¿Qué empresas están obligadas a tener canal de denuncias?
Todas las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores, según el artículo 10 de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. La ley, que traspone la Directiva (UE) 2019/1937, no habla de «canal de denuncias», sino de sistema interno de información: el canal es solo la vía de entrada, y la obligación abarca también el procedimiento para tramitar lo recibido y la persona que responde de él.
También están obligados, sin importar su plantilla:
- Las entidades que operan en ámbitos regulados por normas de la Unión sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales y de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente.
- Los partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, cuando reciban o gestionen fondos públicos.
- Las entidades del sector público.
Los plazos de implantación vencieron en 2023: el 13 de junio para las empresas de 250 o más trabajadores y el 1 de diciembre para las de 50 a 249. Una empresa obligada que hoy no tiene sistema está en situación de incumplimiento.
¿Qué se puede comunicar por el canal?
La ley protege a quien informa de (art. 2):
- Infracciones del Derecho de la Unión Europea en las materias de la Directiva: contratación pública, servicios financieros, seguridad de productos, medio ambiente, protección de datos, competencia, entre otras.
- Acciones u omisiones que puedan constituir infracción penal o infracción administrativa grave o muy grave.
Pueden informar los trabajadores, pero también autónomos, accionistas, miembros del órgano de administración, personal de contratistas y proveedores, becarios, candidatos en proceso de selección y antiguos empleados (art. 3). El canal debe ser accesible para todos ellos, no solo para la plantilla.
¿Qué requisitos debe cumplir el sistema?
| Requisito | Contenido | Artículo |
|---|---|---|
| Implantación | La decide el órgano de administración, previa consulta con la representación legal de los trabajadores | Art. 5.1 |
| Formas de comunicación | Por escrito, verbalmente o de ambas formas. A petición del informante, reunión presencial en un máximo de siete días | Art. 7.2 |
| Anonimato | Debe admitir y tramitar comunicaciones anónimas | Art. 7.3 |
| Confidencialidad | Identidad del informante y de terceros mencionados, protegida frente a personal no autorizado | Art. 5.2 |
| Integración | Un único sistema que reúna todos los canales internos existentes (acoso, igualdad, cumplimiento penal) | Arts. 5.2 y 7.1 |
| Responsable del Sistema | Persona física designada por el órgano de administración, o un miembro delegado si es un órgano colegiado. Actúa con independencia y sin recibir instrucciones | Art. 8 |
| Notificación del responsable | Nombramiento y cese se comunican a la Autoridad Independiente de Protección del Informante o a la autoridad autonómica competente en diez días hábiles | Art. 8.3 |
| Procedimiento de gestión | Aprobado por el órgano de administración, con el contenido mínimo legal | Art. 9 |
| Información | Explicación clara y accesible del canal y del procedimiento. Si hay web, en la página de inicio, en sección separada e identificable | Art. 25 |
| Libro-registro | De las informaciones recibidas y de las investigaciones a que den lugar. No es público | Art. 26 |
Las empresas de 50 a 249 trabajadores pueden compartir entre sí el sistema y los recursos de gestión (art. 12). En los grupos de sociedades, la dominante aprueba una política general y puede haber un sistema y un responsable únicos para todo el grupo (art. 11).
¿Qué plazos hay que cumplir al recibir una comunicación?
- Acuse de recibo en siete días naturales desde la recepción, salvo que pueda poner en peligro la confidencialidad (art. 9.2.c).
- Respuesta a las actuaciones de investigación en un máximo de tres meses desde la recepción. Si no se envió acuse, tres meses desde que vencieron los siete días. En casos de especial complejidad, el plazo puede ampliarse hasta otros tres meses (art. 9.2.d).
- Remisión inmediata al Ministerio Fiscal cuando los hechos puedan ser indiciariamente constitutivos de delito, o a la Fiscalía Europea si afectan a los intereses financieros de la Unión (art. 9.2.j).
El procedimiento debe garantizar además que la persona afectada sea informada de los hechos que se le atribuyen y oída, en el momento adecuado para no frustrar la investigación, y que se respeten su presunción de inocencia y su honor (art. 9.2.f y h).
El tercer punto plantea la decisión más delicada. La empresa que descubre un posible delito cometido en su seno debe ponerlo en conocimiento del fiscal y, al mismo tiempo, su propia posición penal puede depender de cómo investigó y reaccionó. Esa decisión conviene tomarla con asesoramiento penal desde el primer día.
¿Qué protección tiene el informante?
Están prohibidas las represalias, incluidas las amenazas y las tentativas (art. 36). La ley considera represalia cualquier trato desfavorable por la condición de informante, y enumera ejemplos: despido, no renovación de un contrato temporal, degradación, denegación de ascensos, modificación sustancial de condiciones, evaluaciones negativas, inclusión en listas negras o terminación anticipada de contratos de bienes o servicios.
En los procedimientos judiciales por perjuicios sufridos por el informante, una vez que este acredita razonablemente que comunicó y que sufrió un perjuicio, se presume que es una represalia y corresponde a la empresa probar que la medida tuvo motivos ajenos a la comunicación (art. 38). Cualquier decisión laboral sobre una persona que ha usado el canal debe documentarse con especial cuidado.
La protección exige que el informante tuviera motivos razonables para creer que la información era veraz. Comunicar hechos a sabiendas de su falsedad es infracción muy grave.
¿Cómo encaja con la protección de datos?
El órgano de administración es responsable del tratamiento (art. 5.1). Las reglas principales son:
- Acceso limitado al responsable del sistema y a quien lo gestione, al responsable de recursos humanos solo si proceden medidas disciplinarias, a los servicios jurídicos si proceden medidas legales, a los encargados del tratamiento y al delegado de protección de datos (art. 32.1).
- Supresión inmediata de los datos innecesarios y de los referidos a conductas fuera del ámbito de la ley.
- Plazo de tres meses para iniciar la investigación o suprimir (art. 32.4).
- Contrato de encargo con el proveedor externo de la herramienta.
¿Qué sanciones prevé la ley?
| Infracción | Ejemplos | Multa a personas jurídicas | Multa a personas físicas |
|---|---|---|---|
| Muy grave | No disponer de sistema interno; adoptar represalias; vulnerar la confidencialidad o el anonimato; obstaculizar comunicaciones de forma dolosa | De 600.001 a 1.000.000 € | De 30.001 a 300.000 € |
| Grave | Limitar derechos u obstaculizar sin llegar a muy grave; vulnerar el deber de secreto en supuestos menos graves | De 100.001 a 600.000 € | De 10.001 a 30.000 € |
| Leve | Remitir información incompleta o fuera de plazo a la Autoridad; otros incumplimientos no tipificados como graves | Hasta 100.000 € | De 1.001 a 10.000 € |
La potestad sancionadora corresponde a la Autoridad Independiente de Protección del Informante y a las autoridades autonómicas equivalentes.
¿Qué relación tiene con el modelo de prevención penal?
Directa. El Código Penal permite eximir de responsabilidad a la persona jurídica que haya adoptado y ejecutado con eficacia un modelo de organización y gestión para prevenir delitos, y entre sus requisitos figura la obligación de informar de riesgos e incumplimientos al órgano de vigilancia (art. 31 bis). Un canal que existe sobre el papel pero no se usa, no responde o no investiga debilita esa defensa. Lo mismo ocurre si el responsable del sistema carece de independencia real.
Lista de comprobación para el órgano de administración
- Acuerdo del órgano de administración que implanta el sistema, con acta
- Consulta previa a la representación legal de los trabajadores, documentada
- Política del sistema y procedimiento de gestión aprobados
- Responsable del Sistema designado, con medios e independencia, y nombramiento notificado a la autoridad
- Canal operativo por escrito y por voz, con opción anónima
- Información visible en la página de inicio de la web
- Libro-registro en funcionamiento
- Contrato de encargo de tratamiento con el proveedor y análisis de protección de datos
- Canales previos (acoso, código ético) integrados
- Protocolo de investigación interna y criterio de remisión al Ministerio Fiscal
- Formación a mandos intermedios: qué hacer si reciben una comunicación fuera del canal
- Revisión anual del funcionamiento, con informe al órgano de administración
Diseñamos e implantamos el sistema desde el área de compliance e investigaciones. Cuando una comunicación exige investigar hechos con posible relevancia penal, interviene el servicio de investigaciones corporativas y penal económico. La supervisión del sistema forma parte de las funciones del consejo que tratamos en gobierno corporativo y consejos de administración.
Normativa
- Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción: arts. 2, 3, 5 a 12, 25, 26, 32, 36, 38, 63 y 65, y disposición transitoria segunda.
- Directiva (UE) 2019/1937, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.
- Ley Orgánica 10/1995, del Código Penal: art. 31 bis.