La Directiva Whistleblowing sigue a la espera de transposición en España
El plazo de transposición finalizó el pasado 17 de diciembre
La Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 (Whistleblowing), fue aprobada el 23 de octubre de 2019 con el objetivo de proteger a los denunciantes de infracciones del Derecho de la Unión, estableciendo un marco común de protección para las personas que trabajen o colaboren con entidades públicas o privadas que puedan denunciar los incumplimientos legales que se produzcan o puedan producir en el seno de las mismas.
Se trata de un instrumento creado con la finalidad de apoyar el cumplimiento regulatorio o “compliance”.
Algunos países de nuestro entorno europeo ya disponían de una legislación protectora de los denunciantes de manera previa a su aprobación, como Irlanda, Malta, Italia o Islandia. A nivel internacional, distintos países ya contemplan en su ordenamiento jurídico interno la existencia de canales de denuncia y un régimen de protección de los denunciantes, como Japón desde 2006.
El régimen contemplado en la Directiva se aplica tanto al sector público o privado, y las personas que pueden acogerse a su protección incluye tanto a empleados públicos como privados, accionistas, miembros de los órganos de administración, dirección o supervisión, voluntarios o colaboradores en prácticas. Incluye igualmente al personal de proveedores.
La Directiva obliga a las entidades sujetas a la misma, a crear canales internos de denuncia que permitan a los trabajadores de las mismas informar de las posibles infracciones que se hayan cometido o que muy probablemente vayan a cometerse. Estos canales de denuncia pueden ser tanto internos como externos.
Los Estados miembros deben velar para que las autoridades competentes publiquen una sección accesible en sus sitios web sobre las condiciones para poder acogerse a la protección de la Directiva, de los datos de contacto para los canales de denuncia externa, de los procedimientos aplicables a la denuncia de infracciones y del régimen de confidencialidad aplicable.
La transposición debería haberse producido en nuestro país con anterioridad al 17 de diciembre de 2021, si bien, para las entidades jurídicas del sector privado que tengan de 50 a 249 trabajadores, el plazo es de 2 años más, hasta el 17 de diciembre de 2023.
La transposición no se ha producido y es necesario que el Estado español defina la forma y los medios para lograr los objetivos propuestos por la Directiva. Dinamarca es el único país de la UE que ya la transpuesto en toda su extensión. Otros países como Bélgica, Irlanda, Suecia o Países Bajos tienen ya la normativa de transposición muy avanzada.
El proyecto de ley se llevará al Consejo de Ministros de enero, de modo que la tramitación pretende llevarse a cabo antes de que se abra un expediente sancionador por dicho retraso que pudiese acabar en sanción como ya ocurrió en relación con la Directiva 2016/680 UE, del Parlamento Europeo y del Consejo, de 27 de abril, que regula la protección de las personas físicas respecto al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención investigación, detección y enjuiciamiento de infracciones penales.
El plazo de trasposición de esta Directiva finalizó en 2018 sin que se hubiera aprobado una iniciativa legislativa con tal finalidad. A pesar de la aprobación extemporánea del proyecto de Ley Orgánica aprobado por el Consejo de Ministros, mediante el que se pretendía transponer tardíamente esta Directiva al ordenamiento jurídico español, en fechas casi coincidentes con la misma, se notificó la Sentencia de 25.02.2021 del Tribunal de Justicia de la Unión Europea (TJUE) en el asunto C-658/19 Comisión/España, en la que se condenó a España por no haber transpuesto ni comunicado las medidas de transposición de dicha Directiva, en particular al pago de una suma de 15,5 millones de euros a tanto alzado y una multa coercitiva diaria de 89.548,20 euros por cada día de retraso en la transposición.
Destacar que fue la primera vez que el Tribunal de Justicia de la Unión Europea (TJUE) impone estos dos tipos de multas de manera simultánea, conforme al artículo 260.3 del Tratado de Funcionamiento de la Unión Europea (TFUE). España es uno de los Estados miembros con más procedimientos de infracción abiertos según el Informe de aplicación del derecho europeo de 2019. La Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, transpuso finalmente dicha directiva.
Se trata de un instrumento creado con la finalidad de apoyar el cumplimiento regulatorio o “compliance”.
Algunos países de nuestro entorno europeo ya disponían de una legislación protectora de los denunciantes de manera previa a su aprobación, como Irlanda, Malta, Italia o Islandia. A nivel internacional, distintos países ya contemplan en su ordenamiento jurídico interno la existencia de canales de denuncia y un régimen de protección de los denunciantes, como Japón desde 2006.
El régimen contemplado en la Directiva se aplica tanto al sector público o privado, y las personas que pueden acogerse a su protección incluye tanto a empleados públicos como privados, accionistas, miembros de los órganos de administración, dirección o supervisión, voluntarios o colaboradores en prácticas. Incluye igualmente al personal de proveedores.
La Directiva obliga a las entidades sujetas a la misma, a crear canales internos de denuncia que permitan a los trabajadores de las mismas informar de las posibles infracciones que se hayan cometido o que muy probablemente vayan a cometerse. Estos canales de denuncia pueden ser tanto internos como externos.
Los Estados miembros deben velar para que las autoridades competentes publiquen una sección accesible en sus sitios web sobre las condiciones para poder acogerse a la protección de la Directiva, de los datos de contacto para los canales de denuncia externa, de los procedimientos aplicables a la denuncia de infracciones y del régimen de confidencialidad aplicable.
La transposición debería haberse producido en nuestro país con anterioridad al 17 de diciembre de 2021, si bien, para las entidades jurídicas del sector privado que tengan de 50 a 249 trabajadores, el plazo es de 2 años más, hasta el 17 de diciembre de 2023.
La transposición no se ha producido y es necesario que el Estado español defina la forma y los medios para lograr los objetivos propuestos por la Directiva. Dinamarca es el único país de la UE que ya la transpuesto en toda su extensión. Otros países como Bélgica, Irlanda, Suecia o Países Bajos tienen ya la normativa de transposición muy avanzada.
El proyecto de ley se llevará al Consejo de Ministros de enero, de modo que la tramitación pretende llevarse a cabo antes de que se abra un expediente sancionador por dicho retraso que pudiese acabar en sanción como ya ocurrió en relación con la Directiva 2016/680 UE, del Parlamento Europeo y del Consejo, de 27 de abril, que regula la protección de las personas físicas respecto al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención investigación, detección y enjuiciamiento de infracciones penales.
El plazo de trasposición de esta Directiva finalizó en 2018 sin que se hubiera aprobado una iniciativa legislativa con tal finalidad. A pesar de la aprobación extemporánea del proyecto de Ley Orgánica aprobado por el Consejo de Ministros, mediante el que se pretendía transponer tardíamente esta Directiva al ordenamiento jurídico español, en fechas casi coincidentes con la misma, se notificó la Sentencia de 25.02.2021 del Tribunal de Justicia de la Unión Europea (TJUE) en el asunto C-658/19 Comisión/España, en la que se condenó a España por no haber transpuesto ni comunicado las medidas de transposición de dicha Directiva, en particular al pago de una suma de 15,5 millones de euros a tanto alzado y una multa coercitiva diaria de 89.548,20 euros por cada día de retraso en la transposición.
Destacar que fue la primera vez que el Tribunal de Justicia de la Unión Europea (TJUE) impone estos dos tipos de multas de manera simultánea, conforme al artículo 260.3 del Tratado de Funcionamiento de la Unión Europea (TFUE). España es uno de los Estados miembros con más procedimientos de infracción abiertos según el Informe de aplicación del derecho europeo de 2019. La Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, transpuso finalmente dicha directiva.