Ley del Canal de denuncias

El día 21 de febrero de 2023, fue publicada en el Boletín Oficial del Estado la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, la cual ha entrado en vigor el 13 de marzo de 2023.

Con la aprobación de esta ley se incorpora al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, que regula aspectos mínimos que han de satisfacer los distintos cauces de información a través de los cuales una persona física, que sea conocedora en un contexto laboral de una infracción del Derecho de la Unión Europea, pueda dar a conocer la existencia de la misma. Es la conocida como Directiva «Whistleblower», que regula los comúnmente llamados «canales de denuncias» y que obliga a contar con canales internos de información a muchas empresas y entidades públicas porque se considera que es preferible que la información sobre prácticas irregulares se conozca por la propia organización para corregirlas o reparar los daños lo antes posible.

Esta ley establece sanciones, que oscilan entre los 600.001 y 1.000.000 euros en el caso de personas jurídicas y entre los 30.001 y 300.000 euros en el caso de personas físicas, para las personas que no tengan implantado el «canal de denuncias» estando obligadas a ello en virtud de lo establecido en esta ley, como son, entre otras, las personas físicas o jurídicas que tengan contratados a 50 o más trabajadores. El plazo para implantar el canal de denuncias se fija por la ley para antes del 13 de junio de 2023, si bien las empresas de menos de 250 trabajadores y municipios de menos de 10.000 habitantes tendrán de plazo hasta el 1 de diciembre de 2023.

¿Qué finalidad tiene esta ley?

Esta ley tiene por finalidad fortalecer la cultura de la información y las infraestructuras de integridad de las organizaciones y fomentar la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público, así como también otorgar una protección adecuada frente a las represalias que puedan sufrir las personas físicas que informen, a través de alguno de los procedimientos previstos en ella, sobre alguna de las acciones u omisiones siguientes:

a) Cualesquiera acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea siempre que: 1.º Entren dentro del ámbito de aplicación de los actos de la Unión Europea enumerados en el anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, con independencia de la calificación que de las mismas realice el ordenamiento jurídico interno; 2.º Afecten a los intereses financieros de la Unión Europea tal y como se contemplan en el artículo 325 del Tratado de Funcionamiento de la Unión Europea (TFUE); o 3.º Incidan en el mercado interior, tal y como se contempla en el artículo 26, apartado 2 del TFUE, incluidas las infracciones de las normas de la Unión Europea en materia de competencia y ayudas otorgadas por los Estados, así como las infracciones relativas al mercado interior en relación con los actos que infrinjan las normas del impuesto sobre sociedades o con prácticas cuya finalidad sea obtener una ventaja fiscal que desvirtúe el objeto o la finalidad de la legislación aplicable al impuesto sobre sociedades.

b) Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave, entendiéndose comprendidas, en todo caso, todas aquellas infracciones penales o administrativas graves o muy graves que impliquen quebranto económico para la Hacienda Pública y para la Seguridad Social.

¿A qué personas protege esta ley?

Esta ley protege a las personas informantes que trabajen tanto en el sector privado como en el público y que hayan obtenido información sobre infracciones en un contexto laboral o profesional, comprendiendo en todo caso:

1. las personas que tengan la condición de empleados públicos o trabajadores por cuenta ajena;
2. los autónomos;
3. los accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos;
4. cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores;
5. las personas informantes que comuniquen o revelen públicamente información sobre infracciones obtenida en el marco de una relación laboral o estatutaria ya finalizada, voluntarios, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el proceso de selección o de negociación precontractual;
6. los representantes legales de las personas trabajadoras en el ejercicio de sus funciones de asesoramiento y apoyo al informante;
7. las personas físicas que, en el marco de la organización en la que preste servicios el informante, asistan al mismo en el proceso,
8. las personas físicas que estén relacionadas con el informante y que puedan sufrir represalias, como compañeros de trabajo o familiares del informante, y
9. las personas jurídicas, para las que trabaje el informante o con las que mantenga cualquier otro tipo de relación en un contexto laboral o en las que ostente una participación significativa.

¿Cuál es el cauce preferente que se establece para que las personas informen sobre las infracciones previstas en esta ley?

Esta ley obliga a determinadas personas físicas y jurídicas a implantar un Sistema interno de información (comúnmente llamado «Canales de denuncias»), como cauce preferente para que las personas, que trabajen tanto en el sector privado como en el público y que hayan obtenido información sobre infracciones en un contexto laboral o profesional, puedan informar sobre dichas infracciones.

¿Quién es el responsable de implantar el Sistema interno de información o “Canal de denuncias”?

El órgano de administración de las personas jurídicas obligadas a disponer del Sistema interno de información o “Canal de denuncias” es el responsable de su implantación, previa consulta con la representación legal de las personas trabajadoras, y tendrá la condición de responsable del tratamiento de los datos personales de conformidad con lo dispuesto en la normativa sobre protección de datos personales, siendo asimismo el órgano competente para designar a la persona física responsable de la gestión de dicho sistema («Responsable del Sistema») y de su destitución o cese. En el caso del sector privado, el Responsable del Sistema deberá ser un directivo de la entidad, que ejercerá su cargo con independencia del órgano de administración de la misma.

¿Qué requisitos debe cumplir el Sistema interno de información o “Canal de denuncias”?

El Sistema interno de información o “Canal de denuncias” puede llevarse a cabo dentro de la propia entidad o a través de un tercero externo, siempre que en este último caso ofrezca garantías adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto de las comunicaciones, y debe cumplir, entre otros, los siguientes requisitos:

1. Permitir a los informantes comunicar información sobre las infracciones previstas en la ley.
2. Estar diseñado, establecido y gestionado de una forma segura, de modo que se garantice la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación, y de las actuaciones que se desarrollen en la gestión y tramitación de la misma, así como la protección de datos, impidiendo el acceso de personal no autorizado.
3. Permitir la presentación de comunicaciones por escrito o verbalmente, o de ambos modos.
4. Garantizar que las comunicaciones presentadas puedan tratarse de manera efectiva dentro de la correspondiente entidad con el objetivo de que el primero en conocer la posible irregularidad sea la propia entidad.
5. Contar con un responsable del sistema.
6. Contar con un procedimiento de gestión de las informaciones recibidas.
7. Establecer las garantías para la protección de los informantes en el ámbito de la propia entidad.

En aquellos casos en los que las entidades dispongan de un canal interno de información para posibilitar la presentación de información respecto de las infracciones previstas en esta ley, el mismo deberá estar integrado dentro del Sistema interno de información que establece la ley. En ese caso el canal interno deberá permitir realizar comunicaciones por escrito o verbalmente, o de las dos formas. La información se podrá realizar bien por escrito, a través de correo postal o a través de cualquier medio electrónico habilitado al efecto, o verbalmente, por vía telefónica o a través de sistema de mensajería de voz. A solicitud del informante, también podrá presentarse mediante una reunión presencial.

¿Qué entidades están obligadas a disponer de un Sistema interno de información o “Canal de denuncias”?

Todas las entidades que integran el sector público estarán obligadas a disponer de un Sistema interno de información o “Canal de denuncias” y, en lo que respecta a las entidades del sector privado, estarán obligadas a disponer de dicho Sistema:

1. Las personas físicas o jurídicas que tengan contratados cincuenta o más trabajadores.

• Las personas jurídicas que entren en el ámbito de aplicación de los actos de la Unión Europea en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente a que se refieren las partes I.B y II del anexo de la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, deberán disponer de un Sistema interno de información que se regulará por su normativa específica con independencia del número de trabajadores con que cuenten.
• Los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.

En el caso de un grupo de empresas conforme al artículo 42 del Código de Comercio, la sociedad dominante aprobará una política general relativa al Sistema interno de información y a la defensa del informante, y asegurará la aplicación de sus principios en todas las entidades que lo integran, sin perjuicio de la autonomía e independencia de cada sociedad, subgrupo o conjunto de sociedades integrantes que, en su caso, pueda establecer el respectivo sistema de gobierno corporativo o de gobernanza del grupo, y de las modificaciones o adaptaciones que resulten necesarias para el cumplimiento de la normativa aplicable en cada caso.

El Responsable del Sistema podrá ser uno para todo el grupo, o bien uno para cada sociedad integrante del mismo, subgrupo o conjunto de sociedades, en los términos que se establezcan por la citada política. Por su parte, el Sistema interno de información podrá ser uno para todo el grupo.

¿Qué plazo tienen las entidades para establecer el Sistema interno de información o “Canal de denuncias”?

Todas las entidades obligadas por la ley a contar con un Sistema interno de información o “Canal de denuncias” deben implantarlo en el plazo máximo de tres meses a partir de la entrada en vigor de la ley, esto es, antes del próximo 13 de junio de 2023. No obstante, dicho plazo se amplía hasta el 1 de diciembre de 2023 para:

1. Las entidades jurídicas del sector privado con menos de 250 trabajadores.
2. Los municipios de menos de 10.000 habitantes.

¿Qué es el canal externo de información?

La ley también regula el canal externo de información en cumplimiento de lo establecido por la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, dado que uno de los principales factores que desalienta a los potenciales informantes es la falta de confianza en la eficacia de las comunicaciones. Por ello, la norma europea impone a los Estados miembros la obligación de establecer canales de comunicación externa adecuados, de modo que su actuación esté presidida por los principios de independencia y autonomía en la recepción y tratamiento de la información sobre las infracciones.

De acuerdo con ello, toda persona física podrá informar ante la Autoridad Independiente de Protección del Informante (A.A.I.), o ante las autoridades u órganos autonómicos correspondientes, de la comisión de cualesquiera acciones u omisiones incluidas en el ámbito de aplicación de esta ley, ya sea directamente o previa comunicación a través del correspondiente canal interno.

A tal efecto, la ley autoriza la creación de la Autoridad Independiente de Protección del Informante, autoridad administrativa independiente, como ente de derecho público de ámbito estatal, de las previstas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, con personalidad jurídica propia y plena capacidad pública y privada, que actuará en el desarrollo de su actividad y para el cumplimiento de sus fines con plena autonomía e independencia orgánica y funcional respecto del Gobierno, de las entidades integrantes del sector público y de los poderes públicos en el ejercicio de sus funciones.

Para el cumplimiento de sus fines, la Autoridad Independiente de Protección del Informante (A.A.I.) gestionará el canal externo de información, adoptará las medidas de protección al informante, informará preceptivamente los anteproyectos y proyectos de disposiciones generales que afecten a su ámbito de competencias y a las funciones que desarrolla, tramitará los procedimientos sancionadores e imposición de sanciones por las infracciones previstas en esta ley y fomentará y promocionará la cultura de la información.

¿Qué otros deberes tienen las entidades obligadas a disponer de un Sistema interno de información o “Canal de denuncias”?

Todas las personas obligadas a disponer de un Sistema interno de información o “Canal de denuncias” deben cumplir las siguientes obligaciones:

1. Proporcionar la información adecuada, de forma clara y fácilmente accesible, sobre el uso del canal interno de información que hayan implantado, así como sobre los principios esenciales del procedimiento de gestión. En caso de contar con una página web, dicha información deberá constar en la página de inicio, en una sección separada y fácilmente identificable.
2. Contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad previstos en la ley. Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente, mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá accederse total o parcialmente al contenido del referido registro.
3. Cumplir lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales.
4. No informar de la identidad del informante a la persona a la que se refieran los hechos relatados, así como tampoco a terceras personas.
5. Comunicar la identidad del informante solamente a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.
6. No realizar actos constitutivos de represalia, incluidas las amenazas de represalia y las tentativas de represalia contra las personas que presenten una comunicación conforme a lo previsto en esta ley, entendiéndose por represalia cualesquiera actos u omisiones que estén prohibidos por la ley, o que, de forma directa o indirecta, supongan un trato desfavorable que sitúe a las personas que las sufren en desventaja particular con respecto a otra en el contexto laboral o profesional, solo por su condición de informantes.

¿Qué sanciones establece esta ley?

Esta ley prevé las siguientes sanciones:

1. Si son personas físicas las responsables de las infracciones, serán multadas con una cuantía de 1.001 hasta 10.000 euros por la comisión de infracciones leves; de 10.001 hasta 30.000 euros por la comisión de infracciones graves y de 30.001 hasta 300.000 euros por la comisión de infracciones muy graves.
2. Si son personas jurídicas las responsables de las infracciones, serán multadas con una cuantía hasta 100.000 euros en caso de infracciones leves, entre 100.001 y 600.000 euros en caso de infracciones graves y entre 600.001 y 1.000.000 euros en caso de infracciones muy graves.

Adicionalmente, en el caso de infracciones muy graves, se podrá acordar:

1. La amonestación pública.
2. La prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de cuatro años.
3. La prohibición de contratar con el sector público durante un plazo máximo de tres años.

Son infracciones muy graves:

1. Cualquier actuación que suponga una efectiva limitación de los derechos y garantías previstos en esta ley introducida a través de contratos o acuerdos a nivel individual o colectivo y en general cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o de impedir, frustrar o ralentizar su seguimiento, incluida la aportación de información o documentación falsa por parte de los requeridos para ello.
2. La adopción de cualquier represalia derivada de la comunicación frente a los informantes o las demás personas incluidas en el ámbito de protección establecido en esta ley.
3. Vulnerar las garantías de confidencialidad y anonimato previstas en esta ley, y de forma particular cualquier acción u omisión tendente a revelar la identidad del informante cuando este haya optado por el anonimato, aunque no se llegue a producir la efectiva revelación de la misma.
4. Vulnerar el deber de mantener secreto sobre cualquier aspecto relacionado con la información.
5. La comisión de una infracción grave cuando el autor hubiera sido sancionado mediante resolución firme por dos infracciones graves o muy graves en los dos años anteriores a la comisión de la infracción, contados desde la firmeza de las sanciones.
6. Comunicar o revelar públicamente información a sabiendas de su falsedad.
7. Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley.

Son infracciones graves:

1. Cualquier actuación que suponga limitación de los derechos y garantías previstos en esta ley o cualquier intento o acción efectiva de obstaculizar la presentación de informaciones o de impedir, frustrar o ralentizar su seguimiento que no tenga la consideración de infracción muy grave.
2. Vulnerar las garantías de confidencialidad y anonimato previstas en esta ley cuando no tenga la consideración de infracción muy grave.
3. Vulnerar el deber de secreto en los supuestos en que no tenga la consideración de infracción muy grave.
4. Incumplimiento de la obligación de adoptar las medidas para garantizar la confidencialidad y secreto de las informaciones.
5. La comisión de una infracción leve cuando el autor hubiera sido sancionado por dos infracciones leves, graves o muy graves en los dos años anteriores a la comisión de la infracción, contados desde la firmeza de las sanciones.

Y, finalmente, son infracciones leves:

1. Remisión de información de forma incompleta, de manera deliberada por parte del Responsable del Sistema a la Autoridad, o fuera del plazo concedido para ello.
2. Incumplimiento de la obligación de colaboración con la investigación de informaciones.
3. Cualquier incumplimiento de las obligaciones previstas en esta ley que no esté tipificado como infracción muy grave o grave.

¿Qué actuaciones resultan aconsejables tras la entrada en vigor de esta ley?

Aquellas personas que tengan contratados 50 o más trabajadores y que no quieran tener el riesgo de sufrir sanciones que oscilarán entre los 600.001 y 1.000.000 euros en el caso de personas jurídicas y entre los 30.001 y 300.000 euros en el caso de personas físicas, por no tener implantado el «canal de denuncias» que establece esta ley, deberán proceder a implantarlo, antes del 13 de junio de 2023, si tienen más de 249 trabajadores o, antes del 1 de diciembre de 2023, si tienen menos de 250 trabajadores.