La ley whistleblowing España, formalmente Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, ha transformado de manera profunda las obligaciones de compliance de empresas, entidades públicas y organizaciones sin ánimo de lucro en nuestro país. Traspone al ordenamiento español la Directiva (UE) 2019/1937 con más de dos años de retraso respecto al plazo europeo original, lo que ha obligado a muchas organizaciones a adaptarse en plazos muy ajustados desde su entrada en vigor.
Objetivo y ámbito de aplicación de la norma
La ley persigue un doble objetivo: proteger de manera efectiva a las personas que, en un contexto laboral o profesional, detectan y comunican infracciones del derecho de la Unión Europea o infracciones penales y administrativas graves o muy graves del ordenamiento español, y fomentar una cultura de información dentro de las organizaciones que permita detectar irregularidades en fases tempranas, antes de que deriven en daños mayores o en responsabilidad penal para la propia entidad.
El ámbito material de la ley es muy amplio: contratación pública, servicios financieros, prevención del blanqueo de capitales, seguridad de los productos, seguridad del transporte, protección del medio ambiente, radioprotección, seguridad alimentaria, sanidad pública, protección de los consumidores, protección de la privacidad y datos personales, y seguridad de las redes y sistemas de información, entre otras materias.
Obligaciones concretas para las empresas
Más allá de la creación del canal de denuncias que ya hemos abordado en detalle en otros contenidos, la ley impone a las organizaciones obligadas un conjunto de obligaciones concretas que conviene tener muy presentes:
- Aprobar y comunicar formalmente una política de gestión de las informaciones recibidas, especificando plazos, responsables y procedimiento de investigación.
- Nombrar un Responsable del Sistema de Información, único responsable de la gestión del canal, con independencia funcional y sin recibir instrucciones de ningún órgano de la organización en el ejercicio de sus funciones.
- Garantizar canales externos habilitados a través de la Autoridad Independiente de Protección del Informante (A.A.I.) o de las autoridades autonómicas competentes, a los que el informante puede acudir directamente sin necesidad de utilizar previamente el canal interno.
- Documentar todas las comunicaciones recibidas en un registro confidencial, con acceso restringido y trazabilidad de las actuaciones realizadas.
- Formar a la plantilla sobre la existencia, funcionamiento y garantías del canal de denuncias.
La Autoridad Independiente de Protección del Informante (A.A.I.)
La ley crea un nuevo organismo público, la Autoridad Independiente de Protección del Informante, adscrita al Ministerio de Justicia pero dotada de independencia funcional, cuyas funciones principales son gestionar el canal externo de denuncias a nivel estatal, tramitar expedientes sancionadores por incumplimientos de la ley, adoptar medidas cautelares de protección de los informantes frente a represalias, y promover la cultura de la información dentro de las organizaciones mediante campañas y directrices. Diversas comunidades autónomas han creado o están en proceso de crear autoridades equivalentes de ámbito autonómico, lo que añade una capa adicional de complejidad normativa que las empresas con actividad multirregional deben tener en cuenta.
Confidencialidad, protección de datos y conservación de la información
La ley establece un régimen reforzado de confidencialidad: la identidad del informante no puede ser revelada a persona distinta del personal competente para recibir o tramitar las comunicaciones, salvo consentimiento expreso o cuando sea una obligación legal en el marco de una investigación por autoridades judiciales o administrativas. El tratamiento de los datos personales derivados de las comunicaciones debe ajustarse al RGPD y a la Ley Orgánica 3/2018, y la información solo puede conservarse mientras sea necesaria para dar respuesta a la comunicación, con carácter general no más de tres meses desde la recepción, salvo cuando existan investigaciones en curso que justifiquen un plazo superior.
Coordinación con el programa de compliance penal
La implantación del canal de denuncias no debe abordarse de forma aislada, sino integrada en el conjunto del modelo de organización y gestión (compliance program) que exige el artículo 31 bis del Código Penal para que la persona jurídica pueda eximirse o atenuar su responsabilidad penal. Un canal de denuncias eficaz constituye, de hecho, uno de los elementos que la jurisprudencia y la Fiscalía General del Estado valoran expresamente como indicio de la seriedad y eficacia real del programa de cumplimiento normativo de la empresa, más allá de su mera existencia formal sobre el papel.
Dado el nivel de exposición que puede generar una gestión inadecuada de las denuncias recibidas —desde la revelación accidental de la identidad del informante hasta investigaciones internas mal documentadas—, muchas organizaciones optan por complementar la implantación del canal con un análisis de la cobertura de informes de responsabilidad profesional que evalúe los riesgos asumidos por administradores, directivos y responsables del sistema de información ante una eventual reclamación derivada de la gestión del canal.
Régimen sancionador y plazo de prescripción
Las infracciones se clasifican en leves, graves y muy graves, con sanciones que van desde apercibimiento hasta el millón de euros o el 5% del volumen de negocios anual para las personas jurídicas en los casos más graves, como impedir la presentación de comunicaciones, ejercer represalias o incumplir de forma reiterada el deber de confidencialidad. Las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves al año, plazos que se computan desde el día en que se hubiera cometido la infracción.
Comparativa con la normativa europea y otros países
España ha optado por un modelo de transposición de la Directiva (UE) 2019/1937 que en algunos aspectos va más allá del mínimo exigido por Bruselas, como ocurre con la ampliación del catálogo de materias protegidas más allá del estricto derecho de la Unión, incluyendo determinadas infracciones penales y administrativas puramente internas. Esta opción, común a otros Estados miembros como Francia o Italia, ha generado un marco de protección comparativamente más amplio que el existente en países que optaron por una transposición minimalista, lo que exige a las empresas con presencia en varios países europeos revisar las diferencias normativas entre jurisdicciones antes de implantar un canal de denuncias corporativo único para todo el grupo.
Buenas prácticas para reforzar la eficacia del canal
Más allá del mínimo legal, las organizaciones que quieren maximizar la eficacia real de su sistema de información suelen incorporar buenas prácticas adicionales: comunicar de forma periódica y no solo en el momento de la implantación la existencia y funcionamiento del canal; publicar informes anuales anonimizados sobre el número de comunicaciones recibidas y su resolución, reforzando la confianza de la plantilla; establecer canales específicos para determinadas materias especialmente sensibles como el acoso laboral o sexual; y realizar auditorías periódicas independientes sobre el funcionamiento real del sistema, más allá de su diseño formal sobre el papel.
Régimen transitorio y entidades ya obligadas por normativa sectorial
Es importante recordar que ya antes de la Ley 2/2023 existían obligaciones sectoriales específicas de establecer canales de denuncia, como la exigida a los sujetos obligados por la normativa de prevención de blanqueo de capitales o a las entidades del sector financiero. La Ley 2/2023 no deroga estas obligaciones sectoriales previas, sino que las complementa y armoniza, de modo que las entidades sometidas a ambos regímenes deben revisar cuidadosamente si su canal preexistente cumple ya con los requisitos reforzados de la nueva ley general o si necesita adaptaciones adicionales en materia de plazos de respuesta, protección del informante o alcance material de las infracciones comunicables.
Conclusión
La Ley 2/2023 ha situado a España en línea con los estándares europeos de protección al informante, pero su correcta aplicación exige a las empresas mucho más que habilitar un simple canal de comunicación: implica revisar políticas internas, formar a la plantilla, designar responsables cualificados y coordinar todo el sistema con el resto del programa de compliance. En TorreonLegal ayudamos a organizaciones de todos los sectores a diseñar e implantar sistemas de información conformes con la ley whistleblowing, minimizando riesgos legales y reputacionales. Contacta con nuestro equipo de Cumplimiento Normativo para una auditoría inicial de tu organización.
Deja una respuesta