Artículo de Claudi Rossell, Of Counsel de Cases & Lacambra
Con la publicación en el BOE de 21 de febrero de 2023 de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en lo sucesivo, la “Ley”), se transpuso al ordenamiento español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (en lo sucesivo, la “Directiva”). Recordemos, al respecto, que el plazo de transposición expiró el pasado 17 de diciembre de 2021 y que la Comisión ya había remitido la carta de emplazamiento a los países que no la habían traspuesto para iniciar el proceso sancionador correspondiente. Pese a ello, la Ley no es una novedad absoluta en la materia, y prevé así en su Disposición transitoria primera que los sistemas y canales internos de información ya existentes se entenderán que cumplen con la Ley si reúnen los requisitos que exige la misma, y en la Disposición transitoria segunda se fija un periodo transitorio, tanto para los canales ya existentes, como para los nuevos, para la adecuación a la Ley. Dicho plazo es de tres (3) meses a partir de la entrada en vigor de la ley, pero se extiende al 1 de diciembre de 2023 para las entidades del sector privado de hasta doscientos cuarenta y nueve (249) trabajadores (incluidos) y para los municipios con menos de diez mil (10.000) habitantes. Respecto de los canales y procedimientos de información externa se establece un plazo de adaptación de seis (6) meses desde la entrada en vigor de la Ley.
Como es bien sabido, la finalidad de la normativa citada es la de proteger a los informantes, así como a ciertas personas relacionadas con éstos, que denuncien determinadas infracciones ante eventuales represalias. Esta es una protección es de mínimos, por lo que no se excluye que otras normativas sectoriales dispensen niveles de protección más elevados. En todo caso, la Ley se aplicaría también subsidiariamente para cubrir las lagunas de la protección sectorial, de acuerdo con el art. 10.1.b) de la Ley. A continuación, exponemos los principios más relevantes de esta protección.
I. AMBITO MATERIAL
La Ley no cubre todas las posibles infracciones del ordenamiento jurídico, sino únicamente las infracciones del derecho de la Unión Europea listadas en el Anexo de la Directiva, las que afecten a los intereses financieros de la Unión Europea según el art. 325 del Tratado de Funcionamiento de la Unión Europea, las relativas al mercado interior en los términos del art. 26. 2 del del Tratado de Funcionamiento de la Unión Europea (es decir, las infracciones de normas competencia y ayudas estatales, las infracciones relativas al mercado interior en relación con los actos que infrinjan las normas del impuesto sobre sociedades o con prácticas cuya finalidad sea obtener una ventaja fiscal que desvirtúe el objeto o la finalidad de la legislación aplicable al impuesto sobre sociedades) y, más allá de lo previsto en la Directiva, las acciones u omisiones constitutivas de infracción penal o administrativa grave o muy grave en España (entre las que se incluyen expresamente las que impliquen un quebranto económico para la Hacienda Pública y para la Seguridad Social). Por lo que respecta al Anexo de la Directiva, las actuaciones cubiertas son las relacionadas con las normas expresamente listadas en el mismo pertenecientes a las categorías siguientes:
a) La contratación pública.
b) Los servicios, productos y mercados financieros, y prevención del blanqueo de capitales y la financiación del terrorismo.
c) La seguridad de los productos y su conformidad.
d) La seguridad del transporte.
e) La protección del medio ambiente.
f) La protección frente a las radiaciones y seguridad nuclear.
g) La seguridad de los alimentos y los piensos, sanidad animal y bienestar de los animales.
h) La salud pública.
i) La protección de los consumidores.
j) La protección de la privacidad y de los datos personales, y seguridad de las redes y los sistemas de información.
De todos modos, en este ámbito material concurren normas muy diversas que siguen en vigor junto con la nueva legislación. Por ello se hace necesario introducir los comentarios siguientes:
a) En primer lugar, el Anexo de la Directiva está dividido en dos partes. La razón de este proceder descansa en el hecho que, de acuerdo con el art. 2.6 de la Ley, la misma no será de aplicación a las infracciones de las normas listadas en la Parte II del Anexo de la Directiva, las cuales seguirán sujetas a su régimen específico. La precisión es de importancia, pues, por ejemplo, en materia financiera se encuadran en dicha Parte II 11 normas europeas básicas de carácter financiero, así como la prevención del blanqueo de capitales y la financiación del terrorismo. Todo ello sin perjuicio de los cambios legales que se consagran en las disposiciones finales de la Ley.
b) Asimismo, la Ley consagra su convivencia con la legislación de enjuiciamiento criminal y con la laboral en materia de seguridad y salud en el trabajo, las cuáles no son objeto de modificación. Este sería el caso, por ejemplo, de la Ley Orgánica 19/1994, de 23 de diciembre, de protección a testigos y peritos en causas criminales.
c) También se excluyen del ámbito de la Ley las actuaciones que afecten a información clasificada. Por una parte, se reitera el respecto al secreto profesional, el deber de confidencialidad de los cuerpos policiales y el secreto de las deliberaciones judiciales. Y, por otra parte, más allá de las previsiones de la Directiva, se excluyen también los procedimientos de contratación que contengan información clasificada o que sean declarados secretos o reservados, o cuya ejecución deba ir acompañada de medidas de seguridad especiales de origen legal o necesarios para la seguridad del Estado.
II. ÁMBITO SUBJETIVO
1. El denunciante.
En cuanto a las personas protegidas por la Ley, se quiere proteger de represalias a las personas físicas que hayan conocido los hechos de los que se informa por su relación profesional o administrativa, o sea, trabajadores por cuenta ajena, funcionarios, autónomos, accionistas, consejeros y, en general quienes trabajen bajo la supervisión o dirección de un contratista público. Se conforma así el núcleo central de personas protegidas, exigiéndose en todo caso haber tenido conocimiento de los hechos a raíz de esta relación cualificada. Se incluyen igualmente personas con un vínculo más débil, como una relación laboral o pública ya finalizada, voluntarios, becarios y trabajadores en formación con o sin remuneración, y las personas que hayan conocido los hechos a raíz de un proceso de selección o de una negociación precontractual.
Sin embargo, no toda persona física podrá acogerse a la protección de la Ley, pues se exige que (i) la denuncia descanse en fundamentos razonables y veraces, y (ii) sea cursada con sujeción a los requisitos legalmente previstos. Asimismo, se excluyen aquellas informaciones sobre materias no cubiertas por la Ley, así como aquellas que fueran inadmitidas por alguna de las causas previstas legalmente, sean de dominio público o que se basen en simples rumores o en conflictos interpersonales. Todo ello exige llevar a cabo un juicio de carácter más bien subjetivo basado en los principios de razonabilidad y de buena fe. De todos modos, deberá tenerse en cuenta que las denuncias cubiertas por la Ley pueden implicar una revelación de secretos, lo que exigirá una protección específica como se verá.
2. Las personas afectadas.
Junto al denunciante, otras personas relacionadas con el mismo pueden verse afectadas por la denuncia efectuada. En consecuencia, la Ley protege también ante posibles represalias a los representantes de los trabajadores (siempre que ejerzan sus funciones de asesoramiento), así como a quienes: (i) asistan al denunciante en el proceso de denuncia, (ii) las personas físicas relacionadas con el denunciante (compañeros de trabajo, familiares, etc.), y (iii) las personas jurídicas en las que el denunciante sea titular de una participación significativa o para las que trabaje. En todo caso, el nivel de protección será equivalente al del denunciante.
3. Las entidades obligadas.
En principio, están sujetos a la Ley las personas físicas o jurídicas del sector privado con 50 o más trabajadores. También estarán sujetas, con independencia del número de trabajadores, todas las entidades pertenecientes al sector financiero, así como las ya sujetas a prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente. En estos casos, sin embargo, la normativa aplicable será la sectorial, de modo que la Ley española sólo se aplicará con carácter subsidiario. Los partidos políticos, sindicatos, asociaciones de empresarios y sus fundaciones se incluirán igualmente en el ámbito de la Ley cuando reciban o gestionen subvenciones públicas.
Dado que la Ley cubre las infracciones de carácter penal o administrativo, en vez de basarse exclusivamente en los actos listados en el Anexo de la Directiva, debe considerarse que su aplicación es prácticamente universal siempre que se reúna el requisito del mínimo de trabajadores. De ahí la importancia de la posible externalización de los sistemas internos de información, así como la posibilidad que se ofrece a las empresas de 50 a 249 trabajadores de compartir sus canales internos de información. También con el fin de reducir la carga administrativa que la Ley conllevará, se permite a los grupos de sociedades que compartan los referidos canales internos, siempre que se actúe bajo el marco de una política general. De todos modos, cualquier entidad del sector privado puede someterse voluntariamente a la Ley, aunque no se vea legalmente obligada.
La Ley, en línea con su carácter imperativo, es aplicable únicamente al territorio español. Pero ello casa mal con el hecho que el derecho derivado de la Unión Europea favorece la prestación de servicios con carácter transfronterizo. En consecuencia, también se aplica a las personas jurídicas con domicilio en el extranjero que tengan un vínculo estable con el territorio español, ya sea mediante el establecimiento de sucursales o de agencias, o mediante prestación de servicios sin establecimiento permanente. Esta extensión debe matizarse, pues se refiere a los actos relacionados en las partes I.B. (relativo a servicios financieros que por lo general podrán cubrirse con los mecanismos de información ya existentes) y Parte II de la Directiva (ya sometida a normas sectoriales previas), de modo que la aplicación de la Ley será subsidiaria. En segundo lugar, en la práctica estamos ante sectores supervisados, por lo que de hecho nos enfrentamos a la problemática habitual de delimitar la aplicación del derecho público del país de origen con la ley del de destino.
Junto a las entidades del sector privado, la Ley también es de aplicación al sector público en los términos del art. 13 de la Ley sin restricciones respecto del número de empleados. El alcance de esta norma es muy extenso, ya que abraza incluso a los órganos constitucionales o con relevancia constitucional, aunque debe tenerse en cuenta que las entidades afectadas son de naturalezas muy dispares entre sí. Así se abre también la puerta a compartir los canales de información interna entre municipios de hasta 10.000 habitantes o, en el caso de entidades adscritas a una administración territorial, de tener menos de 50 trabajadores. La posible externalización de los canales internos de información también se contempla, pero en el caso de la Administración General del Estado, las Administraciones autonómicas y las Entidades Locales con sujeción a importantes restricciones. En primer lugar, debe acreditarse la insuficiencia de medios y, en segundo lugar, la externalización deberá ser meramente instrumental y limitarse a la recepción de las informaciones sobre infracciones.
III. FUNDAMENTOS DEL SISTEMA
1. Canales internos de información.
En el sistema de la Ley, es esencial la creación y mantenimiento de canales de información que cumplan con los requisitos de la misma. En principio, existirán dos (2) canales: el interno, que será el preferente, y el público articulado a través de una nueva agencia pública (la Autoridad Independiente de Protección del Informante). El canal interno dependerá del órgano de dirección o administración de la persona obligada, el cual designará a la persona responsable del mismo (en el caso de órganos colectivos, deberá ser uno de sus miembros). El responsable actuará con plena autonomía e independencia y, en las entidades del privadas, será un directivo de la entidad (puede coincidir con la figura del director de cumplimiento normativo). Su nombramiento, así como su cese, respecto de los cuales se consultará con los representantes legales de los trabajadores, se comunicará a la Autoridad Independiente de Protección del Informante en el plazo de los 10 días hábiles siguientes.
Cada entidad obligada pasará a tener un único canal interno de información, el cual se alineará con los principios siguientes: (i) la garantía de confidencialidad de la identidad del informante y de cualquier tercero mencionado, así como del tratamiento de la información y su investigación, (ii) la existencia de garantías frente a la adopción de represalias, (iii) el respecto a la presunción de inocencia y el derecho de defensa de todas las partes afectadas, y (iv) la garantía de independencia, imparcialidad y ausencia de conflictos de interés. Estas garantías deberán observarse también por el tercero al que pueda externalizarse el servicio. Junto a estos principios, deberá disponerse (i) de una política general del sistema y (ii) de un procedimiento de gestión de comunicaciones aprobado por el órgano de administración o de gobierno y bajo la supervisión del responsable designado. El procedimiento de gestión deberá contener, al menos, la información siguiente:
a) La relación de los canales disponibles.
b) La información clara y accesible sobre canales externos de información y ante las instituciones u organismos de la Unión Europea.
c) La obligación de acusar recibo al informante y fijación de un plazo máximo para dar respuesta a las comunicaciones recibidas.
d) El mantenimiento de una vía de comunicación con el informante y de solicitarle información adicional.
e) Los derechos de la persona denunciada (a que se le informe de las infracciones que se le atribuyen, a ser oída en cualquier momento, al honor, etc.).
f) La extensión de la garantía de confidencialidad respecto de las comunicaciones que se cursen a través de canales o personas distintas de las previstas en el sistema interno.
g) Las exigencias derivadas del cumplimiento de la normativa sobre protección de datos personales.
h) La obligación de remitir la información al Ministerio Fiscal cuando los hechos pudieran ser indiciariamente constitutivos de delito y a la Fiscalía Europea cuando afecten a los intereses financieros de la Unión.
En cuanto a la publicidad del canal, se prevén expresamente las medidas a adoptar en caso de existir una página web principal de la entidad obligada. Y respecto de las denuncias, se ha optado por permitir las anónimas en todo caso, exigiéndose que el canal interno acepte tanto las escritas (por correo postal o por cualquier medio electrónico habilitado al efecto), como las verbales (ya sea por teléfono o por mensajes de voz, aunque deberán grabarse o transcribirse para, con el consentimiento del informante, su eventual firma). Todo ello sin perjuicio de que el informante pueda agendar una reunión presencial. Asimismo, el informante podrá señalar el modo en el que prefiere recibir las notificaciones relativas al tratamiento de la comunicación, indicando un domicilio, un correo electrónico o un lugar seguro a tal efecto. Una vez presentada la denuncia, deberá inscribirse en un libro-registro, junto a las investigaciones realizadas. Este libro no será público, pero se prevé que los jueces y tribunales puedan acceder al mismo en el marco de un procedimiento judicial y los datos personales se almacenarán solo por los plazos establecidos en la norma, con un máximo de diez años. Tras la presentación de la denuncia, se deberá confirmar su recepción en un plazo máximo de siete (7) días o bien agendar una reunión personal dentro de los siete (7) días siguientes a la petición. La respuesta no debería demorarse más allá de los tres (3) meses siguientes a estos plazos, salvo casos de especial complejidad que requirieran una ampliación del plazo, con un máximo de otros tres (3) meses adicionales.
2. Medidas de protección.
La prohibición de represalias contra el informante (incluso los que actuasen anónimamente, si se descubriese su identidad) por un plazo de dos (2) años constituye la base del sistema de la Ley, si bien pasado el plazo puede requerirse a la autoridad competente su extensión, previa audiencia de los afectados. Al respecto, la primera cuestión a tratar es el concepto mismo de represalia, el cual se formula en términos muy amplios. En primer lugar, se definen como represalia cualesquiera actos u omisiones prohibidos por la Ley, o que, de forma directa o indirecta, supongan un trato desfavorable. En segundo lugar, se incluyen también la propia tentativa y la amenaza de represalia. En tercer lugar, se lista una serie de presunciones, que deben considerarse iuris tantum, relativas a los actos siguientes:
a) La suspensión del contrato de trabajo, el despido o la extinción de la relación laboral o estatutaria, incluyendo la no renovación o la terminación anticipada de un contrato de trabajo temporal una vez superado el período de prueba, o terminación anticipada o anulación de contratos de bienes o servicios, imposición de cualquier medida disciplinaria, degradación o denegación de ascensos y cualquier otra modificación sustancial de las condiciones de trabajo y la no conversión de un contrato de trabajo temporal en uno indefinido, en caso de que el trabajador tuviera expectativas legítimas de que se le ofrecería un trabajo indefinido. Esta presunción sólo cederá en el caso que se demuestre que las medidas se llevaran a cabo dentro del ejercicio regular del poder de dirección al amparo de la legislación laboral o reguladora del estatuto del empleado público, por circunstancias, hechos o infracciones acreditadas y ajenas a la presentación de la comunicación.
b) Los daños, incluidos los de carácter reputacional, o pérdidas económicas, coacciones, intimidaciones, acoso u ostracismo.
c) La evaluación o referencias negativas respecto al desempeño laboral o profesional.
d) La inclusión en listas negras o difusión de información en un determinado ámbito sectorial, que dificulten o impidan el acceso al empleo o la contratación de obras o servicios.
e) La denegación o anulación de una licencia o permiso.
f) La denegación de formación.
g) La discriminación, o trato desfavorable o injusto.
Esta presunción es de especial utilidad en los procedimientos ante órganos jurisdiccionales u otras autoridades relativos a los perjuicios sufridos por los informantes, pues implican una inversión en la carga de la prueba. Además se exonera de responsabilidad al informante por el acceso, adquisición y difusión de la información en que se base la denuncia, lo que se desarrolla por medio de una exención general en los procedimientos relativos a difamación, violación de derechos de autor, vulneración de secreto, infracción de las normas de protección de datos, revelación de secretos empresariales, o a solicitudes de indemnización basadas en el derecho laboral o estatutario, siempre que se acredite haber cursado la denuncia, así como su razonabilidad. Asimismo, serán nulos de pleno derecho los actos administrativos que persigan impedir o dificultar la presentación de comunicaciones o que constituyan represalias, así como la posibilidad de aplicar medidas disciplinarias correctoras o de reclamar las indemnizaciones correspondientes. Por último, se establecen diferentes medidas de protección, incluyendo las de tipo asistencial (asesoramiento e información, asistencia jurídica, apoyo financiero, apoyo psicológico, etc.), a cargo de la Autoridad Independiente de Protección, para prestar apoyo a los informantes.
3. Mecanismo de clemencia.
La Ley, como es lógico, procura que los denunciados gocen del beneficio de la presunción de inocencia durante la tramitación de la denuncia y de los derechos de defensa y de acceso al expediente. Asimismo, se garantiza la confidencialidad de la existencia del procedimiento y de los hechos aportados al mismo.
Más interesante es la posibilidad por el denunciado de gozar de diferentes exenciones y atenuantes de responsabilidad por infracciones administrativas consagradas en el art. 40 de la Ley (aunque se excluyen las infracciones de la Ley 15/2007, de 3 de julio, de Defensa de la Competencia). Esta exención requiere que el denunciado, antes de serle notificada la incoación del procedimiento de investigación o sancionador, actúe del modo siguiente:
a) Cese en la comisión de la infracción en el momento de presentación de la comunicación o revelación e identifique, en su caso, al resto de las personas que hayan participado o favorecido aquella.
b) Coopere plena, continua y diligentemente a lo largo de todo el procedimiento de investigación.
c) Facilite información veraz y relevante, medios de prueba o datos significativos para la acreditación de los hechos investigados, sin que haya procedido a la destrucción de estos o a su ocultación, ni haya revelado a terceros, directa o indirectamente su contenido.
d) Repare el daño causado que le sea imputable.
La decisión se adoptará por la autoridad competente, la cual igualmente podrá atenuar la responsabilidad si los requisitos citados se cumplen parcialmente, previa valoración de la actuación del denunciado, siempre que éste no hubiese sido sancionado anteriormente por hechos de la misma naturaleza que los que dieron origen al inicio del procedimiento. La atenuación de la sanción podrá extenderse al resto de los participantes en la comisión de la infracción, en función del grado de colaboración activa en el esclarecimiento de los hechos, identificación de otros participantes y reparación o minoración del daño causado, apreciado por el órgano encargado de la resolución.