¿En qué estado se encuentra la transposición de la Directiva de Whistleblowing?
El plazo máximo para la transposición de la Directiva (UE) 2019/1937, de 23 de octubre (o Directiva de Whistleblowing, como es popularmente conocida), finalizó el pasado 17 de diciembre de 2021. Por el momento, han aprobado leyes de transposición de la Directiva nueve países: Croacia, Chipre, Dinamarca, Francia, Letonia, Lituania, Malta, Portugal y Suecia.
España (junto a otras dieciséis jurisdicciones) está todavía en vías de incorporación de esta norma de la Unión Europea a nuestro ordenamiento jurídico. El Anteproyecto para la transposición de la Directiva fue aprobado por el Consejo de Ministros el 4 de marzo de 2022 y recibió el dictamen favorable del Consejo General del Poder Judicial el pasado 26 de mayo de 2022.
Hungría es el único país pendiente de iniciar el proceso legislativo de transposición.
¿Están todas las empresas del sector privado obligadas a implantar un canal de denuncias interno?
Con carácter general, todas las personas físicas o jurídicas del sector privado que contraten a 50 trabajadores o más deberán disponer de un canal de denuncias (artículo 10.1.a del Anteproyecto). Las únicas excepciones previstas por el Anteproyecto se refieren a materias concretas (como sociedades sujetas a obligaciones de prevención del blanqueo de capitales), que deben tener implantado un canal de denuncias independientemente del número de trabajadores y sujeto a su normativa específica (artículo 10.1.b del Anteproyecto).
Además, quedará sujeta al cumplimiento del Anteproyecto cualquier empresa con un número inferior a 50 trabajadores que decida implantar un canal de denuncias.
¿Quién debe tener acceso al canal, como posible informante?
La vocación del Anteproyecto es de máximos, de tal forma que busca dar acceso a los canales de denuncia a cualquier información sobre posibles infracciones que se conozcan en un “contexto laboral o profesional” (“work-related context”, en el texto original). El matiz de “contexto” (y no “relación”) da lugar a un extenso catálogo de potenciales denunciantes que incluye no solo a trabajadores por cuenta ajena, autónomos, accionistas, miembros del órgano de administración o de la dirección de la empresa, sino también a personas externas a la compañía, como puedan ser trabajadores de un contratista, subcontratista o proveedor de la sociedad (artículo 3.1 del Anteproyecto). La norma no se refiere al establecimiento de canales diferenciados para informantes dentro o fuera de la organización por lo que ahora mismo es una posibilidad abierta a las compañías.
Podría dar la impresión de que el artículo 3.2 restringe la protección de ciertos colectivos a solo denuncias realizadas de forma pública (exempleados, becarios, voluntarios, etc.). No obstante, debe entenderse como un error de transposición del texto original, pues esta restricción no sería consistente con la Exposición de Motivos (que permite a estas personas hacer uso de los canales internos y externos de denuncias) ni con la Directiva (que en sus artículos 4.2 y 4.3 no establece ninguna limitación en este sentido sobre el alcance subjetivo de la protección).
¿Puede la empresa encargar la gestión del canal a un tercero externo?
Sí, la gestión del canal se puede encomendar a un externo (artículo 6 del Anteproyecto). Además, la norma no prevé ninguna limitación para esta subcontratación, a diferencia de lo que ocurre en el ámbito del sector público, en el que esta subcontratación está pensada con carácter subsidiario, solo ante la insuficiencia de medios propios (artículo 15).
¿Debe la empresa aceptar denuncias anónimas?
La Directiva deja en manos de los Estados Miembro la posibilidad de aceptar denuncias anónimas. En el caso de España, el legislador ha optado por obligar a las empresas a aceptar este tipo de denuncias (artículo 7.3 del Anteproyecto).
En todo caso, incluso para denuncias que no sean anónimas, las empresas estarán obligadas a asegurar la confidencialidad de la identidad del denunciante (artículos 5.2.b y 33 del Anteproyecto). Es más, el Anteproyecto prohíbe la revelación de esta identidad del informante al denunciado y no contempla ninguna excepción al respecto (artículo 31.2). Esta excesiva protección del Anteproyecto es contradictoria con la configuración de la confidencialidad como “derecho” del denunciante (quien debería poder renunciar a su ejercicio) y contraproducente para la mejor defensa del denunciado en muchos casos. A pesar de ello, y salvo posteriores modificaciones del texto del Anteproyecto, lo cierto es que ahora mismo no se prevé el consentimiento del denunciante como una forma de renuncia a la confidencialidad (posibilidad que sí contempla el artículo 16.1 de la Directiva).
¿Está obligada la empresa a aceptar denuncias escritas, verbales o ambas?
Tanto la Directiva como el Anteproyecto parecen dar margen a las entidades para decidir sobre el tipo de denuncias (escritas, verbales o ambas) que recibirán en sus canales internos. En concreto, esta es la redacción del artículo 7.2, que contrasta con la regulación de los canales externos (artículo 21.2º). En este otro caso, el Anteproyecto deja en manos del denunciante (y no de la Autoridad Independiente de Protección del Informante) la elección de formular su denuncia escrita o verbalmente (por lo que, se entiende, el canal externo debe permitir ambas alternativas).
Sin perjuicio de lo anterior, también para los canales internos sería recomendable permitir ambas formas de recibir denuncias, para ser así coherentes con el espíritu de la Directiva y del Anteproyecto y no restringir las informaciones que se reciben.
¿Puede un grupo de empresas compartir el mismo canal de denuncias?
El Anteproyecto dedica su artículo 11 a los grupos de sociedades y permite que estos grupos compartan el sistema de información y tengan un solo responsable para todo el grupo. Lo mismo establece el artículo 12 para las empresas de entre 50 y 249 trabajadores, que además podrán compartir los recursos relativos a la gestión de las comunicaciones.
Aunque de esta redacción de los artículos 11 y 12 parecería lógico deducir que los grupos de sociedades pueden compartir un canal de denuncias, lo cierto es que tanto la interpretación de la Directiva que ha hecho el Grupo de Expertos de la Comisión Europea en su quinta reunión del pasado 14 de junio de 2021 como la Exposición de Motivos del Anteproyecto vienen a decir justamente lo contrario: todas las entidades deberán contar con un canal de denuncias propio, sin perjuicio de que puedan compartir recursos y centralizar la gestión de las denuncias en algunos casos. Parece, por tanto, que por ahora el legislador se inclina por exigir un canal de denuncias en cada persona jurídica que forme parte de un grupo de empresas, aunque lo razonable sería que esta postura varíe y se permitan los canales de denuncias centralizados.
¿Qué proceso de investigación debe llevar a cabo la empresa tras recibir una denuncia?
El Anteproyecto no regula el proceso de investigación interna que la empresa deba llevar a cabo tras recibir una denuncia. Las únicas menciones al respecto se refieren, fundamentalmente, a: el plazo máximo para el acuse de recibo de la información al denunciante (siete días, conforme al artículo 8.2.c), el plazo máximo para la tramitación de la instrucción (tres meses desde la recepción de la comunicación, que podrán extenderse por otros tres meses en casos de especial complejidad, conforme al artículo 8.2.g), la obligación de llevanza de un libro-registro de las investigaciones internas llevadas a cabo por la empresa con ocasión del canal de denuncias (artículo 26) y la posibilidad de conservar informaciones durante el tiempo imprescindible para decidir sobre el inicio de una investigación interna (artículos 32.3 y 33. 4). Sin embargo, ninguna mención hay a actuaciones investigadoras concretas.
¿Qué garantías debe proporcionar la empresa al sujeto denunciado?
El Anteproyecto tampoco desarrolla los derechos y garantías del denunciado ante la recepción de una información que le afecte ni durante el proceso de investigación. Los artículos 8.2.f y 39 imponen a las empresas el deber de respetar la presunción de inocencia, el derecho a ser oído y el honor de las personas investigadas, así como a asegurar su acceso al expediente y la preservación de su identidad. Sin embargo, la norma no detalla las formas de asegurar estas garantías y derechos (en particular, ninguna mención se hace a la forma de salvaguardar estos derechos en los casos de informaciones anónimas, en los que cabría exigir a las empresas, como una mínima garantía, que recaben otras evidencias de los hechos denunciados para contrastar la credibilidad de la denuncia, como se exige en la práctica procesal penal).
Dentro de la empresa, ¿quién puede asumir la función de Responsable del Sistema de Información?
El artículo 9.5 del Anteproyecto restringe el cargo de Responsable del Sistema de Información a quien sea alto directivo de la entidad, debiendo además ejercer estas funciones con dedicación exclusiva. No obstante, el Anteproyecto permite que el desempeño de esta labor se compatibilice con las funciones ordinarias del directivo en aquellos casos en los que la naturaleza o dimensión de las actividades de la entidad no justifiquen una dedicación exclusiva (una flexibilidad absolutamente razonable y coherente con la realidad de la mayoría de las empresas). La persona encargada de la función de cumplimiento normativo podrá asumir esta labor, siempre y cuando cumpla con los requisitos del Anteproyecto, esto es, ser un directivo (artículo 9.6).
¿Qué publicidad se debe dar al canal de denuncias?
El Anteproyecto obliga a las empresas a facilitar información sobre el canal interno a través de su página web, en una sección separada y que sea fácilmente identificable (artículo 25).
¿Debe la empresa recibir y tramitar denuncias que se refieren a hechos fuera del ámbito del Anteproyecto?
El Anteproyecto aclara que las denuncias referidas a hechos distintos de los contemplados en el artículo 2 (fundamentalmente, denuncias sobre hechos que puedan constituir infracciones del Derecho de la Unión o hechos que menoscaben el interés general) no darán lugar a la protección prevista en la norma. No obstante, nada prohíbe a la empresa recibir y tramitar estas otras denuncias.
Es más, el artículo 31 bis del Código Penal, al establecer los canales de denuncia como un elemento estructural de los programas de cumplimiento penal, asocia a estos canales un alcance mayor al previsto en el Anteproyecto (que abarca todos delitos que pueden dar lugar a la responsabilidad penal corporativa, aunque no afecten al interés general, como puede ocurrir por ejemplo en supuestos de delitos de daños informáticos o delitos de descubrimiento y revelación de secretos). Por tanto, si la empresa desea beneficiarse de la exención de responsabilidad penal del artículo 31 bis del Código Penal, el alcance de su canal de denuncias no deberá limitarse al ámbito material del Anteproyecto, sino permitir también estas otras informaciones (artículo 31 bis.5.4º del Código Penal).
¿Qué ocurre si el acceso a la información por el denunciante puede ser constitutivo de delito?
El Anteproyecto no exime de responsabilidad a los informantes que hubieran cometido delitos para la obtención de la información que se comunica en el canal (artículo 38). Esto lleva a afirmar la posible responsabilidad penal del informante que, en la adquisición de la información, incurre, por ejemplo, en conductas propias de los delitos de descubrimiento y revelación de secretos (como pueda ser la revisión no autorizada de correos, papeles o equipos de un tercero).
¿Debe la empresa dar traslado a las autoridades de las informaciones recibidas sobre posibles delitos?
Las empresas no están excluidas del deber de denuncia previsto en los artículos 259 a 264 de la Ley de Enjuiciamiento Criminal. Si bien, con la excepción de materias específicas (prevención del blanqueo de capitales y ciertas prácticas de abuso de mercado), el incumplimiento de este deber acarrea consecuencias prácticamente simbólicas (una multa de 25 a 250 pesetas).
En cuanto al reporte de hechos que puedan conllevar la responsabilidad penal de la propia empresa, las compañías son titulares, como las personas físicas, del derecho fundamental a no autoincriminarse (nemo tenetur), que les exime del deber de denuncia en estos supuestos. Cuestión distinta son los beneficios que puedan resultar de esta autodenuncia, poco claros a día de hoy (el Código Penal no prevé expresamente la autodenuncia como causa eximente de responsabilidad penal corporativa, sino como causa de atenuación de la pena, sin perjuicio del valor que se pueda reconocer a esta autodenuncia como evidencia de la existencia de un efectivo programa de cumplimiento penal que deba dar lugar a la aplicación del artículo 31 bis del Código Penal y a la exención de responsabilidad penal para la compañía).
¿Qué plazo tiene la empresa para implantar el canal de denuncias?
De conformidad con la Disposición Transitoria Tercera, las empresas deberán implantar su canal de denuncias en el plazo máximo de tres meses desde la entrada en vigor de la nueva ley. No obstante, aquellas empresas con menos de 249 trabajadores disfrutarán de un plazo superior (actualmente previsto hasta el 1 de enero de 2023).
Escrito por Ignacio Sánchez, Sara Sanz, Virginia Canales y José Calabuig.
