¿Qué es el whistleblowing?

Los sistemas de denuncia interna en las empresas ó whistleblowing consisten en la creación de un sistema de denuncias sobre el incumplimiento, por parte de empleados de una empresa, tanto de normas internas, como de la normativa que rige su actividad. No es una práctica muy extendida en España, pero cada vez más empresas la están poniendo en marcha, especialmente las empresas cotizadas en bolsa.
La palabra inglesa whistleblower no tiene traducción literal al castellano. Lo más cercano sería algo parecido a chivato, delator, soplón institucional… términos que otorgan una connotación muy despectiva de la función que realmente se realiza. Hace referencia al toque de silbato que realiza un policía inglés cuando observa una conducta inapropiada e interpela al infractor mientras lo persigue para que sus compañeros se unan a la persecución y los transeúntes sean conscientes del peligro.
Existen dos sistemas de realizar las denuncias internas. Por un lado, un sistema que permita a todos los empleados ser denunciantes y denunciados, o bien un sistema que otorgue a una persona en concreto la responsabilidad de denunciar aquellas acciones que considere que pueden perjudicar a la empresa, empleados o cliente final. Este último sistema está muy extendido en Norteamérica.
Problema de Protección de Datos
El conflicto con la normativa de Protección de Datos estriba en que la recogida de los datos contenidos en la denuncia y el tratamiento de los mismos, mientras se desarrolla la investigación, se realizan sin el obligatorio consentimiento del afectado del artículo 6 LOPD.
Justificación
La justificación de esta ausencia de consentimiento radica en la necesidad, para el caso concreto, de este sistema para el desarrollo y mantenimiento de la relación contractual. Además, el empresario debe justificar la medida tomada atendiendo a los principios de finalidad y proporcionalidad.
La postura de la AEPD acerca de qué controles de la empresa serán adecuados queda clara en su Informe 2007-0128 en el que estipula una serie de requisitos mínimos para garantizar la salvaguarda de los derechos de los afectados. Así, es necesario que:
  1. Los empleados hayan sido previamente informados de la existencia de un sistema de denuncias, por lo que este sistema se encuentre ya incorporado normalmente a la relación contractual.
  2. El sistema de denuncias se limite a aquellas relacionadas con acciones que tengan efectiva implicación en la relación laboral. La mayoría de estas denuncias serán relativas a actividades ilegales o inmorales, aprovechamiento de la institución para lucro personal, gastos injustificados o excesivos, etc.
  3. El denunciante quede identificado. En pro de la exactitud e integridad de la denuncia, no se debe dar trámite a denuncias anónimas. Aún así, para el buen funcionamiento del sistema, es necesario garantizar la confidencialidad del denunciante, por lo que no será revelada al afectado en caso de que éste ejerza su derecho de acceso. Al quedar identificado el denunciante, se podrán tomar medidas disciplinarias cuando se den casos de denuncias falsas o malintencionadas.
  4. Se informe al denunciado, dentro del plazo de 3 meses, contados desde el momento del registro de la denuncia, de forma expresa, precisa e inequívica, por parte del responsable del fichero, del contenido del tratamiento, los destinatarios de la información y demás contenido del artículo 5.1 LOPD .
  5. Quede garantizado el tratamiento confidencial de las denuncias a través de estos sistemas hasta que se resuelvan.
  6. Se establezca un plazo máximo de conservación de los datos relacionados con las denuncias. La investigación interna no ha de extenderse más allá de lo necesario y, si esta auditoría interna derivase en un procedimiento judicial, la empresa deberá colaborar para no dilatar en demasía dicho procedimiento.
  7. El sistema de whistleblowing garantice, en todo caso, el ejercicio de los derechos reconocidos legalmente. Estos derechos van desde el de información, que se incorporará al contrato laboral, hasta los de acceso, rectificación, cancelación y oposición, pasando por la información relativa al tratamiento y finalidad de los datos.
  8. Se implanten las medidas de seguridad que correspondan al tipo de datos que contengan las denuncias, con la correspondiente notificación del tratamiento de los datos a la AEPD, a fin de obtener su inscripción en el Registro General.

Regulación

Es muy necesaria una regulación estatal de estos sistemas que garantice los derechos de todas las partes implicadas: denunciantes, denunciado y empresa. En España, el Código Unificado de la CNMV para empresas cotizadas, recomienda el establecimiento de cauces internos para la denuncia de irregularidades: “Recomendación de que las sociedades establezcan, bajo la supervisión del Comité de Auditoría, algún mecanismo que permita a los empleados denunciar de forma confidencial o, si se considera oportuno, incluso anónima las irregularidades que observen en la sociedad. El Grupo entiende que tales mecanismos se referirán principalmente al ámbito financiero y contable. Y parte de la convicción de que las sociedades que los establezcan lo harán con escrupuloso respeto de lo dispuesto en la Ley Orgánica de Protección de Datos de Carácter Personal.”

El Congreso Norteamericano aprobó en 2002 la Ley Sarbanes-Oxley (SOX), con el fin de controlar a las empresas que cotizan en bolsa para evitar que las acciones de las mismas sean alteradas de manera dudosa, mientras que su valor es menor. Su finalidad es evitar fraudes y riesgo de bancarrota, protegiendo al inversor. Impone a las sociedades norteamericanas o extranjeras cotizadas en EEUU, así como a sus filiales en el exterior, el establecimiento de un código ético y un sistema que permita a los trabajadores denunciar anónimamente las malversaciones contables y financieras y los fraudes que puedan conocer. Esta ley fue la respuesta del gobierno americano a escándalos como el Caso Enron o el caso Tyco International. La Whistleblowers Protection Act de 1989, sienta las bases de los derechos de los “chivatos internos”.

Por su parte, en Francia, el Gobierno inició consultas con la patronal y los sindicatos para regular lo que denominan “sistemas de alerta profesional” en cualquier empresa. Ambos coinciden en que no se puede obligar a ningún trabajador a denunciar, en que ningún empleado pueda ser despedido por utilizar de buena fe el sistema de denuncias, así como en que se garantice el derecho a la defensa de las personas denunciadas.

No creo necesaria una regulación como la americana para el volumen de esta actividad que existe actualmente en España, pero cada vez va a ser más necesaria. Habrá que tener en cuenta tanto a asociaciones de empresarios, representantes de los trabajadores y poder normativo para llegar a sentar unas bases que, desarrolladas posteriormente, sean efectivas y consigan la finalidad perseguida sin quebrantar los derechos de ninguna de las partes. En cualquier caso, creo que la clave está en la información al trabajador, los límites que se impongan a los empresarios y el castigo de conductas que pongan en peligro la eficacia y eficiencia de estos sistemas.