Este martes, 21 de febrero, se ha publicado en el Boletín Oficial del Estado la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, con entrada en vigor el 13 de marzo de 2023, y que traspone la Directiva 1937/2019, relativa a la protección de las personas que informen sobre infracciones de Derecho de la Unión con más de un año de retraso.
La nueva Ley 2/2023 tiene como principal objetivo facilitar la comunicación de infracciones mediante canales seguros para los denunciantes, promoviendo así la cultura de cumplimiento normativo en las empresas privadas y en las Administraciones Públicas. Así, se pretende proteger al informante, que podrá ser trabajador, accionista, proveedor etc., así como a todas las personas relacionadas con él y que pudieran verse afectadas por la denuncia.
Las infracciones materialmente relevantes a los efectos de la protección otorgada por la Ley 2/2023 son las siguientes:
a) Las infracciones del Derecho de la Unión Europea, y en especial, aquellas que afecten a intereses financieros, incidan en el mercado interior, infracciones en materia de competencia y ayudas otorgadas por los Estados miembros y aquellas infracciones del impuesto sobre o sociedades o prácticas que se consideren elusión fiscal.
b) Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave, especialmente las relativas a la Hacienda Pública y la Seguridad Social.
Una de las principales medidas aprobadas con la Ley 2/2023 es la obligación de las empresas con una plantilla superior a los 50 trabajadores de implantar un Sistema Interno de Información, que será supervisado por un Responsable del Sistema, que se constituirá como el principal canal de denuncia de infracciones.
En el caso de grupos de empresas, la Ley permite un canal único para todo el conjunto, que será gestionado por la sociedad dominante. De igual forma, para las empresas con más de 50 trabajadores, pero menos de 250, la Ley permite que puedan compartir entre sí un único Sistema Interno de Información (sin necesidad de pertenecer al mismo grupo empresarial) en aras de ahorrar costes.
Las denuncias recibidas en los Sistema Interno de Información deberán gestionarse en un plazo máximo de 3 meses, salvo que se trate de asuntos de especial complejidad, cuya investigación podrá prorrogarse otro 3 meses más, hasta un máximo de 6.
Además de los canales internos exigidos para empresas y Administraciones Públicas, las informaciones pueden realizarse por canales externos. A tal fin, se articula la posibilidad y el procedimiento para informar ante la Autoridad Independiente de Protección del Informante, o ante las autoridades u órganos autonómicos correspondientes, de la comisión de cualesquiera acciones u omisiones incluidas en el ámbito de aplicación de la ley.
De igual forma, la protección que otorga la Ley se extiende a cualquier medida que pudiera adoptarse como represalia contra el informante en los dos años posteriores a la denuncia, que devendría nula en todo caso. Por otro lado, igualmente deja sin efecto cualquier cláusula o disposición contractual que impida o limite el derecho de información (ya sea de confidencialidad o con renuncias expresas).
Otro de los aspectos más relevantes de la nueva norma es la habilitación de aquellas empresas obligadas a incorporar sistemas internos al tratamiento de datos personales en dichos canales de denuncia. También deberán mantener un registro interno de las informaciones recibidas y archivo de las investigaciones internas realizadas que podrá ser requerido por la Autoridad judicial competente cuando así fuera necesario.
La Ley implanta un régimen sancionador propio, cuyo ejercicio corresponderá a la Autoridad Independiente de Protección del Informante, o la autoridad autonómica competente. Por ejemplo, el incumplimiento de una empresa del deber de disponer de un Sistema Interno de información, la adopción de cualquier represalia contra el informante o vulnerar las garantías de confidencialidad, tendrán la consideración de infracciones muy graves, que en el caso de personas jurídicas podrán acarrear sanciones de entre 600.001 y 1.000.000 de euros.
Respecto a la exigibilidad de la implantación de del Sistema Interno de Información y el nombramiento de un Responsable del Sistema, para evitar sanciones que pueden llegar hasta el millón de euros, se establece como plazo máximo el 13 de junio de 2023 para las empresas de 250 trabajadores o más (3 meses desde la entrada en vigor), y el 1 de diciembre de 2023 para las de 249 trabajadores o menos.
En cuanto a la implantación de canales y procedimientos internos de denuncia, la fecha límite será en todo caso el 13 de septiembre (6 meses desde la entrada en vigor).