En el Boletín Oficial del Estado (BOE) de 21 de febrero de 2023 se ha publicado la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Es la conocida también como la Ley Whistleblower, que ha llegado para quedarse.

La norma tiene como finalidad proteger a las personas que, en un contexto laboral o profesional, detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma. Como se muestra a continuación, la decisión no es nueva: es fruto de un largo proceso y de una obligación comunitaria.

Que es un whistleblower o denunciante

En el ámbito laboral, hemos asistido a diversos análisis sobre el alcance del nivel de protección de los whistleblowers: informantes de prácticas irregulares de diversa índole en el seno de las organizaciones (públicas o privadas).

Dos son los objetivos claros de la directiva: proteger a los informantes y establecer las normas mínimas de los canales de comunicación.

En la actualidad, debe tenerse en cuenta que la mayor parte de empresas no dispone de cauces adecuados para tramitar este tipo de comunicaciones por parte de sus personas empleadas. Mucho menos, como veremos más adelante, para garantizar la protección de las personas del entorno del informante (la norma huye del término «denunciante»), susceptibles de sufrir algún tipo de represalia, como se exige ahora por ley.

La Ley entra en vigor a los 20 días de su publicación en el BOE. Bajo esta premisa, las administraciones, organismos y demás entidades obligadas a contar con un sistema interno de informaciones deberán implantarlo en el plazo máximo de tres meses, a partir de la entrada en vigor de la Ley. Se exceptúan las entidades jurídicas del sector privado con menos de 250 personas trabajadoras, para las que se ampliará el plazo hasta el 1 de diciembre de 2023. En cuanto a los canales de información externa, se regirán por su normativa específica, resultando de aplicación la nueva norma en los aspectos que no se adecúen a la directiva comunitaria: su adaptación también debe producirse en seis meses desde la citada entrada en vigor.

Finalidad y ámbito de aplicación del whistleblower

Es objeto de la norma, entre otros extremos, la protección de las personas trabajadoras que informen sobre infracciones del derecho laboral en materia de seguridad y salud en el trabajo (sin perjuicio de lo establecido en su normativa específica), que se producirá de forma adecuada frente a las represalias que puedan sufrir las personas físicas que informen.

Respecto del ámbito subjetivo, la Ley se aplica a:

• Informantes (que trabajen en el sector privado o público) y que hayan obtenido información sobre infracciones en un contexto laboral o profesional: empleados públicos y trabajadores por cuenta ajena; trabajadores autónomos; accionistas, partícipes y personas del órgano de administración, dirección o supervisión de una empresa; personas que trabajen para o bajo la supervisión y dirección de contratistas, subcontratistas y proveedores.
• A los representantes legales de las personas trabajadoras en el ejercicio de sus funciones de asesoramiento y apoyo al informante.
• A personas físicas que, en el marco de la organización en la que preste servicios el informante asistan al mismo en el proceso, a personas físicas relacionadas con el informante y que puedan sufrir represalias (como compañeros de trabajo o familiares del informante) y a personas jurídicas, para las que trabaje o con las que mantenga cualquier otro tipo de relación en un contexto laboral o en las que ostente una participación significativa.

Sistema interno de información

La ley contiene el régimen jurídico de los sistemas internos de información, que constituyen el cauce que debería utilizarse de forma preferente para canalizar la información: una actuación diligente y eficaz en el seno de la propia organización podría paralizar las consecuencias perjudiciales de las actuaciones investigadas. No obstante, declarada esta preferencia, será el informante el que valore qué cauce seguir (interno o externo), según las circunstancias y los riesgos de represalias que considere.

Estos sistemas internos deben satisfacer algunas exigencias como: su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento, investigación y protección del informante. En cualquier caso, se designará un responsable de su correcto funcionamiento. Estarán obligadas a configurar un sistema interno de información todas aquellas empresas que tengan más de cincuenta personas trabajadoras. En los grupos de empresas será la sociedad dominante la que decida la organización de los canales de comunicación.

La ley admite que, superando la cifra de cincuenta cuenten con menos de doscientos cincuenta trabajadores, puedan compartir medios y recursos para la gestión de las informaciones que reciban, quedando siempre clara la existencia de canales propios en cada empresa.

Canal externo de información de la Autoridad Independiente de Protección del Informante (A.A.I)

En el Titulo III se aborda de una manera sistemática la regulación especifica del canal externo ante el que podrá informar cualquier persona física, ya directamente o ya con posterioridad a la previa formulación de información interna.

Tras detallar el procedimiento de recepción de las comunicaciones (de forma anónima o con reserva de la identidad del informante) y de su forma (escrita o verbal), el articulado aborda el trámite de admisión, la fase instructora y la emisión de un informe por la Autoridad Independiente de Protección del Informante. Emitido el informe, la Autoridad podrá acordar el archivo del expediente, el inicio del procedimiento sancionador (sin perjuicio de poner los hechos en conocimiento del Ministerio Fiscal si los hechos pudieran revestir el carácter de delito, entre otros supuestos) o remitir la información a otra autoridad u organismo si así procediera. La instrucción no puede superar los tres meses.

La resolución que adopte la Autoridad Independiente no podrá ser objeto de recurso alguno, ni administrativo ni jurisdiccional, sin perjuicio de la posible impugnación de la resolución que ponga fin al procedimiento sancionador que se pudiera incoar a raíz de las investigaciones realizadas.

Medidas de protección

En cuanto al Título VII, este constituye la cadena vertebral de la ley. La primera medida es la contundente declaración de prohibir y declarar nulas aquellas conductas que puedan calificarse de represalias y se adopten dentro de los dos años siguientes a ultimar las investigaciones. En este sentido, la ley ofrece varios supuestos, sin ánimo exhaustivo, que muestran conductas intolerables hacia los informantes: resolución de contratos (incluidos, lógicamente, los laborales), intimidaciones, trato desfavorable, daños reputacionales, etc.

La necesidad de garantizar la buena aplicación del ordenamiento hace que queden sin efecto cualesquiera cláusulas o disposiciones contractuales que impidan o pretendan limitar el derecho o la capacidad de informar, como las cláusulas de confidencialidad o disposiciones que reflejan renuncias expresas; así como que se exima de responsabilidad ante la obtención de información relevante o que se invierta la carga de la prueba en aquellos procesos que inicie para exigir la reparación de daños. Los informantes contarán con el apoyo necesario de la Autoridad Independiente de Protección del Informante para que las medidas de protección establecidas en la futura norma resulten eficaces.

Las medidas de protección no se dirigen únicamente a favor de los informantes: también las personas a las que se refieran los hechos relatados en la comunicación contarán con una singular protección ante el riesgo de que la información, aun con aparentes visos de veracidad, haya sido manipulada, sea falsa o responda a motivaciones que el Derecho no puede amparar. Estas personas mantienen todos sus derechos de tutela judicial y defensa, de acceso al expediente, de confidencialidad y reserva de identidad y la presunción de inocencia: por tanto, conservarán los mismos derechos del informante.

Autoridad Independiente de Protección del Informante (A.A.I)

Entre las diferentes alternativas que ofrece nuestro ordenamiento interno, se considera idóneo acudir a la figura de la Autoridad Independiente de Protección del Informante como pilar básico. Su particular naturaleza y encaje institucional en el sector público permitirá canalizar satisfactoriamente el conjunto de funciones que la Directiva atribuye a las autoridades competentes de cada Estado miembro.

Este órgano tendrá personalidad jurídica propia y se dotará de autonomía e independencia orgánica y funcional respecto del Ejecutivo y del sector público, así como de toda entidad cuya actividad pueda ser sometida a su supervisión.

Régimen sancionador

Se añade un título sobre régimen sancionador, para el que es competente la Autoridad antes descrita. Se estima necesario para combatir con eficacia aquellas actuaciones que impliquen represalias contra los informantes, así como los incumplimientos en el establecimiento de las reglas de los canales de comunicación.

• Son infracciones muy graves: cualquier actuación que suponga una efectiva limitación de derechos y garantías introducida a través de contratos o acuerdos individuales o colectivos y, en general, cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o impedir, frustrar o ralentizar su seguimiento; la adopción de represalias; vulnerar las garantías de confidencialidad y anonimato; vulnerar el deber de mantener secreto sobre la información; cometer una infracción grave cuando el autor hubiera sido sancionado mediante resolución firme por dos infracciones graves o muy graves en los dos años anteriores a la comisión de la infracción; comunicar o revelar públicamente información a sabiendas de su falsedad; y el incumplimiento de la obligación de disponer de un Sistema interno de información.
• Son infracciones graves: las conductas de limitación de derechos y garantías antes señalados o los intentos de obstaculizar la presentación de informaciones o ralentizar su seguimiento, cuando no tuvieren la condición de muy graves; vulnerar las garantías de confidencialidad y anonimato, o el deber de secreto, cuando no se considerara infracción muy grave; incumplimiento de la adopción de medidas para garantizar la confidencialidad y secreto de las informaciones; y la comisión de una infracción leve cuando el autor hubiera sido sancionado por dos infracciones leves, graves o muy graves en los dos años anteriores a la comisión de la infracción, contados desde la firmeza de las sanciones.
• Como infracciones leves se catalogarán: la remisión de información de forma incompleta, de manera deliberada por parte del Responsable del Sistema a la Autoridad, o fuera del plazo concedido para ello; el incumplimiento de la obligación de colaboración con la investigación de informaciones; y cualquier incumplimiento de las obligaciones previstas en la norma que no esté tipificado como infracción muy grave o grave.

Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses.