El objetivo de la Directiva (UE) 2019/1937 es reforzar la protección de los denunciantes de infracciones del Derecho de la UE. A tal fin, salvo excepciones previstas en la Directiva o que podrían establecer los Estados miembros, obliga tanto a empresas como a Administraciones Públicas a crear canales internos de denuncia que deben garantizar la confidencialidad y su seguimiento. La formación en la materia será clave para una gestión adecuada

1. Antecedentes y justificación de la Directiva (UE) 2019/1937

Según una encuesta especial del Eurobarómetro de 2017 sobre la corrupción, el 81% de los europeos respondió que no informó sobre casos de corrupción que sufrieron o presenciaron. Esta cifra puede ser considerada como una de las evidencias de la situación actual en la Unión Europea en materia de denuncias de infracciones del Derecho de la Unión Europea (en adelante, la “Unión” o la “UE”), que sigue siendo un reto por la falta de una protección efectiva de los denunciantes (en inglés, también denominados como “whistleblowers”).

Además, según un estudio de la Comisión Europea, realizado también en 2017, solo en el ámbito de la contratación pública, la pérdida de beneficios potenciales por la falta de protección efectiva de los denunciantes dio lugar a unas pérdidas de entre 5.800 y 9.600 millones de euros para la UE.

La detección efectiva, la investigación y el enjuiciamiento de las infracciones del Derecho de la Unión, son actividades relevantes para garantizar la aplicación del Derecho de la Unión, terminando así con actividades ilícitas y abusos de Derecho que pueden ocasionar graves perjuicios al interés público.

En concreto, las diferencias en cuanto a la protección, o incluso la inexistencia de protección de los denunciantes, dieron lugar a que la Comisión Europea publicase en 2018 la propuesta de Directiva relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión. Proteger de manera efectiva a los denunciantes es esencial para salvaguardar el interés público, en este caso de la Unión Europea, por lo que se refiere a poder prevenir daños y detectar amenazas contra el Derecho de la Unión y sus políticas públicas. En este sentido, la protección efectiva del denunciante ayuda a detectar infracciones del Derecho de la Unión que dañan el interés público.

Lo anterior dio lugar a que se adoptase y publicase la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (Diario Oficial L núm. 305, de 26 de noviembre de 2019). Cabe señalar que la Directiva (UE) 2019/1937 se basa, en gran medida, en la Recomendación del Consejo de Europa relativa a la protección de denunciantes de 2014 (en inglés, Recommendation CM/Rec(2014)7 of the Committee of Ministers to member States on the protection of whistleblowers), que fue adoptada por el Comité de Ministros el 30 de abril de 2014. Se trata de una Directiva de mínimos y es proporcionada a los objetivos que se quieren alcanzar.

2. Algunas cifras sobre el coste de aplicación de la Directiva (UE) 2019/1937

La evaluación de impacto de la propuesta de Directiva que llevó a cabo la Comisión Europea incluía cuatro opciones de política pública, dejando a un lado la hipótesis de base, que era la relativa a mantener el statu quo. De las cuatro posibles opciones, la Comisión optó por la consistente en una iniciativa legislativa que permitiera solucionar la fragmentación actual y aumentar la seguridad jurídica.

Por lo que se refiere al impacto económico de la Directiva (UE) 2019/1937, según la citada evaluación de impacto y como se menciona en la propuesta de Directiva que presentó la Comisión, este sería para el sector público de 204,9 millones de euros por costes puntuales y de 319,9 millones de euros en concepto de costes operativos anuales. Y para el sector privado, teniendo en cuenta que genera obligaciones para medianas y grandes empresas, las cifras correspondientes serían las de 542,9 millones en concepto de costes puntuales y de 1.016,7 millones de euros por costes operativos anuales.

Uno de los tres países de la Unión Europea en los que la Directiva (UE) 2019/1937 tendrá un mayor impacto económico, según lo indicado al respecto por la Comisión, es España. Los otros dos países son Letonia y Chipre.

3. Conceptos de denunciante y de represalia

Conforme a la definición dada en la Directiva (UE) 2019/1937, por denunciante se entiende “una persona física que comunica o revela públicamente información sobre infracciones obtenida en el contexto de sus actividades laborales” (art. 5.7).

La referencia a que el denunciante “comunica o revela públicamente información sobre infracciones” da lugar a dos posibles situaciones. En primer lugar, comunicar implica denunciar a través de un canal de denuncias, ya sea interno o externo, según el caso concreto. En este sentido, por “denuncia” o “denunciar”, según la definición dada en la propia Directiva (UE) 2019/1937, se entiende “la comunicación verbal o por escrito de información sobre infracciones” (art. 5.3).

En segundo lugar, revelar públicamente es una acción que el denunciante puede llevar a cabo también en el ejercicio de su derecho a la libertad de expresión. Al respecto, los términos “revelación pública” o “revelar públicamente” son definidos como “la puesta a disposición del público de información sobre infracciones” (art. 5.6).

Y la referencia al “contexto laboral”, siguiendo la definición dada en la Directiva, abarca “las actividades de trabajo presentes o pasadas en el sector público o privado a través de las cuales, con independencia de la naturaleza de dichas actividades, las personas pueden obtener información sobre infracciones y en el que estas personas podrían sufrir represalias si comunicasen dicha información” (art. 5.9).

En relación con esto último, es necesario tener también en cuenta que la protección efectiva que se otorga al denunciante se extiende también, como explica el considerando 40 de la Directiva (UE) 2019/1937, a quienes sin tener depender “económicamente de sus actividades laborales, pueden, no obstante, sufrir represalias por denunciar infracciones”, tales como voluntarios, trabajadores en prácticas que perciben o no una compensación económica, profesionales autónomos, contratistas, subcontratistas y proveedores.

La represalia es definida como “toda acción u omisión, directa o indirecta, que tenga lugar en un contexto laboral, que esté motivada por una denuncia interna o externa o por una revelación pública y que cause o pueda causar perjuicios injustificados al denunciante” (art. 5.11). Se trata de un concepto amplio ya que, entre otras, podría consistir en la finalización anticipada o anulación de un contrato de servicios, una licencia o un permiso, pérdidas de negocios o de ingresos, coacciones, intimidaciones o acoso, inclusión en listas negras, etc.

4. Requisitos aplicables a las infracciones que se denuncian

Las infracciones que se denuncian consisten en acciones u omisiones que pueden haber ocurrido o no, siendo necesario en este último caso que “muy probablemente se vayan a cometer”, y que el denunciante tenga “motivos razonables para considerar infracciones, así como intentos de ocultar infracciones”. Es decir, se trata de un concepto amplio, ya que la protección conferida al denunciante será aplicable incluso si no aporta “pruebas concluyentes pero que planteen dudas o sospechas razonables” (considerando 43).

En cualquier caso, esta protección no será aplicable a quien comunique información pública, es decir, que esté completamente disponible para el público, ni tampoco rumores o habladurías no confirmados.

En el caso de la revelación pública de información sobre infracciones es necesario tener en cuenta que se trata del ejercicio del derecho a la libertad de expresión y de información, tal y como se prevé en el artículo 11 de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 10 del Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales.

Además, como se explica en el considerando 46, “la protección de los denunciantes como fuente de informaciones periodísticas es crucial para salvaguardar la función de guardián que el periodismo de investigación desempeña en las sociedades democráticas”.

5. Canales de denuncia “internos” y “externos”

La denuncia interna, según la definición dada en la Directiva (UE) 2019/1937, consiste en la “la comunicación verbal o por escrito de información sobre infracciones dentro de una entidad jurídica de los sectores privado o público”. En relación con el canal interno de denuncia, la entidad jurídica, pública o privada, deberá tener en cuenta las siguientes cuestiones:

— Establecimiento del canal y procedimiento de denuncia interna y de seguimiento:

• Considerar el nivel de riesgo de la entidad, en especial cuando se trate de empresas en los ámbitos del medio ambiente y de la salud pública.

• Definir el tipo de canal de denuncia que se haya de establecer, asegurándose de que garantice la confidencialidad de la identidad del denunciante;

• Diseño, establecimiento y gestión de forma segura, garantizando la confidencialidad de la identidad del denunciante y de cualquier tercero mencionado en la denuncia esté protegida;

• Limitar el acceso a la denuncia al personal autorizado; • Llevar a cabo la consulta previa a los interlocutores sociales y de acuerdo con ellos cuando así lo establezca el Derecho nacional (art. 8.1);

• Que permita a los trabajadores de la entidad y a otras personas que estén en contacto con esta en el contexto de sus actividades laborales (trabajadores no asalariados, en el sentido del artículo 49 del TFUE; accionistas y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos, así como los voluntarios y los trabajadores en prácticas que perciben o no una remuneración; cualquier persona que trabaje bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores, así como denunciantes que comuniquen o revelen públicamente información sobre infracciones obtenida en el marco de una relación laboral ya finalizada) comunicar información sobre infracciones.

— Gestión del canal y procedimiento de denuncia y de seguimiento:

• Asegurarse de que se pueda denunciar por escrito, verbalmente o de ambos modos, lo que debe incluir la posibilidad de recurrir a alguna de las siguientes vías:

- Buzón físico o plataforma electrónica;

- Verbalmente;

- Línea de atención telefónica;

- Sistemas de mensajería vocal, o

- A petición del interesado, reuniones presenciales dentro de un plazo razonable.

• En particular, en el caso del sector privado:

- Recibir e investigar con total confidencialidad denuncias, que pueden ser tanto de los trabajadores de la entidad como de sus filiales;

- Elegir a las personas o departamentos más adecuados, garantizando siempre la independencia y la ausencia de conflictos de interés, para recibir y dar seguimiento, de manera diligente, a las denuncias:

∙ Mantener la comunicación con el denunciante;

∙ Si fuera necesaria, solicitar información adicional, y

∙ Darle respuesta.

- Si se autoriza a terceros a recibir denuncias de infracciones, asegurarse de que ofrezcan garantías adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto. Estos terceros pueden ser:

∙ Un proveedor de plataformas de denuncias externas;

∙ Asesores externos;

∙ Auditores, o Representantes sindicales o representantes de los trabajadores.

• Emitir un acuse de recibo de la denuncia en el plazo de siete días desde su recepción;

• Informar al denunciante, en la medida de lo jurídicamente posible y de la manera más completa posible, sobre el seguimiento de la denuncia, en un plazo razonable, de las acciones previstas o adoptadas para seguir la denuncia y los motivos para elegir dicho seguimiento, un plazo razonable no debe exceder de tres meses, a computar a partir del:

- Acuse de recibo, si se remitió este,

- Vencimiento del plazo de siete días después de hacerse la denuncia, si no se remitió acuse de recibo al denunciante.

• Información apropiada, clara y fácilmente accesible, relativa al uso de canales de denuncia.

Y, en cualquier caso, debe tenerse en cuenta la necesidad de formación, tanto a quienes gestionan el canal de denuncias como a los potenciales denunciantes, de manera que conozcan su funcionamiento y, cuando sea aplicable, sus funciones y responsabilidades.

Decidir si el canal de denuncias se gestiona internamente o si dicha gestión se encomienda a un tercero, que además sería encargado del tratamiento en virtud de la normativa aplicable en materia de protección de datos personales, es algo que decidirá la entidad jurídica.

Cuando el canal de denuncia y seguimiento se gestiona internamente, la entidad jurídica debe designar a alguien que garantice la independencia y confidencialidad, debiendo destacar al respecto el hecho de que en el considerando 56 se indique que puede ser el responsable de la privacidad o delegado de protección de datos (DPD). Independencia y confidencialidad son esenciales por lo que se refiere al DPD, de manera que puede ser la persona adecuada para estar a cargo del canal, salvo que esto diera lugar a un conflicto de interés derivado, por ejemplo, de no poder prestar el tiempo necesario o suficiente a sus funciones como DPD.

En el caso de medianas y grandes empresas será posible compartir recursos para la recepción e investigación de las denuncias, siempre y cuando se garantice la confidencialidad, dar respuesta al denunciante y tratar la infracción denunciada. Si bien la norma general es la obligación de las medianas y grandes empresas y de las Administraciones Públicas de establecer canales de denuncia interna, debe tenerse en cuenta si es aplicable alguna de las siguientes excepciones:

— Sector privado: quedan exentas las microempresas y pequeñas empresas (menos de 50 trabajadores), salvo cuando:

• Se trate de empresas que operan en el ámbito de los servicios financieros, que están obligadas a contar con dichos canales;

• El Estado miembro imponga la obligación, tras una adecuada evaluación del riesgo y teniendo en cuenta la naturaleza de las actividades de las entidades y el correspondiente nivel de riesgo, en particular, en el caso de empresas que actúen en los ámbitos del medio ambiente y de la salud pública.

— Sector público: si el Estado miembro así lo decide en el caso de:

• Municipios de menos de 10.000 habitantes o con menos de 50 trabajadores;

• Entidades que sean propiedad o estén sujetas al control de entidades del sector público con menos de 50 trabajadores.

Y la denuncia externa es “la comunicación verbal o por escrito de información sobre infracciones ante las autoridades competentes”. En este caso, son los Estados miembros los que tienen obligaciones tanto de designación de las autoridades competentes como de velar porque estas lleven a cabo el seguimiento de las denuncias.

6. Entrada en vigor y transposición por los Estados miembros

La fecha de entrada en vigor de la Directiva (UE) 2019/1937 es el 17 de diciembre de 2019.

En cuanto a la transposición de la Directiva por los Estados miembros, tienen hasta el 17 de diciembre de 2021 para llevarla a cabo. Es decir, la transposición se deberá producir dentro del plazo de dos años desde su entrada en vigor. No obstante, por lo que se refiere a la obligación de establecer canales de denuncia interna en el caso de las entidades jurídicas del sector privado que tengan de 50 a 249 trabajadores, los Estados miembros tendrán hasta el 17 de diciembre de 2023 para transponer las previsiones relativas a esta obligación.

Miguel Recio