Futura Ley de Protección al denunciante en España
Tribuna de César Zárate, socio de ECIJA, para Whistlelink.
El pasado 13 de septiembre, el Consejo de Ministros aprobó el texto del Proyecto de Ley para la trasposición de la Directiva UE 2019/1937. Aunque efectivamente supone un nuevo paso para que finalmente contemos con la futura ley de protección del denunciante de infracciones, el texto todavía deberá pasar por el Congreso y el Senado hasta que finalmente sea sancionado por el Rey.
Estos trámites harán sin duda que el plazo inicial que se daba a los Estados miembros para la trasposición de la Directiva, que finalizó el diciembre pasado, sea rebasado en más de un año en nuestro país.
Según el texto del Proyecto de Ley una vez sea publicado el texto definitivo en el BOE, las empresas y administraciones públicas obligadas contarán con el plazo de tres meses para el establecimiento y puesta en marcha del canal de comunicación interno, plazo que será ampliado en empresas de menos de 250 empleados y ayuntamientos de menos de 10.000 habitantes hasta el mes de diciembre de 2023.
Aspectos relevantes del proyecto de Ley de Protección al denunciante
Además de las garantías descritas en la Directiva para la obtención de una mayor protección y evitación de represalias con respecto a aquellos que decidan comunicar una infracción a través de los canales internos, que sin duda son la piedra angular de la norma, podríamos destacar los siguientes aspectos del texto aprobado por el Consejo:- Con respecto al ámbito objetivo el proyecto de ley se limita a referirse a las infracciones del Derecho de la Unión contenidas en la propia Directiva y cualquier otra infracción de carácter penal o administrativo. Adicionalmente se excluye del ámbito de aplicación la información clasificada como secreto de estado y la información protegida por el secreto profesional o judicial. En este punto los actos de corrupción a pesar de ser nombrados en el título del Proyecto de Ley no tienen un protagonismo especial a lo largo de la norma ni se establece ninguna otra medida adicional para su evitación.
- El ámbito subjetivo, es igualmente amplio y alcanzará tanto al sector público como al privado. En el sector privado a todas las empresas que superen los 50 empleados, incluyéndose a aquellas que operen a través de agentes o sucursales. También estarán obligados a contar con un canal los partidos políticos, las organizaciones empresariales y los sindicatos siempre que reciban fondos públicos.
- La creación de un canal externo de información que será gestionado por la Autoridad Independiente de Protección al Informante como medida adicional de protección. El referido organismo estará dirigido por una Presidencia y contará con una Comisión Consultiva de 12 miembros nombrados por el Ministerio de Justicia.
- El acceso al sistema interno de información a través del cual se establezca el canal de denuncias estará limitado a los siguientes roles dentro de las empresas obligadas;
- Responsable del Sistema y gestor de la denuncia
- Director de RRHH cuando sea susceptible de medida disciplinaria
- El Director Legal si procede la adopción de medidas legales.
- Los encargados de tratamiento designados
- El Delegado de Protección de Datos.
- La obligación de las entidades a nombrar un delegado de protección de datos. Esta obligación amplia sin duda los supuestos previstos por el artículo 34 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales en cuanto al número de empresas que deberán contar con el referido responsable.
- Con respecto a la posibilidad de la denuncia anónima como medida de protección del denunciante el texto establece que “Los canales internos de información permitirán incluso la presentación y posterior tramitación de comunicaciones anónimas.” Lo cual supone, el deber de habilitar algún medio para que el denunciante pueda presentar una denuncia de forma anónima, así como la obligación de la tramitación de las mismas por parte del propietario del canal.
Regimen sancionador
Cabe destacar el régimen sancionador aplicable, por su importancia tanto desde el punto de vista cualitativo como cuantitativo. Se establecen sanciones económicas de hasta 1.000.000 € para las infracciones muy graves y medidas accesorias como la amonestación pública, la prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de cuatro años y la prohibición de contratar con el sector público durante un plazo máximo de tres años .A modo de ejemplo serán consideras infracciones muy graves la aplicación de represalias a los comunicantes o la vulneración de las garantías de confidencialidad y anonimato previstas en la norma.
Teniendo en cuenta todo lo anterior, más allá de la importancia de que se sigan dando pasos en la definitiva aprobación de la norma y de que en gran parte el texto cumple con las expectativas en lo que respecta a la protección de los denunciantes, existen algunos elementos como la obligatoriedad de contar con un DPO o la futura creación y puesta en marcha de la Autoridad Independiente que sin duda plantean numerosas dudas.
