Un año después de la entrada en vigor de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción —que transpone la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo—, el panorama de implementación en España muestra avances desiguales. Muchas grandes empresas tienen ya su canal operativo, pero la implementación efectiva en el segmento de 50 a 249 trabajadores —el más numeroso— presenta tasas de cumplimiento insuficientes, con un riesgo sancionador creciente a medida que la Autoridad Independiente de Protección del Informante (A-IPI) consolida sus capacidades supervisoras.
El marco normativo: Ley 2/2023 y Directiva Whistleblowing
La Directiva (UE) 2019/1937, de 23 de octubre de 2019, estableció un estándar mínimo europeo de protección de los informantes de infracciones del derecho de la Unión Europea. España transpuso la Directiva con retraso —el plazo era el 17 de diciembre de 2021— mediante la Ley 2/2023, publicada en el BOE el 21 de febrero de 2023. La ley española va más allá del mínimo de la Directiva en varios aspectos: extiende la protección a informantes de infracciones del derecho nacional (no solo de la UE) y crea una autoridad administrativa independiente específica (la A-IPI) para la supervisión y el apoyo a los informantes.
El ámbito subjetivo de obligación de disponer de canal interno comprende las entidades del sector privado con 50 o más trabajadores, los partidos políticos, los sindicatos y las organizaciones empresariales que reciban financiación pública, y las fundaciones del sector privado. Los ayuntamientos con menos de 10.000 habitantes pueden compartir canal con la diputación provincial.
Requisitos del canal interno: lo que exige la Ley 2/2023
El artículo 5 de la Ley 2/2023 establece los requisitos mínimos del canal de información interno:
Accesibilidad y canales de comunicación. El canal debe permitir presentar informaciones tanto por escrito como verbalmente, y en este último caso el informante puede solicitar una reunión presencial con el responsable del sistema. El canal puede ser gestionado internamente (por el responsable de compliance, la función de auditoría interna o un órgano ad hoc) o externalizado a un tercero de confianza, siempre que se garantice la confidencialidad del informante.
Confidencialidad e identidad del informante. La identidad del informante es estrictamente confidencial. Los datos que puedan identificar al informante solo pueden comunicarse a la autoridad judicial o al Ministerio Fiscal previa solicitud. Las denuncias anónimas deben ser admitidas y tramitadas (aunque la ley no obliga a ello, la A-IPI ha indicado que la no tramitación de denuncias anónimas puede ser indicativa de un sistema de denuncias deficiente).
Acuse de recibo y seguimiento. El responsable del sistema debe remitir acuse de recibo en el plazo de siete días hábiles desde la recepción de la información. En el plazo de tres meses desde el acuse de recibo, debe informar al informante sobre las actuaciones previstas o realizadas como seguimiento de la información.
Responsable del sistema. La ley exige designar a una persona física o unidad como responsable del sistema de información interno. Esta persona debe actuar con independencia funcional, debe poder acceder a toda la información necesaria para gestionar la denuncia y no puede ser sancionada ni perjudicada por el desempeño de sus funciones.
Protección de los informantes. Los informantes que cumplan los requisitos de buena fe y razonabilidad no pueden sufrir represalias de ningún tipo: despido, degradación, modificación de condiciones de trabajo, acoso, exclusión de promociones o cualquier otra medida adversa. La ley establece una presunción de represalia a favor del informante: si en el año siguiente a la presentación de la denuncia el informante sufre una medida adversa, se presume que es una represalia salvo que el empresario acredite lo contrario.
El régimen sancionador: la A-IPI
La Autoridad Independiente de Protección del Informante (A-IPI), prevista en el artículo 25 de la Ley 2/2023, es el organismo encargado de la supervisión del cumplimiento de la ley, la atención a los informantes y la instrucción de los procedimientos sancionadores. Su organización y funcionamiento se regulan en el Real Decreto 1101/2023.
El régimen sancionador de la Ley 2/2023 (artículos 61 a 70) distingue entre infracciones muy graves, graves y leves:
Infracciones muy graves: Vulnerar la confidencialidad del informante, adoptar represalias, obstaculizar la investigación o revelar la identidad del informante. Multa de 601.001 a 1.000.000 de euros para personas jurídicas (300.001 a 600.000 euros para personas físicas).
Infracciones graves: No disponer de canal de información cuando sea obligatorio, no gestionar adecuadamente el canal, no tramitar las informaciones recibidas o no adoptar medidas de seguimiento. Multa de 100.001 a 600.000 euros para personas jurídicas (50.001 a 300.000 euros para personas físicas).
Infracciones leves: Incumplimientos formales del procedimiento de tramitación. Multa de hasta 100.000 euros para personas jurídicas (hasta 50.000 euros para personas físicas).
Balance del primer año: errores frecuentes de implementación
El análisis de los sistemas de canal de denuncias implementados en el primer año revela una serie de errores recurrentes que comprometen tanto la eficacia del canal como su solidez frente a un eventual procedimiento sancionador:
Canal sin acuse de recibo automatizado. El requisito de remitir acuse de recibo en siete días hábiles es uno de los más incumplidos. Los sistemas que no generan automáticamente el acuse de recibo dejan al informante sin confirmación y a la empresa expuesta a la sanción por defecto de procedimiento.
Responsable del sistema sin independencia real. Designar al director de recursos humanos o al responsable legal como gestor del canal plantea un conflicto de interés evidente cuando la denuncia afecta a la dirección. La independencia del responsable debe ser funcional y percibible, no solo formal.
Canal limitado a infracciones del derecho de la UE. Algunos sistemas han sido diseñados exclusivamente para las infracciones del derecho europeo cubiertas por la Directiva, ignorando que la Ley 2/2023 extiende la protección a infracciones del derecho español en materias como contratación pública, prevención del blanqueo de capitales, seguridad laboral, medio ambiente y protección de datos.
Ausencia de política de gestión de las informaciones. La Ley no exige formalmente una política documentada, pero la A-IPI la considera un elemento esencial del sistema. Sin política aprobada por el órgano de gobierno, resulta difícil demostrar en un procedimiento sancionador que el canal funciona con los estándares exigidos.
Falta de formación a los trabajadores. La ley exige que los trabajadores sean informados de la existencia y el funcionamiento del canal. La mera publicación en la intranet no es suficiente; se requiere formación documentada sobre el canal, los derechos del informante y las prohibiciones de represalia.
En BMC nuestro equipo legal puede asesorarle. Conozca nuestros servicios legales.
