El pasado 21 de febrero, el BOE publicaba la Ley 2/2023, de 20 de febrero, que regula la protección de aquellas personas que informan sobre infracciones normativas y de lucha contra la corrupción. Con su entrada en vigor, se suple la conocida como Directiva Whistleblowing, desde el 13 de marzo de 2023, fecha de su entrada en vigor.
Esta norma tiene como objetivo proteger a las personas que, en un contexto laboral o profesional, detectan infracciones penales o administrativas graves o muy graves y las comuniquen a través de los mecanismos regulados por la misma. En cuanto a su ámbito de aplicación, protege a aquellos que informen sobre las infracciones del Derecho de la Unión, que prevé la Directiva del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 y, además, a los que lo hagan por las mismas infracciones dentro de nuestro ordenamiento jurídico. De esta forma, obliga a determinados sujetos a contar con un sistema interno de información, así como de gestión y protección de los informantes, para evitar represalias.
¿A quién protege el Sistema Interno de Información?
La novedad más relevante de la nueva norma es la obligación para empresas de 50 o más trabajadores, de implantar el citado sistema de información, para garantizar la protección de los informantes. Para ello tienen un plazo de 3 meses desde la entrada en vigor de la Ley, aquellas empresas que tengan más de 249 personas en plantilla, y hasta el 1 de diciembre de 2023, las compañías con una plantilla entre 50 y 249 trabajadores.
La nueva Ley protege a los informantes, particularmente a personas trabajadoras, autónomas, accionistas, partícipes, miembros del órgano de administración, dirección o supervisión de las empresas; también contratistas, subcontratistas y proveedores, hayan finalizado o estén por comenzar su relación comercial. Incluso lo hace a voluntarios, becarios y trabajadores en periodos de formación, tengan o no retribución. Esta lista se amplía a personas físicas que estén en el marco de la organización, las relacionadas con el informante que puedan sufrir represalias e incluso personas jurídicas para las que el informante trabaje. Durante dos años, el informante estará protegido frente a las medidas que pudieran adoptarse como represalia por la información revelada.
¿Cuáles son las obligaciones y requisitos del Sistema Interno de Información?
La novedad más relevante de la nueva norma es la obligación para empresas de 50 o más trabajadores, de implantar el citado sistema de información, para garantizar la protección de los informantes. Para ello tienen un plazo de 3 meses desde la entrada en vigor de la Ley, aquellas empresas que tengan más de 249 personas en plantilla, y hasta el 1 de diciembre de 2023, las compañías con una plantilla entre 50 y 249 trabajadores.
La nueva Ley protege a los informantes, particularmente a personas trabajadoras, autónomas, accionistas, partícipes, miembros del órgano de administración, dirección o supervisión de las empresas; también contratistas, subcontratistas y proveedores, hayan finalizado o estén por comenzar su relación comercial. Incluso lo hace a voluntarios, becarios y trabajadores en periodos de formación, tengan o no retribución. Esta lista se amplía a personas físicas que estén en el marco de la organización, las relacionadas con el informante que puedan sufrir represalias e incluso personas jurídicas para las que el informante trabaje. Durante dos años, el informante estará protegido frente a las medidas que pudieran adoptarse como represalia por la información revelada.
En primer lugar, los requisitos marcan que en el plazo de 7 días, desde la recepción de la información o comunicación, se deberá acusar recibo al informante. En segundo lugar, la gestión e investigación de las informaciones no podrá durar más de 3 meses, salvo en casos de especial complejidad, que se prorrogarán hasta 6. Igualmente, las empresas tienen la obligación de dar información y publicidad sobre el uso del canal interno y sobre los principios de su procedimiento de gestión.
En el caso de que la empresa disponga de página web, el canal deberá aparecer en la página de inicio, en una sección separada y fácilmente identificable. Igualmente el sistema deberá contar con un responsable, que además será directivo de la empresa, nombrado por el órgano de administración.
En cuanto al tratamiento de los datos personales en los canales de denuncia, se considera lícito cuando sea obligatorio disponer del sistema de información al ser necesario para el cumplimiento de una obligación legal. También es válido cuando no sea obligatorio, pero voluntariamente se decida crear uno, para satisfacer el interés público. Las empresas, por último, tendrán que registrar las informaciones recibidas y sus investigaciones internas en un registro privado.
¿A través de qué canales de información se puede dar cuenta de las infracciones?
Las comunicaciones o informaciones de las infracciones o irregularidades se pueden llevar a cabo a través de diferentes canales. En primer lugar, el canal interno de la empresa o, en su defecto, el canal externo o Autoridad Independiente de Protección al Informante (AAI).
Pero también se puede realizar una revelación pública en plataformas web, redes sociales, medios de comunicación y otros, cuando los cauces internos o externos no hayan funcionado; cuando exista una amenaza inminente para el interés público; o cuando exista un riesgo de represalias o de un tratamiento no efectivo. Así, el órgano de administración de la empresa en el responsable de la implantación del sistema, previa consulta con la representación legal de las personas trabajadoras.
¿Cómo se protege a los informantes con la nueva Ley?
La Ley establece una serie de medidas y garantías para proteger a los informantes. En primer lugar, durante dos años, estarán protegidos frente a las medidas que pudieran adoptarse como represalia por la información revelada. De igual forma, cuando el informante haya demostrado razonablemente que ha comunicado o ha hecho una revelación pública y que ha sufrido un perjuicio, se presumirá en los procedimientos judiciales que el perjuicio se produjo como represalia, y corresponderá a la persona que haya tomado la medida perjudicial, probar que esa medida se basó en motivos justificados ajenos a la comunicación o revelación pública.
Por otra parte, los actos constitutivos de represalia serán nulos y darán lugar a medidas disciplinarias o de responsabilidad, incluyendo una indemnización de daños y perjuicios. Asimismo, los informantes, tal y como indica la norma, no infringirán las restricciones de revelación de información cuando efectúen la comunicación, siempre que existan motivos razonables para pensar que la comunicación o revelación pública de una información era necesaria.
¿Qué sanciones existen si no se cumple con la Ley Reguladora de la Protección de informantes?
La Ley Reguladora de la Protección de Informantes establece un régimen sancionador propio, con multas a las personas físicas o jurídicas que cometan las infracciones tipificadas. Como ejemplo, constituye una infracción muy grave no tener implantado el sistema o adoptar represalias contra los informantes, sancionable con multa de 30.001 euros a 300.000 euros para las personas físicas y multa entre 600.001 euros y 1.000.000 de euros para las personas jurídicas.
Igualmente, se podrán imponer sanciones accesorias como la amonestación, la prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo de hasta 4 años, así como la prohibición de contratar con el sector público durante un periodo de 3 años.