Los denominados canales de denuncias –whistleblowing channels, en la terminología anglosajona— no son ajenos a nuestra legislación y constituyen un elemento esencial de cualquier modelo de cumplimiento normativo razonablemente eficaz.
La Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, cuya transposición debería haberse producido el día 17 de diciembre de 2021, va mucho más allá de lo que su denominación sugiere y no sólo se circunscribe a establecer mecanismos institucionalizados de tutela a favor de quienes en el marco de una actividad pública o privada denuncien transgresiones del Derecho de la Unión.
Aunque son muchos los aspectos que se abordan, y pese a que no haya certeza sobre la fecha en la que sus previsiones normativas quedarán incorporadas al derecho interno, probablemente el mayor impacto de la Directiva venga propiciado por la obligación [art. 8] que se impone a las entidades jurídicas del sector público, y las entidades del sector privado que cuenten con más de 50 trabajadores, de implantar canales y procedimientos de denuncia interna.
El presupuesto de la protección que la Directiva dispensa a los denunciantes es precisamente la obligación de contar tanto en el ámbito público como privado con canales internos y, en algunos casos, externos, a través de los cuales se puedan comunicar infracciones del Derecho de la Unión con arreglo a procedimientos que aseguren una correcta tramitación y seguimiento de las denuncias. Las medidas de protección que la directiva establece a favor de los denunciantes encuentran su adecuado contexto en este marco que la propia norma contribuye decisivamente a configurar. A partir de ahí la directiva proclama el principio de indemnidad de los denunciantes –la proscripción de represalias— establece la obligación de asegurar la confidencialidad del canal y de todo el procedimiento de recepción y seguimiento de las denuncias y dispone un elenco de medidas de apoyo y protección a los denunciantes.
Las denuncias a las que se refiere la directiva abarcan [art. 2] infracciones del Derecho de la Unión en un amplio ámbito de materias –contratación pública, servicios y productos y mercados financieros, prevención del blanqueo de capitales y la financiación del terrorismo, protección del medio ambiente, protección de la privacidad y datos personales, entre otras— que pueden ser ampliadas por los Estados al incorporar la Directiva al derecho interno.
También resulta significativamente amplio el ámbito de aplicación subjetivo. La directiva extiende su protección [art. 4] a los trabajadores del sector privado o público partiendo de una consideración notoriamente expansiva del concepto de trabajador –ya de por sí amplio en la jurisprudencia de la Unión— que incluye a los trabajadores asalariados, los funcionarios, trabajadores autónomos, accionistas de sociedades, los accionistas y las personas pertenecientes a los órganos de administración de una empresa, los voluntarios, los trabajadores en prácticas, sean estas o no remuneradas, así como cualquier persona que trabaje bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.
Sin salir de los canales de denuncia internos, y desde las perspectiva de las entidades privadas, la implementación de los canales de denuncia contemplados en la Directiva implica dos importantes exigencias que afectan al tratamiento y resolución de las comunicaciones que se cursen a través del canal.
La primera tiene que ver con todo el procedimiento de tramitación y seguimiento de las denuncias, y remite tanto al deber de las organizaciones de contar con canales eficaces y que garanticen la confidencialidad del denunciante, como a la natural obligación de dotarse [art. 9] de un órgano imparcial –colegiado o unipersonal— que reciba y de respuesta a las denuncias. Y es que la implantación de un canal de denuncias conlleva, lógica y necesariamente, la existencia de un órgano que se responsabilice de su gestión y de darles oportuna respuesta que, adicionalmente, deberá quedar sometido a un particular estatuto que asegure su imparcialidad y, de ese modo, lo haga confiable.
Aunque no procede directamente de la Directiva, la otra vertiente relevante de los canales de denuncias y su implantación en las entidades privadas es la que concierne al tratamiento de datos de carácter personal y el estricto cumplimiento de la normativa – Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales— que estos sistemas de información exigen. No sólo porque los canales de denuncia deben ser seguros y eficaces y, en consecuencia, las organizaciones que los establezcan deben adoptar las medidas necesarias para garantizar su confidencialidad. La tramitación de las denuncias exigirá, por lo regular, tratar datos de una pluralidad de personas cuyos específicos derechos en cuanto al tratamiento de sus datos personales se habrán necesariamente de respetar por las empresas. Y eso pasa en la mayoría de las ocasiones por disponer de los adecuados mecanismos de control respecto al acceso a los datos contenidos en los sistemas de comunicación de infracciones y su conservación.
El artículo 24 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales ya contempla expresamente los requerimientos de estos sistemas y las obligaciones que sus responsables deben observar en el tratamiento y conservación de las denuncias. Pero no todas las organizaciones cumplen con los requisitos. Más bien al contrario.
De este modo, al esfuerzo de crear un canal de denuncias y constituir un órgano que lo gestione se añade la tarea de someter los procesos de gestión de las denuncias a las exigencias de la normativa de protección de datos. Y aunque existen opciones para la externalización del canal de denuncias, no es ni conveniente ni probablemente muy posible ajustar exclusivamente el canal a los requisitos de la normativa de protección de datos sin hacer una revisión íntegra de la efectiva adecuación de todo modelo. Al menos para las entidades jurídicas del sector privado que tengan entre 50 y 249 trabajadores la obligación de establecer canales de denuncia interna se podrán diferir hasta el 17 de diciembre de 2023 por los Estados a los que la Directiva se dirige, y que habrán de aprobrar las disposiciones legales o reglamentarias para darle cumplimiento.
