La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, establece en su artículo 38.1, como medida de protección frente a represalias, que las personas que informen o que hagan una revelación pública sobre acciones u omisiones recogidas en dicha Ley, no podrán considerarse como infractores responsables de ninguna restricción de confidencialidad o secreto “siempre que tuvieran motivos razonables para pensar que la comunicación o revelación pública de dicha información era necesaria para revelar una acción u omisión en virtud de esta Ley, sin perjuicio de la dispuesto en el artículo 2.3. Esta medida no afectará a las responsabilidades de carácter penal”.

Como no puede ser de otra manera, tal excepción hay que ponerla en relación con las obligaciones legales o contractuales de confidencialidad y/o secreto, a través de las que las empresas imponen a las personas que les prestan servicios (sea en régimen laboral o no) determinadas restricciones en la revelación de información a la que tienen acceso en virtud del ejercicio de las funciones que les son propias.

II.- Configuración legal y contractual de la obligación de confidencialidad.

Desde la óptica de la configuración legal de dichas obligaciones de confidencialidad, por un lado, tenemos el deber de confidencialidad de las personas que ejercen determinadas funciones dentro de una organización previsto en el art. 5.1 f) del RGPD y art. 5 de la LOPDyGDD. Asimismo, tenemos el deber general de confidencialidad respecto a los secretos empresariales, de conformidad con lo previsto en el artículo 3.2 de la Ley 1/20219 de Secretos Empresariales, que considera ilícita la revelación de dichos secretos por parte de quien haya incumplido un acuerdo de confidencialidad o cualquier otra obligación de no revelar el secreto empresarial, o quien haya incumplido una obligación contractual o de cualquier otra índole que limite la utilización del secreto, lo que deja claro que dicha obligación debe existir expresamente y estar vigente para poder incumplirse. Lo anterior, evidentemente, queda matizado por lo expuesto en el primer párrafo en relación con el art. 38.1 de la Ley 2/2023, esto es, siempre que dicho secreto empresarial esté relacionado con alguna de las materias objeto de comunicación que se prevén en la Ley 2/2023 se debe entender que no existe tal vulneración del secreto empresarial por parte de la persona informante. Lo mismo puede predicarse respecto de la obligación que dimana del artículo 5.1 f) RGPD.

A su vez, este deber de confidencialidad también lo podemos encontrar, aunque no expresamente pero sí jurisprudencialmente, en el artículo 5 a) del Estatuto de los Trabajadores como una de las obligaciones contractuales que pueden introducirse de manera lícita en un contrato de trabajo, existiendo incluso Sentencias que han declarado procedente el despido por la negativa del trabajador a firmar dichas cláusulas o acuerdos de confidencialidad. Así, el efecto de lo dispuesto en el artículo 38.1 de la Ley 2/2023 es, en su caso, eximir al trabajador de cualquier responsabilidad por incumplimiento de obligaciones contractuales por la comunicación o revelación de información confidencial dentro del ámbito material de aplicación de dicha Ley.

Asimismo, el régimen sancionador previsto en la Ley 2/2023 califica como “muy grave” cualquier actuación que limite los derechos y garantías previstos en dicha Ley mediante la introducción de cláusulas contractuales o acuerdos a nivel individual o colectivo, esto es, no es que no puedan introducirse cláusulas de confidencialidad en los contratos de trabajo o acuerdos colectivos, o en los acuerdos con profesionales o terceros, sino que lo que prohíbe es una aplicación de estas obligaciones contractuales de secreto, sigilo o confidencialidad que restrinja y pretenda sancionar las comunicaciones permitidas a través de la Ley 2/2023.

III.- Responsabilidad por la comunicación y juicio de necesidad.

Cobra vital importante, como no, el concepto de “necesidad”, pues recordemos que la cláusula de cierre del artículo 38.1 de la Ley 2/2023 establece que la exención de responsabilidad por la comunicación o revelación de información confidencial será aplicable siempre que las personas informantes “tuvieran motivos razonables para pensar que la comunicación o revelación pública de dicha información era necesaria para revelar una acción u omisión en virtud de esta Ley”. Sí, amigos, a vueltas con el juicio de necesidad.

Así pues, a los efectos de poder aplicar dicha exención de responsabilidad de la persona informante, tal y como ocurre en materia de protección de datos, pero también en otros ámbitos jurídicos, habrá que verificar si en cuanto a la comunicación o revelación se refiere, existen otras medidas menos gravosas, que causen un menor perjuicio al interés público o empresarial y a los derechos fundamentales de las personas afectadas. Es decir, la norma parece exigir un deber de diligencia previo de la persona informante, que deberá comprobar antes de realizar la comunicación o revelación si existen otras vías que causen un menor perjuicio para los derechos y libertades de terceros, en particular, de las personas afectadas por la comunicación, debiendo verificar si “existen motivos razonables” de que el uso de determinada vía de comunicación (canal interno, externo y, sobre todo, revelación pública) es la más adecuada para limitar, suprimir o minimizar los efectos de una infracción incluida en el ámbito materia de la Ley 2/2023. Por lo anterior, la protección de la persona informante quedaría sujeta a la valoración adicional de la necesidad de la comunicación o revelación pública, si bien es cierto que lo anterior no supone que se prive a la persona de toda protección ofrecida por la Ley, sino que, en su caso, no quedará exenta de responsabilidad por la comunicación o revelación de la información confidencial en cuestión si no se supera favorablemente el juicio de necesidad.

Así, superado el juicio de necesidad, parece que la Ley establece que el informante quedará exento de responsabilidad cualquier tipo y en cualquier ámbito por la revelación de la información confidencial en cuestión, no obstante, acto seguido, el mismo precepto (art. 38.1) establece que “Esta medida no afectará a las responsabilidades de carácter penal”. Suponemos que este último inciso se refiere a las responsabilidades penales en relación con el acceso ilícito a la información que se indican, como se dirá, en el apartado 2 del mismo artículo 38, por un posible delito de revelación de secretos.

Como no, también existen límites a la exención de responsabilidad y ellos se encuentran en los apartados 2 y 3 del artículo 38 de la Ley 2/2023. El primer límite es que el acceso a la información se haya producido mediante la comisión de un hecho delictivo. La segunda excepción vuelve de nuevo a referirse al principio de necesidad, al establecer que cualquier otra responsabilidad de los informantes derivada de acciones u omisiones no relacionadas con la comunicación o revelación que no sean “necesarios” para comunicar una información será exigible conforme a la normativa aplicable.

A tenor de lo anterior, lo informantes, antes de realizar la comunicación o revelación pública, deberán tomar las cautelas necesarias y evaluar si la revelación de determinado secreto o información confidencial es necesaria para el buen cauce de la investigación evaluando la afectación a los derechos de terceros. En caso contrario, podrían estar sujetos a responsabilidad de cualquier tipo.

Gerard Espuga
Abogado
DPO

La entrada Whistleblowers, confidencialidad y juicio de «necesidad» se publicó primero en Citizen8.