En el BOE del 21 de febrero de 2023, se ha publicado la Ley 2/2023 reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. La principal novedad es que establece la obligación para empresas con 50 o más personas trabajadoras de implantar un sistema de información, a la vez que se garantiza la protección de los informantes (que pueden ser no solo trabajadores por cuenta ajena). Las empresas tienen por delante unos meses para adoptar nuevos sistemas de información y coordinar estos canales con otros protocolos, códigos y políticas internas que puedan tener.
En el BOE del día 21 de febrero, se ha publicado la Ley 2/2023, de 20 de febrero, que regula la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transponiendo la Directiva (UE) 2019/1937, más conocida como Directiva Whistleblowing, con entrada en vigor a los 20 días de su publicación, esto es, el próximo 13 de marzo de 2023.
La finalidad de la norma es la de proteger a las personas que en un contexto laboral o profesional detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma.
Sistema interno de información
La principal novedad es que establece la obligación para empresas con 50 o más personas trabajadoras de implantar un sistema de información, a la vez que se garantiza la protección de los informantes (que pueden ser no solo trabajadores por cuenta ajena).
El plazo para ello es de 3 meses desde la fecha de entrada en vigor de la Ley para las empresas con más de 249 personas trabajadoras en plantilla y hasta el 1 de diciembre de 2023 para las empresas con una plantilla de entre 50 y 249 personas trabajadoras.
Atención. Las empresas tienen por delante unos meses para adoptar nuevos sistemas de información y coordinar estos canales con otros protocolos, códigos y políticas internas que puedan tener.
¿A quién protege?
La Ley protege a los informantes, en particular: personas trabajadoras; personas autónomas; accionistas, partícipes, miembros del órgano de administración, dirección o supervisión de una empresa; plantilla de contratistas, subcontratistas y proveedores; con relación finalizada o por comenzar, e incluso voluntarios, becarios y trabajadores en periodos de formación con o sin retribución.
Además de a los informantes, la protección de la Ley se extiende a:
- Las personas físicas que, en el marco de la organización en la que preste servicios el informante, asistan al mismo en el proceso.
- Las personas físicas que estén relacionadas con el informante y que puedan sufrir represalias, como compañeros de trabajo o familiares del informante.
- Las personas jurídicas para las que el informante trabaje o con las que mantenga cualquier otro tipo de relación en un contexto laboral o en las que ostente una participación significativa.
Canales de información
No existe un único canal de información, sino que las comunicaciones o informaciones de las infracciones o irregularidades se podrán canalizar a través de:
- El canal interno de la empresa.
- El canal externo o Autoridad Independiente de Protección al Informante (AAI).
- Revelación pública en plataformas web, redes sociales, medios de comunicación, etc. cuando los cauces internos o externo no hayan funcionado; exista una amenaza inminente para interés público; o exista un riesgo de represalias o de no tratamiento efectivo.
El órgano de administración de la empresa es el responsable de la implantación del sistema, previa consulta con la representación legal de las personas trabajadoras.
Requisitos del sistema
- En el plazo de 7 días desde la recepción de la información o comunicación se deberá acusar recibo al informante.
- La gestión e investigación de las informaciones o comunicaciones no podrá durar más de 3 meses, salvo casos de especial complejidad, en cuyo caso podrá prorrogarse 3 meses más.
- Las empresas estarán obligadas a dar información y publicidad sobre el uso del canal interno y sobre los principios esenciales de su procedimiento de gestión.
- En caso de tener la empresa página web, el canal deberá aparecer en la página de inicio, en sección separada fácilmente identificable.
- El sistema deberá contar un responsable, que será un directivo de la empresa nombrado por el órgano de administración, debiendo ejercer su cargo con independencia. Podrá asumir la función de responsable del sistema el «compliance officer» o responsable de cumplimiento normativo.
- El tratamiento de los datos personales en los canales de denuncia se considera lícito cuando sea obligatorio disponer del sistema de información al ser necesario para el cumplimiento de una obligación legal. El tratamiento también se presume válido cuando el sistema no sea obligatorio, pero voluntariamente se decida crear uno, al ser necesario para la satisfacción del interés público
- Las empresas tendrán que registrar las informaciones recibidas y sus investigaciones internas. Este registro no es público; únicamente a petición razonada de la Autoridad judicial competente podrá accederse total o parcialmente al contenido del registro.
Protección al informante
- Durante dos años, el informante estará protegido frente a las medidas que pudieran adoptarse como represalia por la información revelada.
- Cuando el informante haya demostrado razonablemente que ha comunicado o ha hecho una revelación pública y que ha sufrido un perjuicio, se presumirá en los procedimientos judiciales que el perjuicio se produjo como represalia, y corresponderá a la persona que haya tomado la medida perjudicial probar que esa medida se basó en motivos justificados ajenos a la comunicación o revelación pública.
- Los actos constitutivos de represalia serán nulos y darán lugar a medidas disciplinarias o de responsabilidad, incluyendo una indemnización de daños y perjuicios.
- Los informantes -incluidos los representantes legales de los trabajadores- no infringirán las restricciones de revelación de información cuando efectúen la comunicación, siempre que existan motivos razonables para pensar que la comunicación o revelación pública de una información era necesaria.
Sanciones
La Ley establece un régimen sancionador propio, con multas a las personas físicas o jurídicas que cometan las infracciones tipificadas.
Así por ejemplo, constituye una infracción muy grave no tener implantado el sistema o adoptar represalias contra los informantes, sancionable con multa de 30.001€ a 300.000€ para las personas físicas, y multa de entre 600.001€ y 1.000.000€ para las personas jurídicas.
Se podrán imponer asimismo sanciones accesorias como la amonestación, la prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo de hasta 4 años, así como la prohibición de contratar con el sector público durante 3 años.
