Protección del informante en la empresa: obligaciones y requisitos

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, establece las garantías que deben ofrecer las organizaciones a quienes comuniquen determinadas irregularidades en el ámbito laboral o profesional. Con esta ley, se pretende dotar de protección del informante en la empresa.

Esta norma incorpora al ordenamiento jurídico español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, conocida como Directiva Whistleblowing.

Las empresas españolas, así como aquellas que operan en nuestro país, deben cumplir distintas obligaciones en materia laboral y de cumplimiento normativo, entre las que se encuentra, en los supuestos previstos legalmente, la implantación de un sistema interno de información o canal de denuncias.

La protección del informante en la empresa constituye, por tanto, una obligación que afecta tanto a la organización de estos sistemas como a las garantías que deben ofrecerse a las personas que comunican posibles infracciones.

A continuación, analizamos los principales aspectos de esta regulación en formato de preguntas y respuestas.

¿Cuál es la finalidad de la protección del informante en la empresa?

La finalidad principal de la Ley 2/2023 es otorgar una protección adecuada frente a posibles represalias a las personas físicas que informen sobre determinadas infracciones normativas.

Concretamente, esta protección del informante en la empresa se extiende a quienes comuniquen:

• Acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea, siempre que se encuentren dentro del ámbito establecido por la ley, particularmente las relacionadas con los actos europeos contemplados en la Directiva Whistleblowing, los intereses financieros de la Unión o el mercado interior.
• Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave, incluidas, en todo caso, aquellas que impliquen un quebranto económico para la Hacienda Pública y para la Seguridad Social en los términos previstos legalmente.

El objetivo es garantizar que las personas que informen sobre estas conductas, cumpliendo los requisitos establecidos, no sufran represalias como consecuencia de su comunicación.

Igualmente, la norma pretende fomentar una cultura de la información y de la integridad dentro de las organizaciones, facilitando la prevención y detección de amenazas al interés público.

¿Cómo se garantiza la protección del informante en la empresa?

La Ley 2/2023 establece la obligación de implantar, en las entidades a las que resulta aplicable, un sistema interno de información que permita comunicar posibles infracciones con las debidas garantías, a través del denominado canal de denuncias. El órgano de administración o de gobierno de cada entidad obligada es el responsable de implantar dicho sistema, que debe reunir los requisitos de seguridad, confidencialidad y protección de datos exigidos legalmente.

Asimismo, debe designarse un Responsable del Sistema interno de información (RSII), encargado de gestionar su funcionamiento y garantizar la adecuada tramitación de las comunicaciones recibidas.Este responsable podrá ser una persona física o un órgano colegiado, que deberá delegar en uno de sus miembros la gestión del sistema y la tramitación de los expedientes de investigación.

Además, la organización deberá establecer medidas para prevenir posibles represalias contra las personas que comuniquen infracciones. Entre las actuaciones que pueden constituir represalias se encuentran los despidos, las sanciones disciplinarias, las degradaciones profesionales, la denegación de ascensos o determinadas modificaciones de las condiciones de trabajo cuando tengan su causa en la comunicación realizada.

La protección del informante en la empresa alcanza, en los supuestos previstos en la ley, también a quienes las asistan durante el procedimiento, a sus representantes legales y a determinadas personas de su entorno laboral o familiar.

¿Toda denuncia da derecho a la protección del informante?

No todas las denuncias o comunicaciones generan automáticamente el derecho a la protección del informante en empresas previsto en la Ley 2/2023.

Para ello, es necesario que la persona informante tenga motivos razonables para considerar que la información es veraz en el momento de comunicarla, aunque no disponga de pruebas concluyentes, y que los hechos entren dentro del ámbito de aplicación de la norma.

Asimismo, la comunicación o revelación deberá realizarse conforme a los requisitos establecidos legalmente.

Por tanto, quedan excluidas de esta protección las personas que comuniquen o revelen:

• Informaciones contenidas en comunicaciones previamente inadmitidas por algún canal interno o por las causas previstas en el artículo 18.2.a) de la Ley 2/2023. Entre estas últimas se encuentran los supuestos de hechos manifiestamente inverosímiles, las comunicaciones carentes de fundamento o con indicios racionales de haberse obtenido mediante la comisión de un delito, así como determinadas comunicaciones reiterativas que no incorporen información nueva y significativa.
• Reclamaciones vinculadas a conflictos interpersonales o que afecten únicamente a la persona informante y a aquellas a las que se refiere la comunicación.
• Informaciones que ya se encuentren completamente disponibles para el público o que constituyan meros rumores.
• Comunicaciones relativas a acciones u omisiones que no estén comprendidas en el ámbito de aplicación de la Ley 2/2023.

La protección del informante en la empresa exige, por tanto, que concurran los requisitos materiales y procedimentales establecidos por la normativa.

¿Qué empresas están obligadas a garantizar la protección del informante?

La Ley 2/2023 establece diferentes supuestos en los que es obligatorio disponer de un sistema interno de información o canal de denuncias de protección del informante en la empresa.

En concreto, afecta a:

• Las personas físicas o jurídicas del sector privado que tengan contratados 50 o más trabajadores.
• Las personas jurídicas del sector privado que desarrollen actividades comprendidas en determinados ámbitos regulados por el Derecho de la Unión Europea, como los servicios, productos y mercados financieros, la prevención del blanqueo de capitales o de la financiación del terrorismo, la seguridad del transporte y la protección del medio ambiente, conforme a los actos europeos previstos en la ley. En estos supuestos, la obligación puede existir con independencia del número de trabajadores.
• Los partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.
• Todas las entidades que integran el sector público, en los términos establecidos en el artículo 13 de la Ley 2/2023.

En determinados sectores regulados, esta obligación también alcanza a personas jurídicas que, sin tener su domicilio social en España, desarrollen actividades en nuestro país a través de sucursales, agentes o mediante la prestación de servicios sin establecimiento permanente.

Por otra parte, las entidades privadas que no estén legalmente obligadas pueden implantar voluntariamente un sistema interno de información, siempre que cumpla los requisitos establecidos en la ley.

En el caso de los grupos de sociedades, la norma sobre protección del informante en la empresa permite establecer políticas generales de protección del informante y compartir un sistema interno de información, respetando la autonomía de las entidades integrantes.

Asimismo, las entidades privadas que tengan entre 50 y 249 trabajadores pueden compartir recursos destinados a la gestión y tramitación de las comunicaciones, manteniendo las garantías exigidas legalmente.

¿Debe intervenir la representación legal de los trabajadores en la implantación del sistema?

La Ley 2/2023 contempla la intervención de la Representación Legal de las Personas Trabajadoras (RLPT) en la implantación del sistema interno de información para la protección del informante en la empresa.

Sin embargo, no exige una negociación obligatoria con la representación legal de la plantilla, sino que establece el requisito de realizar una consulta previa. En consecuencia, el órgano de administración o de gobierno de la entidad deberá consultar a la RLPT antes de implantar el sistema, sin que la norma condicione su aprobación a la consecución de un acuerdo.

¿Qué canales existen para garantizar la protección del informante?

La normativa contempla dos vías principales para comunicar posibles infracciones: el sistema interno de información y el canal externo de información.

Sistema interno de información

Es el mecanismo implantado en la propia empresa u organización para recibir y tramitar las comunicaciones relativas a posibles irregularidades.

La Ley 2/2023 lo configura como cauce preferente cuando la infracción pueda tratarse eficazmente dentro de la entidad y la persona informante considere que no existe riesgo de represalias. El sistema debe cumplir los requisitos legales de confidencialidad, seguridad, independencia y adecuada gestión de las comunicaciones.

Su implantación corresponde al órgano de administración o de gobierno, que deberá designar a un Responsable del Sistema. No obstante, la gestión del sistema también puede encomendarse a un tercero externo, siempre que se mantengan las garantías exigidas y sin que ello suponga trasladar la responsabilidad legal que corresponde a la organización y al Responsable del Sistema para la protección del informante en la empresa.

Canal externo de información

Permite que las personas informantes comuniquen posibles infracciones ante la Autoridad Independiente de Protección del Informante (AIPI) o, cuando corresponda, ante las autoridades u órganos autonómicos competentes. Así, la AIPI es un organismo público independiente que desempeña funciones relacionadas con la recepción de comunicaciones, la protección del informante en la empresa y el ejercicio de la potestad sancionadora prevista en la normativa.

La persona informante puede acudir directamente al canal externo sin necesidad de presentar previamente una comunicación a través del sistema interno de la empresa.

¿Qué requisitos debe cumplir el sistema interno de información?

Para garantizar la protección del informante en la empresa, no basta con habilitar un buzón o una dirección de correo electrónico para recibir denuncias. El sistema debe contar con un procedimiento de gestión de comunicaciones que garantice su tramitación efectiva y la protección del informante en la empresa.

Entre los principales requisitos destacan:

• Confidencialidad y seguridad: el sistema debe proteger la identidad de las personas informantes, de los terceros mencionados y de las personas afectadas, impidiendo el acceso de personal no autorizado.
• Comunicaciones anónimas: el canal debe permitir la presentación y posterior tramitación de informaciones anónimas.
• Canales de comunicación adecuados: la información puede presentarse por escrito o verbalmente, o mediante ambas modalidades, conforme a los medios habilitados. A solicitud del informante, también deberá facilitarse una reunión presencial dentro del plazo máximo de siete días.
• Acuse de recibo: debe enviarse en un plazo máximo de siete días naturales desde la recepción de la comunicación, salvo que ello pueda poner en peligro su confidencialidad.
• Plazo de respuesta: el procedimiento debe establecer un plazo máximo de tres meses para dar respuesta a las actuaciones de investigación, con posibilidad de ampliación de hasta otros tres meses adicionales en casos de especial complejidad.
• Responsable del Sistema: debe actuar con independencia y autonomía, disponer de los medios necesarios y garantizar la correcta tramitación de las informaciones.
• Protección de datos personales: el tratamiento de la información debe ajustarse a la normativa aplicable, especialmente al Reglamento General de Protección de Datos y a la Ley Orgánica 3/2018.
• Derechos de las personas afectadas: deben respetarse la presunción de inocencia, el derecho de defensa y el honor de las personas a las que se refieran las comunicaciones.

Asimismo, deberá mantenerse un libro-registro de las informaciones recibidas y de las investigaciones internas realizadas, con las garantías de confidencialidad exigidas por la normativa.

Cuando los hechos comunicados pudieran ser indiciariamente constitutivos de delito, la información deberá remitirse al Ministerio Fiscal con carácter inmediato o, cuando afecte a los intereses financieros de la Unión Europea, a la Fiscalía Europea.

¿Debe comunicarse el nombramiento del Responsable del Sistema?

Sí. La Ley 2/2023 establece que el nombramiento y el cese del Responsable del Sistema interno de información deben notificarse a la autoridad competente.Esta comunicación deberá realizarse ante la Autoridad Independiente de Protección del Informante o, en su caso, ante el órgano autonómico correspondiente, atendiendo al ámbito competencial aplicable.

Cada nuevo nombramiento o cese deberá notificarse en el plazo de diez días hábiles, debiendo especificarse, en caso de cese, las razones que lo justifiquen. Esta obligación también debe tenerse en cuenta cuando las empresas pertenecen a un grupo de sociedades y comparten un mismo Responsable del Sistema, puesto que cada entidad obligada debe cumplir individualmente con sus deberes de comunicación.

¿Cuándo debe cumplir la empresa con las obligaciones de protección del informante?

Las entidades comprendidas en el ámbito de aplicación de la Ley 2/2023 deben disponer de un sistema interno de información implantado, operativo y adaptado a los requisitos legales. La obligación no se limita a establecer formalmente un canal de denuncias, sino que implica garantizar su adecuado funcionamiento, la correcta gestión de las informaciones recibidas y la aplicación de medidas efectivas de protección del informante en la empresa.

Por ello, las empresas obligadas deben mantener actualizado su sistema interno de información, revisar sus procedimientos y garantizar que las personas responsables dispongan de los medios necesarios para cumplir sus funciones.

¿Qué sanciones existen por incumplir las obligaciones de protección del informante en la empresa?

El incumplimiento de la Ley 2/2023 puede dar lugar a responsabilidades administrativas y sanciones económicas, en función de la gravedad de la infracción. La norma considera infracción muy grave, entre otras conductas, incumplir la obligación de disponer de un sistema interno de información en los términos legalmente exigidos.

En el caso de las personas jurídicas, las sanciones pueden alcanzar:

• Hasta 100.000 euros por infracciones leves.
• De 100.001 a 600.000 euros por infracciones graves.
• De 600.001 a 1.000.000 de euros por infracciones muy graves.

E n el caso de las personas físicas responsables, las sanciones por infracciones muy graves pueden alcanzar los 300.000 euros. Además, para determinadas infracciones muy graves, la normativa contempla otras consecuencias, como la amonestación pública, la prohibición temporal de obtener subvenciones o beneficios fiscales y la prohibición de contratar con el sector público.

Por ello, la protección del informante en la empresa debe integrarse en las políticas de cumplimiento normativo, garantizando tanto la correcta implantación del sistema como su funcionamiento efectivo.

Preguntas frecuentes sobre la protección del informante en la empresa

¿Necesita asesoramiento? Acceda a nuestras áreas relacionadas con la protección del informante en la empresa:

Compliance normativo

Derecho laboral