España aprueba la Ley para reforzar la protección de los "whistleblowers"

Existe una larga tradición en la legislación española que contempla y regula la creación de sistemas de información a través de los cuales puede ponerse en conocimiento de una entidad privada, incluso de forma anónima, la comisión de actos o conductas que pudieran resultar contrarias a la normativa general o sectorial.

No obstante, la obligación de instaurar dichos sistemas de comunicación no iba, hasta ahora, acompañada de una regulación centralizada y completa que abordara la protección del denunciante y estableciera unas normas mínimas de los canales de información.

Finalmente y a pesar del año de retraso, España ha aprobado el texto definitivo de la Ley cuyo principal objetivo es el de proteger a las personas que, en un contexto laboral o profesional, detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma.

La nueva Ley 2/2023 reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, publicada en el BOE del 21 de febrero de 2023, entrará en vigor el próximo 13 de marzo. Con la aprobación de esta Ley se incorpora al Derecho español la Directiva (UE) 2019/1937, de 23 de octubre de 2019, también conocida como Directiva Whistleblowing.

Ámbito de aplicación

La Ley, además de proteger a quienes informen sobre las infracciones del Derecho de la Unión previstas en la Directiva, abarca también las infracciones penales y administrativas graves y muy graves del ordenamiento jurídico español, con el objetivo de que tanto los canales internos y externos puedan concentrar su actividad investigadora en las vulneraciones que se considera que afectan con mayor impacto al conjunto de la sociedad.

Además, y en relación con el ámbito subjetivo, esto es, las personas que están protegidas frente a posibles represalias, la Ley extiende dicho amparo a voluntarios, trabajadores en prácticas o en periodo de formación y personas que participan en procesos de selección, así como a las personas que prestan asistencia a los informantes o personas de su entorno que puedan sufrir represalias.

Sistemas internos de información

En el ámbito privado y siguiendo la previsión de la Directiva, estarán obligadas a configurar un sistema interno de información todas aquellas empresas que tengan más de 50 trabajadores y, con independencia del número de empleados, determinadas personas jurídicas del sector financiero o con obligaciones en materia  de prevención de blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y del medio ambiente, así como todos los partidos políticos, sindicatos, organizaciones empresariales y las fundaciones que de los mismos dependan, siempre que reciban fondos públicos para su financiación.

Siendo conscientes del coste que esta nueva obligación puede ocasionar para las empresas, la Ley permite que aquellas empresas en el sector privado que tengan entre 50 y 249 trabajadores puedan compartir el sistema interno de información, así como los recursos para la recepción de denuncias y toda información que pueda llevarse a cabo.

Asimismo, los grupos de empresas podrán disponer de un sistema de información común para todo el grupo y podrán nombrar a un solo responsable del referido sistema.

En el sector público, la Ley ha extendido en toda su amplitud la obligación de contar con canales internos de información. En consecuencia, han de configurar tal sistema las Administraciones públicas, ya sean territoriales o institucionales, las autoridades independientes u otros organismos que gestionan los servicios de la Seguridad Social, las universidades, las sociedades y fundaciones pertenecientes al sector público, así como las Corporaciones de Derecho Público.

Gestión de los Sistemas de Información

Los sistemas internos de información deberán satisfacer ciertas exigencias, tales como (entre otras) su uso asequible, las garantías de confidencialidad (siendo aconsejable prever el anonimato del informante), las prácticas correctas de seguimiento, investigación y protección del informante.

La Ley establece la necesidad de contar con una política o estrategia que enuncie los principios generales en materia del sistema interno de información y defensa del informante y que sea debidamente publicitada en el seno de la entidad.

El responsable del Sistema interno, que será nombrado por el órgano de administración o de gobierno, ejercerá su cargo de forma independiente y autónoma. En entidades que ya exista una persona responsable de la función de cumplimiento, ésta podrá ser nombrada como persona responsable del Sistema de información.

Prohibición de represalias y medidas de protección 

La nueva ley prohíbe y declara nulas aquellas conductas que puedan calificarse de represalias que se adopten dentro de los 2 años siguientes a ultimar las investigaciones. La ley establece, sin limitación, varias conductas intolerables hacia los informantes que son consideradas represalias tales como la resolución de contratos, intimidaciones, trato desfavorable, daños reputacionales o anulación de un permiso.

Las medidas de protección no se dirigen sólo a favor de los informantes, sino también a aquellas personas a las que se refieran los hechos relatados en la comunicación.

Finalmente, las ventajas y eficacia que han demostrado los programas de clemencia en ciertos ámbitos sectoriales han llevado a incluir en esta Ley una regulación específica de dichos programas en la que se establece que el informante puede quedar exonerado o ver atenuada la sanción en caso de que haya informado con anterioridad a la incoación del procedimiento de investigación o sancionador.

Canales externos 

La Ley reconoce que uno de los principales factores que desincentiva a los potenciales informantes es la falta de confianza en la eficacia de las comunicaciones y, para ello, regula el canal externo de informaciones, esto es, un canal de comunicación externo cuya llevanza corresponde a la Autoridad Independiente de Protección del Informante y que es presidido por los principios de independencia y autonomía en la recepción y tratamiento de la información sobre las infracciones, para garantizar la exhaustividad, integridad y confidencialidad de la información, impedir el acceso a ella por el personal no autorizado y permitir un almacenamiento duradero de la misma.

Régimen sancionador

La normativa, además de prohibir las represalias, contempla un detallado régimen sancionador para las acciones u omisiones que limiten los derechos y garantías introducidos en esta Ley, especialmente las orientadas a obstaculizar, impedir, frustrar o ralentizar las informaciones. Asimismo, también se sancionará la comunicación o revelación de infracciones del ordenamiento jurídico a sabiendas de su falsedad.

Este procedimiento sancionador contempla multas que pueden llegar a los 300.000€ para las personas físicas y a 1.000.000 de euros para las personas jurídicas.

Plazo para el establecimiento de los sistemas de información

Las entidades obligadas a establecer un sistema interno de información deberán implantarlo en el plazo máximo de 3 meses a partir de la entrada en vigor de la Ley.

Como excepción, en el caso de entidades del sector privado con 249 trabajadores o menos así como los municipios de menos de 10.000 habitantes, tendrán hasta el 1 de diciembre de 2023.

Comentario de Osborne Clarke

Tal y como indica el Barómetro del CIS, en España existe “un alto nivel de percepción de corrupción y una alta preocupación social por ese fenómeno". En cambio, se registran escasas denuncias. Con la nueva normativa, se busca que el denunciante disponga de un marco normativo que garantice una adecuada protección, confidencialidad, se cree un clima de confianza entre el informante y la administración y se sume a las medidas de lucha contra la corrupción que se han ido desarrollando. Se persigue que el denunciante no tenga la condición de "chivato", sino de defensor de la legalidad.