La necesidad de contar con un canal de denuncias y de proteger al informante de delitos e infracciones graves quedó reforzada en España con la Ley 2/2023, que regula cómo deben gestionarse las informaciones sobre posibles irregularidades en entidades públicas y privadas. La norma establece un sistema de protección frente a represalias y fija obligaciones concretas para implantar y gestionar un canal interno de información.
Publicación de la Ley 2/2023 y entrada en vigor
El BOE núm. 44, de 21 de febrero de 2023, publicó la Ley 2/2023, de 20 de febrero, de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Según tu texto, la Ley entró en vigor a los 20 días de su publicación, es decir, el 13 de marzo de 2023.
Transposición de la Directiva europea (Directiva UE 2019/1937)
La Ley incorpora al derecho interno la Directiva UE 2019/1937 (conocida como Directiva Whistleblowing). En tu texto se destaca que España la transpuso con retraso, ya que debía haberse hecho antes del 17 de diciembre de 2021. También indicas que la Comisión había denunciado a España y a otros Estados ante el TJUE, con el riesgo de multas por el retraso.
La norma protege a quienes, en el marco de una relación profesional o laboral, informen sobre vulneraciones del ordenamiento jurídico o corrupción. Esas vulneraciones se refieren a:
-
infracciones penales, o
-
infracciones administrativas graves o muy graves,
ya sean del derecho interno o del derecho de la UE.
Qué queda excluido del ámbito de la Ley
Tu texto explica que la Ley excluye expresamente determinadas materias (art. 2), entre ellas:
-
Irregularidades en ámbitos con normativa específica (incluidos en la Parte II del Anexo de la Directiva).
-
Información sobre materias clasificadas o secretas.
-
Secreto profesional de médicos y abogados.
-
Deber de secreto y confidencialidad en Fuerzas y Cuerpos de Seguridad y ámbito judicial.
A quién protege la Ley y con qué límites
La Ley busca proteger al “informante” (evita la expresión “denunciante” por su régimen propio en la LECrim, según tu texto). La protección se extiende también a:
-
personas del entorno personal o familiar, y
-
personas jurídicas propiedad del informante que puedan sufrir represalias.
Pero tu texto subraya un requisito esencial: el informante debe actuar de buena fe. No se protege a quien comunica hechos falsos o tergiversados, ni a quien obtiene la información de forma ilícita.
Además, la Ley admite comunicaciones anónimas.
Personas incluidas (art. 3, según tu texto)
La protección alcanza a:
-
trabajadores del sector privado y público,
-
personas cuya relación laboral ya terminó,
-
voluntarios,
-
personas en prácticas,
-
candidatos en procesos de selección.
El Sistema Interno de Información y sus requisitos
La Ley obliga a disponer de un Sistema Interno de Información que incluya, como mínimo:
-
Canal interno o buzón para recibir informaciones.
-
Responsable del Sistema y procedimiento de gestión.
-
Acceso asequible y confidencial.
-
Prácticas de seguimiento e investigación y medidas de protección (art. 9, según tu texto).
-
Garantías de:
-
presunción de inocencia,
-
derecho al honor,
-
protección de datos.
-
Cómo puede presentarse la comunicación
Tu texto indica que puede ser:
-
por escrito o verbal,
-
por correo ordinario o electrónico,
-
telefónica o presencial.
Si es presencial, señalas que la Ley prevé grabación y transcripción, y la posibilidad de que el informante revise y corrija errores.
El canal debe permitir también la comunicación anónima.
Canal interno preferente… pero con matices
Tu texto recoge la idea del canal interno como vía preferente para que la entidad conozca los hechos y pueda evitar perjuicios, siempre que:
-
se pueda tratar la infracción de forma efectiva, y
-
el informante no perciba riesgo de represalia.
Aun así, el informante puede optar por el canal interno o por el canal externo previsto en la Ley.
Responsable del Sistema y conexión con Compliance
El Responsable del Sistema puede ser una persona física o un órgano colegiado. Según tu texto:
-
lo designa la gerencia,
-
debe recaer en un directivo,
-
y debe actuar con independencia y autonomía del resto de órganos de dirección o gestión.
Además, si existe un responsable de cumplimiento normativo (Compliance) o un Comité de Ética, puede asumir este rol (art. 8.6, según tu texto). Esto permite unificar el canal de prevención penal/compliance con el canal de denuncias de la Ley 2/2023.
Gestión por terceros y protección de datos
La gestión puede encargarse a un tercero, con la condición de que tenga la consideración de encargado del tratamiento según la normativa de protección de datos. Tu texto señala que:
-
debe formalizarse un contrato, y
-
no puede suponer merma de garantías (art. 6, según lo indicas).
Confidencialidad y límites del anonimato
Una obligación clave es proteger la identidad del informante. Tu texto enlaza esta idea con el art. 24 de la LO 3/2018, que regula los sistemas internos desde el punto de vista de protección de datos.
Sin embargo, la confidencialidad puede ceder en algunos supuestos:
-
si una norma de la UE lo exceptúa,
-
si una norma nacional lo permite,
-
o en un proceso judicial por el derecho de defensa, cuando el asunto llega a la vía judicial y el investigado necesita acceder a datos para defenderse.
Quién está obligado a disponer del canal interno
Sector privado (arts. 10 y 13, según tu texto)
Obligación para:
-
empresas de más de 50 trabajadores (las de menos pueden implantarlo voluntariamente).
-
empresas de menos de 250 trabajadores: pueden compartir medios y recursos para gestionar informaciones, sin perder el canal propio.
-
partidos políticos, sindicatos, organizaciones empresariales y fundaciones si reciben fondos públicos.
-
entidades del sector privado incluidas en actos de la UE sobre:
-
servicios, productos y mercados financieros,
-
prevención del blanqueo y financiación del terrorismo,
-
seguridad del transporte,
-
protección del medio ambiente,
con independencia del número de trabajadores.
-
Sector público
Tu texto indica que deben contar con el sistema:
-
todas las Administraciones Públicas (estatales, autonómicas y locales),
-
entidades de Seguridad Social, universidades, sociedades y fundaciones del sector público,
-
órganos constitucionales y los previstos en Estatutos de Autonomía.
Añades que España exige el sistema incluso en municipios de menos de 10.000 habitantes, aunque pueden compartir medios con otra Administración. También señalas que deben tener Responsable del sistema propio, y que se admite gestión indirecta e incluso por terceros si se acredita insuficiencia de medios.
Libro-Registro de informaciones e investigaciones
Según tu texto, el art. 26 impone llevar un Libro-Registro de:
-
informaciones recibidas, y
-
investigaciones internas realizadas.
Es confidencial. Solo tiene acceso la Autoridad Judicial. Y no puede conservarse más de 10 años.
Plazos de implantación del sistema interno
La disposición transitoria segunda fija los plazos que recoges así:
-
Regla general: implantación en tres meses desde la entrada en vigor.
-
Si la Ley entra en vigor el 13 de marzo de 2023, el plazo general llega hasta el 13 de junio de 2023.
-
-
Excepción:
-
entidades privadas con 249 trabajadores o menos, y
-
municipios de menos de 10.000 habitantes,
con plazo hasta el 1 de diciembre de 2023.
-
También señalas que la adaptación de canales externos existentes debía realizarse en seis meses desde la entrada en vigor, en los términos del apartado 3 de la transitoria.
Canal Externo: Autoridad Independiente de Protección del Informante
La Ley prevé un canal externo para permitir la comunicación a una autoridad independiente. Tu texto indica que se configura como una Autoridad Independiente de Protección de Informantes (A.A.I.), a crear en la Administración del Estado como organismo autónomo e independiente. También se contempla que las Comunidades Autónomas creen organismos similares en su ámbito.
Se menciona que su estatuto debe aprobarse por el Gobierno mediante Real Decreto.
Protección en caso de “revelación pública”
El artículo 27 protege la revelación pública (medios, redes, plataformas, prensa), pero tu texto señala requisitos:
-
Haber utilizado antes canales internos y externos, o directamente el externo, sin respuesta adecuada en plazo.
-
O bien, tener motivos razonables para pensar que existe:
-
peligro inminente o manifiesto para el interés público, o riesgo de daños irreversibles,
-
o riesgo de represalias, o poca probabilidad de tratamiento efectivo (por ejemplo, ocultación o destrucción de pruebas, connivencia o implicación de una autoridad).
-
Añades que el Preámbulo pone como ejemplo un riesgo de vertido tóxico.
También recoges un matiz relevante: esas condiciones no se exigen cuando se informa directamente a la prensa en el ejercicio de la libertad de expresión e información veraz del art. 20 CE, y mencionas el derecho al secreto profesional del periodista como garantía de protección de la identidad del informante.
Conclusión
La necesidad de contar con un canal de denuncias y de proteger al informante de delitos e infracciones graves no es solo una recomendación de buen gobierno. Con la Ley 2/2023 se convierte en una obligación para muchas entidades, y se acompaña de garantías concretas: confidencialidad, posibilidad de anonimato, reglas de gestión, límites claros y un canal externo.
Además, el sistema interno no solo protege al informante. También permite a la organización conocer antes los hechos, investigar con garantías y evitar daños mayores.
Si quieres seguir profundizando en cumplimiento normativo, canales de denuncia y obligaciones legales en el ámbito empresarial y de la seguridad, visita el blog de Auservi y consulta más artículos prácticos y actualizados.
