Canal de Denuncias (Whistleblowing)

Qué es el canal de denuncias

El canal de denuncias (o canal de whistleblowing) es un mecanismo formal que permite a los empleados, colaboradores, socios y, en algunos casos, terceros vinculados a una organización comunicar posibles infracciones legales, irregularidades contables, conductas corruptas, acoso laboral u otras vulneraciones de normas internas o externas, con garantías de confidencialidad o anonimato y sin temor a represalias.

Históricamente, el miedo a las represalias era el principal obstáculo para que los trabajadores informaran de irregularidades internas. La regulación europea y española ha reconocido este problema y ha establecido un marco de protección específico para los denunciantes.

Marco normativo: la Directiva europea y la Ley 2/2023

La Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, estableció estándares mínimos de protección para los denunciantes de infracciones del Derecho de la Unión en toda la UE.

En España, esta directiva fue transpuesta mediante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta ley amplía el ámbito de protección más allá de lo exigido por la directiva, cubriendo también infracciones del Derecho español (normas penales, administrativas, laborales, de seguridad social, medioambientales…).

Quién está obligado

La Ley 2/2023 impone la obligación de disponer de un sistema interno de información (canal de denuncias) a:

• Empresas privadas del sector privado con 50 o más trabajadores en plantilla
• Partidos políticos, sindicatos, organizaciones empresariales y fundaciones creadas por estos, con independencia del número de trabajadores, si reciben financiación pública
• Entidades del sector público: todas las administraciones públicas, universidades públicas, organismos y empresas públicas, Banco de España, CNMV, etc.
• Empresas del sector financiero (entidades de crédito, aseguradoras, gestoras de fondos) con independencia de su tamaño, por exigencia de regulación sectorial específica

Para empresas de entre 50 y 249 trabajadores, la ley permite compartir el canal con otras empresas del mismo grupo o sector.

Requisitos del sistema interno de información

El canal debe cumplir los siguientes requisitos funcionales:

• Confidencialidad de la identidad del denunciante (y de terceros mencionados en la denuncia), accesible únicamente al responsable del sistema
• Posibilidad de comunicaciones anónimas, aunque la empresa puede decidir si las admite o no
• Acuse de recibo en el plazo de 7 días naturales desde la recepción
• Respuesta al denunciante en el plazo máximo de 3 meses desde el acuse de recibo
• Conservación segura de la documentación durante 5 años, con restricción de acceso
• Gestión independiente del canal (puede ser interna con una persona u órgano designado, o externalizada a un proveedor especializado)

Protección de los denunciantes

La Ley 2/2023 establece un régimen de protección amplio para quienes denuncien de buena fe:

• Prohibición de represalias: despido, degradación, cambio de condiciones laborales, coacciones, amenazas, discriminación…
• Presunción de causalidad: si se adopta una medida perjudicial después de una denuncia, se presume que es una represalia (inversión de la carga de la prueba)
• Medidas de apoyo: asesoramiento gratuito, asistencia jurídica en ciertos supuestos, acceso a recursos judiciales
• Exención de responsabilidad: quien denuncia de buena fe no puede ser sancionado por revelar información confidencial obtenida en el ejercicio de su cargo

Interacción con el RGPD

El canal de denuncias implica el tratamiento de datos personales (del denunciante, del denunciado y de los testigos), por lo que debe configurarse de acuerdo con el RGPD y la LOPDGDD. Es necesario incluir el canal en el Registro de Actividades de Tratamiento, establecer los plazos de conservación y supresión de datos, y garantizar el principio de minimización.

Sanciones por incumplimiento

La Ley 2/2023 establece un régimen sancionador propio:

• Infracciones muy graves (no implantar el sistema, destruir pruebas, revelar identidad del denunciante): multas de hasta 1.000.000 euros para personas jurídicas y hasta 300.000 euros para personas físicas
• Infracciones graves: multas de hasta 600.000 euros para personas jurídicas
• Infracciones leves: hasta 100.000 euros

Adicionalmente, las represalias contra el denunciante pueden dar lugar a responsabilidad civil y penal para los responsables.