I.- Entrada en vigor de la nueva Ley y objetivos perseguidos
El 13 de marzo de 2023 entró en vigor la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, conocida también como la Ley de protección del denunciante de corrupción, o Ley del canal de denuncias. Nos referiremos a ella en adelante como “la Ley”.
La nueva Ley persigue los mismos objetivos que la Directiva Whistleblowing; garantizar la adecuada protección de aquellas personas que deciden dar el paso y denunciar acciones ilícitas o infractoras dentro de las organizaciones, sean estas empresas privadas u organismos públicos, y asegurar que no recibirán ningún tipo de represalia.
Su artículo 37 también recoge una serie de medidas de apoyo específicas para los informantes, como son el asesoramiento integral y gratuito, apoyo financiero y psicológico.
A través de ese objetivo, se busca promover la denuncia interna a través de los canales de denuncia, ayudando con ello, a la larga, a prevenir la comisión de delitos o infracciones dentro de las organizaciones y promover una cultura ética en las mismas
La ley crea e implementa el canal de denuncias dentro de las organizaciones, de forma que garantice tanto la gestión adecuada de las denuncias recibidas como la protección de los informantes ante posibles represalias. Igualmente, La ley prevé la creación de la Autoridad Independiente de Protección del Informante, adscrita al Ministerio de Justicia, y que cumplirá las funciones de un “canal de denuncias externo” y supervisará los sistemas internos de información de las organizaciones.
II.- Materias que pueden ser objeto de denuncia
A través de los sistemas internos de información, la Ley específica que materias pueden ser objeto de denuncia:
-Cualquier acción u omisión que pueda constituir una infracción del Derecho de la UE (las recogidas en el anexo de la Directiva Whistleblowing, las que afecten a intereses financieros de la UE y las que incidan en el mercado interior).
-Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave.
III.- Ámbito personal. La protección que ofrece la Ley del canal de denuncias al informante/denunciante
La Ley protege a cualquier persona (informante) que trabaje en el sector privado o público y que haya obtenido información sobre infracciones dentro de un contexto laboral o profesional, lo que incluye a:
- -Empleados públicos y trabajadores por cuenta ajena.
- -Autónomos.
- Accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos.
- – Cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.
Así mismo, la Ley también protegerá a quienes comunique o revelen públicamente información sobre infracciones obtenida en el marco de una relación laboral o estatutaria ya finalizada (ex empleados), voluntarios, becarios, trabajadores en periodos de formación y candidatos en el proceso de selección o en la negociación contractual, así como a los representantes legales de los trabajadores en sus funciones de asesoramiento y apoyo al informante.
Las medidas de protección y apoyo recogidas en la Ley también se aplicarán a:
- Las personas dentro de la organización que asistan al informante durante el proceso.
- Las personas relacionadas con el informante que pudieran sufrir represalias (compañeros de trabajo o familiares).
- Personas jurídicas para las que trabaje o con quienes mantenga cualquier otro tipo de relación en un contexto laboral o en las que tenga una participación significativa.
IV.- Entidades que están obligadas a disponer de canal de denuncias
La obligación de cumplir con el canal de denuncias afecta a determinadas organizaciones, en concreto:
- Empresas de 50 o más empleados.
- Empresas de cualquier tamaño que operen en:
– El mercado financiero
– Seguridad del transporte
– Protección del medio ambiente
- Empresas con un volumen de negocios igual o superior a 10 millones de euros.
- Administraciones y entidades públicas (tanto del Estado como de las CC. AA. y la administración local) y órganos constitucionales.
- Universidades públicas.
- Corporaciones de Derecho público.
- Partidos políticos, sindicatos, patronales y fundaciones.
V.- Plazos para implementar el canal de denuncias.
La ley también establece los plazos que tienen las empresas y organizaciones para implementar el canal de denuncias:
– Hasta el 13 de junio de 2023: Empresas de más de 249 empleados y aquellas otras obligadas por su actividad o volumen de negocio, administraciones y entidades públicas y resto de organizaciones obligadas.
– Hasta el 1 de diciembre de 2023: Empresas de entre 50 y 249 empleados, y municipios de menos de 10.000 habitantes.
VI.- Requisitos legales exigidos al canal de denuncias.
La Ley establece cómo debe ser y funcionar el canal de denuncias, que debe cumplir con los siguientes requisitos:
-Uso asequible.
-Garantías de confidencialidad.
-Prácticas correctas de seguimiento, investigación y protección.
El canal de denuncias debe contar con las siguientes características para considerarlo eficaz y válido:
– El responsable de la implementación del canal de denuncias es el órgano de administración u órgano de gobierno de la organización y será necesaria la consulta previa con la representación legal de los trabajadores.
– Debe garantizar la confidencialidad tanto del denunciante como de las personas que son mencionadas en su denuncia (en la ley no se habla de investigados, como sí hacía el anteproyecto de ley del canal de denuncias, sino de personas afectadas). De manera que solo podrán acceder a la información las personas autorizadas.
– Se debe habilitar una vía o vías para que las denuncias se presenten y tramiten de forma fácil y rápida, permitiendo que estas se presenten tanto por escrito como de forma verbal. Estas vías se integrarán en un canal de denuncias independiente y diferenciado del resto de canales de denuncias o reclamaciones de la organización (si los hubiera).
– Se creará o asignará un responsable del canal de denuncias, que podrá ser tanto una única persona como un equipo. Este responsable será el encargado de gestionar el canal de denuncias y podrá ser tanto un gestor interno como externo. Se permite contratar a un tercero externo para la gestión del canal de denuncias (como puede ser por ejemplo un despacho de abogados). Así mismo, el responsable del canal de denuncias será comunicado a la Autoridad Independiente de Protección de Informante.
Los principales beneficios de externalizar el canal radican en la garantía de imparcialidad e independencia y la permanente actualización normativa de los profesionales que están a cargo de este servicio. Con ello se garantiza la confidencialidad, protección y salvaguarda de la información tratada, con independencia del criterio del mismo, y se evitan conflictos de interés.
Otro aspecto relevante es la gestión preliminar de las denuncias (a efectos de consideración, análisis, archivo y reporte). La gestión, unida a los procesos de investigación de las mismas, están suscitando amplio debate, principalmente, cuando se trate de denuncias de relevancia y alto impacto reputacional.
– Se deberá crear, implementar e informar tanto de un reglamento del canal de denuncias como de un procedimiento de gestión de las denuncias recibidas, que establezca cómo se llevará a cabo el proceso de recepción, tramitación e investigación de las denuncias, así como incluir un régimen sancionador de acuerdo a la ley (o remitir al que ya tenga la organización).
– Se deberán respetar los plazos mínimos y máximos establecidos en la ley para gestión de las denuncias:
– Plazo de 7 días naturales para comunicar el acuse de recibo de la denuncia al informante (salvo que dicha acción pudiera comprometer la confidencialidad de la denuncia).
– Plazo de 3 meses máximo para realizar las actuaciones de investigación.
– Plazo de 2 años para la protección del denunciante.
-El canal debe permitir la posibilidad de mantener la comunicación con el denunciante, que tendrá derecho a ser informado del proceso.
-Las denuncias deben quedar registradas, por lo que se debe crear y mantener un libro-registro del canal de denuncias. Este libro no será público y solo podrá acceder a él mediante petición razonada a la autoridad judicial competente. Y los datos personales que pueda contener se conservarán durante el tiempo necesario, que no podrá superar los 10 años.
Finalmente, cabe señalar que cuando los hechos denunciados en el canal de denuncias puedan ser constitutivos de delito, se deberá remitir de forma inmediata la información al Ministerio Fiscal.
VII.- Protección ante represalias (al denunciante o personas afectadas por la denuncia)
La ley establece medidas de protección de los denunciantes, en concreto, la prohibición de represalias y las medidas de apoyo.
El artículo 36 prohíbe expresamente cualquier acto constitutivo de represalia, incluidas las amenazas y las tentativas de represalia contras los denunciantes conforme a lo previsto en la ley.
Se consideran represalias:
– Suspensión del contrato de trabajo, despido o extinción de la relación laboral o estatutaria, incluida la no renovación o la terminación anticipada del contrato temporal.
– Cualquier medida disciplinaria, degradación o denegación de ascensos y cualquier otra modificación sustancial de las condiciones de trabajo.
– Daños reputacionales, pérdidas económicas, coacciones, intimidaciones, acoso u ostracismo.
– Evaluación o referencias negativas respecto al desempeño laboral o profesional.
– Inclusión en listas negras.
– Denegación o anulación de una licencia o permiso.
– Denegación de formación.
– Discriminación o trato desfavorable o injusto.
Son medidas de apoyo (artículo 37):
- Información y asesoramiento completos e independientes, de fácil acceso y gratuitos sobre los procedimientos y recursos disponibles, protección frente a represalias y derechos de la persona afectada.
- Asistencia efectiva por parte de las autoridades competentes ante cualquier autoridad pertinente implicada en su protección frente a represalias.
- Asistencia jurídica en los procesos penales y civiles transfronterizos de acuerdo a la normativa comunitaria.
- Apoyo financiero y psicológico, de forma excepcional, si así lo decide la Autoridad Independiente de Protección del Informante.
El artículo 40 recoge los supuestos de exención y atenuación de sanciones cuando quien hace la denuncia, haya participado en la comisión de la infracción administrativa objeto de la denuncia, siempre y cuando la denuncia se presente con anterioridad a cualquier proceso de investigación o procedimiento sancionador y concurran los siguientes requisitos:
- Haber cesado en la comisión de la infracción en el momento de hacer la denuncia.
- Haber cooperado plenamente y de forma continua durante el proceso de investigación.
- Haber facilitado información veraz y relevante, medios de prueba o datos significativos para la acreditación de los hechos investigados.
- Haber procedido a la reparación del daño causado que le sea imputable.
La nueva ley del canal de denuncias también establece medidas para la protección de las personas afectadas, es decir, por las personas que son denunciadas o mencionadas en la denuncia.
En concreto, el artículo 39 dice que, durante la tramitación de la denuncia y el correspondiente expediente, las personas afectadas tendrán:
– Derecho a la presunción de inocencia.
– Derecho de defensa
– Derecho de acceso al expediente en los términos regulados por la ley.
– La misma protección establecida para los informantes, preservándose su identidad y garantizándose la confidencialidad de los hechos y datos del procedimiento.
VIII.- La protección de datos personales en el canal de denuncias
El funcionamiento del canal de denuncias supone un tratamiento de datos personales, este está sujeto a la normativa de protección de datos (artículos 29 a 34 de la Ley)
Así, se establece que considerarán lícitos los tratamientos de datos personales necesarios para la aplicación de esta ley, amparados en el artículo 6.1.c) del RGPD, cuando el canal de denuncias es obligatorio y en el artículo 6.1.e) cuando su implementación sea voluntaria.
En cuanto al derecho de información y acceso, la ley establece que la identidad de los informantes no será revelada a las personas afectadas (las que se mencionen en la denuncia) ni a terceros. Se podrán ejercer el resto de los derechos ARSULIPO, pero con limitaciones, especialmente en el caso de los afectados y en lo que respecta al derecho de oposición.
La Ley establece que la organización será la responsable del tratamiento y, en caso de que contrate la gestión externa del canal de denuncias, ese proveedor será el responsable del tratamiento, con quien deberá suscribir el correspondiente contrato de encargo del tratamiento.
Así mismo, el acceso a los datos personales contenidos en el canal de denuncias quedará limitado a:
- El responsable del canal de denuncias.
- El responsable de recursos humanos o el órgano competente correspondiente, cuando se deban tomar medidas disciplinarias contra un trabajador.
- El responsable de los servicios jurídicos de la entidad u organismo, en caso de que proceda adoptar medidas legales relativas a los hechos denunciados.
- Los encargados del tratamiento que puedan designarse.
- El Delegado de Protección de Datos.
En el caso de denuncias que no resulten veraces, los datos personales deberán suprimirse sin dilación, salvo que dicha falta de veracidad pueda constituir un delito penal, en cuyo caso deberá guardarse la denuncia durante el tiempo necesario para su tramitación judicial.
Dado que la ley permite las denuncias anónimas, el sistema debe garantizar la posibilidad de recibir este tipo denuncias, en las que no consten datos identificativos del denunciante. Así mismo, si el denunciante se identifica o debe identificarse (en los términos en que prevé la ley), así como en el caso de las personas afectadas, el sistema debe garantizar la confidencialidad de los datos personales de los mismos.
Solo podrá comunicarse la identidad del informante a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.
Finalmente, las organizaciones obligadas a tener un canal de denuncias, deberán nombrar un Delegado de Protección de Datos.
IX.- Sanciones del canal de denuncias
Los artículos del 60 al 68 de la Ley regulan el régimen sancionador, en el que se incluyen todas las infracciones y sanciones por no tener canal de denuncias. Se establecen sanciones tanto para personas físicas como personas jurídicas.
En resumen, las sanciones que establece la Ley son:
- Sanciones para personas jurídicas:
– Multas de hasta 100.000 € para infracciones leves (art. 63.3).
– Multas de 100.001 a 600.000 € para infracciones graves (art. 63.2).
€- Multas de 600.001 a 1 millón € para infracciones muy graves (art. 63.1).
- Sanciones para personas físicas:
– Multas de 1.001 a 10.000 € para infracciones leves (art. 63.3).
– Multas de 10.001 a 30.000 € para infracciones graves (art. 63.2).
– Multas de 30.001 a 300.000 € para infracciones muy graves (art. 63.1).
El órgano competente para imponer estas sanciones administrativas es la Autoridad Independiente de Protección del Denunciante.
X.- Conclusiones
Un canal de denuncias interno, o canal de información, consiste principalmente en un sistema de alertas que avisa al responsable de cumplimiento normativo sobre presuntas malas prácticas en la gestión de una empresa u organización, con el objetivo de identificar dichas presuntas malas prácticas que puedan suponer un riesgo para la entidad y poder así combatirlas.
Mediante el empleo del canal, los alertadores o denunciantes transmiten la información a través de un sistema seguro que debe evitar filtraciones que dañen la reputación de la empresa.
La finalidad de estos canales es proteger a las personas que denuncian, en especial, a las que trabajan en la organización o están relacionadas con esta. La herramienta tiene que permitir realizar el aviso de forma completamente confidencial y, en su caso, anónima, si el informante (denunciante) así lo desea.
Con el canal se agiliza la comunicación e implicación de las personas o grupos de interés con que se relacionan las organizaciones para luchar contra indicios de corrupciones e irregularidades de toda índole, principalmente las que puedan implicar responsabilidad penal.
La Ley del canal de denuncias convierte a esta herramienta en un elemento fundamental para la lucha y prevención de las infracciones y delitos en las organizaciones, además de hacerlo obligatorio para una serie de ellas y para cualquier empresa que tenga 50 o más trabajadores.
La implantación de un canal de denuncia no comienza o termina con la contratación tecnológica del mismo. Debe estar integrado en el sistema de compliance y / o de buen gobierno del que disponga la empresa
Además, de la implementación del canal, la empresa debe desarrollar acciones paralelas, como son las de informar y dar a conocer el canal y formación para que los trabajadores y stakeholders sepan utilizarlo.
No disponer de canal de denuncias que respete todo lo expuesto, estando obligado, se considera una infracción muy grave, con sanciones de importante cuantía económica, y si surge un problema de corrupción, y la empresa no dispone de un canal de denuncias, se le podría derivar responsabilidad penal. Por ello, disponer del canal de denuncias tiene una gran importancia al ser uno de los factores atenuantes o eximentes contemplados en el Código Penal
En Cremades & Calvo Sotelo Abogados te asesoramos en la implementación y gestión del canal de denuncias para tu empresa. Contacta con nosotros e infórmate, sobre cumplimiento normativo. Te protegeremos y evitarás sanciones administrativas y posibles consecuencias penales.
José Antonio del Valle, socio de Cremades & Calvo-Sotelo
