El pasado 21 de febrero entró en vigor en España la Ley 2/2023 reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, o Ley de Protección de Informantes, o Ley Whistleblowing.
Esta Ley tiene como objetivo implementar medidas para proteger a las personas que denuncian, informan o alertan sobre conductas o malas prácticas que se producen dentro de una organización y que puedan ser constitutivos de infracción.
Fomenta la transparencia y delimita un nuevo marco de integridad evitando las consecuencias negativas o represalias que puedan sufrir las personas denunciantes o informantes, entre otras cuestiones, garantizando la confidencialidad del alertador.
La comunicación de las posibles infracciones habrá de realizarse a través de un sistema interno de información (también denominados Buzón de Denuncias, Buzón ético o Whistleblowers). Es uno de los requisitos exigidos para entidades que reciban fondos Next Generation UE según la Orden HFP/1030/2021.
¿QUÉ OBJETIVOS PERSIGUE LA LEY 2/2023?
- Proteger a los informantes mediante la creación de un sistema interno de información (Canal de Denuncias o Buzón ético) eficaz que asegure la confidencialidad, seguimiento, investigación y protección de los denunciantes.
- Detectar y prevenir irregularidades, infracciones o delitos en fases tempranas, promoviendo un nuevo marco de integridad basado en la cultura del cumplimiento normativo de las organizaciones y tratar de dar respuesta a las denuncias recibidas en un tiempo prudencial.
- Evitar las consecuencias negativas o represalias que puedan sufrir las personas informantes o denunciantes y su entorno.
- Designación de un gestor del sistema para su correcto funcionamiento
- Fomentar la transparencia y la información sobre los canales interno y externo de información en las organizaciones.
- Garantizar la protección de datos personales.
- Aplicar un régimen sancionador para el incumplimiento de los mandatos de la Ley 2/2023.
¿QUÉ ENTIDADES ESTÁN OBLIGADAS A CONTAR CON UN SISTEMA INTERNO DE INFORMACIÓN?
EN EL SECTOR PRIVADO (Arts. 10-12 Ley 2/2023)
- Personas físicas o jurídicas que tengan contratados 50 empleados o más.
- Todas las empresas, independientemente de su número de empleados, en el ámbito de aplicación de los actos de la Unión Europea en materia de servicios, productos y mercados financieros, prevención de blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y del medio ambiente
- Partidos políticos, sindicatos, patronales y fundaciones
- Las personas jurídicas con menos de 50 empleados pueden establecer su propio Sistema interno de información (aun no estando obligados) de manera voluntaria, pero han de cumplir los requisitos de la Ley 2/2023.
EN EL SECTOR PÚBLICO (Arts. 13-15 Ley 2/2023)
- La Administración General del Estado, las administraciones autonómicas, incluidas las ciudades que cuentan con Estatuto de Autonomía y las Entidades que integran la Administración Local.
- En el ámbito Local, los municipios de menos de 10.000 habitantes podrán compartir el Sistema de Información (con otros Ayuntamientos u otras entidades supramunicipales siempre que radiquen en el territorio de la misma CC.AA
- Los Organismos y Entidades públicas vinculadas o dependientes de alguna Administración pública, así como asociaciones y corporaciones en las que participen Administraciones u Organismos Públicos.
- Autoridades administrativas independientes, el Banco de España, y entidades gestoras y servicios comunes de la Seguridad Social.
- Universidades públicas.
- Corporaciones de Derecho público.
- Las fundaciones del sector público (art. 13.f)
- Órganos constitucionales de relevancia constitucional e instituciones autonómicas análogas
- Organismos públicos con funciones de comprobación o investigación de incumplimientos sujetos a la Ley 2/2023. En estos casos deberán disponer de un canal interno (comunicación de los propios incumplimientos del organismo o su personal) y otro externo (comunicación de incumplimientos de terceros)
¿DE QUE PLAZO DISPONEN LAS ENTIDADES PAR IMPLANTAR SU SISTEMA INTERNO DE INFORMACIÓN? (D.T.2º LEY 2/2023)
Hasta el 13 de junio de 2023:
- Administraciones, organismos, empresas delimitadas en los arts. 10-15 de la Ley 2/2023.
Hasta el 1 de diciembre de 2023:
- Empresas privadas de entre 50 y 249 trabajadores.
- Municipios de menos de 10.000 habitantes.
¿EN QUÉ ÁMBITO OBJETIVO SE APLICA LA LEY 2/2023?
La Directiva de la UE (art. 2) contempla una serie de ámbitos (que pueden ser ampliados por los Estados Miembros) en los que será obligatorio garantizar protección jurídica a las personas denunciantes o informantes:
- Contratación pública;
- Servicios financieros, productos, mercados, prevención de blanqueo de capitales y financiación del terrorismo;
- Seguridad y conformidad de los productos;
- Seguridad del transporte;
- Protección del medioambiente y seguridad nuclear;
- Sanidad y seguridad alimentaria;
- Seguridad y bienestar animal;
- Salud pública;
- Protección de los consumidores;
- Privacidad y protección de datos;
- Seguridad de las redes y de los sistemas de información
¿A QUE REQUISITOS DEBE AJUSTARSE EL SISTEMA INTERNO DE INFORMACIÓN?
El sistema interno de información o Canal de Denuncias (o Buzón ético) debe cumplir con una serie de requisitos, independientemente de la tipología de entidad de que se trate, que se recogen en el art. 5 de la Ley 2/2023:
- Existe la obligación de realizar consulta previa con los sindicatos y representación legal de los trabajadores, a quienes se les reserva por tanto un papel relevante en la configuración del canal (art. 5.1.)
- El órgano de administración u órgano de gobierno tendrá la condición de responsable del tratamiento de los datos personales que sean objeto de tratamiento durante las denuncias (art. 5.1)
- El sistema interno de información debe ser asequible, de manera que permita y facilite la presentación de comunicaciones a las personas informantes definidas en el art. 3.
- El sistema debe estar diseñado, establecido y gestionado de una forma segura, de modo que se garantice la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación y de las actuaciones que se desarrollen en la gestión y tramitación de la misma, así como se debe garantizar la protección de datos, impidiendo el acceso a personal no autorizado (art. 5.2.b)
- Debe permitir la presentación de comunicaciones por escrito o verbalmente, o de ambos modos (art.5.2.c). La información se podrá realizar por escrito, a través de correo postal, cualquier medio electrónico habilitado al efecto, por vía telefónica o a través de sistema de mensajería por voz. A solicitud del informante, también podrá presentarse mediante una reunión presencial dentro del plazo máximo de 7 días (art. 7.2). Se permitirán las comunicaciones anónimas.
- En el caso de existir diferentes canales internos de denuncia, estos deberán integrarse y estar disponibles de manera unificada (Art. 5.2.d)
- Debe garantizar que las comunicaciones presentadas puedan tratarse de manera efectiva con el objetivo de que la primera en conocer la posible irregularidad sea la propia entidad u organismo (art. 5.2.e)
- Deben ser independientes y estar diferenciados del resto de sistemas de información de otras entidades u organismos aunque se gestionen de forma compartida (art. 5.2.f).
Además, el sistema interno de información requiere:
- La designación de un responsable del sistema, que se comunicará a la Autoridad Independiente de Protección del Informante (arts. 5.2.g y 8.3). Esta responsabilidad se atribuye al órgano de administración o de gobierno de cada entidad (art. 8.1) así como la destitución o cese del mismo. Este responsable deberá ejercer sus funciones de forma independiente y autónoma respecto del resto de los órganos de la entidad, no podrá recibir instrucciones de ningún tipo en su ejercicio y deberá disponer de todos los medios personales y materiales necesarios para llevarlas a cabo.
- Contar con una política o estrategia que enuncie los principios generales y defensa del informante. Dicha política del sistema ha de ser debidamente publicitada en el seno de la organización (art. 5.2.h)
- Aprobar un procedimiento de gestión de las informaciones recibidas (art. 5.2.i). La gestión del sistema interno puede llevarse a cabo dentro de la propia entidad o acudiendo a un tercero externo. En dichos casos también se exige que ofrezca garantías adecuadas de respeto de la independencia, confidencialidad, protección de datos y el secreto de las comunicaciones (art. 6).
- Establecer las garantías para la protección de los informantes en el ámbito de la propia entidad u organismo, respetando en todo caso lo dispuesto en el art. 9 (art. 5.2.j)
¿EN QUE CONSISTE EL PROCEDIMIENTO DE DENUNCIA?
El art. 9 de la Ley 2/2023 hace referencia al contenido mínimo y los principios que han de regir los procedimientos de denuncia a través del sistema interno de información:
- Debe identificarse el canal o canales internos de información a los que se asocian.
- Ha de incluir información clara y accesible sobre los canales externos de información ante las autoridades competentes, y en su caso ante instituciones, órganos u organismos de la Unión Europea.
- Debe enviar acuse de recibo de la comunicación al informante, en el plazo de 7 días naturales siguientes a su recepción, salvo que ello pueda poner en peligro la confidencialidad de la comunicación.
- Habrá que determinar el plazo máximo para dar respuestas a las actuaciones de la investigación, que no podrá ser superior a 3 meses a contar desde la recepción de la comunicación. Si no se remitió acuse de recibo al informante, el computo de los 3 meses comenzará a partir del vencimiento del plazo de los 7 días siguientes al envío de la comunicación, salvo casos de especial complejidad, en los que el plazo podrá extenderse hasta un máximo de otros 3 meses adicionales.
- Tiene que realizarse previsión de la posibilidad de mantener la comunicación con el informante y, si se considera necesario, de solicitar a la persona informante información adicional.
- Debe establecerse el derecho de la persona afectada a que se le informe de las acciones u omisiones que se le atribuyen, y a ser oída en cualquier momento. Esta comunicación debe realizarse en el tiempo y forma que se considere adecuado para garantizar el buen fin de la investigación.
- Existe obligación de garantizar la confidencialidad cuando la comunicación sea remitida por canales de denuncia que no sean los establecidos o a miembros del personal no responsable de su tratamiento, al que habrá formado en esta materia y advertido de la tipificación como infracción muy grave de su quebranto y, asimismo, el establecimiento de la obligación del receptor de la comunicación de remitirla inmediatamente al Responsable del Sistema.
- Debe establecerse el respeto a la presunción de inocencia y al honor de las personas afectadas.
- Respetar las disposiciones sobre la protección de datos personales de acuerdo con lo previsto en el Titulo VI de la Ley 2/2023.
- Remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea.
El art. 9 (apartado 1) también hace referencia a que es el órgano de administración u órgano de gobierno de cada entidad u organismos quien está encargado de aprobar el procedimiento de gestión de informaciones. El Responsable del Sistema responderá de su tramitación diligente.
¿QUÉ SANCIONES E INFRACCIONES PREVÉ LA LEY 2/2023?
En el Título IX de la Ley 2/2023 se contempla el régimen sancionador aplicable en caso de no llevar a cabo las medidas impuestas para proteger la figura de los Whistleblowers o informantes. Esta protección se otorga en exclusiva para el denunciante de los hechos, sino que se extiende a la persona que asiste al denunciante, a terceros que estén relacionados con el mismo, familiares o compañeros del denunciante que pudieran ser objeto de represalias.
Las infracciones previstas se clasifican en muy graves, graves o leves:
MUY GRAVES
Cualquier actuación que suponga una efectiva limitación de derechos y garantías introducida a través de contratos o acuerdos individuales o colectivos y, en general, cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o impedir, frustrar o ralentizar su seguimiento, incluida la aportación de información o documentación falsa;
la adopción de represalias;
vulnerar las garantías de confidencialidad y anonimato;
vulnerar el deber de mantener secreto sobre la información;
cometer una infracción grave cuando el autor hubiera sido sancionado mediante resolución firme por dos infracciones graves en los dos años anteriores a la comisión de la infracción;
comunicar o revelar públicamente información a sabiendas de su falsedad;
incumplimiento de la obligación de disponer de un sistema interno de información
GRAVES
Las conductas de limitación de derechos y garantías antes señalados, cuando no tuvieren la condición de muy graves;
vulnerar las garantías de confidencialidad y anonimato, o el deber de secreto, cuando no se considerará infracción muy grave;
incumplimiento de la adopción de medidas para garantizar la confidencialidad y secreto de las informaciones;
y la comisión de una infracción leve cuando el autor hubiera sido sancionado por dos infracciones leves en los dos años anteriores a la comisión de la infracción, contados desde la firmeza de las sanciones.
LEVES
La remisión de información de forma incompleta, de manera deliberada por parte del Responsable del Sistema a la Autoridad, o fuera del plazo concedido para ello;
el incumplimiento de la obligación de colaboración con la investigación de informaciones;
y cualquier incumplimiento de las obligaciones previstas en la norma que no esté tipificado como infracción muy grave o grave.
Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses.
Las sanciones asociadas a dichas infracciones se distinguen en función de si el sujeto activo es persona física o persona jurídica:
Persona Física:
- Muy graves: de 30.001 hasta 300.000€
- Graves: de 10.001€ hasta 30.000€
- Leves: de 1001€ hasta 10.000€
Persona Jurídica:
- Muy graves: de 600.001€ hasta 1.000.000€
- Graves: de 100.001€ hasta 600.000€
- Leves: hasta 100.000€
PARA SABER MÁS
PARA PROFUNDIZAR
- “Anteproyecto de ley que regula la protección de las personas que informen sobre infracciones normativas y lucha contra la corrupción”, Pilar Moreno Blog “A golpe de tweet”.
- “La Ley 2/2023, de Protección del Informante: Primeras impresiones” Rafael Jimenez Asensio Blog “L Mirada institucional”
- “Análisis del proyecto de ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción”, Margarita Parajó Calvo, Revista Documentación Administrativa. Nueva Época. INAP. Diciembre 2022.
