Se ha aprobado la reciente directiva europea que pretende la regulación de los canales corporativos de denuncia interna (Whistleblowing), respecto de infracciones del Derecho de la Unión.

En este artículo, en IS Delgado Abogados, como especialistas en gestión de la información y protección de datos en Guadalajara, recogemos las principales claves que deben ser tenidas en cuenta.

Aspectos del Whistleblowing

La Directiva (UE) 2019/1937, de 23 de octubre, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión es también conocida como Directiva Whistlebowing. Se dicta con el ánimo de proteger a las personas que, conocedoras de infracciones de las organizaciones públicas o privadas para las que trabajan o prestan servicios o tienen conexión de alguno de los tipos que establece, puedan denunciarlas sin temor a represalias, puesto que estas personas suelen ser las primeras en tener conocimiento de amenazas o perjuicios para el interés público que surgen en ese contexto.

“Al informar sobre infracciones del Derecho de la Unión que son perjudiciales para el interés público, dichas personas actúan como denunciantes (en inglés conocidas coloquialmente por «whistleblowers») y por ello desempeñan un papel clave a la hora de descubrir y prevenir esas infracciones y de proteger el bienestar de la sociedad”.

La protección de estos denunciantes se encontraba, hasta la fecha, fragmentada en los diferentes Estados miembros de la Unión Europea, siendo además desigual en los distintos ámbitos. La Directiva viene a cubrir esa falta de homogeneidad estableciendo los ámbitos sectoriales de aplicación y marcando normas mínimas para los diferentes sistemas de denuncia (canales internos, externos o revelación pública), así como las personas protegidas y los mecanismos de protección que les serán aplicables: prohibición de represalias, medidas preventivas, indemnizaciones o reparación real y efectiva, de forma que sea proporcionada respecto del perjuicio sufrido, además de disuasoria, etc.

A continuación, indicamos las principales claves que deben ser tenidas en consideración, en especial en relación con la protección de datos personales y su integración en los protocolos corporativos.

Es en estos aspectos en los que, desde IS Delgado, podemos ofreceros soporte, y donde la Empresa o Administración pueden encontrar un abogado en Guadalajara especializado en protección de datos y compliance penal, prestando servicio en toda España.

Plazos de transposición

• Plazo general: 2 años (17 diciembre 2021).
• Plazo especial para canales privados en entidades jurídicas del sector privado que tengan de 50 a 249 trabajadores: 4 años (17 diciembre 2023).
• Artículo 26 de la Directiva.

Ámbitos de actividad afectados

• La Directiva establece normas mínimas para proteger a las personas que informen sobre infracciones de los siguientes ámbitos:
  • Contratación pública.
  • Servicios, productos y mercados financieros + Prevención blanqueo capitales — Seguridad de productos.
  • Seguridad de transportes.
  • Protección del medio ambiente.
  • Protección frente a las radiaciones y seguridad nuclear.
  • Seguridad de los alimentos y los piensos, sanidad animal y bienestar de los animales
  • Salud pública.
  • Protección de los consumidores.
  • Protección de la privacidad y de los datos personales, y seguridad de las redes y los sistemas de información;
  • Intereses financieros de la UE.
  • Mercado interior, incluida defensa de la competencia, normas impuesto sociedades o ventajas fiscales relacionadas con el mismo.
• Regulación: Artículo 2 de la Directiva.

Sistemas de denuncia regulados para la protección del denunciante

• Tres sistemas posibles:
  1. Canales de denuncias internos
  2. Canales de denuncias externos
  3. Revelaciones públicas.
• Regulación: artículo 3 de la Directiva, no obstante, el art. 3 Directiva prevé que, si existen normas sectoriales específicas sobre la denuncia de infracciones, se aplicarán dichas normas (Ver Clave 12: Normativa vigente en España sobre canales de denuncia y protección del denunciante).

Entidades jurídicas obligadas a disponer de canales de denuncia interna (Whistleblowing)

• Los canales de denuncia internos son Obligatorios para entidades jurídicas del sector:
  • Público, aunque se podrá eximir a los municipios de menos de 10.000 habitantes o con menos de 50 trabajadores.
  • Privado, si tienen 50 o más trabajadores. Este límite no se aplica a las entidades que se dediquen a Servicios, productos y mercados financieros, y prevención del blanqueo de capitales y la financiación del terrorismo; seguridad del transporte y medio ambiente.
• Pendiente, sobre todo para medio ambiente y salud pública: los Estados miembros podrán exigir que las entidades jurídicas del sector privado con menos de 50 trabajadores establezcan canales y procedimientos de denuncia interna tras una adecuada evaluación del riesgo y teniendo en cuenta la naturaleza de las actividades de las entidades y el correspondiente nivel de riesgo. Como mínimo:
  • Trabajadores asalariados y no asalariados. La relación laboral puede haber finalizado o no haber iniciado (procedimiento selección).
  • Accionistas y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos, así como los voluntarios y los trabajadores en prácticas que perciben o no una remuneración.
  • Cualquier persona que trabaje bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.
• Las medidas de protección se aplican también a:
  • Facilitador: persona física que asiste a un denunciante en el proceso de denuncia en un contexto laboral, y cuya asistencia debe ser confidencial. (Art. 5.8)
  • Terceros que estén relacionados con el denunciante y que puedan sufrir represalias en un contexto laboral, como compañeros de trabajo o familiares del denunciante.
  • Entidades jurídicas que sean propiedad del denunciante, para las que trabaje o con las que mantenga cualquier otro tipo de relación en un contexto laboral.
• Regulación: artículos 4 y 8 (apartados 3, 4,7 y 9) de la Directiva.

Condiciones de protección del denunciante

• Derecho a la protección siempre que:
  1. Tengan motivos razonables para pensar que la información sobre infracciones denunciadas es veraz en el momento de la denuncia y que la citada información entra dentro del ámbito de aplicación de la Directiva
  2. Hayan denunciado por canales internos (artículo 7) o por canales externos (artículo 10) o hayan hecho una revelación pública (artículo 15).
• Regulación: artículos 6 de la Directiva.

Medidas de protección del denunciante

• Prohibición de represalias: p.e. suspensión, despido, destitución o medidas equivalentes; degradación o denegación de ascensos; denegación de formación; evaluación o referencias negativas con respecto a sus resultados laborales, etc. (art. 19)
• Medidas de apoyo: p.e. información y asesoramiento gratuitos. (art. 20)
• Medidas de protección frente a represalias: p.e. no atribución de responsabilidad con respecto de la adquisición o el acceso a la información comunicada/revelada. (art. 21)
• Medidas para protección de personas afectadas: p.e. protección de la identidad. (art. 22)
• Prohibición de renuncia a derechos y vías de recurso (art. 24)
• Sanciones (art. 23). No se enumeran, se deja en manos de los Estados Miembros.
• Regulación: artículos 19 y siguientes de la Directiva.

Aspectos comunes entre canales internos y externos

• Deber de confidencialidad (art. 16).
• Privacidad. Tratamiento de datos personales (art. 17).
• Registro de denuncias (art. 18).

Canales internos

• Los Estados miembros:
  1. Promoverán la comunicación a través de canales de denuncia interna antes que la comunicación a través de canales de denuncia externa, siempre que se pueda tratar la infracción internamente de manera efectiva y siempre que el denunciante considere que no hay riesgo de represalias.
  2. Velarán por que las entidades jurídicas de los sectores privado y público establezcan canales y procedimientos de denuncia interna y de seguimiento, previa consulta a los interlocutores sociales y de acuerdo con ellos cuando así lo establezca el Derecho nacional.
  3. Gestión: puede ser interna, por una persona o departamento designados al efecto, o externa, por un tercero.
     • Se permite que entidades jurídicas del sector privado que tengan entre 50 y 249 trabajadores compartan recursos para la recepción de denuncias y toda investigación que deba llevarse a cabo.
     • Varios municipios pueden compartir los canales de denuncia interna o que estos sean gestionados por autoridades municipales conjuntas, siempre que los canales de denuncia interna compartidos estén diferenciados y sean autónomos respecto de los correspondientes canales de denuncia externa.

• Procedimiento y seguimiento (art. 9). Los canales incluirán:
  1. Canales para recibir denuncias escritas y/o verbales (por teléfono u otros sistemas de mensajería) diseñados, establecidos y gestionados de una forma segura que garantice que la confidencialidad de la identidad del denunciante y de cualquier tercero mencionado en la denuncia esté protegida, e impida el acceso a ella al personal no autorizado.
  2. Un acuse de recibo de la denuncia al denunciante en un plazo de 7 días a partir de la recepción.
  3. Designación de una persona o departamento imparcial que sea competente para seguir las denuncias, que podrá ser la misma persona o departamento que recibe las denuncias y que mantendrá la comunicación con el denunciante y, en caso necesario, solicitará a este información adicional y le dará respuesta.
  4. Seguimiento diligente por la persona o el departamento designados.
  5. Seguimiento diligente cuando así lo establezca el Derecho nacional en lo que respecta a las denuncias anónimas.
  6. Plazo razonable para dar respuesta, no superior a 3 meses a partir del acuse de recibo o, si no se remitió un acuse de recibo al denunciante, a 3 meses a partir del vencimiento del plazo de 7 días después de hacerse la denuncia.
  7. Información clara y fácilmente accesible sobre los procedimientos de denuncia externa ante las autoridades competentes (art. 10).
• Regulación: artículos 7 y siguientes de la Directiva.

Canales externos

• Los Estados miembros designarán a las autoridades competentes para recibir las denuncias, darles respuesta y seguirlas, y las dotarán de recursos adecuados.
• Regulación: artículos 10 y siguientes de la Directiva.

Revelación pública

• La persona que haga una revelación pública puede acogerse a la protección de la Directiva si se cumple alguna de las condiciones de su art. 15 (previa denuncia en canal interno o externo, inminencia, etc.).
• Excepción: no se aplica en los casos en que una persona revele información directamente a la prensa con arreglo a disposiciones nacionales específicas por las que se establezca un sistema de protección relativo a la libertad de expresión y de información.
• Regulación: Artículo 15 de la Directiva.

Normativa vigente en España sobre canales de denuncia y protección del denunciante

• El art. 3 Directiva prevé que, si existen normas sectoriales específicas sobre la denuncia de infracciones, se aplicarán dichas normas. En España existen los siguientes canales de denuncias y sistemas de protección del denunciante:
  1. Canales de denuncia en Compliance Penal: el art. 31 bis 5 4o CP , entre los requisitos que deben cumplir los modelos de organización y gestión con que deben contar las personas jurídicas (planes o programas de compliance), exige «la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención».
  2. Canal de denuncias en Blanqueo de capitales: El Real Decreto-ley 11/2018, de 31 de agosto (en vigor desde el 4 de septiembre de 2018) introduce un nuevo artículo 26 bis en la Ley 10/2010 de 28 de abril de prevención del blanqueo de capitales y de la financiación del terrorismo, que exige ya expresamente que los sujetos obligados establezcan procedimientos internos para que sus empleados, directivos o agentes puedan comunicar, incluso anónimamente, información relevante sobre posibles incumplimientos en relación a lo dispuesto por dicha Ley.
• Regulación: artículo 3 de la Directiva.

Conclusión

En IS Delgado encontrará el abogado para empresas en Guadalajara que pueda ayudarle a la creación de su sistema de whistleblowing o denuncia interna, así como colaborar con la referida entidad para la correcta regulación de sus protocolos al respecto.

No sólo debe ser considerada la propia Directiva Europea, objeto de este artículo, sino también la incidencia de la legislación nacional y comunitaria en materia de protección de datos y el impacto en la configuración de los procedimientos de gestión del compliance penal corporativo, que trata de controlar y detectar de forma temprana el riesgo de incumplimiento penal corporativo, del cual responden los Consejos de Administración (u organismo equivalente) de forma directa.

El asesoramiento legal especializado en esta materia puede marcar la diferencia entre el cumplimiento normativo efectivo, adaptado a los objetivos de negocio o actividad pública, y la ejecución de un esfuerzo regulatorio corporativo que no responda a los intereses de la Organización e incluso generé problema de mayor impacto como la generación de incumplimientos en materia de protección de datos, cuyas sanciones son elevadas (hasta 20 millones de euros).