Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción

FELIPE VI

REY DE ESPAÑA

A todos los que la presente vieren y entendieren.

Sabed: Que las Cortes Generales han aprobado y Yo vengo en sancionar la siguiente ley:

PREÁMBULO

I

La colaboración ciudadana resulta indispensable para la eficacia del Derecho. Tal colaboración no sólo se manifiesta en el correcto cumplimiento personal de las obligaciones que a cada uno corresponden, manifestación de la sujeción de todos los poderes públicos y de la ciudadanía a la Constitución Española y al resto del ordenamiento jurídico (artículo 9.1 de la Constitución Española), sino que también se extiende al compromiso colectivo con el buen funcionamiento de las instituciones públicas y privadas.

Dicha colaboración ciudadana es un elemento clave en nuestro Estado de Derecho y, además, se contempla en nuestro ordenamiento como un deber de todo ciudadano cuando presencie la comisión de un delito, tal y como como recoge la Ley de Enjuiciamiento Criminal. Dicho deber, al servicio de la protección del interés público cuando éste resulta amenazado, debe ser tomado en consideración en los casos de colisión con otros deberes previstos en el ordenamiento jurídico.

Asimismo, nuestro ordenamiento jurídico contempla la participación ciudadana en acciones públicas con el fin de impulsar la investigación sobre actuaciones contrarias a la normativa urbanística, sobre actividades que puedan perjudicar el medioambiente o para evitar daños en el patrimonio histórico-artístico. Estos son otros ejemplos que cuentan con una larga tradición en la legislación española.

En el mismo sentido y coincidiendo con el impulso del Derecho de la Unión Europea, algunas regulaciones sectoriales, de manera especial en el ámbito financiero o de defensa de la competencia, han incorporado instrumentos específicos para que, quienes conocen de actuaciones irregulares o ilegales, puedan facilitar a los organismos supervisores datos e información útiles. Además, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, contempla la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión, en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable.

Por otra parte, son muchos los ejemplos de actuaciones cívicas que advirtieron de la existencia de prácticas irregulares y de corrupción que han permitido impulsar investigaciones que, previa la tramitación del procedimiento judicial legalmente establecido, han concluido con la imposición de la correspondiente condena penal por tales comportamientos.

No obstante, también ha de advertirse que, en ocasiones, esos loables comportamientos cívicos han generado consecuencias penosas para quienes han comunicado tales prácticas corruptas y otras infracciones, como son las presiones por parte de los denunciados, por lo que resulta indispensable que el ordenamiento jurídico proteja a la ciudadanía cuando muestra una conducta valiente de clara utilidad pública. Además, resulta importante asentar en la sociedad la conciencia de que debe perseguirse a quienes quebrantan la ley y que no deben consentirse ni silenciarse los incumplimientos. Esta es la principal finalidad de esta ley: proteger a los ciudadanos que informan sobre vulneraciones del ordenamiento jurídico en el marco de una relación profesional.

También es preciso recordar que, en línea con la corriente existente en el mundo anglosajón, que regula desde hace años la protección de los denominados «whistleblowers» –quien usa el silbato para dar alerta– algunas comunidades autónomas ya han regulado instituciones que se ocupan de recibir comunicaciones de ciudadanos informando de irregularidades. A título de ejemplo y sin perjuicio de las autoridades creadas por algunas entidades locales, cabe recordar que las comunidades autónomas de Cataluña, Valenciana, Illes Balears, Navarra, Principado de Asturias o Andalucía han abordado la cuestión de la protección de los denunciantes, si bien la regulación ha sido parcial y centrada fundamentalmente en la creación de oficinas o agencias con la específica función de prevenir e investigar casos de uso o destino fraudulentos de fondos públicos, aprovechamientos ilícitos derivados de actuaciones que comporten conflictos de intereses o uso de información privilegiada, o en general conductas contrarias a la integridad; es decir, han circunscrito esta legislación al ámbito público, con carácter previo en algunos casos a la Directiva 2019/1937.

La expresión «alertadores» ha sido acogida en algunos ordenamientos como el francés. En la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, se emplea el término «denunciantes», y en esta ley se ha optado por la denominación «informante».

Asimismo, se ha optado por emplear los términos «informaciones» y «comunicaciones» indistintamente para, de acuerdo con una redacción gramatical y sintáctica adecuada, evitar repeticiones.

II

Con la aprobación de esta ley se incorpora al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019. Las diferencias de tratamiento entre los distintos regímenes jurídicos existentes en los Estados miembros han generado dificultades a la hora de asegurar una aplicación coherente del Derecho europeo y perseguir sus infracciones. Para ello, la citada Directiva regula aspectos mínimos que han de satisfacer los distintos cauces de información a través de los cuales una persona física que sea conocedora en un contexto laboral de una infracción del Derecho de la Unión Europea, pueda dar a conocer la existencia de la misma. En concreto, obliga a contar con canales internos de información a muchas empresas y entidades públicas porque se considera, y así también se ha recogido en informes y estadísticas recabados durante la elaboración del texto europeo, que es preferible que la información sobre prácticas irregulares se conozca por la propia organización para corregirlas o reparar lo antes posible los daños. Además de tales canales internos, exige la Directiva la determinación de otros canales de información, denominados «externos», con el fin de ofrecer a los ciudadanos una comunicación con una autoridad pública especializada, lo que les puede generar más confianza al disipar su temor a sufrir alguna represalia en su entorno.

Estos dos claros objetivos de la Directiva, proteger a los informantes y establecer las normas mínimas de los canales de información, se incorporan en el contenido de esta ley.

La ley se estructura en 68 artículos, seis disposiciones adicionales, tres disposiciones transitorias y doce disposiciones finales.

III

El título I precisa la finalidad y el ámbito de aplicación de la ley.

La finalidad de la norma es la de proteger a las personas que en un contexto laboral o profesional detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma.

Por lo que se refiere a su ámbito de aplicación, además de proteger a quienes informen sobre las infracciones del Derecho de la Unión previstas en la Directiva del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, esta ley abarca también las infracciones penales y administrativas graves y muy graves de nuestro ordenamiento jurídico.

Se ha considerado necesario, por tanto, ampliar el ámbito material de la Directiva a las infracciones del ordenamiento nacional, pero limitado a las penales y a las administrativas graves o muy graves para permitir que tanto los canales internos de información como los externos puedan concentrar su actividad investigadora en las vulneraciones que se considera que afectan con mayor impacto al conjunto de la sociedad.

Asimismo, se excluyen del ámbito de aplicación material los supuestos que se rigen por su normativa específica, esto es, aquella que regula los mecanismos para informar sobre infracciones y proteger a los informantes previstas por leyes sectoriales o por los instrumentos de la Unión Europea enumerados en la parte II del anexo de la Directiva (UE) 2019/1937.

La buena fe, la conciencia honesta de que se han producido o pueden producirse hechos graves perjudiciales constituye un requisito indispensable para la protección del informante. Esa buena fe es la expresión de su comportamiento cívico y se contrapone a otras actuaciones que, por el contrario, resulta indispensable excluir de la protección, tales como la remisión de informaciones falsas o tergiversadas, así como aquellas que se han obtenido de manera ilícita.

Junto a la descripción del ámbito objetivo de aplicación, precisa la ley el ámbito subjetivo, esto es, las personas que están protegidas frente a posibles represalias. Así, se extiende la protección a todas aquellas personas que tienen vínculos profesionales o laborales con entidades tanto del sector público como del sector privado, aquellas que ya han finalizado su relación profesional, voluntarios, trabajadores en prácticas o en período de formación, personas que participan en procesos de selección. También se extiende el amparo de la ley a las personas que prestan asistencia a los informantes, a las personas de su entorno que puedan sufrir represalias, así como a las personas jurídicas propiedad del informante, entre otras.

El título II de la ley contiene el régimen jurídico del Sistema interno de información que abarca tanto el canal, entendido como buzón o cauce para recepción de la información, como el Responsable del Sistema y el procedimiento. El Sistema interno de información debería utilizarse de manera preferente para canalizar la información, pues una actuación diligente y eficaz en el seno de la propia organización podría paralizar las consecuencias perjudiciales de las actuaciones investigadas. No obstante, declarada esta preferencia, el informante puede elegir el cauce a seguir, interno o externo, según las circunstancias y los riesgos de represalias que considere.

En este título se dedica un primer capítulo a las disposiciones aplicables tanto en el sector público como en el privado.

La configuración del Sistema interno de información debe reunir determinados requisitos, entre otros, su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento, investigación y protección del informante. Asimismo, resulta indispensable para la eficacia del Sistema interno de información la designación del responsable de su correcto funcionamiento.

Se ha de destacar que se permite la comunicación anónima. Cuando se traslade una comunicación en el marco del Sistema interno de información, que entre dentro del ámbito de aplicación de la ley, se aplicará la regla específica contenida en esta ley en cuanto a la posibilidad de presentación y tramitación de comunicaciones anónimas. La Directiva establece como principio el deber general de mantener al informante en el anonimato. Ahora bien, este pilar esencial de la norma europea se exceptúa cuando, bien una norma nacional prevé revelarlo, o bien se solicita en el marco de un proceso judicial, lo que ocurre en muchas ocasiones, argumentando el juzgador la necesidad de conocer la identidad de quien denunció, para garantizar el derecho de defensa del denunciado. Así, en su considerando 34 se señala: «Sin perjuicio de las obligaciones vigentes de disponer la denuncia anónima en virtud del Derecho de la Unión, debe ser posible para los Estados miembros decidir si se requiere a las entidades jurídicas de los sectores privado y público y a las autoridades competentes que acepten y sigan denuncias anónimas de infracciones que entren en el ámbito de aplicación de la presente Directiva».

Y en el artículo 6.2 se establece: «Sin perjuicio de la obligación vigente de disponer de mecanismos de denuncia anónima en virtud del Derecho de la Unión, la presente Directiva no afectará a la facultad de los Estados miembros de decidir si se exige o no a las entidades jurídicas de los sectores privado o público y a las autoridades competentes aceptar y seguir las denuncias anónimas de infracciones».

Conforme al artículo 9.1.e) también se prevé «el seguimiento diligente cuando así lo establezca el Derecho nacional en lo que respecta a las denuncias anónimas».

En este sentido, una opción de política legislativa, fruto de los modelos comparados a nivel internacional y europeo, ha sido, al igual que en la normativa de protección de datos personales, regular las informaciones anónimas y proteger a la persona que las comunica.

Un hito esencial en la admisión de la denuncia anónima lo constituye la Convención de las Naciones Unidas contra la corrupción, hecha en Nueva York el 31 de octubre de 2003, que establece en su artículo 13.2: «Cada Estado Parte adoptará medidas apropiadas para garantizar que el público tenga conocimiento de los órganos pertinentes de lucha contra la corrupción mencionados en la presente Convención y facilitará el acceso a dichos órganos, cuando proceda, para la denuncia, incluso anónima, de cualesquiera incidentes que puedan considerarse constitutivos de un delito tipificado con arreglo a la presente Convención».

El Consejo de la Unión Europea, en su Decisión de 25 de septiembre de 2008, en nombre de la entonces Comunidad Europea, aprobó la Convención de las Naciones Unidas contra la Corrupción.

Asimismo, en ámbitos sectoriales de la Unión Europea hay que destacar el artículo 5.1 del Reglamento (UE, EURATOM) n.º 883/2013 del Parlamento Europeo y del Consejo, de 11 de septiembre de 2013 relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) y por el que se deroga el Reglamento (CE) n.º 1073/1999, que dispone que «el director general podrá iniciar una investigación cuando haya sospecha suficiente, que puede también basarse en información proporcionada por una tercera parte o por información anónima, de que se ha incurrido en fraude, corrupción u otra actividad ilegal en detrimento de los intereses financieros de la Unión».

Cabe destacar que el antiguo órgano asesor de la Comisión Europea en materia de protección de datos, el Grupo de trabajo del artículo 29 (GT29), en su Dictamen 1/2006 relativo a la «aplicación de las normas sobre protección de datos de la UE a los sistemas internos de denuncia de irregularidades en los ámbitos de la contabilidad, controles y cuestiones de auditoría, lucha contra la corrupción y delitos financieros y bancarios», establecía como regla general que el denunciante debía identificarse, pero también existía la posibilidad de recibir y tramitar denuncias anónimas en determinadas circunstancias.

Como se puede observar, desde las instituciones de la Unión Europea se ha apostado sin ambages por la posibilidad de la aceptación y seguimiento de las denuncias anónimas. A tales efectos, se puede acceder a una herramienta de «denuncia anónima» de irregularidades para ayudar a la Comisión Europea a descubrir cárteles y otras infracciones antimonopolio y sobre tales prácticas anticompetitivas prohibidas por la normativa de competencia de la Unión Europea, que causan daños considerables a la economía europea.

En lo que se refiere a la normativa vigente en el ámbito nacional son diversos los ámbitos en los que ya se ha regulado la posibilidad de denuncias anónimas. En septiembre de 2018, a través del Real Decreto-ley 11/2018, de 31 de agosto, se introdujo en la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, el actual artículo 26 bis en el que se regulan los procedimientos internos de comunicación de potenciales incumplimientos (canales de denuncias internas) para que sus empleados, directivos o agentes puedan comunicar, incluso anónimamente, información relevante sobre posibles incumplimientos de esta ley, su normativa de desarrollo o las políticas y procedimientos implantados para darles cumplimiento, cometidos en el seno del sujeto obligado.

En otro ámbito, la mencionada Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, establece en su artículo 24.1: «Será lícita la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable».

Con anterioridad y en ámbitos diversos se había reconocido la posibilidad de presentar anónimamente denuncias: en la Ley Orgánica 12/2007, de 22 de octubre, del régimen disciplinario de la Guardia Civil se contempla la posibilidad de que la denuncia anónima pueda dar lugar al menos al inicio de una «información reservada». De otro lado, la Fiscalía General del Estado en su Circular de 4/2013, de 30 de diciembre, sobre las diligencias de investigación, actualiza la consideración sobre las denuncias anónimas. Señala que, aunque las denuncias deben en principio cumplimentar los requisitos previstos en la Ley de Enjuiciamiento Criminal para ser tenidas como tales, el incumplimiento de alguno de ellos no ha de llevar a su inadmisión si se están poniendo de manifiesto hechos constitutivos de delito perseguibles de oficio con visos de verosimilitud. La iniciación por puesta en conocimiento de otras autoridades u organismos públicos es cada vez más frecuente.

El afianzamiento esencial, no obstante, se contiene en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, tal como se ha indicado con anterioridad, en concreto en su artículo 24.1.

Estos canales de denuncias, mediante el anonimato, han colaborado a instituir un instrumento esencial para la «compliance» de una empresa y ha sido fundamental para poder recibir denuncias graves que de otra manera las personas trabajadoras y los colaboradores no se atreverían a señalar por temor a represalias en caso de ser identificados.

Algunas comunidades autónomas igualmente han extendido su protección a las denuncias anónimas y han establecido canales para su recepción.

La ley diferencia la extensión de la obligación de configurar estos canales internos en el ámbito de las organizaciones privadas de las que pertenecen al sector público.

En el ámbito privado, siguiendo la previsión de la Directiva, estarán obligadas a configurar un Sistema interno de información todas aquellas empresas que tengan más de cincuenta trabajadores. En los grupos de empresas será la sociedad dominante la que pueda implantar los principios y políticas que inspiren la organización del Sistema para la adecuada organización y coordinación de los canales en cada una de las entidades que forman parte de aquel.

Siendo conscientes del coste que esta nueva carga pueda generar en las empresas, la ley admite que aquellas que, superando la cifra de cincuenta trabajadores cuenten con menos de doscientos cincuenta, puedan compartir medios y recursos para la gestión de las informaciones que reciban, quedando siempre clara la existencia de canales propios en cada empresa.