Ley 2/2023 de protección del informante

La Ley 2/2023, de 20 de febrero protege a las personas que informan sobre infracciones y combate la corrupción. Traspone al derecho español la Directiva (UE) 2019/1937. Está en vigor desde el 13 de marzo de 2023 y fija obligaciones claras para empresas y administraciones. Abajo te explicamos a quién obliga, qué tienes que preparar y qué sanciones prevé.

¿A quién obliga la Ley 2/2023?

En el sector privado, la obligación empieza en las 50 personas. Toda empresa con 50 o más trabajadores debe tener un Sistema interno de información. Las entidades de sectores regulados, como los servicios financieros, están obligadas sea cual sea su plantilla.

En el sector público la obligación es general. Alcanza a la Administración del Estado, a las comunidades autónomas y a todas las entidades locales. La Directiva permitía dejar fuera a los municipios de menos de 10.000 habitantes, pero España no aplicó esa excepción. También obliga a partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones cuando gestionan o reciben fondos públicos.

Las pymes y los municipios pequeños tuvieron más tiempo. La regla general daba 3 meses desde la entrada en vigor para implantar el sistema. Las empresas privadas de menos de 250 trabajadores y los municipios de menos de 10.000 habitantes pudieron esperar hasta el 1 de diciembre de 2023. Las empresas de 50 a 249 trabajadores pueden además compartir medios para gestionar las comunicaciones.

¿Cómo se implanta el Sistema interno de información?

El canal interno es el cauce preferente. La ley pide usarlo primero cuando la infracción se puede resolver dentro de la organización y no hay riesgo de represalia. Debe estar abierto a trabajadores, autónomos, becarios y demás personas vinculadas a la entidad.

El sistema tiene que cumplir varios requisitos:

• permitir comunicaciones por escrito, verbalmente o de ambos modos;
• admitir y tramitar denuncias anónimas;
• mantener la confidencialidad del informante y de los terceros mencionados;
• nombrar a un Responsable del Sistema que actúe de forma independiente;
• llevar un libro-registro de las comunicaciones, que no es público y se conserva un máximo de 10 años;
• tratar los datos conforme al RGPD y a la normativa española de protección de datos.

El Responsable del Sistema es una figura clave. Lo nombra el órgano de gobierno de la entidad. Su nombramiento y su cese se comunican a la Autoridad Independiente de Protección del Informante, A.A.I., en un plazo de 10 días hábiles. Ejerce sus funciones sin recibir instrucciones de otros órganos.

La ley fija plazos estrictos. Hay que acusar recibo de la comunicación en un máximo de 7 días naturales. La respuesta al informante no puede superar los 3 meses, ampliables otros 3 meses en casos de especial complejidad.

El procedimiento no es lo mismo que la herramienta. El canal describe el proceso, pero el sistema completo debe ser funcional, proteger los datos y controlar quién accede a ellos. Wemoral, como canal de denuncias, cumple esos requisitos y permite implantarlo sin construir una herramienta desde cero. Si partes de cero, te ayudamos con un modelo de política de denuncias y con la guía para implantar el sistema.

¿Qué infracciones se pueden comunicar?

La ley cubre muchos tipos de infracción. A través del Sistema interno o del canal externo se pueden comunicar:

• las infracciones del derecho de la Unión Europea que entran en la Directiva 2019/1937, como las que afectan al mercado interior o al dinero de la UE;
• las infracciones penales o administrativas graves o muy graves del derecho español;
• sobre todo, las que causan un perjuicio económico a la Hacienda Pública o a la Seguridad Social.

Hay materias excluidas. La ley deja fuera la información clasificada, el secreto profesional de médicos y abogados, el secreto de las deliberaciones judiciales y la seguridad y salud en el trabajo. También quedan fuera otros sectores que tienen su propia normativa.

¿Quién puede ser informante?

No solo el trabajador en plantilla. Informante es quien comunica o hace pública una infracción que conoció por su trabajo. Lo explicamos a fondo en el texto sobre quién es un denunciante. Según la ley, puede serlo:

• el empleado público o trabajador por cuenta ajena;
• el autónomo;
• el socio y los miembros de los órganos de administración, dirección o supervisión;
• quien trabaja para contratistas, subcontratistas y proveedores;
• el voluntario, el becario y la persona en formación;
• el candidato que obtuvo la información durante el proceso de selección;
• el extrabajador, aunque la relación ya haya terminado.

La protección alcanza también a los representantes de los trabajadores y a los allegados que puedan sufrir represalias, como familiares o compañeros.

¿Cómo se protege al informante?

El objetivo central de la ley es proteger frente a represalias. La protección nace desde la comunicación o la revelación pública. Para ello, el informante debe tener motivos razonables para creer que la información era veraz en ese momento y que entraba dentro del ámbito de la ley.

Prohibición de represalias

El catálogo de represalias es abierto. Incluye el despido, la suspensión o no renovación del contrato, la degradación, la denegación de ascensos, la modificación sustancial de las condiciones de trabajo, los daños reputacionales o económicos, la coacción, la intimidación, el acoso, el ostracismo, la inclusión en listas negras o la denegación de formación. La prohibición incluye también la amenaza o la tentativa de represalia.

Los actos de represalia son nulos de pleno derecho. La ley los declara sin efecto y da lugar a medidas correctoras, responsabilidad disciplinaria y, en su caso, indemnización de los daños causados.

Inversión de la carga de la prueba

El informante no tiene que probar la represalia. Una vez que demuestra que comunicó conforme a la ley y que sufrió un perjuicio, se presume que ese perjuicio fue una represalia. Le corresponde a la otra parte probar lo contrario.

«Una vez que el informante haya demostrado razonablemente que ha comunicado o ha hecho una revelación pública de conformidad con esta ley y que ha sufrido un perjuicio, se presumirá que el perjuicio se produjo como represalia por informar. En tales casos, corresponderá a la persona que haya tomado la medida perjudicial probar que esa medida se basó en motivos debidamente justificados no vinculados a la comunicación.»
Artículo 38.4 de la Ley 2/2023, de 20 de febrero

Vías de comunicación

La ley prevé tres vías para comunicar la misma infracción:

La A.A.I. gestiona el canal externo. Es una autoridad administrativa independiente de ámbito estatal. Da acuse de recibo en un máximo de 5 días hábiles, decide sobre la admisión en 10 días hábiles y resuelve en un plazo máximo de 3 meses. La revelación pública solo queda protegida en tres casos: cuando los canales previos no actuaron en plazo, cuando hay un peligro inminente o claro para el interés público o cuando el canal externo no sería eficaz.

¿Qué sanciones prevé la ley?

El régimen sancionador es severo. Las multas dependen de la gravedad de la infracción y de si el responsable es una persona física o jurídica.

Las represalias y la falta de canal son infracciones muy graves. También lo son vulnerar la confidencialidad o intentar revelar la identidad del informante. En estos casos, la A.A.I. puede añadir la amonestación pública, la prohibición de obtener subvenciones durante un máximo de 4 años y la prohibición de contratar con el sector público durante un máximo de 3 años.

Las sanciones más graves se hacen públicas. Las multas de 600.001 € o más impuestas a personas jurídicas por infracciones muy graves pueden publicarse en el Boletín Oficial del Estado una vez firmes. Las infracciones muy graves prescriben a los 3 años, las graves a los 2 y las leves a los 6 meses.

La Ley 2/2023 ya está en vigor, así que las entidades obligadas deberían tener listo su canal interno de denuncias. Si quieres ver cómo encaja con el resto de Europa, repasa nuestra lista de leyes de denuncia por país. Cuanto antes implantes el sistema, menor será el riesgo de multas.