El 23 de octubre de 2019 se dictó la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión. Desde entonces, se ha activado el mecanismo legislativo de rigor para adaptar los términos de esta resolución comunitaria al ordenamiento español, y que ahora llega a su final.

En el ámbito laboral, hemos asistido a diversos análisis sobre el alcance del nivel de protección de los whistleblowers, es decir, los informantes de prácticas irregulares de diversa índole en el seno de las organizaciones (públicas o privadas).

Dos son los objetivos claros de la Directiva: proteger a los informantes y establecer las normas mínimas de los canales de comunicación.

Debe tenerse en cuenta que, en la actualidad, la mayor parte de empresas no dispone de cauces adecuados para tramitar este tipo de comunicaciones por parte de sus personas empleadas, y mucho menos, como veremos más adelante, para garantizar la protección de las personas del entorno del informante (la norma huye del término "denunciante") susceptibles de sufrir algún tipo de represalia, como se exigirá por ley.

Veamos las principales implicaciones laborales de la futura Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, por la que se transpondrá la citada Directiva, y que actualmente se encuentra en fase de anteproyecto.

Finalidad y ámbito de aplicación

Es objeto de la norma, entre otros extremos, la protección de las personas trabajadoras que informen sobre infracciones del derecho laboral en materia de seguridad y salud en el trabajo (sin perjuicio de lo establecido en su normativa específica), que se producirá de forma adecuada frente a las represalias que puedan sufrir las personas físicas que informen.

En cuanto a los canales y procedimientos de información externa (es decir, los facilitados por una autoridad pública especializada, que pueda generar más confianza al informante al disipar su temor a sufrir alguna represalia en su entorno), se regirán por su normativa específica, aplicándose la Ley a los aspectos que no se adecuaran a la Directiva, hasta que dicha adaptación se produzca.

¿A quién va dirigida?

A los informantes que trabajen en el sector privado o público y que hayan obtenido información sobre infracciones en un contexto laboral o profesional: empleados públicos y trabajadores por cuenta ajena; trabajadores autónomos; accionistas, partícipes y personas del órgano de administración, dirección o supervisión de una empresa; personas que trabajen para o bajo la supervisión y dirección de contratistas, subcontratistas y proveedores.

A los representantes legales de las personas trabajadoras en el ejercicio de sus funciones de asesoramiento y apoyo al informante.

A personas físicas que, en el marco de la organización en la que preste servicios el informante asistan al mismo en el proceso, a personas físicas relacionadas con el informante y que puedan sufrir represalias (como compañeros de trabajo o familiares del informante) y a personas jurídicas, para las que trabaje o con las que mantenga cualquier otro tipo de relación en un contexto laboral o en las que ostente una participación significativa.

Sistemas internos de información

Será el informante el que valore qué cauce seguir (interno o externo), según las circunstancias y los riesgos de represalias que considere.

Estos sistemas internos deben satisfacer algunas exigencias, como: su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento, investigación y protección del informante. Estarán obligadas a configurar un sistema interno de información todas aquellas empresas que tengan más de cincuenta personas trabajadoras. En los grupos de empresas será la sociedad dominante la que decida la organización de los canales de comunicación.

La Directiva admite que aquellas que, superando la cifra de cincuenta cuenten con menos de doscientos cincuenta trabajadores, puedan compartir medios y recursos para la gestión de las informaciones que reciban, quedando siempre clara la existencia de canales propios en cada empresa.

Con independencia del número de empleados, se obliga a contar con un sistema interno de informaciones a todos los partidos políticos, sindicatos, organizaciones empresariales, así como a las fundaciones que de los mismos dependan, siempre que reciban fondos públicos para su financiación.

Canal externo de comunicaciones

Tras detallar el procedimiento de recepción de las comunicaciones (de forma anónima o con reserva de la identidad del informante) y de su forma (escrita o verbal), el articulado aborda el trámite de admisión, la fase instructora y la emisión de un informe por la Autoridad Independiente de Protección del Informante. Emitido el informe, la Autoridad podrá acordar el archivo del expediente, el inicio del procedimiento sancionador (sin perjuicio de poner los hechos en conocimiento del Ministerio Fiscal si los hechos pudieran revestir el carácter de delito, entre otros supuestos) o remitir la información a otra autoridad u organismo si así procediera. La instrucción no puede superar los tres meses.

La resolución que adopte la Autoridad Independiente no podrá ser objeto de recurso alguno, ni administrativo ni jurisdiccional, sin perjuicio de la posible impugnación de la resolución que ponga fin al procedimiento sancionador que se pudiera incoar a raíz de las investigaciones realizadas.

Revelación pública

Los informantes que utilizan los cauces internos y externos contarán con un régimen específico de protección frente a las represalias.

Esta protección no se extiende a aquellas personas que hayan difundido de manera pública tales informaciones, si bien hay situaciones en que sí resultará conveniente ayudar a estas personas (por ejemplo, cuando los caces internos y externos no han funcionado o cuando se advierta una amenaza inminente para el interés general o riesgo de daños irreversibles, como un peligro para la integridad física de una persona).

Protección de datos personales

La Directiva impone que todo tratamiento de datos personales realizado en aplicación de la misma se realizará de conformidad con el Reglamento (UE) 2016/679, de Protección de Datos. En este mismo sentido, los tratamientos de datos personales deberán regirse por lo dispuesto en dicho Reglamento y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Medidas de protección

La necesidad de garantizar la buena aplicación del ordenamiento hace que queden sin efecto cualesquiera cláusulas o disposiciones contractuales que impidan o pretendan limitar el derecho o la capacidad de informar, como las cláusulas de confidencialidad o disposiciones que reflejan renuncias expresas; así como que se exima de responsabilidad ante la obtención de información relevante o que se invierta la carga de la prueba en aquellos procesos que inicie para exigir la reparación de daños. Los informantes contarán con el apoyo necesario de la Autoridad Independiente de Protección del Informante para que las medidas de protección establecidas en la futura norma resulten eficaces.

Autoridad Independiente de Protección del Informante

Entre las diferentes alternativas que ofrece nuestro ordenamiento interno, se considera idóneo acudir a la figura de la Autoridad Independiente de Protección del Informante como pilar básico.

Este órgano tendrá personalidad jurídica propia y se dotará de autonomía e independencia orgánica y funcional respecto del Ejecutivo y del sector público, así como de toda entidad cuya actividad pueda ser sometida a su supervisión.

Sanciones

Son infracciones muy graves: cualquier actuación que suponga una efectiva limitación de derechos y garantías introducida a través de contratos o acuerdos individuales o colectivos y, en general, cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o impedir, frustrar o ralentizar su seguimiento; la adopción de represalias; vulnerar las garantías de confidencialidad y anonimato; vulnerar el deber de mantener secreto sobre la información; cometer una infracción grave cuando el autor hubiera sido sancionado mediante resolución firme por dos infracciones graves en los dos años anteriores a la comisión de la infracción; y comunicar o revelar públicamente información a sabiendas de su falsedad.

Son infracciones graves: las conductas de limitación de derechos y garantías antes señalados, cuando no tuvieren la condición de muy graves; vulnerar las garantías de confidencialidad y anonimato, o el deber de secreto, cuando no se considerara infracción muy grave; incumplimiento de la adopción de medidas para garantizar la confidencialidad y secreto de las informaciones; y la comisión de una infracción leve cuando el autor hubiera sido sancionado por dos infracciones leves en los dos años anteriores a la comisión de la infracción, contados desde la firmeza de las sanciones.

Como infracciones leves se catalogarán: la remisión de información de forma incompleta, de manera deliberada por parte del Responsable del Sistema a la Autoridad, o fuera del plazo concedido para ello; el incumplimiento de la obligación de colaboración con la investigación de informaciones; y cualquier incumplimiento de las obligaciones previstas en la norma que no esté tipificado como infracción muy grave o grave.

Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses.