Dejan Jasnic · Cofundador y director de Cumplimiento, Trusty · Más de 20 años en antifraude y cumplimiento · Junta directiva del capítulo suizo de ACFE
En octubre de 2019, la Directiva de denunciantes fue adoptada oficialmente, marcando un hito en el ámbito laboral al establecer nuevas obligaciones para la implementación de canales internos de denuncia en las empresas. El objetivo principal de esta normativa es asegurar que cualquier empleado disponga de una herramienta que facilite la divulgación de posibles infracciones o irregularidades dentro de la empresa, garantizando al mismo tiempo la protección de la confidencialidad del denunciante.
Aunque esta directiva establece directrices generales para toda la Unión Europea, cada país ha tenido que desarrollarla específicamente, adaptándola a las necesidades particulares de su tejido empresarial.
La Directiva de denunciantes en la legislación española
Así, en España esta directiva tiene su transposición en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, publicada en el BOE del 21 de febrero de 2023 y en vigor desde marzo del mismo año, aunque con particularidades según el tamaño de la empresa.
¿Quién está protegido por la ley española?
La Ley 2/2023 protege a cualquier persona que, en un contexto laboral o profesional, haya obtenido información sobre presuntas irregularidades, ya sea en el sector público o privado. Específicamente, la protección se extiende a los siguientes denunciantes:
- Trabajadores y autónomos.
- Accionistas, partícipes, miembros del órgano de administración, dirección o supervisión de una empresa.
- Personal de contratistas, subcontratistas y proveedores.
- Voluntarios, becarios y trabajadores en periodos de formación, con o sin remuneración.
- Además de los denunciantes, la ley también protege a:
- Personas que asisten al denunciante dentro de la organización.
- Personas físicas relacionadas con el informante que puedan sufrir represalias, como compañeros de trabajo o familiares.
- Personas jurídicas para las que trabaja el informante, con las que tiene cualquier tipo de relación laboral o en las que tiene una participación significativa.
¿Qué empresas se ven afectadas por la Ley 2/2023?
A las empresas con 50 o más empleados, que tendrán la obligación de implementar un sistema de información, garantizando simultáneamente la protección de los informantes (que pueden incluir no solo a los empleados).
Según lo publicado en el BOE, las empresas tuvieron un plazo de 3 meses para adaptarse desde la entrada en vigor de la ley, con dos plazos dependiendo del tamaño de la plantilla:
- Las empresas con más de 249 trabajadores tuvieron que adaptarse a partir del 13 de junio de 2023.
- Las empresas con entre 50 y 249 trabajadores tuvieron que adaptarse a partir del 1 de diciembre de 2023.
En otras palabras, todas las empresas ya deben estar cumpliendo con todos los preceptos de la directiva europea y la norma nacional.
¿Cuáles son las principales novedades introducidas por la ley con respecto a la directiva?
Esta ley desarrolla las disposiciones de la directiva e incorpora algunas novedades.
- La ley amplía el ámbito de las comunicaciones protegidas (incumplimientos del derecho de la Unión Europea; asuntos específicos enumerados en el Anexo I de la Directiva de denunciantes; asuntos que afecten a los intereses financieros de la Unión y al mercado interior; infracciones administrativas graves o muy graves; o infracciones penales) y obliga a las entidades públicas y privadas con 50 o más empleados a implementar canales internos de denuncia.
- Además, exige el tratamiento efectivo y la integración de todos los canales en un único sistema interno, respetando garantías y derechos mínimos, y permitiendo denuncias anónimas.
- Establece la creación de una Autoridad Independiente de Protección del Informante y legitima la divulgación pública de infracciones en ciertos casos.
- También exige al órgano de administración designar a una persona responsable del sistema interno y ofrece medidas de protección, incluido el apoyo financiero al denunciante.
¿Cuáles son las principales obligaciones de las empresas en virtud de esta ley?
Las empresas deben informar y dar a conocer el uso del canal interno y los principios esenciales de su procedimiento de gestión. Si la empresa tiene un sitio web, el canal debe ser visible en la página de inicio, en una sección separada y fácilmente identificable.
¿Qué infracciones se pueden denunciar en virtud de esta ley?
La ley española va más allá de la Directiva de denunciantes y, además de las infracciones del derecho de la UE mencionadas en la Directiva, permite denunciar cualquier infracción penal o administrativa grave o muy grave del ordenamiento jurídico español, especialmente aquellas que causen daño económico a la Hacienda Pública y a la Seguridad Social.
La información o comunicación debe realizarse de buena fe y honestamente, basándose en motivos razonables sobre la veracidad de la posible infracción, y debe estar dentro del ámbito de protección de la Ley.
Sin embargo, la Ley 2/2023 excluye expresamente de su ámbito de aplicación los casos regulados por normativas específicas, las obligaciones de protección del secreto profesional y la información clasificada.
¿Cuál es el plazo máximo para la investigación de la denuncia?
La empresa debe confirmar la recepción de la información o comunicación al denunciante en un plazo de 7 días desde su recepción.
La investigación de las denuncias recibidas no debe exceder los 3 meses, aunque este periodo puede extenderse a 6 meses en casos excepcionalmente complejos.
¿A través de qué canales se pueden denunciar las infracciones?
No existe un único canal de información, sino que las comunicaciones sobre infracciones o irregularidades pueden canalizarse a través de diversos medios:
- El canal interno de la empresa.
- El canal externo, es decir, la Autoridad Independiente de Protección del Informante (A.A.I.).
La divulgación pública en plataformas web, redes sociales, medios de comunicación, etc., cuando los canales internos o externos no han funcionado correctamente, existe una amenaza inminente para el interés público, o hay riesgo de represalias o falta de tratamiento efectivo.
¿Quién es responsable de establecer este sistema dentro de la empresa?
El órgano de administración de la empresa es responsable de implementar el sistema, previa consulta con la representación legal de los empleados.
El órgano de administración debe designar a un Responsable del Sistema, que será un directivo de la empresa y actuará de forma independiente. Esta función puede ser desempeñada por el responsable de cumplimiento normativo o compliance officer.
¿Cuál es el régimen sancionador y qué sanciones se prevén?
El régimen sancionador establecido por la Ley es específico y contempla multas para las personas físicas o jurídicas que cometan infracciones tipificadas, siendo la Autoridad Independiente la que tiene la potestad de imponer estas sanciones.
Las infracciones muy graves incluyen la falta de implementación del sistema de información o las represalias contra los denunciantes, con multas significativas de hasta 300.000 euros para personas físicas, y multas de hasta 1.000.000 de euros para personas jurídicas (con una multa mínima de 30.001 euros para personas físicas y 600.001 euros para personas jurídicas). Las multas por infracciones muy graves que superen los 600.001 euros impuestas a personas jurídicas podrían publicarse en el Boletín Oficial del Estado una vez que la resolución administrativa sea firme.
Asimismo, podrán aplicarse sanciones accesorias como la amonestación pública, prohibición de obtener subvenciones o beneficios fiscales con un límite de hasta 4 años, y prohibición de contratar con el sector público por hasta 3 años.
La ausencia del sistema de información también puede afectar a la responsabilidad penal de las personas jurídicas según el artículo 31 bis del Código Penal. Además, el incumplimiento de esta normativa podría dar lugar a sanciones administrativas en materia de protección de datos.
Cumple con la Ley 2/2023: la plataforma de denuncias de Trusty está diseñada para cumplir los requisitos de la Directiva europea de protección del denunciante y de la Ley 2/2023 española. Admite denuncias anónimas, gestión de casos y registros de auditoría completos. Consulta precios y planes.
Preguntas frecuentes
Cualquier persona que obtenga información sobre presuntas irregularidades en un contexto laboral o profesional: trabajadores y autónomos, accionistas y miembros del consejo, personal de contratistas, subcontratistas y proveedores, voluntarios, becarios y aprendices, además de las personas que asistan al denunciante, las personas relacionadas que puedan sufrir represalias y las personas jurídicas para las que trabajen.
Empresas con 50 o más empleados. Aquellas con más de 249 trabajadores antes del 13 de junio de 2023, y aquellas con entre 50 y 249 trabajadores antes del 1 de diciembre de 2023.
La recepción debe confirmarse en un plazo de 7 días, y la investigación no debe exceder los 3 meses, prorrogable a 6 meses en casos excepcionalmente complejos.
Por infracciones muy graves como no implementar el sistema o tomar represalias, multas de hasta 300.000 euros para personas físicas y hasta 1.000.000 de euros para personas jurídicas, con sanciones accesorias como la prohibición de subvenciones o beneficios fiscales por hasta 4 años y de contratos públicos por hasta 3 años.
DESDE 49 EUR AL MES
Trusty Whistleblowing: un canal de denuncias conforme a la Directiva europea de protección del denunciante, listo en minutos sin necesidad de un proyecto de TI. Desde 49 EUR al mes, 7 días de prueba gratuita.