Nueva Ley de protección a informantes (Whistleblowers)
El pasado 21 de febrero se publicó en el Boletín Oficial del Estado la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. La Ley incorpora al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, conocida en inglés como la Directiva Whistleblowing. Esta nueva Ley persigue proteger a las personas físicas que informan sobre la comisión de determinadas infracciones y que por ello puedan sufrir represalias.
Con esta Newsletter pretendemos resumir los principales aspectos que afectan al ámbito empresarial de esta nueva Ley que entra en vigor el próximo 13 de marzo.
¿A quién protege esta Ley?
En concreto, la Ley protege a los informantes (los denominados whistleblowers) que trabajen en el sector privado o público y que tengan conocimiento de la comisión de infracciones dentro de un contexto laboral o profesional. La protección ampara a: (i) las personas que tengan la condición de empleados públicos o trabajadores por cuenta ajena; (ii) los autónomos, contratistas, subcontratistas y proveedores; (iii) los informantes con una relación laboral o estatutaria finalizada; (iv) voluntarios, becarios y personal en formación o candidatos en procesos de selección; y (v) los accionistas, administradores y directivos de la empresa.
Además, también se protege a: (i) familiares o compañeros de trabajo de los informantes que puedan sufrir represalias; y (ii) la persona jurídica para la que trabaje el informante o mantenga otra relación en el contexto laboral o en las que sea titular de una participación significativa.
La norma protege a los informantes que comuniquen cualesquiera de las siguientes infracciones: (i) infracciones administrativas graves o muy graves ; (ii) infracciones penales; o (iii) infracciones del Derecho de la Unión Europea previstas en la Directiva Whistleblowing, o que afecten a los intereses financieros de la Unión o que incidan en el mercado interior.
¿Qué cauces de información prevé la Ley?
La Ley prevé que los informantes den a conocer la comisión de estas infracciones a través del canal interno de información –integrado en el sistema interno de información de una empresa– y del canal externo de información.
¿Quiénes están obligados a tener un sistema interno?
El sistema interno de información es el cauce preferente para informar, y deberá permitir a los informantes, guardando confidencialidad de su identidad, presentar comunicaciones por escrito y verbalmente y comunicar infracciones.
Estarán obligadas a contar con un sistema interno, entre otras, las empresas con cincuenta o más trabajadores y, con independencia del número de trabajadores, las empresas que entren en el ámbito de aplicación de los actos de la Unión en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente. Para el supuesto particular de los grupos de sociedades, la sociedad dominante deberá aprobar una política general relativa al sistema interno y asegurar que las empresas del grupo apliquen sus principios; pudiendo ser el sistema interno común para todo el grupo.
Aunque no estén obligadas a disponer de un sistema interno, las empresas que voluntariamente lo implanten deberán cumplir con los requisitos establecidos en esta Ley.
¿Quién es el responsable de gestionar el sistema interno?
El responsable del sistema, puede ser una persona física u órgano colegiado que deberá actuar de forma independiente y deberá disponer de todos los medios personales y materiales para desarrollar sus funciones. En el caso de los grupos de empresas, se podrá nombrar a un solo responsable.
Asimismo, la gestión del sistema interno se podrá externalizar a un tercero, siempre y cuando éste ofrezca garantías adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto de las comunicaciones.
¿Qué plazo hay para implantar el sistema interno o adaptar los existentes?
El órgano de administración será el responsable de la implantación del sistema interno; implantación que deberá realizarse antes del 13 de junio de 2023, salvo en empresas del sector privado con menos de doscientos cincuenta trabajadores, en cuyo caso el plazo se extiende hasta el 1 de diciembre de 2023.
¿Quién conformará el canal externo?
Los informantes podrán cursar comunicaciones a través del canal externo de la Autoridad Independiente de Protección del Informante o a través de las autoridades u órganos autonómicos. No será requisito previo el agotar el canal interno.
La Autoridad Independiente de Protección del Informante –autoridad administrativa independiente creada al efecto– decidirá sobre su admisión a trámite y dará inició a una fase instructora que culminará con la emisión de un informe que podrá acordar: (i) el archivo del expediente; (ii) la remisión al Ministerio Fiscal si existiesen indicios de delito; (iii) el inicio del procedimiento sancionador; o (iv) el traslado de las actuaciones a otra autoridad u organismo competente. Las decisiones no serán recurribles en general, excepto la eventual resolución que ponga fin al procedimiento sancionador que pueda, en su caso, incoarse.
¿Qué infracciones son sancionables según la Ley?
La Autoridad Independiente de Protección del Informante podrá sancionar las represalias contra los informantes así como incumplimientos en el establecimiento de las reglas de los canales de comunicación.
Entre las infracciones que regula esta Ley, destacan: (i) la vulneración de los derechos y garantías de los informantes; (ii) el incumplimiento de la obligación de disponer de un sistema interno de información; y (iii) la adopción de cualquier represalia respecto a los informantes.
Se podrá imponer a las empresas tanto multas –que pueden ascender hasta un máximo de un millón de euros–, como sanciones adicionales como la prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de cuatro años.
¿Qué medidas de protección se prevén?
Las medidas de protección que prevé la Ley para amparar a los informantes son, entre otras:
- la prohibición de las represalias contra informantes adoptadas en los dos años siguientes a la finalización de las investigaciones –que podrá extenderse excepcionalmente y de forma justificada– (e.g. suspensión del contrato de trabajo, despido o extinción de la relación laboral o estatutaria, denegación o anulación de licencias y permisos, etc.);
- la exención de responsabilidad en el caso de que el informante haya participado en la infracción administrativa, siempre que se cumplan los siguientes requisitos: (i) haber cesado en la comisión de la infracción; (ii) haber cooperado plenamente; (iii) que la información aportada fuera veraz; y (iv) que se haya procedido a la reparación del daño;
- inversión de la carga de la prueba en los procedimientos judiciales instados por los informantes donde aleguen sufrir represalias; y
- los informantes no incurrirán en responsabilidad respecto de la adquisición o el acceso a la información que es comunicada o revelada públicamente, siempre que dicha adquisición o acceso no constituya un delito.
¿La protección cubre a los informantes en caso de revelación pública?
Los informantes que hayan revelado públicamente la infracción también contarán con la protección prevista en la Ley si:
- la hubieran comunicado previamente por el canal interno o externo y haya motivos razonables para pensar que; o bien la infracción puede constituir un peligro inminente o manifiesto para el interés público, o bien, en caso de uso del canal externo de información, exista riesgo de represalias o haya pocas probabilidades de que se dé un tratamiento efectivo a la información; y
- en el caso de que los informantes hayan revelado directamente la información a la prensa en el ejercicio de la libertad de expresión y de información veraz, contarán con la protección que brinda la Ley sin ningún requisito adicional.
Hay que destacar que la Ley también prevé medidas de protección para aquellas personas afectadas por la comunicación (e.g. presunción de inocencia, derecho de acceso al expediente o garantía de confidencialidad).
¿Cómo se tratarán los datos de los informantes?
Todos los sujetos obligados a tener un sistema interno de información deberán contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad.
Los datos personales de los informantes objeto de tratamiento podrán conservarse en el sistema de información únicamente durante el tiempo imprescindible para decidir sobre la iniciación o no de una investigación sobre los hechos informados.
Transcurridos tres meses desde la comunicación sin que se inicien actuaciones de investigación, los datos del informante deberán ser suprimidos. Por otra parte, la identidad del informante nunca será objeto del derecho de acceso a datos personales y sólo podrá comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación.
