Ley de Protección al informante

Lide Ibarra Gutiérrez
Abogada – Área Legal de SAYMA.

Por fin ha sido publicada en el BOE la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, más conocida como la Ley de Protección al Informante. Esta nueva Ley obliga a incorporar un sistema/canal interno de información en los siguientes términos:

1. ¿Quiénes están obligados a implantar un sistema interno de información?

• Las personas físicas o jurídicas del sector privado que tengan contratados 50 trabajadores/as o más, o las que entren en el ámbito de aplicación de los actos de la Unión Europea en materia de servicios, productos y mercados financieros.
• Los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por éstos, siempre que gestionen fondos públicos.
• Todas las entidades del sector público.
• Las personas jurídicas que tengan menos de 250 trabajadores/as podrán compartir el sistema interno de información y los recursos destinados para ello, incluso en aquellos casos en que se decida externalizar el servicio.
• Las entidades que ya contasen con un sistema similar deberán adaptarse, de ser necesario, a las previsiones de la citada Ley.

2. ¿Cuál es el plazo para implantar el sistema de información?

El plazo es de 3 meses, desde la entrada en vigor de la Ley, para que las Administraciones, organismos, empresas y demás entidades obligadas implanten un sistema interno de información.

Excepción: El plazo se extiende hasta el 1 de diciembre de 2023 para que las empresas del sector privado con menos de 250 trabajadores/as y para las Administraciones Locales de municipios de menos de 10.000 habitantes implanten un sistema interno de información.

3. ¿Qué requisitos debe cumplir el sistema de información?

Deberá estar diseñado y gestionado de una forma segura, eficaz e independiente.

Deberá incluir todo canal interno de información establecido en la entidad y deberá permitir que la presentación de las comunicaciones se haga de manera oral o escrita.

La presentación y posterior tramitación de comunicaciones se podrá llevar cabo de forma anónima.

El sistema interno debe contar con un responsable de su gestión, que será designado por el órgano de administración o de gobierno de la entidad.

4. Posibilidad de externalizar la gestión del sistema interno de información

Es posible externalizar la gestión del sistema interno de información -la recepción de informaciones-. El tercero gestor deberá ofrecer, en todo caso, garantías adecuadas de respeto a la independencia, a la confidencialidad, a la protección de datos y al secreto de las comunicaciones.

5. Protección de datos personales

Las personas a las que se refieran los hechos denunciados no podrán conocer el nombre de los informadores.

Se restringirá el acceso al sistema de información únicamente a determinadas categorías de usuarios/as: el Responsable de Recursos Humanos, cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador/a, el Responsable de los Servicios Jurídicos y el Delegado de Protección de Datos.

La identidad del informante solo podrá ser comunicada a la Autoridad judicial, al Ministerio Fiscal o a la Autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.

6. Nombramiento de Delegado de Protección de Datos

Tanto el Preámbulo de la nueva Ley como las versiones anteriores de la norma exigen que las entidades obligadas a disponer de un sistema interno de información, los terceros externos que en su caso lo gestionen y la Autoridad Independiente de Protección de Datos (A.A.I.) así como las que en su caso se constituyan, cuenten con un Delegado de Protección de Datos.

No obstante, esta obligación es susceptible de revisión y aclaración, a expensas de lo que definitivamente acuerde el legislador.

7. ¿Qué se podrá denunciar a través del sistema interno de información?

Infracciones u omisiones que afecten a los intereses financieros de la Unión Europea, infracciones contra la competencia y ayudas otorgadas por los Estados, contra el Mercado Interior, los actos enumerados en el Anexo de la Directiva Whistleblowing, así como infracciones en materia fiscal, infracciones u omisiones penales o administrativas contra la Hacienda Pública y la Seguridad Social.

8. ¿Quiénes podrán denunciar y estarán protegidos por esta Ley de Protección al informante?

Empleados públicos/as, trabajadores/as por cuenta ajena, autónomos/as, accionistas, miembros de consejos de administración, dirección o supervisión, informantes que ya hayan concluido su relación laboral o estatutaria, voluntarios/as, becarios/as, trabajadores/as en períodos de formación e, incluso, a aquellos/as cuya relación laboral no haya comenzado y hayan obtenido la información en procesos de selección o de negociación precontractual.

9. Régimen sancionador

Órgano sancionador: La Autoridad Independiente de Protección de Datos (A.A.I.) será la autoridad competente para sancionar por infracciones cometidas en los ámbitos del sector público estatal y del sector privado en todo el territorio, excepto asuntos cuyo conocimiento haya sido atribuido a organismos autonómicos competentes.

Sujetos responsables: Las personas físicas y jurídicas que realicen cualquiera de las infracciones tipificadas, salvo que se trate de personas que no hubieran asistido por causa justificada a la reunión en que se adoptó el acuerdo infractor o que hayan votado en contra del mismo.

Extensión de la responsabilidad: La responsabilidad se extenderá a las personas responsables aun cuando haya desaparecido su relación o cesado en su actividad con la entidad respectivamente.

Infracciones: Se clasifican en leves, graves y muy graves.

• Las infracciones muy graves se sancionarán con multas de 30.001 a 300.000 € para persona física y de 600.001 a 1.000.000 € para las personas jurídicas.
• Las infracciones graves se sancionarán con multas de 10.001 a 30.000 € para persona física y de 100.001 a 600.000 € para las personas jurídicas.
• Las infracciones leves se sancionarán con multas de 1.001 a 10.000 € para persona física y hasta 100.000 € para las personas jurídicas.
• Se prevén otro tipo de sanciones para infracciones muy graves, como la amonestación pública o la prohibición de obtener subvenciones o beneficios fiscales durante un máximo de tres años.

En SAYMA podemos ayudarle en todo lo relativo a la Ley del informante. Nuestros expertos/as en Corporate Compliance y en Seguridad de la información y protección de datos le guiarán en todo lo necesario para la implantación de un sistema interno de información con todas las garantías.