Entrada en vigor inminente de la Ley 2/2023, de 20 de febrero

El próximo mes de marzo entra en vigor la Ley que protege a los denunciantes que informen sobre vulneraciones del ordenamiento jurídico

 España, con varios meses de retraso, ha incorporado a su ordenamiento jurídico la Directiva “Whistleblower”, que obliga a las empresas a contar con un canal de denuncias interno.

 La nueva Ley tiene la finalidad de proteger a las personas que, en un contexto laboral o profesional, detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma.

El BOE ha publicado esta semana la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción y que entrará en vigor a los 20 días desde su publicación. Por ello, a partir del próximo 13 de marzo, las empresas con más de 50 trabajadores y de todas las entidades públicas tienen obligación de disponer un sistema interno de información mediante el que los trabajadores puedan informar sobre vulneraciones del ordenamiento jurídico en el marco de una relación profesional. La nueva norma fija sanciones de hasta 300.000 euros en caso de ser cometidas por personas físicas o hasta 1.000.000 euros si se cometen por personas jurídicas.

Esta Ley fue aprobada en el seno del Congreso de los Diputados el pasado 16 de febrero, como consecuencia de la obligatoriedad de traspone a la legislación española de la denominada Directiva Whistleblower. Precisamente, la aprobación de la Ley se produjo tan solo un día después de que Bruselas anunciara que denunciaba a España y a otros siete países de la UE ante el Tribunal de Justicia de la UE (TJUE) por no haber traspuesto la normativa a tiempo. El plazo para hacerlo se agotó el pasado 17 de diciembre.

Bruselas defiende que la citada Directiva desempeña “un papel clave”, ya que la protección ampara a denunciantes que puedan alertar sobre determinadas cuestiones de “interés público”, que pueden ir desde “la protección del medio ambiente, la contratación pública, los servicios financieros, la seguridad nuclear y la seguridad de los productos” hasta la “protección de los intereses financieros de la Unión”. La directiva exige a los Estados miembros que proporcionen a los denunciantes que trabajan en los sectores público y privado canales eficaces para destapar las infracciones de las normas de la UE de forma confidencial, estableciendo un sólido sistema de protección frente a represalias. Esto se aplica tanto a nivel interno (dentro de una organización) como externo (a una autoridad pública competente).

Atendiendo a los objetivos de la Directiva y de acuerdo con lo previsto en la Ley 2/2023, están obligados a disponer del sistema interno de información las siguientes entidades:

• Empresas privadas dedicadas a la prestación de servicios, fabricación de productos y operaciones financieras, así como la prevención de la lavandería de dinero y la financiación del terrorismo, seguridad de transporte y preservación del medio ambiente.
• Partidos políticos, sindicatos, asociaciones empresariales y sus fundaciones que gestionen o reciban fondos públicos.
• Entidades del sector público. Aquellos municipios con una población menor a 10.000 pueden compartir el sistema interno de información entre ellos o con cualquier otra administración ubicada dentro de la misma comunidad. Además, entidades con una personalidad jurídica propia que estén conectadas o relacionadas con órganos de las administraciones regionales y cuenten con menos de 50 empleados, pueden compartir el sistema de información.

El sistema de información debe asegurar la privacidad y la seguridad de la identidad del denunciante y de otras personas implicadas; y su puesta en marcha debe ser completado antes del 13 de junio del presente año, si bien este plazo se amplía hasta el próximo día 1 de diciembre en el caso de las empresas privadas con menos de 250 empleados y los municipios con menos de 10.000 habitantes.

La Ley señala que el sistema de información está por dos elementos diferenciados. En primer lugar, el denominado canal interno de información, que deberá permitir la presentación de información por escrito (por correo postal o vía electrónica), verbalmente (por teléfono o mensajería de voz) o ambas, en un plazo de 7 días como máximo. Las comunicaciones orales deben ser registradas por el informante a través de una grabación o transcripción completa. De igual manera, se debe permitir el envío y la tramitación de informes sin identificar.

En segundo lugar, el sistema deberá contar con un responsable del sistema interno de información, que deberá ser autorizado por el consejo o panel de gestión de la organización, quien, en el sector privado, será un líder de la entidad. Debe realizar sus tareas de forma independiente y sin consultar órdenes de ninguna clase.

La administración del sistema, en lo referente a la recepción de informaciones, puede ser implementada tanto por la organización, o bien externalizarse, siempre y cuando se mantenga la garantía de imparcialidad, la privacidad, el respeto a los datos y la reserva de las comunicaciones.

Por su parte, la norma prevé que la respuesta a las actuaciones de investigación no podrá tardar más de tres meses desde su recibo, lo cual se puede extender hasta otro periodo de tres meses en caso de complejidad. Si los hechos demuestran ser delitos, la información deberá enviarse de inmediato al Ministerio Fiscal o a la Fiscalía Europea si afectan a los intereses financieros de la Unión Europea.

Además, todos aquellos que estén obligados a mantener un medio interno de comunicación deberán llevar un archivo privado de los datos recibidos y de los estudios internos realizados.

Los detalles sobre las conductas y omisiones se pueden remitir a través del canal externo de notificación de la Autoridad Independiente de Protección del Informante, recientemente creada, órgano que tendrá que dar una respuesta en un plazo de tres meses con cualquiera de los siguientes pasos: archivar el caso; enviarlo al Ministerio Fiscal; transferir lo actuado a la autoridad apropiada o iniciar un procedimiento sancionador.

Uno de los aspectos clave de la norma es que la Ley otorga protección frente a las represalias que puedan sufrir quienes informen sobre infracciones. En este sentido, las medidas de protección se aplican por la Autoridad Independiente a los siguientes colectivos:

• Empleados públicos o trabajadores por cuenta ajena, aunque la información se haya obtenido en el marco de una relación ya finalizada;
• Autónomos;
• Accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos;
• Cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores;
• Voluntarios, becarios, trabajadores en períodos de formación con independencia de que perciban o no una remuneración;
• Personas cuya relación laboral todavía no haya comenzado, cuando la información se haya obtenido durante el proceso de selección o de negociación precontractual.
• Representantes legales de los trabajadores, quienes asistan al informante en el marco de la organización, así como a las personas físicas que estén relacionadas con el informante como compañeros de trabajo o familiares del informante, y personas jurídicas relacionadas.

La protección se mantendrá durante los 24 meses posteriores al descubrimiento de los datos. En circunstancias excepcionales y justificadas, la autoridad pertinente puede prolongar esta temporada de protección. Los actos que busquen bloquear o dificultar la presentación de informes y declaraciones, sean represalias o causen discriminación, son inválidos por completo. Esto incluye la toma de medidas correccionales y, en su caso, el pago de la indemnización correspondiente al afectado.

Como ya se ha indicado, la norma prevé un estricto régimen sancionador, de manera que las infracciones se clasifican en leves, graves y muy graves, pudiendo ser sancionadas con multas que van desde los 1.000 euros hasta los 300.000 euros en caso de ser cometidas por personas físicas o hasta 1.000.000 euros si se cometen por personas jurídicas. En caso de infracciones muy graves se puede acordar una amonestación pública; la prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de 4 años o la prohibición de contratar con el sector público durante un plazo máximo de 3 años. Además, las sanciones de cuantía igual o superior a 600.001 euros podrán ser publicadas en el BOE.

Recuerda que en Acountax te prestamos asesoramiento experto en materia de implementación de los canales de denuncia, así como en el desarrollo y gestión de los programas de prevención de delitos penales o compliance.