1. Introducción

La figura del Whistleblowing, surge en Estados Unidos (en adelante, EE. UU.) a finales del siglo XVIII como un sistema eficiente para la lucha contra la corrupción. Desde entonces, se pretendido garantizar la protección al denunciante por revelación de actuaciones ilícitas sobre las que este pudiera tener conocimiento.

Los mayores escándalos financieros ocurridos en EE. UU., y el éxito de las medidas implementadas, han avivado la figura del Whistleblowing y su aplicación en la Unión Europea. Resulta fundamental destacar la relevancia de los denunciantes al descubrir los escándalos financieros internacionales más significativos hasta la fecha, pues trabajadores de compañías como Enron, WorldCom, Watergate, Dieselgate y Luxleaks fueron los responsables de destapar los ilícitos allí cometidos.

Si bien, los denunciantes no siempre estuvieron protegidos, muchos whistleblowers han resultado damnificados por informar los incumplimientos. Antonine Deltour y Raphaël Halet, son un claro ejemplo de la necesidad de proteger a los denunciantes tras el escándalo Luxleaks en el que las Autoridades Gubernamentales de Luxemburgo se encontraron implicadas. Otros como Chelsea Manning^[1] y Edward Snowden^[2] también fueron perjudicadas por tratar de “convertir el mundo en un lugar mejor”.

Por lo que respecta a España, resulta importante referir que la publicación de la Ley Orgánica 5/2010, de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal (en adelante, L.O. 5/2010), introdujo en su artículo 31 bis la figura del Whistleblowing, o la denominada en el precitado texto legal “obligación de informar”, como un medio para que las personas jurídicas puedan resultar exentas de responsabilidad penal, dejando de surtir efecto en nuestro ordenamiento jurídico el conocido término “societas delinquere non potest”.

La L.O. 5/2010, avivó el interés en acabar con las estructuras delictivas dentro de las empresas, sin embargo, la misma resulta insuficiente para que los informantes actúen de forma voluntaria, pues no establece un programa de cumplimiento obligatorio, sino que se limita a premiar con la exención o atenuación a aquellas personas jurídicas que colaboren y decidan implementarlo.

Con todo lo anterior, la Unión Europea, con la imperiosa necesidad de promover la utilización de los canales de denuncias por los denunciantes, publicó el pasado 21 de octubre de 2019, la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, lo que coadyuvó a publicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante, Ley 2/2023, de 20 de febrero), lo que ha impuesto a España la regulación de los canales de denuncia que ya impulsaba la mencionada reforma del Código Penal.

2. Antecedentes en España, Compliance y el denominado “deber de informar”

Hasta la Ley 2/2023, de 20 de febrero, no existía una homogeneidad legislativa que tratase la figura del Whistleblowing en España, sino que se ha ido regulando de forma sucinta en diversas normas. Ahora bien, como se venía anunciando el canal de denuncias adquiere especial relevancia en nuestro ordenamiento jurídico a raíz de la L.O. 5/2010, en la cual nace la posibilidad de que las personas jurídicas sean responsables penales de determinados delitos que hayan sido cometidos en nombre o por cuenta de las mismas, y en su provecho, por sus representantes legales, administradores de hecho o de derecho y responsables, o incluso por empleados que en su ejercicio han cometido ilícitos “por no haberse ejercido sobre ellos el debido control”.

Como consecuencia de lo anterior, se publicó la Ley Orgánica 1/2015, de 30 de marzo, del Código Penal, que introduce en España el “Sistema de Gestión de Riesgos Penales” o “Compliance Penal”, completando el criterio de impunidad de las personas jurídicas mediante la creación de un marco de exenciones y eximentes de la responsabilidad penal, y sustituyendo el término de “incumplimiento del debido control” por “incumplimiento de los deberes de supervisión, vigilancia y control de su actividad”.

Esto se presenta mediante la creación y adopción de modelos de gestión, tal y como determina el artículo 31 bis del precitado cuerpo legal. Así pues, el Compliance Penal, es un modelo organizativo y de gestión que busca garantizar el cumplimiento de las obligaciones legales que las mismas empresas se imponen para evitar la concurrencia de ilícitos penales.

Para garantizar las exenciones y eximentes a las personas jurídicas, el Compliance Program no sólo deberá ser eficaz, sino que deberá cumplir sus objetivos de prevención, detección y corrección de los incumplimientos. De hecho, el canal de denuncias es una pieza fundamental del programa de cumplimiento normativo, pues tal y como establece el artículo 31 bis 5. 4º del Código Penal, las empresas: “Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observación del modelo de prevención”.

 

3. La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. y su impacto en el ámbito penal

La ineludible necesidad de homogeneizar la protección al denunciante en la Unión Europea, y la evidente ausencia de sistemas que garanticen su protección, han coadyuvado a la publicación de la Ley 2/2023, de 20 de febrero en España.

En este sentido, el Título VI del precitado texto legal ofrece numerosas salvaguardias legales a los informantes, para evitar la concurrencia de tratos injustos o dañosos a la reputación de las partes como consecuencia de la divulgación de datos. Los intereses que pretende proteger son: (i) la identidad de la persona denunciante, (ii) la protección de los hechos que consten en la denuncia, (iii) la identidad de la persona denunciada y (iv) de terceros que puedan estar involucrados. Para ello, establece dos figuras, que han presentado ciertas controversias: la confidencialidad y el anonimato.

3.1. La problemática figura del anonimato y las garantías de la confidencialidad

3.1.1. La problemática del anonimato

En un primer momento, la doctrina se encontraba dividida respecto a la figura del anonimato, por ello, la Agencia Española de Protección de Datos (en adelante, AEPD) decidió resolver de forma transitoria el debate mediante la publicación del Informe 0128/2007, que recomendaba evitar las denuncias anónimas en la empresa. Concretamente, manifestó que la creación de sistemas de denuncias internas:

“Debería partirse del establecimiento de procedimientos que garanticen el tratamiento confidencial de las denuncias presentadas a través de los sistemas de “Whistleblowing”, de forma que se evite la existencia de denuncias anónimas, garantizando así la exactitud e integridad de la información contenida en dichos sistemas”.

Teniendo en cuenta las controversias que avivaba tal figura, la Directiva (UE) 2019/1937, concedió a los legisladores de los respectivos Estados Miembros la libertad para incluirla o no en la correspondiente transposición. En el caso de España, hubiera resultado contradictoria la inadmisión de la figura del anonimato por parte de nuestro legislador, pues la misma ya se venía admitiendo en diversos textos legales, como por ejemplo, la Ley de Prevención del Blanqueo de Capitales, o la nueva Ley Orgánica de Protección de Datos, que contempla la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión de actos ilícitos.

En este sentido, cobra especial relevancia la Instrucción 3/1993 de 16 de marzo, de la Fiscalía General del Estado, al respecto de la denuncia anónima y su virtualidad como notitia criminis, que determina que su admisión adolece a “su capacidad para transmitir una sospecha generadora de investigación preparatoria”.

Así, la Sentencia nº 318/2013, del Tribunal Supremo, de 11 de abril, ofreció un estudio completo para determinar si el inicio del proceso penal a raíz de una denuncia anónima puede “adolecer de nulidad por favorecer o a dar lugar a indagaciones prospectivas e injustificadas sobre los ciudadanos”. En este sentido, determina que “la prevención frente a la denuncia anónima” dispuesta en el artículo 268 de la Ley de Enjuiciamiento Criminal^[3] (en adelante, LECrim), no puede contradecir lo dispuesto en el artículo 308 de la LECrim, en el que se obliga a “la práctica de las primeras diligencias inmediatamente que los Jueces de Instrucción (…) tuvieren conocimiento de la perpetración de un delito”. Por ello, si tras la investigación se prueba “su verosimilitud, credibilidad y suficiencia”, podrá llevarse a cabo la incoación del proceso penal. En este mismo sentido, la Sentencia nº 35/2020, del Tribunal Supremo, de 6 de febrero o la Sentencia nº 141/2020, del Tribunal Supremo, de 13 de mayo, han admitido de forma excepcional esta figura como medio de investigación penal, pero no como prueba de cargo inicial en el proceso.

Todo lo anterior ha llevado al legislador español a optar por un enfoque distinto al criterio previamente establecido por la AEPD, al reconocer de manera expresa la legalidad del anonimato como un método para salvaguardar los intereses del denunciante, ya que en el artículo 17.1 de la Ley 2/2023, se determina que: “la información puede llevarse a cabo de forma anónima”.

Ahora bien, a pesar de que la figura del anonimato es la máxima garantía para la persona denunciante respecto a su protección frente a posibles represalias, la misma presenta diversos factores que podrían resultar perjudiciales tanto para la efectividad del canal de denuncias, como para el denunciado. Pues la recepción de denuncias anónimas podría obstaculizar el proceso de investigación y vulnerar el derecho de defensa del denunciado, ya que él mismo desconoce la identidad del denunciante y la procedencia de la evidencia que se aporta contra él.

Respecto a lo anterior, cobra especial relevancia la Sentencia nº 552/2016, del Tribunal Superior de Justicia de Canarias, de 22 de junio, pues, aunque adolece al orden social, ofrece su criterio respecto a si la denuncia anónima a través del Canal Ético de una sociedad podría suponer una vulneración del derecho fundamental a la presunción de inocencia y a la tutela judicial efectiva. En este sentido, determina que “el recelo que suscita el anonimato no puede impedir que la empresa, primero ponga en marcha un proceso de indagación interna reservada para una ponderación de los hechos valorando su verosimilitud, credibilidad y suficiencia”.

Al respecto de la vulneración a la presunción de inocencia, el Tribunal determina que la sociedad “puso de inmediato en conocimiento del denunciado para valorar su integridad y solo tras el reconocimiento de este y la no aportación de la documentación requerida, abrió́ expediente disciplinario para averiguar el alcance de los hechos”, y esto resultaría suficiente para garantizar los precitados derechos.

Actualmente, el artículo 35 de la Ley 2/2023, establece que tendrán derecho a protección, siempre que “tengan motivos razonables para pensar que la información referida es veraz en el momento de la comunicación o revelación, aun cuando no aporten pruebas concluyentes”.

La protección cuando los denunciantes “tengan motivos razonables” tiene su origen en el modelo británico Public Interest Disclosure Act (1998)^[4], que determina que para que la protección pueda darse, el denunciante deberá haber denunciado creyendo de forma “razonada” que la información aportada realmente sucedió, o que la misma, podrá suceder en un futuro. De forma análoga, en la Sentencia nº 6/1988, de 21 de enero, del Tribunal Constitucional, se establece que esta “creencia razonable” no precisa ser la verdad absoluta, pues basta con que el denunciante creyese en su certeza y que la denuncia se realice en atención al interés público.

No obstante, por lo que respecta a la ausencia de necesidad de presentar pruebas concluyentes, a mi juicio únicamente podría ser susceptible de aplicación a las denuncias en las que el denunciante aporte su identidad, pues en las denuncias anónimas, la falta de pruebas y la imposibilidad de recabar información necesaria para la investigación la haría prácticamente inviable.

• Garantías de confidencialidad

La confidencialidad como un sistema de protección ya se venía anunciando tras la reforma del Código Penal efectuada por la Ley Orgánica 1/2015 sobre la responsabilidad penal de las personas jurídicas, un ejemplo es la Circular 1/2016, de 22 de enero, que establece lo siguiente: “La existencia de unos canales de denuncia de incumplimientos internos o de actividades ilícitas de la empresa es uno de los elementos clave de los modelos de prevención. Ahora bien, para que la obligación impuesta pueda ser exigida a los empleados resulta imprescindible que la entidad cuente con una regulación protectora específica del denunciante (whistleblower), que permita informar sobre incumplimientos varios, facilitando la confidencialidad mediante sistemas que la garanticen en las comunicaciones (llamadas telefónicas, correos electrónicos…) sin riesgo a sufrir represalias”.

En este sentido, la Ley 2/2023 pone especial atención al deber de garantizar los datos identificativos del denunciante, y en su artículo 31 establece que “la persona a la que se refieran los hechos relatados no será en ningún caso informada de la identidad del informante o de quien haya llevado a cabo la revelación pública”.

Ahora bien, a pesar de que el foco de controversia se presentaba en el anonimato, de la confidencialidad también surgen ciertas objeciones. Por un lado, la relativa al alcance de su protección: ¿el deber de confidencialidad prevalece sobre la obligación de informar a las autoridades?

La precitada Ley ya resuelve este asunto, estableciendo en su artículo 32.2 ciertas excepciones al deber de confidencialidad: (i) el consentimiento del propio denunciante, (ii) cuando su revelación constituya una obligación necesaria en el contexto de una investigación llevada a cabo por las autoridades nacionales, (iii) o para la tramitación de procedimientos sancionadores o penales. Por ello, se permite la revelación de la identidad del denunciante cuando exista una obligación legal necesaria, es decir, cuando la denuncia conlleve, por ejemplo, a la incoación de un procedimiento.

Por otro lado, el artículo 39 presenta las medidas para la protección de las personas afectadas, garantizando la presunción de inocencia, el derecho de defensa y el derecho de acceso al expediente preservando la confidencialidad de los informantes y de los hechos y datos del procedimiento.

En relación con el acceso al expediente, el artículo 19.3 relativo a la instrucción de la investigación tras la recepción de una denuncia, establece que: “la misma tendrá acceso al expediente sin revelar información que pudiera identificar a la persona informante, pudiendo ser oída en cualquier momento, y se le advertirá de la posibilidad de comparecer asistida de abogado”.

Sin embargo, por lo que respecta al acceso del expediente protegiendo la confidencialidad del denunciado, habrá que esperar a la jurisprudencia desarrollada por los tribunales nacionales para concluir y determinar cómo podría garantizarse que el denunciado no conozca aquellos hechos que de por sí podrían revelar la identidad del informante.

4. Conclusiones

1. La publicación de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, ha supuesto un antes y un después en legislación española respecto a la prevención y el descubrimiento de las infracciones en el marco empresarial, sirviéndose de los trabajadores para alcanzar tales objetivos.

 

1. El cambio hacia la cultura de cumplimiento ha supuesto un relevante impacto en el ámbito del cumplimiento normativo (Compliance), y en el desarrollo de los canales de denuncia, creando un entorno enfocado a la integridad, transparencia y prevención de riesgos penales y éticos.

 

• La implementación del Whistleblowing en España se produjo de forma heterogénea, regulándose de forma muy escasa en diversas normativas, por ello, resulta abrumadora la transformación radical que ha suscitado del legislador español mediante la publicación de la Ley 2/2023, adaptándola a las nuevas realidades.

 

1. El anonimato en los canales de denuncias plantea un delicado equilibrio entre la protección de los denunciantes y la limitación de la organización a la hora de abordar la investigación. La inadmisión de las denuncias anónimas puede suponer un factor disuasorio a considerar por el informante, que provoque la inutilización del canal de denuncias ante el conocimiento de un ilícito dentro de la organización. Sin embargo, su admisión puede dar lugar a un desperdicio de recursos en las empresas cuando el canal de denuncias se utiliza con intenciones maliciosas. Es más, la dificultad para verificar la autenticidad de las denuncias anónimas puede suponer un gran desafío en el proceso de investigación. La imposibilidad de recabar información adicional o pruebas sustanciales por desconocer la identidad del denunciante puede limitar la capacidad de la entidad para llevar a cabo investigaciones exhaustivas y abordar adecuadamente los problemas planteados en la denuncia.

 

1. Resulta fundamental que, en las investigaciones internas y privadas llevadas a cabo por la empresa, se tengan en cuenta y se sigan rigurosamente los límites y procedimientos previos al proceso penal, con el fin de evitar la presentación de pruebas o evidencias que comprometan los derechos de defensa del investigado.

 

^[1] Manning, soldado y analista de inteligencia en el Ejército estadounidense, fue detenida en el año 2010 y condenada a 35 años de prisión por “una de las mayores filtraciones de información clasificada en la historia de EE. UU”.

^[2] Edward Joseph Snowden, consultor tecnológico en la Agencia Central de Inteligencia (CIA) y la Agencia de Seguridad Nacional (NSA) filtró diversos documentos confidenciales para destapar la vigilancia que el Estado estadounidense ejercía sobre los ciudadanos mediante el programa PRISM.

^[3] Artículo 268 de la Ley de Enjuiciamiento Criminal: “El Juez, Tribunal, autoridad o funcionario que recibieren una denuncia verbal o escrita harán constar por la cédula personal o por otros medios que reputen suficientes, la identidad de la persona del denunciador”

^[4] SÁEZ LARA, Carmen. La Protección de Denunciantes: Propuesta de Regulación para España tras la Directiva Whistleblowing. Tirant lo Blanch, 2020, Valencia.

 

Ana María Cárdenas Meyer, abogada de Cremades & Calvo-Sotelo