Ley búlgara de protección del informante "ЗЗЛПСПОИН"

Bulgaria confió su sistema de denuncias a una oficina insospechada. La Comisión de Protección de Datos Personales gestiona el canal estatal de denuncias. La Ley de Protección de las Personas que Denuncian o Divulgan Públicamente Información sobre Infracciones (ЗЗЛПСПОИН) prohíbe las denuncias anónimas y desestima cualquier hecho de más de dos años de antigüedad. Si una empresa omite el canal interno, puede ser multada hasta con 20.000 levas. Así funcionan las normas.

¿A quién y qué protege la ley?

La ley abarca un campo amplio. Una denuncia puede señalar una infracción del Derecho de la UE. Esto incluye la contratación pública, los servicios financieros y la seguridad de los productos. También incluye la seguridad del transporte, el medio ambiente, la salud pública y la protección de datos. Pero Bulgaria fue más allá de lo que exige la Directiva. La ley cubre cualquier delito común del que un trabajador tenga conocimiento en su trabajo. También cubre las normas búlgaras sobre el trabajo, la función pública y las deudas públicas. Así, un trabajador puede denunciar un robo o el encubrimiento de un fallo de seguridad, no solo una infracción del Derecho de la UE.

"Esta Ley se aplica a las denuncias o divulgaciones públicas de información sobre ... un delito de naturaleza general del que una persona contemplada en el artículo 5 haya tenido conocimiento en relación con el desempeño de su trabajo."
Artículo 3(1) de la Ley de Protección de las Personas que Denuncian Infracciones

La protección alcanza a una larga lista de personas. Cubre a los empleados y a los funcionarios públicos. Se incluye a los trabajadores autónomos, contratistas y proveedores. También a los voluntarios y a las personas en prácticas. El amparo se extiende a los directivos de la empresa, los accionistas y el propietario único de una firma. Llega incluso a un candidato a un puesto que tuvo conocimiento de una infracción durante su contratación, y a un trabajador cuyo contrato ya ha finalizado. Las personas que ayudan y los familiares también están protegidos, ya que pueden sufrir represalias por la denuncia de otra persona.

Algunos asuntos quedan fuera de la ley. No afecta a la información clasificada ni a los acuerdos de defensa amparados por los tratados de la UE. El secreto profesional queda excluido, de modo que los abogados obligados al sigilo siguen amparados. La confidencialidad médica también queda excluida. Igual que las deliberaciones de los tribunales y las normas del procedimiento penal.

¿Qué empleadores deben crear un canal?

La obligación recae en todos los empleadores del sector público. También recae en las empresas privadas con 50 o más trabajadores. En algunos ámbitos el tamaño no importa. Una empresa del sector financiero o de la lucha contra el blanqueo de capitales debe crear un canal con independencia de su plantilla. Lo mismo ocurre con otros ámbitos de actos de la UE enumerados. Los municipios pequeños tienen una concesión. Un municipio de menos de 10.000 habitantes puede compartir recursos con otros. También uno con menos de 50 empleados.

La obligación llegó por fases. La ley entró en vigor el 4 de mayo de 2023, tres meses después de su publicación. Los organismos públicos y las empresas privadas más grandes tenían que estar listos para entonces. Las empresas privadas con 50 a 249 empleados dispusieron de más tiempo. Su plazo era el 17 de diciembre de 2023. Esas empresas medianas también pueden gestionar un canal compartido. Pueden designar a una persona o a una unidad para que gestione las denuncias de todo el grupo.

Todo empleador obligado debe publicar cómo denunciar. Los detalles van en su sitio web y en sus instalaciones. Y debe revisar sus propias normas de denuncia al menos una vez cada tres años.

¿Cómo se crea el canal de denuncias interno?

Primero, designe a un empleado para recibir y evaluar las denuncias. Puede ser la persona que ya se encarga de la protección de datos. Sirve siempre que no haya conflicto de intereses. Solo esa persona puede leer las denuncias entrantes. Debe mantener a salvo el nombre de cada denunciante. Debe excluir a cualquiera que no tenga necesidad de verlo. El personal debe poder denunciar por escrito, por teléfono o en persona. El denunciante rellena un formulario estándar, fijado por la comisión de protección de datos.

"Los empleados responsables de examinar las denuncias deberán ... acusar recibo en un plazo de 7 días, garantizar que la identidad del denunciante quede debidamente protegida y dar respuesta sobre las medidas adoptadas en un plazo no superior a tres meses."
Artículo 16 de la Ley de Protección de las Personas que Denuncian Infracciones

Entonces empieza a correr el reloj. El gestor debe confirmar la recepción en un plazo de 7 días. Debe dar respuesta al denunciante en un plazo de tres meses. Cada empleador lleva un registro no público de las denuncias. El registro anota quién recibió la denuncia y cuándo. Anota la presunta infracción y la medida que se adoptó a continuación. Si los hechos se confirman, el gestor propone una solución. Si aparece un delito, el expediente pasa directamente al fiscal.

WeMoral entrega al responsable designado una bandeja de entrada sellada. Nadie más puede abrirla. También lleva el registro no público que exige el artículo 18, con cada entrada marcada con su fecha y hora. Es un software de denuncias autoalojado que cumple lo que ЗЗЛПСПОИН exige al canal interno. Una empresa privada puede ceder la tarea a un proveedor externo, y WeMoral ocupa ese puesto. Cuando la comisión remite un caso, o el Defensor del Pueblo audita el expediente, ese registro con marca de tiempo es la prueba a la que recurrir. Puede abrir el canal interno en un día.

¿Qué ocurre cuando se denuncia al Estado?

La vía externa pasa por un solo organismo. Bulgaria designó a su Comisión de Protección de Datos Personales como autoridad central para las denuncias externas. El mismo regulador que protege los datos personales recibe ahora las denuncias. No juzga la mayoría de los casos por sí mismo. Remite cada denuncia al regulador sectorial correspondiente en un plazo de 7 días. Y mantiene el nombre del denunciante fuera de ese traspaso.

"La autoridad central para la denuncia externa y para la protección de las personas a las que se concede protección en virtud de esta Ley será la Comisión de Protección de Datos Personales."
Artículo 19 de la Ley de Protección de las Personas que Denuncian Infracciones

La lista de organismos receptores es larga. Una denuncia financiera va a la Comisión de Supervisión Financiera. Una denuncia alimentaria va a la Agencia Búlgara de Seguridad Alimentaria. Una denuncia de competencia va al regulador de la competencia. En total, la comisión puede derivar las denuncias a 14 autoridades designadas. Debe dar respuesta al denunciante en un plazo de tres meses. Un caso difícil puede extender ese plazo a seis meses. Puede consultar las normas del canal en el propio sitio de la comisión.

El canal es una unidad propia dentro de la comisión. Las denuncias se reparten al azar entre personal formado. Ese personal no puede transmitir los detalles de las denuncias a nadie. Esa prohibición alcanza incluso a los demás miembros de la comisión.

Hay un control adicional por encima. El Defensor del Pueblo de la República audita la labor de la comisión en materia de denuncias. El Defensor del Pueblo examina si se cumplieron los plazos, si los registros se ajustan a la ley y si se mantuvo a salvo a los denunciantes. También atiende las quejas contra la comisión, e informa cada año al Parlamento. Así, el organismo que gestiona el canal está a su vez vigilado.

Sin denuncias anónimas, y un reloj de dos años

Bulgaria tomó dos decisiones que la Directiva dejaba abiertas. No iniciará un procedimiento sobre una denuncia anónima. Y no actuará sobre una infracción cometida hace más de dos años. El formulario estándar pide el nombre completo y la dirección del denunciante. Pide su teléfono y su firma. Así, el sistema está construido en torno a las denuncias con nombre.

"No se iniciará ningún procedimiento sobre: 1. denuncias anónimas; 2. denuncias relativas a infracciones cometidas hace más de dos años."
Artículo 9 de la Ley de Protección de las Personas que Denuncian Infracciones

Hay una válvula de seguridad. Supongamos que una persona denunció de forma anónima. Supongamos que se la identificó después y entonces sufrió represalias. La ley sigue amparándola. Solo necesita tener motivos fundados para creer que la denuncia era cierta. Así, el reloj de dos años y la regla de no admitir denuncias anónimas estrechan la puerta de entrada. Pero no despojan de amparo a quien es desenmascarado y castigado.

¿Cómo se protege a los denunciantes frente a las represalias?

Las represalias están prohibidas de plano. La ley enumera 15 formas de ellas. Van desde el despido y la degradación hasta una rebaja salarial. Incluyen un traslado forzoso y una mala referencia. Una lista negra, la rescisión de un contrato y la retirada de una licencia figuran en la lista. También una orden de someterse a un examen médico. Las amenazas y las tentativas cuentan igualmente.

"Queda prohibida toda forma de represalia contra las personas contempladas en el artículo 5, que tenga carácter de represalia y las coloque en situación de desventaja, así como las amenazas o tentativas de tal acción."
Artículo 33 de la Ley de Protección de las Personas que Denuncian Infracciones

La ley también inclina el terreno a favor del denunciante. Un denunciante que sufra represalias puede reclamar una indemnización. El daño se presume intencionado hasta que la otra parte demuestre lo contrario. Y en un caso de represalias, la carga recae en el empleador. Debe probar que su actuación tenía un motivo lícito. Debe demostrar que la denuncia no fue la causa.

El amparo viene acompañado de apoyo. La comisión presta asesoramiento gratuito. La Oficina Nacional de Asistencia Jurídica presta asistencia jurídica. Esto abarca causas penales, civiles y administrativas. Un mediador puede ayudar en disputas transfronterizas. El denunciante también queda exento de responsabilidad por la obtención de la información. Y una divulgación protegida de un secreto comercial se considera lícita.

Un denunciante que se enfrente a una acción judicial tiene un derecho más. Puede pedir al tribunal que sobresea la causa. Solo necesita haber tenido motivos fundados para creer que la denuncia era necesaria para sacar a la luz una infracción.

¿Cuáles son las multas?

Las sanciones se expresan en levas, la moneda nacional. La leva está vinculada al euro a un tipo de 1,95583. El presidente de la comisión de protección de datos dicta las notificaciones de sanción. El dinero va al presupuesto del Estado. Las cifras de abajo aumentan en caso de infracción reiterada.

El diseño de Bulgaria es propio. La mayoría de los países crearon una oficina nueva. Otros se apoyaron en un regulador laboral. Bulgaria encomendó la tarea a su guardián de datos. Luego puso a un Defensor del Pueblo a vigilar al vigilante. Sobre el papel es un encaje pulcro. La comisión ya sabe cómo mantener los nombres en secreto. La pregunta abierta es más difícil. ¿Encauzar una denuncia a través de una sola comisión, y de ahí a 14 ministerios, mantiene al remitente tan a salvo como promete la ley? Para ver cómo se sitúa Bulgaria junto al resto del bloque, nuestra lista de leyes de denuncia por país las pone una al lado de la otra.