El pasado 23 de septiembre de 2022 fue publicada en el Boletín Oficial de las Cortes Generales, la configuración definitiva del Proyecto de Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta iniciativa normativa se realiza a instancia de la UE, y más en concreto bajo la necesidad de dar cumplimiento a la transposición de la Directiva 1937/2019 cuyo contenido fue analizado en una entrada anterior². El próximo mes de diciembre se cumplirá un año desde que expiró el plazo de transposición de la Directiva, de forma que esta normativa se aprobará con más de un año de retraso con respecto al plazo estipulado por el legislador europeo. De hecho, en enero de 2022, la Comisión inició un procedimiento de infracción contra España (INFR(2022)0073), si bien, de acuerdo con la propia Comisión, tras la respuesta de las autoridades españolas, la Comisión emitió un dictamen motivado en julio de 2022 aceptando el compromiso de garantizar la aplicación de la Directiva de la UE sobre denunciantes³. La transposición tardía podrá no acarrear sanciones, pero la Comisión evaluará con especial celo la forma en que se realiza la transposición.

Por ello, y por la trascendencia de la figura del denunciante para la arquitectura de integridad de nuestras Administraciones públicas⁴, y en concreto del ámbito de la contratación pública, la futura ley y su redacción adquieren una importancia capital. Es por eso que creemos conveniente analizar algunas cuestiones de la norma que afectarán al día a día de los poderes adjudicadores y Administraciones públicas.

1. El canal de denuncias interno
   1. Ámbito de aplicación
      Una primera consecuencia directa que plantea este texto normativo es la obligación, para todo el sector público, de aprobar un canal interno de denuncias. Se trata de una aproximación ambiciosa por parte del legislador nacional, que elimina los umbrales que establecía la Directiva como ámbito mínimo de aplicación. Y es que, a pesar de que en su artículo 8.9, la norma europea permite a los Estados eximir de la implantación del canal interno a los municipios de menos de 10.000 habitantes o entidades del sector público de menos de 50 trabajadores, el proyecto de Ley, al enunciar el ámbito de aplicación en su artículo 13, prefiere prescindir de esta opción. Por tanto, todos los poderes adjudicadores, independientemente de su tamaño, deberán contar con este canal de denuncias.
   2. Garantías
      Tomando este elemento como punto de partida, la ley contiene algunas disposiciones generales sobre las características o requisitos que deberá cumplir el canal de denuncias interno, que se aplicarán tanto a sector público como privado, entre las que creemos conveniente resaltar:
      • Se impone la obligación de realizar consulta previa con los sindicatos y representación legal de los trabajadores (empleados públicos), a quienes se les reserva por tanto un papel relevante en la configuración del canal (artículo 5.1.).
      • El órgano de administración o de gobierno tendrá la condición de responsable del tratamiento de los datos personales que sean objeto de tratamiento durante las denuncias (artículo 5.1).
      • En su artículo 5.2.b) la ley impone que el sistema garantice la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación y de las actuaciones que se desarrollen en la gestión y tramitación de la misma, la protección de datos, impidiendo el acceso de personal no autorizado.
      • Permitir la presentación de comunicaciones por escrito o verbalmente, o de ambos modos (artículo 5.2.c).
      • En el caso de existir diferentes canales internos de denuncia, estos deberán integrarse y estar disponibles de manera unificada en la página principal del espacio web de la entidad, en una sección separada y fácilmente identificable. Además, el canal de denuncias y su funcionamiento deben ser transparentes, obligando a publicar información de forma clara y fácilmente accesible sobre el uso de todo canal interno de información que hayan implantado, así como sobre los principios esenciales del procedimiento de gestión (artículo 5.2.d) y artículo 25).
      • Deben ser independientes y estar diferenciados del resto de sistemas de información del organismo (artículo 5.2.f).
      • Debe existir un procedimiento de gestión de las informaciones recibidas.
      
      La norma proporciona, en definitiva, una serie de requisitos mínimos que deberán cumplir estos sistemas internos, pero lo cierto es que no ofrece en su articulado grandes detalles sobre cómo deben garantizarse o articularse estos elementos, lo cual puede crear riesgos e incertidumbres en su aplicación. En concreto, adquiere especial relevancia el concepto de confidencialidad, que puede ser especialmente lo cual quedará a consideración de la entidad pública correspondiente.
      La mayoría de las Administraciones no disponen de experiencia en canales confidenciales, pues todos los procedimientos administrativos existentes hasta la fecha exigían una identificación previa del interesado, y los espacios administrativos en los que opera la confidencialidad a menudo son relativos a información procedente de terceras personas con respecto a otros terceros –la confidencialidad de las ofertas en materia de contratación pública, la protección de datos personales, etc. Las pocas iniciativas relativas a procedimientos anónimos y confidenciales –el caso de Ayuntamiento de Madrid para los procedimientos de acceso a la información⁵, o del Ayuntamiento de Barcelona y la implantación de su Buzón Ético⁶– no han sido seguidas hasta ahora por el resto de administraciones y persisten importantes reticencias entre los empleados públicos a su implantación. Las presiones internas, especialmente en organizaciones de pequeño tamaño, por parte de los afectados para conocer la identidad del denunciante presentan uno de los mayores riesgos de la implantación de esta normativa; y en consecuencia, elementos como el uso de aplicaciones informáticas que garanticen la trazabilidad y seguridad de las comunicaciones, o la correcta configuración del órgano receptor y su independencia, pueden ser fundamentales para su éxito.
      Para intentar mitigar el riesgo y dotar de fuerza jurídica a la obligación de confidencialidad, la norma vincula esta obligación a la existencia de un régimen sancionador que contempla como una infracción muy grave la divulgación de información del denunciante a órganos no competentes para su conocimiento. De su efectiva aplicación práctica y dependerá en gran medida el éxito de estos canales internos en el sector público.
   3. Órgano receptor y la gestión del canal por terceros
      Un tercer elemento básico del sistema interno de denunciantes es la configuración del órgano encargado del sistema interno de denuncias. Según el proyecto de Ley, éste puede ser una persona física u órgano colegiado, si bien en éste caso se deberá delegar en uno de sus miembros las facultades de gestión del Sistema interno de información y de tramitación de expedientes de investigación (artículo 8). Se exige también, evidentemente, que este órgano o persona responsable goce de la suficiente autonomía con respecto al resto de órganos de gobierno, aunque de nuevo, cómo debe lograrse este objetivo de independencia queda a elección de cada entidad pública, por lo que habrá que prestar especial atención al procedimiento de implantación.
      En determinados casos, además, se prevé la posibilidad de externalizar el servicio de gestión del Sistema interno de información para su gestión por un tercero externo. Para ello, la norma parece contemplar dos tipos de externalización diferenciados: una en favor de una empresa o entidad privada, y otra hacia otra entidad del sector público. En el primero de los escenarios, la ley prevé que solo podrá acordarse en aquellos casos en que se acredite una insuficiencia de medios propios, conforme a lo dispuesto en el artículo 116 apartado cuarto letra f) de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público. Se trata de una exigencia que, por otro lado, es general para los contratos de servicios, y que en la práctica no actúa como un requisito excesivamente limitante (artículo 15). Pero el propio artículo 15 contiene una limitación algo más contundente el alcance de esta externalización, al establecer que la gestión externa comprenderá únicamente el procedimiento para la recepción de las informaciones sobre infracciones y, en todo caso, tendrá carácter exclusivamente instrumental. Esto evita que la externalización del canal pueda derivar en un ejercicio de potestad o de autoridad pública por actores privados.
      En segundo lugar, encontramos la posibilidad de cooperación interadministrativa para gestión conjunta o la delegación de la gestión de un canal interno a otra Administración. Aquí el proyecto de ley limita, a mi juicio, el papel que pueden jugar determinadas entidades supramunicipales en la gestión de los canales de denuncia de sus municipios. Y es que, aunque como se ha mencionado, su artículo 15 habilita con carácter general a externalizar el sistema de denuncias siempre que se justifique que no existen medios propios suficientes para su gestión, el artículo 14, que aborda la posibilidad de gestionar de manera conjunta un canal de denuncias entre varias administraciones, limita su uso a municipios de menos de 10.000 habitantes y a otras entidades del sector público con menos de 50 trabajadores. De forma que, según se desprende del texto, por encima de este umbral no será posible “externalizar” el canal de denuncias a otra Administración, pero sí externalizarlo a un tercero en virtud de un contrato público. Esto genera ciertas contradicciones y reduce el margen de actuación de entidades públicas que podrían jugar un papel relevante en este contexto, como las Diputaciones u otros órganos supramunicipales. Es el caso, en concreto, del Área Metropolitana de Barcelona, a la que en un informe de septiembre de 2021 ya propusimos, desde un grupo de investigación que entonces dirigía en la UOC, ejercer las funciones las tareas de gestión del canal interno de sus municipios en aquellos casos en los que estos no contaran con los medios técnicos o el capital humano para hacerlo⁷. De acuerdo con lo expuesto, esta propuesta no sería realizable bajo el texto actualmente en tramitación parlamentaria –al menos no para los municipios de más de 10.000 habitantes y las entidades de más de 50 trabajadores–. A mi juicio, sin embargo, asumir que por encima de 10.000 habitantes o con más de 50 trabajadores este modelo de gestión pública externalizada o compartida no sería de utilidad parece algo arriesgado/aventurado, y puede dejar a un buen número de municipios y entidades sin otra vía que la externalización privada de la gestión.
2. La autoridad independiente y la prohibición de contratar por incumplimiento de la Ley

   Es de destacar, a su vez, la creación de la Autoridad Independiente de Protección del Denunciante, que será la encargada de gestionar y resolver sobre las denuncias realizadas de manera externa. El propio texto del Proyecto recuerda, como ya hacía la Directiva, que los canales internos de información debe ser complementados con un canal externo, es decir, con la posibilidad de que quien conozca el hecho susceptible de ser comunicado pueda acudir a una autoridad pública que, con todas las garantías, tenga constancia del hecho informado y proceda a investigarlo y, en su caso, y pueda colaborar con el Ministerio Fiscal cuando aprecie que el hecho objeto de la comunicación es constitutivo de delito. Para ello, de entre las diferentes alternativas que ofrece nuestro ordenamiento interno el legislador considera idóneo acudir a la figura de la Autoridad Independiente de Protección del Informante, A.A.I. como pilar básico del sistema institucional en materia de protección del informante, ya que entiende que “el carácter específico de la materia hace aconsejable que las funciones que la Directiva atribuye a las autoridades competentes sean ejercidas por una Autoridad de nueva creación sin posibilidad de acudir a otras ya existentes dentro del sector público”. La AIPD se configurará así como un ente de derecho público con personalidad jurídica propia dotado de autonomía e independencia orgánica y funcional respecto del Ejecutivo y del sector público, y en su configuración jurídica se distingue, por un lado, un régimen jurídico general, y por otro ciertas singularidades, como la posibilidad de elaborar circulares y recomendaciones que establezcan los criterios y prácticas adecuadas para el cumplimiento de la ley, y la atribución del ejercicio de la potestad sancionadora.
   En este sentido, se prevé también la posible implantación de canales externos de información por parte de las comunidades autónomas. La llevanza de dichos canales externos será asumida por Autoridades independientes autonómicas análogas a la Autoridad Independiente de Protección del Informante, A.A.I. cuya competencia podrá extenderse tanto a las informaciones sobre infracciones que sean cometidas en el ámbito de las entidades del sector público autonómico y local del territorio de la correspondiente comunidad autónoma, como a las relativas a incumplimientos imputables a entidades del sector privado que produzcan efectos únicamente en el territorio de dicha comunidad autónoma.
   Finalmente, la normativa introduce una modificación de la Ley de Contratos del sector público al modificar la letra b) del apartado 1 del artículo 71 de la Ley 9/2017, que regula una de las prohibiciones de contratar, y que queda ahora redactado como sigue:
   «b) Haber sido sancionadas con carácter firme por infracción grave en materia profesional que ponga en entredicho su integridad, de disciplina de mercado, de falseamiento de la competencia, de integración laboral y de igualdad de oportunidades y no discriminación de las personas con discapacidad, o de extranjería, de conformidad con lo establecido en la normativa vigente; o por infracción muy grave en materia medioambiental de conformidad con lo establecido en la normativa vigente, o por infracción muy grave en materia laboral o social, de acuerdo con lo dispuesto en el texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social, aprobado por el Real Decreto Legislativo 5/2000, de 4 de agosto, así como por la infracción grave prevista en el artículo 22.2 del citado texto, o de las infracciones muy graves previstas en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción por la que se transpone la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.»
   Esta modificación, junto con la redacción del artículo 65 del Proyecto de Ley de Denunciantes, habilita a la futura AAI a imponer sanciones de hasta tres años por haber incumplido esta normativa.
   Conviene recordar, en todo caso, que este apartado b) del artículo 71.1 viene a transponer la causa de exclusión por falta profesional grave contenida en el artículo 57.4.c) de la Directiva 2014/24 por falta profesional grave, que permite a los estados miembros y los poderes adjudicadores excluir a un operador si incurre en dicha circunstancia que, por otro lado, ha sido interpretada por el TJUE de manera amplia. Es decir, que probablemente, un incumplimiento de la normativa del denunciante por parte de una empresa ya hubiera podido ser considerado como una causa de exclusión incluso sin esta modificación normativa, que en todo caso viene a clarificar el escenario y a aportar seguridad jurídica en su aplicación práctica⁸.
   En definitiva, el texto del proyecto de Ley de protección de denunciantes, aunque mantiene ciertos preceptos potencialmente problemáticos, supone un paso fundamental hacia la integridad en la gestión pública y, en particular, en un sector particularmente expuesto como la contratación pública. Ésta, además, jugará con probabilidad un importante papel como instrumento para la externalización de la gestión canales internos y como ámbito de potenciales sanciones para el sector privado.

========================

¹También puede consultarse el trabajo más extenso sobre la Directiva: MIRANZO DÍAZ, J. “La nueva Directiva europea de protección del denunciante: un análisis desde el derecho público” Revista General de Derecho Europeo, 49, 2019.

²También puede consultarse el trabajo más extenso sobre la Directiva: MIRANZO DÍAZ, J. “La nueva Directiva europea de protección del denunciante: un análisis desde el derecho público” Revista General de Derecho Europeo, 49, 2019.

³Puede consultarse la respuesta de la Comisión en el Parlamento Europeo a una pregunta al respecto. https://www.europarl.europa.eu/doceo/document/E-9-2022-002602-ASW_EN.html.

⁴La importancia de esta figura ya ha sido analizada en otros trabajos. Puede verse GIMENO FELIÚ, J. M. “El necesario big-bang contra la corrupción en materia de contratación pública y su modelo de control”. Revista Internacional de Transparencia e Integridad, 2, 2016; o MIRANZO DÍAZ, J. Hacia la configuración de una estrategia eficiente de integridad en la contratación pública. Aranzadi, 2020; MIRANZO DÍAZ, J. Prevención de la corrupción en contratación pública. Wolters Kluwer, 2019.

⁵El Ayuntamiento de Madrid permite solicitar información simplemente aportando un correo electrónico, y si la información solicitada no plantea problemas jurídicos se le proporcionará al interesado al correo indicado. Eso sí, en caso de que a información que pudiera estar afectada por alguno de los límites o causas de inadmisión de los artículos 14, 15 y 18 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno y artículo 34 de la Ley 10/2019, de 10 de abril, de Transparencia y de Participación de la Comunidad de Madrid, se le requerirán los datos de identidad para poder tramitar el procedimiento de acceso. Puede consultarse el procedimiento aquí.

⁶En este caso, se desarrolló entre otras cosas una aplicación que, entre otras cosas, asegura la segregación de funciones entre los diferentes agentes gestores y receptores y asegura la trazabilidad de toda la información proporcionada a través de un entorno seguro y de la gestión de los accesos con códigos alfanuméricos que se proporciona a cada denunciante. Véase SÁNCHEZ SÁNCHEZ, R. “El Buzón Ético y de Buen Gobierno del Ayuntamiento de Barcelona”. El Consultor de los Ayuntamientos, 6, 2019.

⁷MIRANZO DÍAZ, J.; CERRILLO I MARTÍNEZ, A.; CASTRO CARRANZA; J.; GALINDO CALDÉS, R. “La prevención de la corrupción en la contratación pública del sector local: el caso del Área Metropolitana de Barcelona” REGO VILLAR, S. Auditoría y control de la respuesta al Covid-19 y de la implementación de la iniciativa Next Generation UE. XIV Encuentros técnicos de los OCEX de Santiago de Compostela. II Premio Carlos G. Otero Díaz, Aranzadi, 2022.

⁸Sobre el régimen jurídico y la problemática de la transposición y aplicación de las prohibiciones de contratar, véase MEDINA ARNÁIZ, T. Las prohibiciones de contratar desde una perspectiva europea. Aranzadi, 2018.