Contexto

El pasado 4 de marzo de 2022 el Consejo de Ministros aprobó el “Anteproyecto de ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción" (en adelante, el Anteproyecto) para transponer la comúnmente denominada “Directiva de protección de los denunciantes de corrupción” (en adelante, la Directiva).

Aunque el Anteproyecto no es definitivo y puede que sufra varios cambios hasta su aprobación, nos adelantamos a informarle de las cuestiones que, de aprobarse, debe tener en consideración.

Entidades afectadas

Se encuentran obligados a establecer canales de denuncias internos:

• Todas las entidades que cuenten con a partir de 50 empleados deberán implantar un sistema interno de información, ya sean de carácter privado o público.

• Todas las entidades jurídicas del sector público incluyendo partidos políticos, patronales, organizaciones empresariales, sindicatos y fundaciones, siempre que reciban o gestionen fondos públicos.

• Todos los municipios deberán implementar un sistema de información, independientemente del número de habitantes. No obstante, con el objetivo de facilitar el cumplimiento la ley permite que estos municipios puedan compartir medios para la recepción de informaciones con otras Administraciones que ejerzan sus competencias en la misma comunidad autónoma.

Ámbito material de aplicación

El propósito del Anteproyecto es proteger de cualquier posible represalia a las personas físicas que informen de:

1. Infracciones del Derecho de la Unión Europea tasadas en el Anexo de la Directiva (UE) 2019/1937 que abarca las siguientes áreas: contratación pública, servicios financieros, seguridad de los productos, de los alimentos y del transporte, protección del medio ambiente, sanidad animal, seguridad nuclear, salud pública, protección de los consumidores, privacidad y protección de datos, competencia, mercado interior o intereses financieros de la Unión.

2. Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave o cualquier vulneración del resto del ordenamiento jurídico español siempre que, en cualquiera de los casos, afecten o menoscaben directamente el interés general, y no cuenten con una regulación específica.

Configuración de los sistemas internos de información

El Anteproyecto indica el contenido mínimo y principios con los que debe contar los sistemas de información, entre otras se pueden destacar las siguientes: su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento, la investigación y protección del informante.

Asimismo, resulta indispensable la designación de un responsable del sistema interno de información que garantice su correcto funcionamiento.

Los canales internos deben permitir la presentación de comunicaciones anónimas, siguiendo el mismo procedimiento que las denuncias en las que si se identifique el denunciante.

Los sistemas de información deben contar con un procedimiento de gestión de comunicaciones con los siguientes datos:

a) Identificar el canal.

b) Definir el tiempo de envío de acuse de recibo de la comunicación, no pudiendo prorrogarse más haya de siete días naturales siguientes a su recepción.

c) Establecer el derecho del informante a que ser informado de las acciones u omisiones que se le atribuyen, y a ser oído en cualquier momento.

d) Respetar el respeto a la presunción de inocencia, el derecho a ser oído y el honor de las personas investigadas.

e) Determinar la duración máxima de las actuaciones de investigación, que no podrá ser superior a tres meses a contar desde la recepción de la comunicación, salvo casos de especial complejidad que requieran una ampliación del plazo, en cuyo caso, este podrá extenderse hasta un máximo de otros tres meses adicionales.

f) Garantizar la confidencialidad y respeto de las disposiciones sobre protección de datos personales.

Plazo

La transposición de la Directiva establece un plazo para implantar un protocolo para denunciar prácticas irregulares, incumplimientos o comportamientos contrarios al “Código de Ética y Conducta, la legalidad y las normas de la Organización” del sujeto obligado, distinguiéndose:

Por un lado, las Administraciones, organismos, empresas y demás entidades obligadas a contar con un sistema interno de informaciones deberán implantarlo en el plazo máximo de tres meses a partir de su entrada en vigor.

En cambio, las empresas que dispongan de una plantilla de entre 50 y 249 trabajadores, el plazo previsto en el párrafo anterior se extenderá hasta el 1 de enero de 2023, anticipando casi un año el plazo máximo de aplicación previsto por la Directiva para estas empresas.

Nombramiento de un Delegado de Protección de Datos

La transposición fija la obligación a todos los sujetos obligados (empresas de más de 50 trabajadores), la necesidad designar un Delegado de Protección de datos competente que asegure el cumplimiento de la normativa de protección de datos en el sistema interno de comunicaciones (equivalentes a las “denuncias” de la Directiva).

En consecuencia, se amplían los supuestos de designación obligatoria del Delegado de Protección de Datos abarcando los tratamientos de datos derivados del canal de denuncias.

Autoridad Independiente de Protección del Informante

Se contempla la creación de una Autoridad Independiente de Protección del Informante, adscrita al Ministerio de Justicia, con personalidad jurídica propia y plena capacidad pública y privada, entre cuyas funciones se incluye la potestad sancionadora de las infracciones que constatase a lo previsto en el Anteproyecto.

La comisión de infracciones previstas en su articulado prevé la imposición de multas que pueden llegar a alcanzar hasta 1.000.000 de euros en caso de que se cometan infracciones muy graves.

Desde De Lorenzo Abogados les mantendremos informados de la evolución del proceso hasta su aprobación.

Quedamos, como siempre, a su disposición para resolver cualquier duda que le surja.

Artículo de Fernando Aguado