El pasado mes de marzo, con la aprobación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción; se incorporó al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, (conocida como la Directiva Whistleblowing). Tal y como recoge su preámbulo, las diferencias de tratamiento entre los distintos regímenes jurídicos existentes en los Estados miembros han generado dificultades a la hora de asegurar una aplicación coherente del Derecho europeo y perseguir sus infracciones. Para ello, la citada Directiva regula aspectos mínimos que han de satisfacer los distintos cauces de información a través de los cuales una persona física, que sea conocedora en un contexto laboral de una infracción del Derecho de la Unión Europea, pueda dar a conocer la existencia de la misma. En concreto, obliga a contar con canales internos de información a muchas empresas y entidades públicas porque se considera, y así también se ha recogido en informes y estadísticas recabados durante la elaboración del texto europeo, que es preferible que la información sobre prácticas irregulares se conozca por la propia organización para corregirlas o reparar lo antes posible los daños. Además de tales canales internos, exige la Directiva la determinación de otros canales de información, denominados «externos», con el fin de ofrecer a los ciudadanos una comunicación con una autoridad pública especializada, lo que les puede generar más confianza al disipar su temor a sufrir alguna represalia en su entorno.

Centrándonos en el canal interno de las empresas privadas, resaltar que tendrán la obligación de cumplir con los requisitos previstos en la citada Ley 2/0223 aquellas empresas que cuenten con más de 49 trabajadores. Se considerarán incluidas en el ámbito de aplicación de esta Ley aquellas empresas que pese a no tener su domicilio en territorio español desarrollen en España sus actividades a través de sucursales o agentes o mediane prestación de servicios sin establecimiento permanente.

Con anterioridad a esta norma ciertamente muchas empresas carecían de un sistema de comunicaciones o buzón interno otras sí tenían un canal de denuncias. Ahora bien, en este último caso las empresas deben asesorarse bien y comprobar que su canal interno se adapte a los nuevos requisitos de esta novedosa normativa.

Estos requisitos son los siguientes:

• El órgano de administración u órgano de gobierno de la empresa es el obligado a la implantación del sistema, previa consulta a la representación legal de los trabajadores.

• El sistema debe ser claro y accesible y en consecuencia permitir la comunicación de información de posibles infracciones a los potenciales informantes (empleados, autónomos, accionistas, partícipes, integrantes del órgano de administración o dirección de empresa, proveedores y subcontratistas (o personas que trabajen para estos); voluntarios, becarios, trabajadores en periodos de formación, exempleados y personal en proceso de selección).

• En caso de contar con una página web, la información del Sistema deberá constar en la página de inicio, en una sección separada y fácilmente identificable.

• Garantizar la confidencialidad, tanto respecto de la identidad del informante y de cualquier tercero que conste en la comunicación, como de las gestiones y tramitación de las comunicaciones.

• Impedir el acceso a personas no autorizadas.

• Proteger los datos personales de los informantes y terceros que puedan aparecer en las comunicaciones, rigiéndose por la normativa en materia de protección de datos (Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016; Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales; y Ley Orgánica 7/2021, de 26 de mayo de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales).

• Garantizar la efectividad del sistema, adoptando las medidas necesarias.

• El sistema debe ser independiente.

• Permitir las comunicaciones de forma escrita o verbal (o ambas), de forma presencial o anónima.

• Debe nombrarse a un responsable para la gestión del sistema, una persona física, o bien una entidad en quien se hayan delegado estas funciones. En el caso de que se designe como responsable a una persona física, esta será un directivo de la empresa que ejercerá su cargo con independencia del órgano de administración u órgano de gobierno. Precisamente será el órgano de administración u órgano de gobierno el competente para su designación, destitución y cese.

• Tener una política donde se contengan los principios generales y que sea debidamente publicitada en el seno interno de la empresa.

• Contar con un procedimiento de gestión de las informaciones: enviar acuse de recibo en el plazo de 7 días, determinar plazo máximo para dar respuesta a la comunicación (3 meses con posibilidad de prorrogarse hasta 3 meses más adicionales); respetar el derecho de presunción de inocencia, respetar la protección de datos personales; otorgar el derecho de las partes a ser oídas; y remitir al Ministerio Fiscal ante indicios constitutivos de delito.

• Llevanza de un libro de registro de las informaciones recibidas e investigaciones realizadas.

• Establecer las garantías para la protección de los informantes.

Las empresas que tengan entre 50 y 250 trabajadores tendrán que implantar este sistema o adaptar su canal de denuncias preexistente antes del 1 de diciembre de 2023. Para aquellas empresas, con más de 250 trabajadores, este plazo venció el pasado 13 de junio por lo que quienes aún no hayan hecho los deberes deberían darle prioridad. Las sanciones ante un incumplimiento, por parte de las empresas, de las obligaciones descritas, pueden alcanzar el millón de euros.