupará de la adopción de las medidas de protección previstas en la ley.
5.1 ¿A quién protege la normativa Whistleblowing?
En términos generales, los whistleblowers se definen como como a los trabajadores que detectan hechos delictivos o irregularidades en su empresa y deciden denunciarlos.
Sin embargo, esta condición se extiende asimismo a todas aquellas personas que, aunque no trabajen en el organismo afectado, tengan vínculos profesionales con la empresa que está cometiendo una infracción, incluyendo a:
- Ex empleados.
- Voluntarios.
- Trabajadores en prácticas.
- Personas que participan en procesos de selección.
Y, aunque no sean propiamente denunciantes, la ley también prevé la protección de quienes les ayuden y a las personas del entorno familiar de los whistleblowers. En definitiva, se trata de proteger a todos aquellos que puedan sufrir amenazas o represalias a consecuencia de una denuncia.
Por último, la Directiva Whistleblowing se refiere también a la necesidad de proteger a las personas denunciadas, “ante el riesgo de que la información, aún con aparentes visos de veracidad, haya sido manipulada, sea falsa o responda a motivaciones que el Derecho no puede amparar”. Estas personas gozarán de los mismos derechos que tiene el informante mientras dure la investigación, incluyendo la reserva de su identidad y respetando en todo momento la presunción de inocencia.
5.2 Preservación del anonimato
La preservación de la identidad del informante es una de las premisas esenciales para garantizar la protección que persigue la Directiva Whistleblowing.
Los canales internos y externos de denuncia deben configurarse de modo que garanticen la confidencialidad de la identidad del alertador. Asimismo, el anonimato de la fuente debe mantenerse durante todo el proceso de comunicación e investigación posterior, y solo podrá desvelarse ante la autoridad judicial, el Ministerio Fiscal o la autoridad administrativa competente, impidiendo su acceso a terceros.
5.3 Apoyo a los informantes
Por muchas precauciones que se tomen para preservar el anonimato de los informantes, en muchas ocasiones se acaba conociendo su identidad. Los legisladores lo saben y por esto la directiva sobre el canal de denuncias incluye medidas de apoyo específicas para estas personas.
5.3.1 Prohibición de las represalias
La nueva Ley 2/2023 propone “prohibir y declarar nulas aquellas conductas que puedan calificarse de represalias y se adopten dentro de los dos años siguientes a ultimar las investigaciones”. Algunas de las conductas hacia los informantes que se consideran intolerables son:
- La resolución o suspensión de sus contratos laborales, incluyendo la no renovación de un contrato temporal, la imposición de cualquier medida disciplinaria, degradación o denegación de ascensos y cualquier otra modificación sustancial de las condiciones de trabajo.
- Daños, incluidos los de carácter reputacional, o pérdidas económicas, coacciones, intimidaciones, acoso u obstracismo.
- Evaluación o referencias negativas respecto al desempeño laboral o profesional.
- Inclusión en listas negras o difusión de información en un determinado ámbito sectorial, que dificulten o impidan el acceso al empleo o la contratación de obras o servicios.
- Denegación o anulación de una licencia o permiso.
- Denegación de formación.
- Discriminación, o trato desfavorable o injusto
Asimismo, las medidas de apoyo que tienen derecho a recibir los whistleblowers por parte de la administración son las siguientes:
- Asesoramiento gratuito sobre los procedimientos y recursos disponibles para la protección frente a represalias.
- Asistencia efectiva en caso de sufrirlas.
- De forma excepcional, apoyo financiero y psicológico si así lo decide la Autoridad independiente de Protección del Informante.
5.3.2 Protección frente a la revelación de secretos
Los whistleblowers estarán protegidos legalmente frente a demandas por revelación de secretos o por no haber respetado las políticas de confidencialidad de las organizaciones.
6. Sanciones por infringir la futura ley de protección de denunciantes
La nueva Ley 2/2023 impone importantes sanciones para las empresas que vulneren los derechos y garantías que detalla la legislación. La cuantía de las multas se establece en función de la gravedad de las infracciones.
6.1 Sanciones por infracciones leves
Las personas físicas que cometan una infracción leve en relación a la normativa de protección de alertadores podrán ser sancionadas con multas de hasta 10.000 euros, que ascenderán hasta los 100.000 euros en el caso de las personas jurídicas. Las infracciones consideradas como leves son las siguientes:
- El envío deliberado de información incompleta o fuera de plazo por parte del Responsable del Sistema a las autoridades.
- El Incumplimiento de la obligación de colaborar con la investigación.
- Cualquier incumplimiento de las obligaciones que no estén tipificadas como infracción muy grave o grave.
6.2 Sanciones por infracciones graves
Las infracciones más severas de la normativa podrán ser calificadas por las autoridades como “graves” o incluso “muy graves”. Las multas por infracciones calificadas como graves son de 10.001 hasta 30.000 euros para las personas físicas y de entre 100.001 y 600.000 euros para las empresas.
En el caso de que se determine que las infracciones son de carácter muy grave, Las personas físicas podrán ser sancionadas con multas de 30.001 hasta 300.000 euros, mientras que las sanciones para empresas pueden llegar a 1 millón de euros.
Se consideran infracciones graves:
- Cualquier intento de obstaculizar la presentación de denuncias o de impedir, frustrar o ralentizar su seguimiento, incluyendo el envío de documentación falsa.
- La adopción de cualquier represalia hacia los whistleblowers.
- La vulneración de las garantías de confidencialidad y anonimato previstas en la ley.
- La revelación de cualquier aspecto confidencial de las comunicaciones.
- La acumulación de infracciones menos graves.
6.3 Sanciones por infracciones muy graves
Y tendrán la consideración de infracciones muy graves:
- Cualquier actuación que suponga una efectiva limitación de los derechos y garantías a través de contratos o acuerdos a nivel individual o colectivo y, en general, cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o de impedir, frustrar o ralentizar su seguimiento, incluida la aportación de información o documentación falsa.
- La adopción de cualquier represalia derivada de la comunicación frente a los informantes o las demás personas incluidas en el ámbito de protección.
- Vulnerar las garantías de confidencialidad y anonimato y, de forma particular, cualquier acción u omisión tendente a revelar la identidad del informante cuando este haya optado por el anonimato, aunque no se llegue a producir la efectiva revelación de la misma.
- Vulnerar el deber de mantener secreto sobre cualquier aspecto relacionado con la información.
- La comisión de una infracción grave cuando el autor hubiera sido sancionado mediante resolución firme por dos infracciones graves o muy graves en los dos años anteriores a la comisión de la infracción.
- Comunicar o revelar públicamente información a sabiendas de su falsedad.
- Incumplimiento de la obligación de disponer de un sistema interno de información.
6.4 Prescripción de las infracciones
La nueva Ley 2/2023 establece las siguientes prescripciones:
- Infracciones muy graves: 3 años.
- Infracciones graves: 2 años.
- Infracciones leves: 6 meses.
El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción hubiera sido cometida.
7. Canales de denuncia según la normativa Whistleblowing
La creación de canales de comunicación de irregularidades internos y externos es un requisito básico de la normativa de protección de denunciantes. Los canales internos deben crearse dentro de cada empresa o entidad, y es la primera vía de denuncia para los informantes.
Si la investigación de los hechos no prospera por la vía interna, el siguiente paso es comunicar el delito o la infracción a través de los canales externos. Esta vía de comunicación deberá ser creada y gestionada desde la Administración.
7.1 Canal interno de denuncias obligatorio
La nueva Ley 2/2023 especifica que “la configuración de estos sistemas internos de información deberá satisfacer ciertas exigencias«, como su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento e investigación y la protección del informante”.
Asimismo, el texto indica que para que los canales internos funcionen de un modo eficaz es indispensable “la designación de un responsable de su correcto funcionamiento”.
7.1.1 ¿Cómo deben diseñarse los canales de comunicación internos?
Las principales características que deben poseer los canales de comunicación internos en las empresas son las siguientes:
- Las organizaciones deben diseñar un procedimiento de gestión de las comunicaciones recibidas, de modo que se garantice la seguridad y confidencialidad de las comunicaciones. El objetivo es proteger tanto a los informantes como a los sujetos denunciados.
- El canal de denuncias debe permitir la presentación de comunicaciones escritas y también verbales (por vía telefónica o por mensajería de voz).
- La investigación de los hechos ilícitos no podrá superar los 3 meses desde la recepción de la denuncia. Si el caso es excepcionalmente complejo, este plazo puede ampliarse a otros 3 meses.
- El procedimiento de tramitación de las comunicaciones debe diseñarse de modo que el primero en conocer la posible irregularidad sea el propio empleador.
- La existencia del canal de denuncias interno debe publicitarse en el seno de la organización.
7.1.2 Designación del Responsable del sistema interno de denuncias
La normativa establece que el responsable del canal interno será designado por el órgano de administración de las empresas. Este cargo asumirá de forma exclusiva la función de gestionar el canal interno de denuncias y tendrá plena independencia respecto al organismo que lo ha designado.
Sin embargo, en el caso de empresas pequeñas, la persona que ocupe este cargo podrá hacerlo sin exclusividad, es decir, podrá compaginarlo con su trabajo habitual. Este profesional tendrá que evitar potenciales conflictos de intereses.
En las empresas que ya tienen un perfil profesional especializado en el cumplimiento normativo se podrá elegir a este cargo como responsable del canal interno.
7.1.3 Procedimiento de gestión de comunicaciones
Tras ser aprobado por el Responsable del Sistema, el procedimiento de gestión de comunicaciones debe garantizar, como mínimo, los siguientes procesos:
- La identificación del canal o canales internos.
- El envío de acuse de recibo de la comunicación al whistleblower (en el caso de que este se identifique), en el plazo de siete días naturales siguientes a su recepción, salvo que ello pueda poner en peligro la confidencialidad de la comunicación.
- La posibilidad de mantener la comunicación con el alertador y de poder solicitarle información adicional.
- El derecho del denunciante a que se le informe de las acciones u omisiones que se le atribuyen, y a ser oído en cualquier momento.
- El respeto a la presunción de inocencia de las personas investigadas, así como el derecho al honor y a dar su versión de los hechos.
7.1.4 Externalización de la gestión de denuncias
La ley contempla la posibilidad de externalizar la gestión del canal de denuncias de las empresas. En este caso, los gestores externos deben ofrecer las garantías adecuadas de respeto a la independencia, confidencialidad y protección de datos, y tendrán la consideración de encargados de su tratamiento a efectos de la Ley de Protección de Datos Personales.
La externalización de los canales internos deberá cumplir las mismas garantías y requisitos que se exige a las empresas con canales internos propios.
7.2 Canales de denuncia externos
La Directiva 2019/1937 impone a los Estados miembros la obligación de establecer canales de comunicación externos adecuados, los cuales deben regirse por los principios de independencia y autonomía en la recepción y tratamiento de la información sobre las infracciones.
Al igual que los canales internos, la vía externa deberá garantizar la integridad y confidencialidad de la información, impidiendo que acceda a ella personal no autorizado, así como proteger la identidad de los informadores.
El proceso de investigación de las actuaciones presuntamente ilícitas comunicadas por canales externos consta de 3 pasos:
- 1. Admisión a trámite.
- 2. Fase instructora: el plazo de la instrucción no puede ser superior a 3 meses, y culmina con la emisión de un informe por parte de la Autoridad Independiente de Protección del Informante.
- 3. La Autoridad Independiente de Protección del Informante decide si se archiva el expediente o si se inicia el procedimiento sancionador.
La resolución de la Autoridad Independiente de Protección del Informante no podrá ser objeto de recurso administrativo ni jurisdiccional, aunque sí puede ser impugnado.
