Berta Aguinaga: "La Ley prohíbe represaliar al informante que realice una revelación pública"

El canal de denuncias es fundamental para detectar infracciones en las organizaciones, pero hasta ahora no han sido muy utilizados en la prevención de la responsabilidad penal de las personas jurídicas. Sobre este aspecto y otros de la Ley de Protección de informantes hablamos con esta letrada especializada en Derecho Penal Económico.

¿La denuncia puede consistir en sospechas o es necesario aportar información?

La ley es parca respecto a los requisitos que debe reunir la "comunicación" que se efectúe a través de estos sistemas de información. En su artículo 35. 1 requiere que el denunciante tenga "motivos razonables" para pensar que la información que comunica es "veraz" en el momento de la denuncia, incluso aunque no "aporte pruebas concluyentes". Por tanto, lo que exige es la buena fe del denunciante que debe actuar movido por la convicción de que aquello que está denunciando es cierto.

De una lectura integrada de todos los preceptos de la Ley y en lo que a las comunicaciones que se formulen a través del Canal Externo se refiere, la Autoridad Independiente de Protección al Informante (o autoridad análoga a nivel autonómico) deberá hacer un análisis preliminar de la denuncia en los diez hábiles siguientes a su recepción, que podrá concluir en la inadmisión de la denuncia "cuando los hechos relatados carezcan de verosimilitud".

En cuanto a los procedimientos de gestión de las denuncias que se efectúen mediante los canales internos de las organizaciones, entiendo que serán éstas quienes deberán definir qué mínimos exigen para admitir las denuncias.

¿La defensa de quien filtra a la prensa la denuncia es prevalente sobre las sanciones por revelación de secretos profesionales?

Si la pregunta hace referencia a si debe prevalecer, en caso de colisión, el derecho constitucional a la libertad de expresión frente al deber de secreto profesional en sentido amplio para que el informante pueda acogerse a la protección que otorga esta Ley, la respuesta es sí.

"Excepción hecha del secreto profesional de los médicos, abogados y miembros de las Fuerzas y Cuerpos de Seguridad del Estado"

La Ley, en su artículo 28, prohíbe cualquier represalia al informante que realice una revelación pública ante la prensa, siempre que la información sea "veraz", con independencia de que ésta haga referencia a la violación de derechos de autor, vulneración de secretos, revelación de secretos empresariales o infracción de normas de protección de datos (art. 38.5). Excepción hecha del secreto profesional de los médicos, abogados y miembros de las Fuerzas y Cuerpos de Seguridad del Estado que, evidentemente, deben preservar en todo caso su obligación de secreto sin que puedan acogerse a la protección de esta Ley para filtrar infracciones.

Se pueden cursar comunicaciones por el canal externo de la Autoridad Independiente de Protección del Informante. ¿Deben preocuparse las empresas por la externalización de las informaciones?

El canal interno está concebido por la Ley como "cauce preferente", siempre que el informante considere que su organización va a poder tratar de manera efectiva la infracción y esté seguro de que le va a garantizar la ausencia de represalias derivadas de la misma.

Esta Ley supone un paso más en la concienciación a las empresas de la importancia de respetar, a todos los niveles, las exigencias de cumplimiento normativo.

Si el informante considera que la organización no ha implementado los mecanismos adecuados para garantizar la denuncia, en esas condiciones, puede acudir directamente al Externo.

Evidentemente, la habilitación del Canal Externo, gestionado por una Autoridad Independiente vinculada al Ministerio de Justicia y con acceso directo a la Fiscalía, más que preocupar, debe "ocupar" a las empresas en su compromiso con la implantación de modelos de gestión y organización adecuados para prevenir infracciones.

En definitiva, esta Ley supone un paso más en la concienciación a las empresas de la importancia de respetar, a todos los niveles, las exigencias de cumplimiento normativo.

¿Quién es el responsable de valorar si existen represalias sobre el informante?

La Ley entiende por represalia cualquier acto u omisión prohibido por la Ley o que, directa o indirectamente, implique un trato desfavorable del denunciante frente a otro en el ámbito laboral o profesional.

Se considerará represalia, entre otras acciones, el despido, suspensión del contrato de trabajo, la degradación o denegación de ascensos, no convertir un trabajo temporal en uno indefinido, la imposición de medidas disciplinarias, la terminación anticipada o anulación sobrevenida de un contrato de servicios o bienes... siempre claro, que estas acciones no obedezcan a una decisión regular y justificada de la dirección de la compañía al amparo de la legislación laboral o reguladora del estatuto del empleado público del que se trate.

La Ley exige que haya cesado en la comisión de la infracción e identificado a todas las personas involucradas en ella

Es decir, esas acciones no pueden ser consecuencia de la denuncia formulada por el informante perjudicado por las mismas. En caso de haberse adoptado como represalia, el órgano jurisdiccional o la autoridad administrativa competente declarará esa acción nula de pleno derecho y dará lugar, en su caso, a medidas correctoras disciplinarias o a responsabilidad pudiendo incluir la indemnización de los daños y perjuicios ocasionados.

¿Qué supone que el informante alcance la exención de responsabilidad si ha participado en la infracción administrativa? 

Que el órgano sancionador que esté investigando la infracción puede decidir eximir a ese informante (infractor arrepentido) del cumplimiento de la sanción administrativa que, en caso contrario, habría tenido que asumir. Para optar a la exención (que es discrecional de la autoridad competente) el infractor debe haber comunicado la infracción antes de que se le notifique el inicio del procedimiento de investigación o sancionador.

Además de ello, la Ley exige que haya cesado en la comisión de la infracción e identificado a todas las personas involucradas en ella, que haya cooperado plenamente en la investigación (incluyendo la aportación de pruebas) y que haya reparado el daño causado.

Si no cumple todos esos requisitos, el informante (infractor arrepentido) podrá tratar de beneficiarse de una atenuación de la sanción a criterio de nuevo de la autoridad competente, en función del grado de colaboración activa y de reparación o minoración del daño causado. Esa atenuación, en su caso, podría extenderse al resto de los participantes en la infracción.

¿Cómo será el libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar? 

Éste es, sin duda, uno de los principales retos que introduce la nueva Ley. Todas las empresas obligadas deben llevar un registro de las denuncias o informaciones (incluyendo las investigaciones derivadas de ellas) que garantice en todo caso las exigencias de confidencialidad previstas en la Ley.

Si la denuncia incluyera datos personales incluidos dentro de las categorías especiales de datos, éstos deberán ser inmediatamente suprimidos

A este respecto y en mi experiencia, creo que la única manera de cumplir completamente y de manera infalible los estándares de confidencialidad y seguridad que exige la norma es habilitar estos canales a través de soluciones tecnológicas. Dicho esto, lo cierto es que la Ley no las exige, así que cada organización puede configurar ese registro como considere, siempre que cumpla con las exigencias mencionadas de confidencialidad y seguridad.

¿Qué precauciones deben tener las empresas con respecto a la protección de datos? 

En materia de protección de datos, la Ley hace remisiones constantes a la LO 3/2018 de Protección de Datos. Sin embargo, en cuanto a la conservación de los datos personales que se hayan recibido en el marco de denuncias que no hayan sido investigadas en el plazo de los tres meses legalmente previstos, éstos deberán ser suprimidos.

Si se quisiera conservar la comunicación a los fines de acreditar el funcionamiento del sistema, ésta deberá anonimizarse sin que pueda realizarse sobre ella el bloqueo previsto en el artículo 32 de la LO 3/2018 de Protección de Datos.

Del mismo modo, si la denuncia incluyera datos personales incluidos dentro de las categorías especiales de datos (datos biométricos, salud, orientación sexual, etc.), éstos deberán ser inmediatamente suprimidos, sin que puedan registrarse ni tratarse a ningún efecto. Se entiende en todo caso que no son necesarios para la investigación o esclarecimiento de los hechos denunciados.

Por otro lado, he observado una inconsistencia entre el Preámbulo de la Ley y su articulado. Si bien del Preámbulo parece desprenderse la obligación para todos los sujetos obligados de designar un Delegado de Protección de Datos, el artículo 34 de la Ley solo introduce esta obligación para la Autoridad Independiente de Protección al Informante y las autoridades independientes que en su caso se constituyan. Es decir, salvando ese caso, no añade exigencias adicionales a las ya previstas en la Ley de Protección de Datos.

¿Qué papel juega el canal de denuncias en el plan de 'compliance'?

El canal de denuncias es determinante para poder detectar y aflorar las infracciones que se puedan estar cometiendo en el seno de las organizaciones (ya sean públicas o privadas).

La realidad desde que se introdujera en nuestro ordenamiento jurídico la responsabilidad penal de la persona jurídica es que los canales de denuncia existentes no han sido suficientemente utilizados en el marco de los planes de cumplimiento.

Una de las razones, entre otras, es que hasta ahora no ha existido un marco normativo que garantizara la protección del informante; reacio como es lógico a su utilización por temor a posibles represalias.