Rondaría los cinco años. Navegábamos varías canoas por un río de pueblo. Teníamos que salvar a pié un pequeño desnivel que generaba una presa puente que unía los dos lados de una finca privada. “¿Qué hacen ustedes?, lo que están haciendo está prohibido, dense la vuelva inmediatamente “. Recuerdo dos cosas: el aliento de un perro gigante en frente de mi cara y la educada respuesta de mi Aita. “Disculpe, los cauces son demanio público, y por ley, existe una servidumbre de paso. Nos tiene que dejar pasar”. De haber existido teléfonos móviles, estoy seguro que mi Aita le hubiera pasado a aquel señor tan antipático directamente con el alférez de turno de la guardia civil de la circunscripción en la que nos encontrábamos. No obstante, no fue necesario. Demasiados abogados cruzando el río. Esa fue la semilla de otra de mis pasiones. Muchos años después comencé la carrera de Derecho. Como mi Aita, quería tener claro que podía y no podía hacer, y que nadie salvo mi sentido común limitara mi siguiente paso en la vida. Con el tiempo aprendí a conjugar lo que podía ( Derecho ) y debía hacer ( Deontolgía ), con lo que tenía ( ADE ) y quería hacer ( Psicología ).

Al ser un Relaciones Laborales coherente, la transición a Recursos Humanos suele obligar a ser el doble de gestor y psicólogo para compensar. En ocasiones, el sentido común orienta a “no cruzar el río hasta ver por dónde fluye cauce”, y en el río de la vida, el Karma puede ser o no un remolino. Escrita por Thom York, la canción “Karma Police” fue incorporada en el disco de OK Computer de Radihead (1997). El título proviene de una broma de los miembros de la banda, quienes, frente a cualquier conducta indebida durante la gira, se burlan diciendo “no importa, tarde o temprano al culpable se lo va a llevar la policía del karma”. Se trata de una canción sarcástica que pretende ser, no sólo un ataque contra la autoridad, sino también contra las acciones opresivas de uno mismo para con los demás. A pesar de su lenguaje simple e incluso cómico, la letra esconde una gran lección de vida: el perseguidor actual puede ser el perseguido del mañana, nadie está libre del espectro de la “policía del karma”.

En cualquier caso, en el mundo de la empresa, hay ámbitos de actuación respecto a los que es mejor anticiparse al Karma, y ser más Relaciones Laborales que Recursos Humanos. Esta semana, el Pleno del Congreso de los Diputados ha aprobado definitivamente el Proyecto de Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Se da por terminada la última etapa del proceso de transposición a derecho nacional de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, conocida como la “Directiva Whistleblowing”. Se trata de un texto ambicioso que establece un modelo de protección frente a represalias, y que proporciona a los trabajadores canales para denunciar de forma confidencial y anónima acciones u omisiones de la empresa que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. En este sentido, las empresas deberán implantar y/o adaptar los canales internos de denuncia y sus correspondientes procedimientos de investigación y darles difusión. Adicional a una posible responsabilidad penal, las multas pueden llegar hasta 1.000.000 de euros para las infracciones consideradas muy graves,

La Directiva Whistleblowing: nueva herramienta para la prevención de infracciones

Las personas que denuncian infracciones legales a nivel empresarial a través de los canales apropiados de denuncia desempeñan un papel clave en la exposición y prevención de esas infracciones y en la salvaguarda del bienestar de la sociedad. Para dar un paraguas protector a todas estas personas, en octubre de 2019, el Consejo de Ministros de la Unión Europea adoptó la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión Europea (UE), conocida también por “Directiva Whistleblower”. Su objetivo es crear una norma mínima para toda la UE que garantice que las personas que tengan conocimiento de posibles infracciones de la legislación de la UE puedan informar libremente de sus preocupaciones sin temor a posibles represalias por parte de su empleador. Así, la Directiva obliga tanto a las empresas como a las autoridades en general a introducir sistemas de denuncia de irregularidades, que deben estar disponibles para todos los empleados de la empresa/autoridad. La Directiva debía haber sido transpuesta en los Estados miembros de la UE con fecha límite 17 de diciembre de 2021 al respecto de las empresas con más de 250 trabajadores, existiendo un segundo plazo hasta el 17 de diciembre de 2023 para las empresas con una plantilla de entre 50 y 249 trabajadores. Sin embargo, este umbral no se aplica si existe la obligación de establecer un sistema de denuncia en virtud de otra legislación especial, incluida la normativa sobre servicios financieros o la normativa sobre blanqueo de capitales. Casi todos los países de la Unión Europea fallaron en transponer dicha directiva en plazo, ya que sólo Dinamarca, Francia, Portugal y Suecia lo hicieron antes del pasado 17 de diciembre. En el caso de España, en junio de 2020 el Ministerio de Justicia crea un grupo de trabajo para desarrollar un proyecto de ley. Tras un periodo de consulta pública sobre su aplicación, la Comisión General de Codificación prepara dicho proyecto que es aprobado por el Consejo de Ministros el pasado 4 de marzo de 2022. No obstante, hasta esta semana, el Pleno del Congreso de los Diputados no ha aprobado definitivamente el Proyecto de Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

¿A través de qué canales se podrán hacer las denuncias?

Alentar a los empleados a denunciar irregularidades y protegerlos cuando lo hagan es esencial para la prevención de la corrupción tanto en el sector público como en el privado. Los empleados suelen ser los primeros en reconocer las irregularidades en el lugar de trabajo, y empoderarlos para hablar sin temor a represalias puede ayudar a las autoridades a detectar y disuadir irregularidades. En el sector público, la protección de los denunciantes puede facilitar la detección del soborno pasivo, el uso indebido de fondos públicos, el despilfarro, el fraude y otras formas de corrupción. Mientras, en el sector privado, ayuda a las autoridades a identificar casos de soborno activo y otros actos de corrupción cometidos por empresas, y también a prevenir y detectar actividades ilegales en las transacciones comerciales. Para descubrir y evitar eficazmente las infracciones, es vital que la información pertinente llegue rápidamente a las personas más cercanas al origen del problema, más capacitadas para investigar y con poderes para remediarlo, cuando sea posible. Siendo este el caso, en particular, cuando los denunciantes creen que la infracción puede ser abordada eficazmente dentro de la organización correspondiente, y que no hay riesgo de represalias. En consecuencia, las entidades jurídicas en el sector privado y público deben establecer procedimientos internos adecuados para recibir y dar seguimiento a las denuncias. Este principio debería ayudar a fomentar una cultura de buena comunicación y responsabilidad social corporativa en las organizaciones, en la que se considere que los denunciantes contribuyen significativamente a la auto corrección y la excelencia dentro de la organización. Hacer que los posibles denunciantes utilicen primero canales de información internos facilitados por la empresa, ya sea a través de canales propios o suministrados por proveedores externos, es siempre el enfoque más deseable, ya que así se minimiza el riesgo de daños financieros y de reputación de un incidente que se hace público o se lleva a los tribunales, a la vez que se refuerza la confianza entre el empleado y el empleador, animando a que a más personas hablen antes de que los problemas se desborden. Además de a través de los canales internos, la Directiva también contempla en su texto la posibilidad de utilizar canales de denuncia externos facilitados por las autoridades nacionales pertinentes o las instituciones de la UE apropiadas, o canales de información pública.

La necesaria protección del denunciante ante las represalias

En cuanto a la protección de las personas que denuncien infracciones, se establecen normas mínimas comunes para las infracciones referidas a  ámbitos como contratación pública; servicios, productos y mercados financieros, y prevención del blanqueo de capitales y de la financiación del terrorismo; seguridad y cumplimiento de los productos; seguridad de los transportes; protección del medio ambiente; la protección contra las radiaciones y la seguridad nuclear; seguridad de los alimentos y los piensos, y la salud y el bienestar de los animales; salud pública; protección de los consumidores; protección de la intimidad y los datos personales, y la seguridad de las redes y los sistemas de información. También las personas que realicen denuncias sobre otras infracciones como las que afectan a los intereses financieros de la Unión y las relativas al mercado interior estarán protegidas por las mencionadas normas mínimas. Cada Estado miembro debe decidir si las denuncias pueden realizarse de forma anónima o no, siempre adoptando las medidas necesarias para prohibir cualquier forma de represalia contra las personas denunciantes, entre las que se contemplan las sanciones pertinentes. Para realizar el tratamiento de las denuncias realizadas de forma interna en las empresas, se deberán designar personas imparciales para poder realizar la tramitación con total garantía de confidencialidad.

Aspectos de la implementación a decidir por cada Estado miembro

La Directiva ofrece cierto grado de flexibilidad, lo que permite a los Estados miembros aplicar el régimen de formas ligeramente diferentes, además de la ya comentada decisión sobre la anonimidad de las denuncias. Así, por ejemplo, los Estados miembros pueden decidir transponer las disposiciones materiales de la Directiva exactamente como se establece en ella, o ampliar el régimen prospectivo de la Directiva a las denuncias de infracciones de la legislación nacional en los ámbitos políticos cubiertos por la Directiva (o incluso más allá). También pueden ofrecer a los denunciantes el derecho a solicitar una reunión física en la empresa en la que trabajan, decidir la mejor manera de implementar ciertos aspectos de los canales y procedimientos de denuncia interna (por ejemplo, el procedimiento para proporcionar retroalimentación) para permitir el seguimiento, o incluir disposiciones más favorables en sus leyes de transposición (plazos más cortos para el acuse de recibo o para la respuesta, recompensas por denunciar, etc.). Algunos Estados miembros no tienen previsto aplicar una nueva legislación, sino que van a modificar la ya existente para hacerla compatible con la Directiva, lo cual, en principio debería acelerar y facilitar su redacción.

Transposición de la directiva en España ( fuente: noticias.jurídicas.com )

a) Retraso en la transposición, vacatio legis y derecho transitorio

La Ley 2/2023 prevé:

• Una vacatio legis de 20 días desde su publicación en el BOE (DF 12ª),
• Un plazo máximo de 3 meses desde esa entrada en vigor para que las organizaciones obligadas a implantar los canales lo materialicen. Como excepción, para las entidades jurídicas del sector privado con 249 trabajadores o menos y municipios de menos de 10.000 habitantes, el plazo se extiende hasta el 1 de diciembre de 2023 (DT 2ª).

b) Se amplía el ámbito de aplicación de la Directiva

1. Objetivo: amplía el amparo y abre los sistemas de información a quienes adviertan de vulneraciones no solo del Derecho de la Unión, sino también del resto del ordenamiento jurídico que afecten directamente al interés general, entendiendo que este está comprometido en todo caso si la vulneración investigada afecta a la Hacienda Pública.
2. Subjetivo: a) En la Directiva, los «canales de denuncia» internos son obligatorios para las entidades jurídicas del sector privado que empleen a más de 50 trabajadores y a las del sector público, permitiendo eximir a los municipios de menos de 10.000 habitantes o con menos de 50 trabajadores. La Ley lo extiende a todas las entidades que integran el sector público, incluidos todos los municipios la obligación de contar con un «sistema interno de información», recogiendo precisiones para facilitar su cumplimiento (art. 13). Incluye en esta obligación a los órganos constitucionales e instituciones autonómicas análogas creadas por los correspondientes Estatutos de Autonomía; b) También se incluye, dentro del sector privado, a los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos (art. 10).

c) Protección del informante y de la persona afectada

1. Informante: prohibición de represalias y medidas de apoyo. Se regula en los arts. 35 y ss. “La buena fe, la conciencia honesta de que se han producido o pueden producirse hechos graves y perjudiciales constituye un requisito indispensable para la protección del informante”, indica la exposición de motivos de la norma. La protección se ofrece, fundamentalmente, a través de la prohibición de represalias (art. 36), concepto que el texto define y del que ofrece un listado, que detalla como enunciativo, de ejemplos, entre los que se incluyen el despido o las referencias negativas en el ámbito laboral o profesional, la no renovación del contrato de trabajo, la no conversión de un contrato de trabajo temporal en uno indefinido en caso de que el trabajador tuviera expectativas legítimas de que se le ofrecería un trabajo indefinido, la denegación de formación y la discriminación o el trato desfavorable o injusto; entre otros. Si se trata de actos administrativos que tengan por objeto impedir o dificultar la presentación de comunicaciones y revelaciones, así como los que constituyan represalia o causen discriminación tras la presentación de aquellas al amparo de la nueva ley, “serán nulos de pleno derecho y darán lugar, en su caso, a medidas correctoras disciplinarias o de responsabilidad, pudiendo incluir la correspondiente indemnización de daños y perjuicios al perjudicado”. Además, se recogen una serie de medidas de apoyo (art.37) para los informantes, que pueden consistir, desde información y asesoramiento integral, accesible y gratuito; hasta apoyo financiero y psicológico, de forma excepcional. En concreto, entre las medidas específicas de protección frente a las represalias, se prevén las reglas de exención de responsabilidad al informante de buena fe. Cabe destacar la presunción iuris tantum en el ámbito laboral a favor del informante que sufra un perjuicio (art. 38.4)
2. Protección de la persona afectada y supuestos de exención y atenuación de la sanción. Se admite expresamente el derecho a la presunción de inocencia, al derecho de defensa y de acceso al expediente de las personas afectadas, para las que deja de usarse el término “investigado” que empleaba el Anteproyecto (art. 39). Y se prevén unos “supuestos de exención y atenuación de la sanción” (similares a los “programas de clemencia” propios de la normativa de defensa de la competencia), cuando una persona que haya participado en la comisión de una infracción administrativa objeto de la información sea la que informe de la existencia de la misma (art. 40).

d) Sistemas y canales internos de información

La configuración de los sistemas internos deberá satisfacer ciertas exigencias, entre las que destacan las siguientes: su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento, investigación y protección del informante. El responsable de su implantación es el órgano de administración u órgano de gobierno de cada entidad u organismo obligado, y se exige la previa consulta con la representación legal de las personas trabajadoras . La ley le atribuye, además, la condición de responsable del tratamiento de los datos personales de conformidad con lo dispuesto en la normativa sobre protección de datos personales (art. 5). Las «comunicaciones» (equivalentes a las «denuncias» de la Directiva) se pueden efectuar por escrito o verbalmente, o de ambos modos.

1. Procedimiento de gestión de las informaciones. La Ley prevé como figura indispensable para la eficacia de los sistemas internos de información la designación de un responsable de su correcto funcionamiento (responsable del sistema), cuyo nombramiento debe ser comunicado a la Autoridad Independiente de Protección del Informante (art. 8), previéndose que en las entidades u organismos en las que ya existiera un responsable de cumplimiento normativo o de las políticas de integridad, podrá ser esta la persona designada. Asimismo, se especifican las previsiones del procedimiento de gestión, incluyendo, entre otras (art. 9) : a) el derecho de la persona afectada a que se le informe de las acciones u omisiones que se le atribuyen, y a ser oída en cualquier momento; comunicación que tendrá lugar en el tiempo y forma que se considere adecuado para garantizar el buen fin de la investigación; y b) la remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de grupos de sociedades, tanto el responsable del sistema, como el sistema interno de información, pueden ser uno para todo el grupo (art. 11).
2. Procedimiento de gestión de las comunicaciones. El texto exige contar con un procedimiento de gestión de las comunicaciones. Así: a) Se permite la gestión del sistema interno por un tercero externo (art. 6), que ofrezca garantías adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto, especificándose que «se considera gestión del sistema la recepción de informaciones». Este tercero «tendrá la consideración de encargado del tratamiento» a efectos del RGPD y LOPDGDD. El Proyecto alude expresamente a la corresponsabilidad y encargo del tratamiento de la normativa de protección de datos (arts. 26 y 28.3 RGPD, respectivamente); b) Los canales internos de información («canales de denuncias internos», en la terminología de la Directiva) forman parte del sistema interno de información. Las organizaciones pueden contar con uno o varios, y deben permitir efectuar comunicaciones de manera anónima, tanto en la «presentación y posterior tramitación» de las mismas (art 7); c) El procedimiento de gestión (art. 9) debe ser aprobado por el responsable del sistema, y debe contar con un contenido mínimo y principios. Entre ellos, se exige que identifique el canal o canales internos que se asocian al mismo, que en el plazo de 7 días naturales se acuse recibo de la comunicación al informante (salvo que ello pueda poner en peligro la confidencialidad de la comunicación), y debe prever la posibilidad de mantener la comunicación con el informante, así como el derecho del informante a que se le informe de las acciones u omisiones que se le atribuyen, y a ser oído en cualquier momento; entre otras cuestiones. En todo caso, la duración máxima de las actuaciones de investigación no puede ser superior a 3 meses.
3. Medios compartidos y modalidades de gestión indirecta. Se prevé que la gestión material del sistema interno de información se realice mediante modalidades de gestión indirecta, si bien la atribución por parte de las Administraciones territoriales a un tercero de la gestión de estos sistemas internos de información requerirá que acrediten la insuficiencia de medios propios para poder realizar la función: a) Las personas jurídicas del sector privado que tengan entre 50 y 249 trabajadores y que así lo decidan, pueden compartir entre sí el sistema interno de información y los recursos destinados a la gestión y tramitación de las comunicaciones, tanto si la gestión del sistema se lleva a cabo por la propia entidad como si se ha externalizado (art. 12); b) Del mismo modo, los municipios de menos de 10.000 habitantes, entre sí o con cualesquiera otras Administraciones públicas que se ubiquen dentro del territorio de la comunidad autónoma, pueden compartir el sistema interno de información y los recursos destinados a las investigaciones y las tramitaciones (art. 14)

e) Canal externo de comunicaciones. Autoridad Independiente de Protección del Informante (A.A.I.)

La Directiva exigía que los Estados miembros designen a las autoridades competentes para recibir las «denuncias» de los canales externos, darles respuesta y seguirlas, y dotarlas de recursos adecuados. En el ámbito estatal, la nueva Ley opta por una Autoridad de nueva creación, adscrita al Ministerio de Justicia: la Autoridad Independiente de Protección del Informante (A.A.I.). Su canal es el «canal externo de comunicaciones» ante el cual toda persona física puede informar (o ante las autoridades u órganos autonómicos correspondientes) de la comisión de «cualesquiera acciones u omisiones incluidas en el ámbito de aplicación de esta ley, ya sea directamente o previa comunicación a través del correspondiente canal interno». (art. 16). Los artículos 17 y ss. de la Ley regulan el procedimiento administrativo de recepción de las informaciones por dicho canal externo, con los datos que necesariamente debe contener su registro (fecha, código de identificación, actuaciones desarrolladas, medidas adoptadas y fecha de cierre), el trámite de admisión y las opciones posibles; la instrucción y la terminación y eventual publicación de las actuaciones, así como los derechos y garantías del informante ante la Autoridad Independiente indicada (o autoridades u órganos autonómicos correspondientes). Las Comunidades Autónomas pueden crear también sus correspondientes canales externos y organismos responsables de los mismos o suscribir convenios para que sea la Autoridad Independiente de Protección del Informante quien actúe como canal externo de informaciones en sus territorios (DA 2ª). La regulación de su estatuto queda pendiente de desarrollo reglamentario (DA 11ª).

f) Aspectos comunes para canales internos y externos: el registro de informaciones

Además de los requisitos generales de la información adecuada de forma clara y fácilmente accesible que deben proporcionar, destaca la regulación del registro de informaciones (art. 26), que se configura como un libro-registro de las comunicaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad. Llaman la atención las siguientes previsiones: a) No será público y únicamente se podrá acceder a él a petición razonada de la Autoridad judicial competente (mediante Auto, en el marco de un procedimiento judicial); b) Los datos personales que pueda contener sólo se conservarán durante el período que sea necesario y proporcionado, en ningún caso superior a 10 años.

g) Revelación pública

La revelación pública es el tercer «sistema de denuncia» que preveía la Directiva para proteger al “denunciante”. Los arts. 27 y 28 de la nueva Ley definen qué debe entenderse por tal y establecen las condiciones de protección de las personas que realicen revelaciones públicas. No obstante, se prevé expresamente que las condiciones para acogerse a esta protección de la revelación pública no serán exigibles cuando la persona haya revelado información directamente a la prensa con arreglo al ejercicio de la libertad de expresión y de información veraz previstas constitucionalmente y en su legislación de desarrollo.

h) Protección de datos personales

Una correcta protección de los informantes en sistemas internos, públicos o privados, o en canales externos o revelaciones públicas, exige una adecuada protección de sus datos personales. A tal fin, los arts. 29 y ss. de la Ley regulan: a) El régimen jurídico del tratamiento de los datos personales en todos esos casos, precisándose los términos de la licitud de dichos tratamientos, conforme a las reglas de RGPD y LOPDGDD para cada uno de ellos; b) La información a proporcionar a los interesados y las posibilidades de ejercicio de sus derechos. Por ejemplo, en el caso concreto de los sistemas internos de información, transcurridos 3 meses desde la recepción de la comunicación sin que se hayan iniciado actuaciones de investigación, debe procederse a su supresión (art. 32.4). La Ley también añade que “no se recopilarán datos personales cuya pertinencia no resulte manifiesta para tratar una información específica o, si se recopilan por accidente, se eliminarán sin dilación indebida”; c) La preservación de la identidad del informante y de las personas investigadas, que solo puede ser comunicada a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora (art. 33); d) La necesidad de contar con Delegado de Protección de Datos competente para todos los tratamientos en los sistemas internos de comunicaciones (art. 34).

i) Régimen sancionador

Se regula en los arts. 60 y ss., que remite a las reglas aplicables del procedimiento administrativo sancionador. La potestad sancionadora se atribuye a Autoridad Independiente de Protección del Informante y a los órganos competentes de las Comunidades Autónomas, sin perjuicio de las facultades disciplinarias que en el ámbito interno de cada organización puedan tener los órganos competentes. El sistema de infracciones se cataloga con la tradicional división entre infracciones muy graves, graves o leves; y la consiguiente graduación de sanciones muy graves, graves o leves, respectivamente. Las infracciones, en todo caso, se refieren a las obligaciones del texto normativo (vulneraciones de confidencialidad en los canales de información, adopciones de represalias, etc.). Se contemplan asimismo los correspondientes plazos de prescripción para unas y otras y los criterios habituales para su graduación, típicos del procedimiento administrativo sancionador (reincidencia, intencionalidad, etc.). Llama la atención la inclusión, como infracción muy grave, del “incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley”. En todo caso, las sanciones consisten siempre en multas, con cuantías que varían según se trate de personas físicas o jurídicas, especialmente sustanciosas en los casos de personas jurídicas: a) Personas físicas: de 1.001 hasta 10.000 euros por la comisión de infracciones leves; de 10.001 hasta 30.000 euros por la comisión de infracciones graves y de 30.001 hasta 300.000 euros por la comisión de infracciones muy graves; b) Personas jurídicas: hasta 100.000 euros en caso de infracciones leves, entre 100.001 y 600.000 euros en caso de infracciones graves y entre 600.001 y 1.000.000 euros en caso de infracciones muy graves.

j) Estrategia contra la corrupción

La DA 5ª de la Ley 2/2023 prevé que el Gobierno, en el plazo máximo de 18 meses a contar desde la entrada en vigor de la ley, y en colaboración con las Comunidades Autónomas, “deberá aprobar una Estrategia contra la corrupción que al menos deberá incluir una evaluación del cumplimiento de los objetivos establecidos en la presente ley así como las medidas que se consideren necesarias para paliar las deficiencias que se hayan encontrado en ese periodo de tiempo”.