PREÁMBULO
I
La colaboración ciudadana resulta indispensable para la eficacia del Derecho. Tal colaboración no sólo se manifiesta en el correcto cumplimiento personal de las obligaciones que a cada uno corresponden, manifestación de la sujeción de todos los poderes públicos y de la ciudadanía a la Constitución Española y al resto del ordenamiento jurídico (artículo 9.1 de la Constitución Española), sino que también se extiende al compromiso colectivo con el buen funcionamiento de las instituciones públicas y privadas.

Dicha colaboración ciudadana es un elemento clave en nuestro Estado de Derecho y, además, se contempla en nuestro ordenamiento como un deber de todo ciudadano cuando presencie la comisión de un delito, tal y como como recoge la Ley de Enjuiciamiento Criminal. Dicho deber, al servicio de la protección del interés público cuando éste resulta amenazado, debe ser tomado en consideración en los casos de colisión con otros deberes previstos en el ordenamiento jurídico.

Asimismo, nuestro ordenamiento jurídico contempla la participación ciudadana en acciones públicas con el fin de impulsar la investigación sobre actuaciones contrarias a la normativa urbanística, sobre actividades que puedan perjudicar el medioambiente o para evitar daños en el patrimonio histórico-artístico. Estos son otros ejemplos que cuentan con una larga tradición en la legislación española.

En el mismo sentido y coincidiendo con el impulso del Derecho de la Unión Europea, algunas regulaciones sectoriales, de manera especial en el ámbito financiero o de defensa de la competencia, han incorporado instrumentos específicos para que, quienes conocen de actuaciones irregulares o ilegales, puedan facilitar a los organismos supervisores datos e información útiles. Además, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, contempla la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión, en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable.

Por otra parte, son muchos los ejemplos de actuaciones cívicas que advirtieron de la existencia de prácticas irregulares y de corrupción que han permitido impulsar investigaciones que, previa la tramitación del procedimiento judicial legalmente establecido, han concluido con la imposición de la correspondiente condena penal por tales comportamientos.

No obstante, también ha de advertirse que, en ocasiones, esos loables comportamientos cívicos han generado consecuencias penosas para quienes han comunicado tales prácticas corruptas y otras infracciones, como son las presiones por parte de los denunciados, por lo que resulta indispensable que el ordenamiento jurídico proteja a la ciudadanía cuando muestra una conducta valiente de clara utilidad pública. Además, resulta importante asentar en la sociedad la conciencia de que debe perseguirse a quienes quebrantan la ley y que no deben consentirse ni silenciarse los incumplimientos. Esta es la principal finalidad de esta ley: proteger a los ciudadanos que informan sobre vulneraciones del ordenamiento jurídico en el marco de una relación profesional.

También es preciso recordar que, en línea con la corriente existente en el mundo anglosajón, que regula desde hace años la protección de los denominados «whistleblowers» –quien usa el silbato para dar alerta– algunas comunidades autónomas ya han regulado instituciones que se ocupan de recibir comunicaciones de ciudadanos informando de irregularidades. A título de ejemplo y sin perjuicio de las autoridades creadas por algunas entidades locales, cabe recordar que las comunidades autónomas de Cataluña, Valenciana, Illes Balears, Navarra, Principado de Asturias o Andalucía han abordado la cuestión de la protección de los denunciantes, si bien la regulación ha sido parcial y centrada fundamentalmente en la creación de oficinas o agencias con la específica función de prevenir e investigar casos de uso o destino fraudulentos de fondos públicos, aprovechamientos ilícitos derivados de actuaciones que comporten conflictos de intereses o uso de información privilegiada, o en general conductas contrarias a la integridad; es decir, han circunscrito esta legislación al ámbito público, con carácter previo en algunos casos a la Directiva 2019/1937.

La expresión «alertadores» ha sido acogida en algunos ordenamientos como el francés. En la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, se emplea el término «denunciantes», y en esta ley se ha optado por la denominación «informante».

Asimismo, se ha optado por emplear los términos «informaciones» y «comunicaciones» indistintamente para, de acuerdo con una redacción gramatical y sintáctica adecuada, evitar repeticiones.

II
Con la aprobación de esta ley se incorpora al Derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019. Las diferencias de tratamiento entre los distintos regímenes jurídicos existentes en los Estados miembros han generado dificultades a la hora de asegurar una aplicación coherente del Derecho europeo y perseguir sus infracciones. Para ello, la citada Directiva regula aspectos mínimos que han de satisfacer los distintos cauces de información a través de los cuales una persona física que sea conocedora en un contexto laboral de una infracción del Derecho de la Unión Europea, pueda dar a conocer la existencia de la misma. En concreto, obliga a contar con canales internos de información a muchas empresas y entidades públicas porque se considera, y así también se ha recogido en informes y estadísticas recabados durante la elaboración del texto europeo, que es preferible que la información sobre prácticas irregulares se conozca por la propia organización para corregirlas o reparar lo antes posible los daños. Además de tales canales internos, exige la Directiva la determinación de otros canales de información, denominados «externos», con el fin de ofrecer a los ciudadanos una comunicación con una autoridad pública especializada, lo que les puede generar más confianza al disipar su temor a sufrir alguna represalia en su entorno.

Estos dos claros objetivos de la Directiva, proteger a los informantes y establecer las normas mínimas de los canales de información, se incorporan en el contenido de esta ley.

La ley se estructura en 68 artículos, seis disposiciones adicionales, tres disposiciones transitorias y doce disposiciones finales.

III
El título I precisa la finalidad y el ámbito de aplicación de la ley.

La finalidad de la norma es la de proteger a las personas que en un contexto laboral o profesional detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante los mecanismos regulados en la misma.

Por lo que se refiere a su ámbito de aplicación, además de proteger a quienes informen sobre las infracciones del Derecho de la Unión previstas en la Directiva del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, esta ley abarca también las infracciones penales y administrativas graves y muy graves de nuestro ordenamiento jurídico.

Se ha considerado necesario, por tanto, ampliar el ámbito material de la Directiva a las infracciones del ordenamiento nacional, pero limitado a las penales y a las administrativas graves o muy graves para permitir que tanto los canales internos de información como los externos puedan concentrar su actividad investigadora en las vulneraciones que se considera que afectan con mayor impacto al conjunto de la sociedad.

Asimismo, se excluyen del ámbito de aplicación material los supuestos que se rigen por su normativa específica, esto es, aquella que regula los mecanismos para informar sobre infracciones y proteger a los informantes previstas por leyes sectoriales o por los instrumentos de la Unión Europea enumerados en la parte II del anexo de la Directiva (UE) 2019/1937.

La buena fe, la conciencia honesta de que se han producido o pueden producirse hechos graves perjudiciales constituye un requisito indispensable para la protección del informante. Esa buena fe es la expresión de su comportamiento cívico y se contrapone a otras actuaciones que, por el contrario, resulta indispensable excluir de la protección, tales como la remisión de informaciones falsas o tergiversadas, así como aquellas que se han obtenido de manera ilícita.

Junto a la descripción del ámbito objetivo de aplicación, precisa la ley el ámbito subjetivo, esto es, las personas que están protegidas frente a posibles represalias. Así, se extiende la protección a todas aquellas personas que tienen vínculos profesionales o laborales con entidades tanto del sector público como del sector privado, aquellas que ya han finalizado su relación profesional, voluntarios, trabajadores en prácticas o en período de formación, personas que participan en procesos de selección. También se extiende el amparo de la ley a las personas que prestan asistencia a los informantes, a las personas de su entorno que puedan sufrir represalias, así como a las personas jurídicas propiedad del informante, entre otras.

El título II de la ley contiene el régimen jurídico del Sistema interno de información que abarca tanto el canal, entendido como buzón o cauce para recepción de la información, como el Responsable del Sistema y el procedimiento. El Sistema interno de información debería utilizarse de manera preferente para canalizar la información, pues una actuación diligente y eficaz en el seno de la propia organización podría paralizar las consecuencias perjudiciales de las actuaciones investigadas. No obstante, declarada esta preferencia, el informante puede elegir el cauce a seguir, interno o externo, según las circunstancias y los riesgos de represalias que considere.

En este título se dedica un primer capítulo a las disposiciones aplicables tanto en el sector público como en el privado.

La configuración del Sistema interno de información debe reunir determinados requisitos, entre otros, su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento, investigación y protección del informante. Asimismo, resulta indispensable para la eficacia del Sistema interno de información la designación del responsable de su correcto funcionamiento.

Se ha de destacar que se permite la comunicación anónima. Cuando se traslade una comunicación en el marco del Sistema interno de información, que entre dentro del ámbito de aplicación de la ley, se aplicará la regla específica contenida en esta ley en cuanto a la posibilidad de presentación y tramitación de comunicaciones anónimas. La Directiva establece como principio el deber general de mantener al informante en el anonimato. Ahora bien, este pilar esencial de la norma europea se exceptúa cuando, bien una norma nacional prevé revelarlo, o bien se solicita en el marco de un proceso judicial, lo que ocurre en muchas ocasiones, argumentando el juzgador la necesidad de conocer la identidad de quien denunció, para garantizar el derecho de defensa del denunciado. Así, en su considerando 34 se señala: «Sin perjuicio de las obligaciones vigentes de disponer la denuncia anónima en virtud del Derecho de la Unión, debe ser posible para los Estados miembros decidir si se requiere a las entidades jurídicas de los sectores privado y público y a las autoridades competentes que acepten y sigan denuncias anónimas de infracciones que entren en el ámbito de aplicación de la presente Directiva».

Y en el artículo 6.2 se establece: «Sin perjuicio de la obligación vigente de disponer de mecanismos de denuncia anónima en virtud del Derecho de la Unión, la presente Directiva no afectará a la facultad de los Estados miembros de decidir si se exige o no a las entidades jurídicas de los sectores privado o público y a las autoridades competentes aceptar y seguir las denuncias anónimas de infracciones».

Conforme al artículo 9.1.e) también se prevé «el seguimiento diligente cuando así lo establezca el Derecho nacional en lo que respecta a las denuncias anónimas».

En este sentido, una opción de política legislativa, fruto de los modelos comparados a nivel internacional y europeo, ha sido, al igual que en la normativa de protección de datos personales, regular las informaciones anónimas y proteger a la persona que las comunica.

Un hito esencial en la admisión de la denuncia anónima lo constituye la Convención de las Naciones Unidas contra la corrupción, hecha en Nueva York el 31 de octubre de 2003, que establece en su artículo 13.2: «Cada Estado Parte adoptará medidas apropiadas para garantizar que el público tenga conocimiento de los órganos pertinentes de lucha contra la corrupción mencionados en la presente Convención y facilitará el acceso a dichos órganos, cuando proceda, para la denuncia, incluso anónima, de cualesquiera incidentes que puedan considerarse constitutivos de un delito tipificado con arreglo a la presente Convención».

El Consejo de la Unión Europea, en su Decisión de 25 de septiembre de 2008, en nombre de la entonces Comunidad Europea, aprobó la Convención de las Naciones Unidas contra la Corrupción.

Asimismo, en ámbitos sectoriales de la Unión Europea hay que destacar el artículo 5.1 del Reglamento (UE, EURATOM) n.º 883/2013 del Parlamento Europeo y del Consejo, de 11 de septiembre de 2013 relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF) y por el que se deroga el Reglamento (CE) n.º 1073/1999, que dispone que «el director general podrá iniciar una investigación cuando haya sospecha suficiente, que puede también basarse en información proporcionada por una tercera parte o por información anónima, de que se ha incurrido en fraude, corrupción u otra actividad ilegal en detrimento de los intereses financieros de la Unión».

Cabe destacar que el antiguo órgano asesor de la Comisión Europea en materia de protección de datos, el Grupo de trabajo del artículo 29 (GT29), en su Dictamen 1/2006 relativo a la «aplicación de las normas sobre protección de datos de la UE a los sistemas internos de denuncia de irregularidades en los ámbitos de la contabilidad, controles y cuestiones de auditoría, lucha contra la corrupción y delitos financieros y bancarios», establecía como regla general que el denunciante debía identificarse, pero también existía la posibilidad de recibir y tramitar denuncias anónimas en determinadas circunstancias.

Como se puede observar, desde las instituciones de la Unión Europea se ha apostado sin ambages por la posibilidad de la aceptación y seguimiento de las denuncias anónimas. A tales efectos, se puede acceder a una herramienta de «denuncia anónima» de irregularidades para ayudar a la Comisión Europea a descubrir cárteles y otras infracciones antimonopolio y sobre tales prácticas anticompetitivas prohibidas por la normativa de competencia de la Unión Europea, que causan daños considerables a la economía europea.

En lo que se refiere a la normativa vigente en el ámbito nacional son diversos los ámbitos en los que ya se ha regulado la posibilidad de denuncias anónimas. En septiembre de 2018, a través del Real Decreto-ley 11/2018, de 31 de agosto, se introdujo en la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, el actual artículo 26 bis en el que se regulan los procedimientos internos de comunicación de potenciales incumplimientos (canales de denuncias internas) para que sus empleados, directivos o agentes puedan comunicar, incluso anónimamente, información relevante sobre posibles incumplimientos de esta ley, su normativa de desarrollo o las políticas y procedimientos implantados para darles cumplimiento, cometidos en el seno del sujeto obligado.

En otro ámbito, la mencionada Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, establece en su artículo 24.1: «Será lícita la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable».

Con anterioridad y en ámbitos diversos se había reconocido la posibilidad de presentar anónimamente denuncias: en la Ley Orgánica 12/2007, de 22 de octubre, del régimen disciplinario de la Guardia Civil se contempla la posibilidad de que la denuncia anónima pueda dar lugar al menos al inicio de una «información reservada». De otro lado, la Fiscalía General del Estado en su Circular de 4/2013, de 30 de diciembre, sobre las diligencias de investigación, actualiza la consideración sobre las denuncias anónimas. Señala que, aunque las denuncias deben en principio cumplimentar los requisitos previstos en la Ley de Enjuiciamiento Criminal para ser tenidas como tales, el incumplimiento de alguno de ellos no ha de llevar a su inadmisión si se están poniendo de manifiesto hechos constitutivos de delito perseguibles de oficio con visos de verosimilitud. La iniciación por puesta en conocimiento de otras autoridades u organismos públicos es cada vez más frecuente.

El afianzamiento esencial, no obstante, se contiene en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, tal como se ha indicado con anterioridad, en concreto en su artículo 24.1.

Estos canales de denuncias, mediante el anonimato, han colaborado a instituir un instrumento esencial para la «compliance» de una empresa y ha sido fundamental para poder recibir denuncias graves que de otra manera las personas trabajadoras y los colaboradores no se atreverían a señalar por temor a represalias en caso de ser identificados.

Algunas comunidades autónomas igualmente han extendido su protección a las denuncias anónimas y han establecido canales para su recepción.

La ley diferencia la extensión de la obligación de configurar estos canales internos en el ámbito de las organizaciones privadas de las que pertenecen al sector público.

En el ámbito privado, siguiendo la previsión de la Directiva, estarán obligadas a configurar un Sistema interno de información todas aquellas empresas que tengan más de cincuenta trabajadores. En los grupos de empresas será la sociedad dominante la que pueda implantar los principios y políticas que inspiren la organización del Sistema para la adecuada organización y coordinación de los canales en cada una de las entidades que forman parte de aquel.

Siendo conscientes del coste que esta nueva carga pueda generar en las empresas, la ley admite que aquellas que, superando la cifra de cincuenta trabajadores cuenten con menos de doscientos cincuenta, puedan compartir medios y recursos para la gestión de las informaciones que reciban, quedando siempre clara la existencia de canales propios en cada empresa.

No obstante, con independencia del número de empleados, se obliga a contar con un Sistema interno de información a todos los partidos políticos, sindicatos, organizaciones empresariales, así como a las fundaciones que de los mismos dependan, siempre que reciban fondos públicos para su financiación. La razón de esta exigencia se ampara en el singular papel constitucional que tienen estas organizaciones tal y como proclaman los artículos 6 y 7 de la Constitución Española, como manifestación del pluralismo político y vehículo de defensa y protección de los intereses económicos y sociales que les son propios, respectivamente. La existencia de casos de corrupción que han afectado a algunas de estas organizaciones incrementa la preocupación entre la ciudadanía por el recto funcionamiento de las instituciones, por lo que resulta indispensable exigir a estas organizaciones una actitud ejemplar que asiente la confianza en ellos de la sociedad pues de ello depende en buena medida el adecuado funcionamiento del sistema democrático. De ahí la obligación de que se configure, con independencia del número de trabajadores, un Sistema interno de información para atajar con rapidez cualquier indicio de infracción penal o administrativa grave o muy grave contra el interés general. La generalización de un Sistema interno de información facilitará la erradicación de cualquier sospecha de nepotismo, clientelismo, derroche de fondos públicos, financiación irregular u otras prácticas corruptas.

Con relación al sector público, la ley ha extendido en toda su amplitud la obligación de contar con un Sistema interno de información. En consecuencia, han de configurar tal Sistema las Administraciones públicas, ya sean territoriales o institucionales, las autoridades independientes u otros organismos que gestionan los servicios de la Seguridad Social, las universidades, las sociedades y fundaciones pertenecientes al sector público, así como las corporaciones de Derecho Público. En el mismo sentido, se impone también contar con un Sistema interno de información a todos los órganos constitucionales y de relevancia constitucional, así como aquellos mencionados en los Estatutos de Autonomía.

Como se advierte, preocupa que todas las instituciones, organismos y otras personificaciones que ejercen funciones públicas tengan un sistema eficaz para detectar las prácticas irregulares descritas en esta norma, sin que a estos efectos parezca relevante el tamaño de la entidad o el ámbito territorial en el que ejerza sus competencias.

Así, si bien es cierto que la Directiva atribuye a los Estados miembros la decisión de dispensar de algunas obligaciones a los municipios de menos de diez mil habitantes, esta ley no contempla esta excepción. En consecuencia, atendiendo a la necesidad de ofrecer un marco común y general de protección de los informantes, de no facilitar resquicios que puedan dañar gravemente el interés general, se extiende a todos los municipios la obligación de contar con un Sistema interno de información. Ahora bien, tal obligación se acompaña de ciertas precisiones con el fin de facilitar su cumplimiento a aquellos municipios cuya población no supere los diez mil habitantes. La ley permite que estos municipios puedan compartir medios para la recepción de informaciones con otras Administraciones que ejerzan sus competencias en la misma comunidad autónoma. Esta posibilidad no exime de que cada administración local tenga un responsable de su sistema interno de informaciones.

En todo caso, hay que insistir en que se considera adecuado que cada municipio cuente con su propio sistema interno de información y de ahí que se destaque la asistencia que pueden prestar otras Administraciones territoriales.

Por otra parte, se prevé que la gestión material del Sistema interno de información se realice mediante modalidades de gestión indirecta, si bien la atribución por parte de las Administraciones territoriales a un tercero de la gestión del Sistema interno de información requerirá que acrediten la insuficiencia de medios propios para poder realizar la función.

Conviene destacar que la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC), aplicable con carácter básico a todos los procedimientos administrativos, establece que toda comunicación de hechos que puedan constituir una infracción ha de ser considerada como una denuncia (artículo 62.1 LPAC).

El título III de la ley regula el canal externo de información. Reconoce acertadamente la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, que uno de los principales factores que desalienta a los potenciales informantes es la falta de confianza en la eficacia de las comunicaciones. Por ello, la norma europea impone a los Estados miembros la obligación de establecer canales de comunicación externa adecuados, de modo que su actuación esté presidida por los principios de independencia y autonomía en la recepción y tratamiento de la información sobre las infracciones.

Dotar de independencia y autonomía al canal o canales de comunicación externa pasa por garantizar la exhaustividad, integridad y confidencialidad de la información, impedir el acceso a ella por el personal no autorizado y permitir un almacenamiento duradero de la misma.

Con el fin de dar cumplimiento a los objetivos perseguidos por la Unión Europea y ahondar en la protección del informante, esta ley procede a la implementación de un canal externo cuya llevanza corresponde a la Autoridad Independiente de Protección del Informante, A.A.I. prevista en el título VIII.

Se considera beneficioso que la habilitación de dicho canal, como medio complementario al canal interno, se encauce a través de la Autoridad Independiente de Protección del Informante, A.A.I., dotándolo, así, de las garantías de independencia y autonomía exigidas por la norma europea.

El título III aborda de manera sistemática la regulación específica del canal externo ante el que podrán informar las personas físicas a las que se refiere el artículo 3 de la ley, ya sea directamente, ya con posterioridad a la previa formulación de información ante el canal interno. Tras detallar el procedimiento de recepción de las comunicaciones, que pueden llevarse a cabo de forma anónima o con reserva de la identidad del informante, y de su forma, escrita o verbal, el articulado de la norma aborda el trámite de admisión, en el que después de un análisis preliminar, se decide sobre su admisión a trámite, inadmisión motivada si concurre alguna de las causas tasadas que a tal efecto se prevén, comunicación inmediata al Ministerio Fiscal si la conducta pudiera ser constitutiva de delito o remisión a otra Autoridad u Organismo que pudiera resultar competente para la tramitación de la comunicación.

Admitida a trámite la comunicación, comienza la fase instructora, que culminará mediante la emisión de un informe por la Autoridad Independiente de Protección del Informante. Emitido el informe, la Autoridad Independiente de Protección del Informante podrá acordar el archivo del expediente; el inicio del procedimiento sancionador, sin perjuicio de poner los hechos en conocimiento del Ministerio Fiscal si, pese a no apreciar inicialmente indicios de que los hechos pudieran revestir el carácter de delito, así resultase del curso de la instrucción, o de la Fiscalía Europea cuando resulten afectados los intereses financieros de la Unión Europea, en su caso; o la remisión de la información a otra autoridad u organismo competente, si así procede. En línea con la Directiva 2019/1937, se ha considerado adecuado que el plazo para la realización de las investigaciones y para dar respuesta al informante no se dilate más de lo estrictamente necesario, razón por la que el plazo para finalizar esta fase de instrucción no puede ser superior a tres meses.

Finalmente, cabe destacar que la resolución que adopte la Autoridad Independiente de Protección del Informante, A.A.I. no podrá ser objeto de recurso alguno, ni administrativo ni jurisdiccional, sin perjuicio de la posible impugnación de la resolución que ponga fin al procedimiento sancionador que se pudiera incoar a raíz de las investigaciones realizadas.

Debe tenerse en cuenta que el informante por el hecho de comunicar la existencia de una infracción penal o administrativa no tiene la condición de interesado, sino de colaborador con la Administración. De manera que las investigaciones que lleve a cabo tanto en el marco del Sistema interno de información del sector público como en el marco del procedimiento que desarrolla la Autoridad Independiente de Protección del Informante, A.A.I. se inician siempre de oficio y de conformidad con el procedimiento establecido en la LPAC.

Asimismo, prevé el título III el conjunto de derechos y garantías que ostenta el informante en el procedimiento de comunicación externa ante la Autoridad Independiente de Protección del Informante, A.A.I. y la exigencia de revisión de los procedimientos de recepción y seguimiento de informaciones, dando así cumplimiento al mandato de la Directiva.

Por último, conviene destacar la posible implantación de canales externos de información por parte de las comunidades autónomas. La llevanza de dichos canales externos será asumida por autoridades independientes autonómicas análogas a la Autoridad Independiente de Protección del Informante, A.A.I. cuya competencia podrá extenderse tanto a las informaciones sobre infracciones que, comprendidas en el ámbito de aplicación de esta ley, sean cometidas en el ámbito de las entidades del sector público autonómico y local del territorio de la correspondiente comunidad autónoma, como a las relativas a incumplimientos imputables a entidades del sector privado que produzcan efectos únicamente en el territorio de dicha comunidad autónoma.

El título IV contiene disposiciones comunes a las comunicaciones internas y externas, en línea con el capítulo V de la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019. Se regula la obligación de proporcionar información adecuada de forma clara y fácilmente accesible sobre los canales de comunicación interna y externa, como medio y garantía para un mejor conocimiento de los canales que establece esta ley.

El título V se ocupa de la revelación pública. Los informantes que utilizan los cauces internos y externos cuentan con un régimen específico de protección frente a las represalias. La protección a quien realiza una revelación pública, con condiciones, se asienta, entre otras causas, en las garantías y protección que ofrece la opinión pública en su conjunto amparando a quien muestra una actitud cívica a la hora de advertir ante posibles infracciones penales o administrativas graves o vulneraciones del ordenamiento jurídico que dañan el interés general, así como en la protección de las fuentes que mantienen los periodistas.

Existen situaciones en que resulta conveniente proteger también a estas personas y la ley, siguiendo las directrices europeas, precisa las condiciones que deben concurrir para extender el régimen de protección; así, por ejemplo, dicha protección se contempla cuando los cauces internos y externos no han funcionado o cuando se advierte una amenaza inminente para el interés general, tales como un vertido muy tóxico u otros riesgos contaminantes.

En este sentido, se destaca que la propia Directiva, en sus considerandos 45 y 46 otorga especial reconocimiento a los supuestos de protección relacionados con los derechos a la libertad de información y al periodismo de investigación, que en nuestro ordenamiento se reconocen constitucionalmente. Así, el Considerando 45 declara que «La protección frente a represalias como medio de salvaguardar la libertad de expresión y la libertad y el pluralismo de los medios de comunicación debe otorgarse tanto a las personas que comunican información sobre actos u omisiones en una organización (“denuncia interna”) o a una autoridad externa (“denuncia externa”) como a las personas que ponen dicha información a disposición del público, por ejemplo, directamente a través de plataformas web o de redes sociales, o a medios de comunicación, cargos electos, organizaciones de la sociedad civil, sindicatos u organizaciones profesionales y empresariales». Por su parte, el Considerando 46 alude a la importancia de los denunciantes como fuentes importantes para los periodistas de investigación y crucial para salvaguardar la función de guardián que el periodismo de investigación desempeña en las sociedades democráticas.

El título VI regula el régimen del tratamiento de datos personales que deriven de la aplicación de esta ley.

El artículo 17 de la Directiva impone que todo tratamiento de datos personales realizado en aplicación de la misma se realizará de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) y con la Directiva (UE) 2016/680. En este mismo sentido esta ley dispone que los tratamientos de datos personales deberán regirse por lo dispuesto en dicho Reglamento y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Hasta ahora el artículo 24 de la citada ley orgánica regulaba la creación y mantenimiento de sistemas de información internos. El contenido de dicho precepto se ha incorporado a esta ley, pero era necesario completar las previsiones hasta ahora incluidas en la ley orgánica al objeto de extenderlas también a los tratamientos de datos que se lleven a cabo en los canales de comunicación externos y en los supuestos de revelación pública. Asimismo, y de acuerdo con lo que establece el artículo 6 del Reglamento general de protección de datos, procede indicar los títulos que hacen lícito el tratamiento de datos personales. Los tratamientos se entenderán necesarios para el cumplimiento de una obligación legal cuando deban llevarse a cabo en los supuestos en que sea obligatorio disponer de un Sistema interno de información y en los casos de canales de comunicación externos, mientras que se presumirán válidos al amparo de lo que establece el artículo 6.1.e) del Reglamento general de protección de datos cuando aquel sistema no sea obligatorio o el tratamiento se lleve a cabo en el ámbito de la revelación pública que regula el título V. Se indica asimismo que en caso de que la persona investigada ejerza el derecho de oposición al tratamiento de sus datos personales se entiende que existen motivos legítimos imperiosos que legitiman continuar con dicho tratamiento, tal como permite el artículo 21.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La ley también regula determinadas condiciones especiales en relación con los tratamientos de datos al objeto de garantizar plenamente el derecho a la protección de datos y en particular la identidad de los informantes y de las personas investigadas por la información suministrada. La preservación de la identidad del informante es una de las premisas esenciales para garantizar la efectividad de la protección que persigue esta ley. De ahí que se exija que en todo momento deba ser garantizada. En esta línea se dispone que el dato de la identidad del informante nunca será objeto del derecho de acceso a datos personales y se limita la posibilidad de comunicación de dicha identidad sólo a la autoridad judicial, el Ministerio Fiscal o la autoridad administrativa competente exigiendo que en todo caso se impida el acceso por terceros a la misma. Por otra parte, se exige que las entidades obligadas a disponer de un Sistema interno de información, los terceros externos que en su caso lo gestionen y la Autoridad Independiente de Protección de Datos, A.A.I. así como las que en su caso se constituyan, cuenten con un delegado de protección de datos.

El título VII constituye, como ya se ha anticipado, el eje de la ley, las medidas de protección para amparar a aquellas personas que mantienen una actitud cívica y de respeto democrático al alertar sobre infracciones graves que dañan el interés general. Ha de conseguirse que nadie esté amedrentado ante futuros perjuicios. De ahí que la primera medida sea la contundente declaración de prohibir y declarar nulas aquellas conductas que puedan calificarse de represalias y se adopten dentro de los dos años siguientes a ultimar las investigaciones. En este sentido, la ley ofrece varios supuestos, sin ningún ánimo exhaustivo, que muestran conductas intolerables hacia los informantes: resolución de contratos, intimidaciones, trato desfavorable, daños reputacionales, etc.

La necesidad de garantizar la buena aplicación del ordenamiento hace que queden sin efecto cualesquiera cláusulas o disposiciones contractuales que impidan o pretendan limitar el derecho o la capacidad de informar, tales como cláusulas de confidencialidad o disposiciones que reflejan renuncias expresas; así como que se exima de responsabilidad ante la obtención de información relevante o que se invierta la carga de la prueba en aquellos procesos que inicie para exigir la reparación de daños. En fin, los informantes contarán con el apoyo necesario de la Autoridad Independiente de Protección del Informante, A.A.I. para que las medidas de protección establecidas en esta ley resulten eficaces.

Pero las medidas de protección no se dirigen sólo a favor de los informantes. También aquellas personas a las que se refieran los hechos relatados en la comunicación han de contar con una singular protección ante el riesgo de que la información, aun con aparentes visos de veracidad, haya sido manipulada, sea falsa o responda a motivaciones que el Derecho no puede amparar. Estas personas mantienen todos sus derechos de tutela judicial y defensa, de acceso al expediente, de confidencialidad y reserva de identidad y la presunción de inocencia; en fin, de los mismos derechos que goza el informante.

Las ventajas y eficacia que han demostrado los programas de clemencia en ciertos ámbitos sectoriales han llevado a incluir una regulación en la que se precisan las concretas condiciones para su correcta aplicación.

El título VIII regula la Autoridad Independiente de Protección del Informante, A.A.I.

Una sociedad democráticamente avanzada ha de proteger adecuadamente a aquellas personas que, comunicando las irregularidades de las que, en su entorno laboral o profesional, tenga conocimiento, las publicite, permitiendo, de ese modo, a los poderes públicos actuar, pudiendo poner fin a la actividad ilícita advertida cuando ésta afecte al interés general. Y es una cuestión de liderazgo avanzar en esa línea, como hace la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, que es objeto de trasposición mediante esta ley.

Solo habrá una adecuada protección del denominado «whistleblower» si, en primer lugar, existe no solo el deber de comunicar conductas ilícitas de las que tenga conocimiento, sino además un sistema que permita canalizar las informaciones, lo que implica la implementación, por parte de las entidades públicas y privadas, de canales que permitan al que entra en contacto con la organización revelar la información de que dispone y que pueda constituir un ilícito susceptible de afectar al interés general. Ese canal interno de información al que hemos hecho referencia en párrafos anteriores debe garantizar, si queremos que salgan a la luz los comportamientos reprobables, la confidencialidad del informante, en todo caso, siendo aconsejable prever, además, el anonimato del mismo. No hay mejor forma de proteger al que informa que garantizando su anonimato.

Dicho canal interno de información debe ser complementado con un canal externo, es decir, con la posibilidad de que quien conozca el hecho susceptible de ser comunicado con arreglo a esta norma pueda acudir a una autoridad pública que, con todas las garantías, tenga constancia del hecho informado y proceda a investigarlo y, en su caso, pueda colaborar con el Ministerio Fiscal cuando aprecie que el hecho objeto de la comunicación es constitutivo de delito.

Garantizar una adecuada protección del informante exige, en cumplimiento de la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, que España disponga de un completo marco normativo-institucional con el que dar respuesta eficaz a la necesidad de protección de quienes informan sobre infracciones del ordenamiento jurídico que afectan o menoscaban el interés general.

Una adecuada y eficaz respuesta normativa aconseja articular de manera conjunta y, por tanto, mediante la utilización del mismo instrumento normativo, el nuevo régimen jurídico aplicable a la protección del informante y el cauce institucional idóneo que garantice su plena operatividad.

El considerando 64 de la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 deja al prudente criterio de los Estados miembros determinar qué autoridades son competentes para recibir la información sobre infracciones que entren en el ámbito de aplicación de la misma y seguir adecuadamente las denuncias.

Entre las diferentes alternativas que ofrece nuestro ordenamiento interno se considera idóneo acudir a la figura de la Autoridad Independiente de Protección del Informante, A.A.I. como pilar básico del sistema institucional en materia de protección del informante. Su particular naturaleza y encaje institucional en el sector público permitirá canalizar satisfactoriamente el conjunto de funciones que la Directiva atribuye a las autoridades competentes de cada Estado miembro. Entre las diversas posibilidades abiertas en el reto de afrontar eficazmente la trasposición de la Directiva, el carácter independiente y la autonomía de que gozan este tipo de entes del sector público se considera la mejor forma de instrumentar el engranaje institucional de la protección del informante, excluyendo otras alternativas con menor independencia del poder ejecutivo y permitiendo, en definitiva, que sea una entidad de nueva creación la que garantice la funcionalidad del sistema, una entidad independiente de quien la nombra y de la Administración Pública, que atienda, en el ejercicio de sus funciones, a criterios de naturaleza técnica.

De otro lado, el carácter específico de la materia hace igualmente aconsejable que las funciones que la Directiva atribuye a las autoridades competentes sean ejercidas por una autoridad de nueva creación sin posibilidad de acudir a otras ya existentes dentro del sector público. Además, resulta determinante a efectos de la creación de una nueva autoridad, la articulación, en cumplimiento de la Directiva, de un canal externo de información que complementa los canales internos (tanto en el sector privado como público). Resulta de especial interés que sea una entidad que bajo un especial régimen de autonomía y con un marcado carácter técnico y especializado en la materia sea la encargada de la llevanza y gestión del citado canal externo.

Lo hasta ahora expuesto, unido al conjunto de funciones que la Directiva obliga a asumir a las autoridades competentes en materia de protección al informante y junto a otras que van más allá del contenido de la norma europea y cuya inclusión radica en una mayor garantía y extensión de la protección del informante, aconsejan que sea una autoridad independiente específica la que asuma este conjunto de competencias, y sirva, en definitiva, de pilar institucional esencial en la lucha contra la corrupción.

Para ello el título VIII de la norma aborda, como se ha señalado, la autorización para la creación de la Autoridad Independiente de Protección del Informante, A.A.I. como ente de derecho público con personalidad jurídica propia dotado de autonomía e independencia orgánica y funcional respecto del Ejecutivo y del sector público, así como de toda entidad cuya actividad pueda ser sometida a su supervisión. Estructurado en tres capítulos, el primero de ellos recoge la naturaleza y funciones de la Autoridad Independiente de Protección del Informante, A.A.I.: llevanza del canal externo de comunicaciones, asunción de la condición de órgano consultivo y de asesoramiento del Gobierno en materia de protección del informante, elaboración de modelos de prevención de delito en el ámbito público, asunción de la competencia sancionadora en la materia, entre otros.

El capítulo II del título VIII desarrolla el régimen jurídico a que se somete la nueva Autoridad, distinguiendo el régimen jurídico general a que somete su actividad y las singularidades que presenta en materia de personal, de contratación, patrimonial, de asistencia jurídica, presupuestario, de contabilidad y de control económico-financiero. Dentro de estas particularidades, se ha considerado necesario dotar al ente de dos potestades menos frecuentes, pero totalmente necesarias, en orden a la consecución de los objetivos a que obedece la trasposición de la Directiva. De un lado, la posibilidad de que la propia Autoridad Independiente de Protección del Informante, A.A.I. pueda elaborar circulares y recomendaciones que establezcan los criterios y prácticas adecuadas para el cumplimiento de las disposiciones contenidas en esta ley y las normas que la desarrollen. De otro lado, la ley atribuye el ejercicio de la potestad sancionadora (prevista en el título IX de la norma), a la Autoridad Independiente de Protección del Informante, A.A.I., dando así cumplimiento a la exigencia de atribución de potestad por norma legal (o reglamentaria) contenida en la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público.

Finalmente, el capítulo III del título VIII recoge el régimen de organización interna de la entidad. Se prevé la existencia de una Presidencia, órgano de gobierno de la Autoridad, que tendrá como órgano de asesoramiento una Comisión Consultiva, de marcado carácter técnico por su composición, muchos de cuyos vocales son natos, por razón del cargo, procedentes bien de la Administración Pública, bien de organismos reguladores o supervisores.

La protección integral del informante exige no dejar espacios de impunidad. Este principio de actuación, que conecta directamente con el liderazgo que ha de operar como eje mediador de idoneidad del sistema que se propone, unido a la concepción de nuestro Estado como espacio público compartido, obliga a permitir que se acuda al canal externo de informaciones a través de la Autoridad Independiente de Protección del Informante, A.A.I. en aquellos territorios que no hayan previsto la creación de Autoridades o la atribución a órganos propios de su comunidad autónoma y dentro de sus competencias. De ese modo la Autoridad Independiente de Protección del Informante, A.A.I. podrá tramitar las comunicaciones que se reciban a través de su canal externo que afecten al ámbito competencial de aquellas comunidades autónomas que así lo decidan y suscriban el correspondiente convenio, y aquellas otras que no prevean órganos propios que canalicen, en su ámbito competencial, las comunicaciones externas. Posibilidad ésta que cumple con la doctrina del Tribunal Constitucional, expuesta en la sentencia 130/2013, al indicar que «en casos como los que contemplamos, las disposiciones del Estado que establezcan reglas destinadas a permitir la ejecución de los Reglamentos comunitarios en España y que no puedan considerarse normas básicas o de coordinación, tienen un carácter supletorio de las que pueden dictar las comunidades autónomas para los mismos fines de sus competencias. Sin olvidar que la cláusula de supletoriedad del artículo 149.3 de la Constitución Española no constituye una cláusula universal atributiva de competencias, en tales casos, la posibilidad de que el Estado dicte normas innovadoras de carácter supletorio está plenamente justificada».

El texto articulado se cierra con un título IX que establece el régimen sancionador, necesario para combatir con eficacia aquellas actuaciones que impliquen represalias contra los informantes, así como los incumplimientos en el establecimiento de las reglas de los canales de comunicación.

Concluye la ley con seis disposiciones adicionales relativas a la revisión periódica de los procedimientos de recepción y seguimiento de las comunicaciones por las autoridades responsables, a los convenios que puedan suscribir Estado y comunidades autónomas para atribuir a la Autoridad Independiente de Protección del Informante, A.A.I. competencias de gestión del canal externo de comunicaciones en el ámbito autonómico correspondiente, la elaboración de una memoria anual y de información estadística agregada, a la administración de los Territorios Históricos del País Vasco, a la Estrategia contra la corrupción y a la extensión de las medidas de protección; tres disposiciones transitorias para regular los canales internos de información ya habilitados y la adaptación de los Sistemas internos de información ya existentes y la implantación de dichos sistemas, con carácter general, por los sujetos obligados en el plazo de tres meses, así como la previsión presupuestaria de la Autoridad Independiente y, por último, doce disposiciones finales por las que se modifican, entre otras, la Ley 1/1996, de 10 de enero, de asistencia jurídica gratuita; la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa para incluir a la nueva Autoridad Independiente de Protección del Informante, A.A.I.; la Ley 15/2007, de 3 de julio, de Defensa de la Competencia; la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo; la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito; la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014; la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales, a los efectos del tratamiento de datos para la protección de las personas que informen sobre infracciones normativas, los títulos competenciales en los que se ampara la ley, la incorporación de la Directiva (EU) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, al ordenamiento jurídico interno; una cláusula de habilitación normativa y su entrada en vigor.

TÍTULO I. Finalidad de la ley y ámbito de aplicación
Artículo 1.  Finalidad de la ley.
1. La presente ley tiene por finalidad otorgar una protección adecuada frente a las represalias que puedan sufrir las personas físicas que informen sobre alguna de las acciones u omisiones a que se refiere el artículo 2, a través de los procedimientos previstos en la misma.

2. También tiene como finalidad el fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público.

Artículo 2.  Ámbito material de aplicación.
1. La presente ley protege a las personas físicas que informen, a través de alguno de los procedimientos previstos en ella de:

a) Cualesquiera acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea siempre que:
1.º Entren dentro del ámbito de aplicación de los actos de la Unión Europea enumerados en el anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, con independencia de la calificación que de las mismas realice el ordenamiento jurídico interno;
2.º Afecten a los intereses financieros de la Unión Europea tal y como se contemplan en el artículo 325 del Tratado de Funcionamiento de la Unión Europea (TFUE); o
3.º Incidan en el mercado interior, tal y como se contempla en el artículo 26, apartado 2 del TFUE, incluidas las infracciones de las normas de la Unión Europea en materia de competencia y ayudas otorgadas por los Estados, así como las infracciones relativas al mercado interior en relación con los actos que infrinjan las normas del impuesto sobre sociedades o con prácticas cuya finalidad sea obtener una ventaja fiscal que desvirtúe el objeto o la finalidad de la legislación aplicable al impuesto sobre sociedades.
b) Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. En todo caso, se entenderán comprendidas todas aquellas infracciones penales o administrativas graves o muy graves que impliquen quebranto económico para la Hacienda Pública y para la Seguridad Social.
2. Esta protección no excluirá la aplicación de las normas relativas al proceso penal, incluyendo las diligencias de investigación.

3. La protección prevista en esta ley para las personas trabajadoras que informen sobre infracciones del Derecho laboral en materia de seguridad y salud en el trabajo, se entiende sin perjuicio de la establecida en su normativa específica.

4. La protección prevista en esta ley no será de aplicación a las informaciones que afecten a la información clasificada. Tampoco afectará a las obligaciones que resultan de la protección del secreto profesional de los profesionales de la medicina y de la abogacía, del deber de confidencialidad de las Fuerzas y Cuerpos de Seguridad en el ámbito de sus actuaciones, así como del secreto de las deliberaciones judiciales.

5. No se aplicarán las previsiones de esta ley a las informaciones relativas a infracciones en la tramitación de procedimientos de contratación que contengan información clasificada o que hayan sido declarados secretos o reservados, o aquellos cuya ejecución deba ir acompañada de medidas de seguridad especiales conforme a la legislación vigente, o en los que lo exija la protección de intereses esenciales para la seguridad del Estado.

6. En el supuesto de información o revelación pública de alguna de las infracciones a las que se refiere la parte II del anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, resultará de aplicación la normativa específica sobre comunicación de infracciones en dichas materias.

Artículo 3.  Ámbito personal de aplicación.
1. La presente ley se aplicará a los informantes que trabajen en el sector privado o público y que hayan obtenido información sobre infracciones en un contexto laboral o profesional, comprendiendo en todo caso:

a) las personas que tengan la condición de empleados públicos o trabajadores por cuenta ajena;
b) los autónomos;
c) los accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos;
d) cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.
2. La presente ley también se aplicará a los informantes que comuniquen o revelen públicamente información sobre infracciones obtenida en el marco de una relación laboral o estatutaria ya finalizada, voluntarios, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el proceso de selección o de negociación precontractual.

3. Las medidas de protección del informante previstas en el título VII también se aplicarán, en su caso, específicamente a los representantes legales de las personas trabajadoras en el ejercicio de sus funciones de asesoramiento y apoyo al informante.

4. Las medidas de protección del informante previstas en el título VII también se aplicarán, en su caso, a:

a) personas físicas que, en el marco de la organización en la que preste servicios el informante, asistan al mismo en el proceso,
b) personas físicas que estén relacionadas con el informante y que puedan sufrir represalias, como compañeros de trabajo o familiares del informante, y
c) personas jurídicas, para las que trabaje o con las que mantenga cualquier otro tipo de relación en un contexto laboral o en las que ostente una participación significativa. A estos efectos, se entiende que la participación en el capital o en los derechos de voto correspondientes a acciones o participaciones es significativa cuando, por su proporción, permite a la persona que la posea tener capacidad de influencia en la persona jurídica participada.

TÍTULO II. Sistema interno de información
CAPÍTULO I. Disposiciones generales
Artículo 4.  Comunicación de infracciones a través del Sistema interno de información.
1. El Sistema interno de información es el cauce preferente para informar sobre las acciones u omisiones previstas en el artículo 2, siempre que se pueda tratar de manera efectiva la infracción y si el denunciante considera que no hay riesgo de represalia.

2. Las personas jurídicas obligadas por las disposiciones del presente título dispondrán de un Sistema interno de información en los términos establecidos en esta ley.

Artículo 5.  Sistema interno de información.
1. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado por esta ley será el responsable de la implantación del Sistema interno de información, previa consulta con la representación legal de las personas trabajadoras, y tendrá la condición de responsable del tratamiento de los datos personales de conformidad con lo dispuesto en la normativa sobre protección de datos personales.

2. El Sistema interno de información, en cualquiera de sus fórmulas de gestión, deberá:

a) Permitir a todas las personas referidas en el artículo 3 comunicar información sobre las infracciones previstas en el artículo 2.
b) Estar diseñado, establecido y gestionado de una forma segura, de modo que se garantice la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación, y de las actuaciones que se desarrollen en la gestión y tramitación de la misma, así como la protección de datos, impidiendo el acceso de personal no autorizado.
c) Permitir la presentación de comunicaciones por escrito o verbalmente, o de ambos modos.
d) Integrar los distintos canales internos de información que pudieran establecerse dentro de la entidad.
e) Garantizar que las comunicaciones presentadas puedan tratarse de manera efectiva dentro de la correspondiente entidad u organismo con el objetivo de que el primero en conocer la posible irregularidad sea la propia entidad u organismo.
f) Ser independientes y aparecer diferenciados respecto de los sistemas internos de información de otras entidades u organismos, sin perjuicio de lo establecido en los artículos 12 y 14.
g) Contar con un responsable del sistema en los términos previstos en el artículo 8.
h) Contar con una política o estrategia que enuncie los principios generales en materia de Sistemas interno de información y defensa del informante y que sea debidamente publicitada en el seno de la entidad u organismo.
i) Contar con un procedimiento de gestión de las informaciones recibidas.
j) Establecer las garantías para la protección de los informantes en el ámbito de la propia entidad u organismo, respetando, en todo caso, lo dispuesto en el artículo 9.
Artículo 6.  Gestión del Sistema interno de información por tercero externo.
1. La gestión del Sistema interno de información se podrá llevar a cabo dentro de la propia entidad u organismo o acudiendo a un tercero externo, en los términos previstos en esta ley. A estos efectos, se considera gestión del Sistema la recepción de informaciones.

2. La gestión del sistema por un tercero externo exigirá en todo caso que este ofrezca garantías adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto de las comunicaciones.

La existencia de corresponsables del tratamiento de datos personales requiere la previa suscripción del acuerdo regulado en el artículo 26 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos), y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

3. La gestión del Sistema interno de información por un tercero no podrá suponer un menoscabo de las garantías y requisitos que para dicho sistema establece esta ley ni una atribución de la responsabilidad sobre el mismo en persona distinta del Responsable del Sistema previsto en el artículo 8.

4. El tercero externo que gestione el Sistema tendrá la consideración de encargado del tratamiento a efectos de la legislación sobre protección de datos personales. El tratamiento se regirá por el acto o contrato al que se refiere el artículo 28.3 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

Artículo 7.  Canal interno de información.
1. Todo canal interno de información de que disponga una entidad para posibilitar la presentación de información respecto de las infracciones previstas en el artículo 2 estará integrado dentro del Sistema interno de información a que se refiere el artículo 5.

2. El canal interno deberá permitir realizar comunicaciones por escrito o verbalmente, o de las dos formas. La información se podrá realizar bien por escrito, a través de correo postal o a través de cualquier medio electrónico habilitado al efecto, o verbalmente, por vía telefónica o a través de sistema de mensajería de voz. A solicitud del informante, también podrá presentarse mediante una reunión presencial dentro del plazo máximo de siete días.

En su caso, se advertirá al informante de que la comunicación será grabada y se le informará del tratamiento de sus datos de acuerdo a lo que establece el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

Además, a quienes realicen la comunicación a través de canales internos se les informará, de forma clara y accesible, sobre los canales externos de información ante las autoridades competentes y, en su caso, ante las instituciones, órganos u organismos de la Unión Europea.

Al hacer la comunicación, el informante podrá indicar un domicilio, correo electrónico o lugar seguro a efectos de recibir las notificaciones.

Las comunicaciones verbales, incluidas las realizadas a través de reunión presencial, telefónicamente o mediante sistema de mensajería de voz, deberán documentarse de alguna de las maneras siguientes, previo consentimiento del informante:

a) mediante una grabación de la conversación en un formato seguro, duradero y accesible, o
b) a través de una transcripción completa y exacta de la conversación realizada por el personal responsable de tratarla.
Sin perjuicio de los derechos que le corresponden de acuerdo a la normativa sobre protección de datos, se ofrecerá al informante la oportunidad de comprobar, rectificar y aceptar mediante su firma la transcripción de la conversación.

3. Los canales internos de información permitirán incluso la presentación y posterior tramitación de comunicaciones anónimas.

4. Los canales internos de información podrán estar habilitados por la entidad que los gestione para la recepción de cualesquiera otras comunicaciones o informaciones fuera del ámbito establecido en el artículo 2, si bien dichas comunicaciones y sus remitentes quedarán fuera del ámbito de protección dispensado por la misma.

Artículo 8.  Responsable del Sistema interno de información.
1. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado por esta ley será el competente para la designación de la persona física responsable de la gestión de dicho sistema o «Responsable del Sistema», y de su destitución o cese.

2. Si se optase por que el Responsable del Sistema fuese un órgano colegiado, este deberá delegar en uno de sus miembros las facultades de gestión del Sistema interno de información y de tramitación de expedientes de investigación.

3. Tanto el nombramiento como el cese de la persona física individualmente designada, así como de las integrantes del órgano colegiado deberán ser notificados a la Autoridad Independiente de Protección del Informante, A.A.I., o, en su caso, a las autoridades u órganos competentes de las comunidades autónomas, en el ámbito de sus respectivas competencias, en el plazo de los diez días hábiles siguientes, especificando, en el caso de su cese, las razones que han justificado el mismo.

4. El Responsable del Sistema deberá desarrollar sus funciones de forma independiente y autónoma respecto del resto de los órganos de la entidad u organismo, no podrá recibir instrucciones de ningún tipo en su ejercicio, y deberá disponer de todos los medios personales y materiales necesarios para llevarlas a cabo.

5. En el caso del sector privado, el Responsable del Sistema persona física o la entidad en quien el órgano colegiado responsable haya delegado sus funciones, será un directivo de la entidad, que ejercerá su cargo con independencia del órgano de administración o de gobierno de la misma. Cuando la naturaleza o la dimensión de las actividades de la entidad no justifiquen o permitan la existencia de un directivo Responsable del Sistema, será posible el desempeño ordinario de las funciones del puesto o cargo con las de Responsable del Sistema, tratando en todo caso de evitar posibles situaciones de conflicto de interés.

6. En las entidades u organismos en que ya existiera una persona responsable de la función de cumplimiento normativo o de políticas de integridad, cualquiera que fuese su denominación, podrá ser esta la persona designada como Responsable del Sistema, siempre que cumpla los requisitos establecidos en esta ley.

Artículo 9.  Procedimiento de gestión de informaciones.
1. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado por esta ley aprobará el procedimiento de gestión de informaciones. El Responsable del Sistema responderá de su tramitación diligente.

2. El procedimiento establecerá las previsiones necesarias para que el Sistema interno de información y los canales internos de información existentes cumplan con los requisitos establecidos en esta ley. En particular, el procedimiento responderá al contenido mínimo y principios siguientes:

a) Identificación del canal o canales internos de información a los que se asocian.
b) Inclusión de información clara y accesible sobre los canales externos de información ante las autoridades competentes y, en su caso, ante las instituciones, órganos u organismos de la Unión Europea.
c) Envío de acuse de recibo de la comunicación al informante, en el plazo de siete días naturales siguientes a su recepción, salvo que ello pueda poner en peligro la confidencialidad de la comunicación.
d) Determinación del plazo máximo para dar respuesta a las actuaciones de investigación, que no podrá ser superior a tres meses a contar desde la recepción de la comunicación o, si no se remitió un acuse de recibo al informante, a tres meses a partir del vencimiento del plazo de siete días después de efectuarse la comunicación, salvo casos de especial complejidad que requieran una ampliación del plazo, en cuyo caso, este podrá extenderse hasta un máximo de otros tres meses adicionales.
e) Previsión de la posibilidad de mantener la comunicación con el informante y, si se considera necesario, de solicitar a la persona informante información adicional.
f) Establecimiento del derecho de la persona afectada a que se le informe de las acciones u omisiones que se le atribuyen, y a ser oída en cualquier momento. Dicha comunicación tendrá lugar en el tiempo y forma que se considere adecuado para garantizar el buen fin de la investigación.
g) Garantía de la confidencialidad cuando la comunicación sea remitida por canales de denuncia que no sean los establecidos o a miembros del personal no responsable de su tratamiento, al que se habrá formado en esta materia y advertido de la tipificación como infracción muy grave de su quebranto y, asimismo, el establecimiento de la obligación del receptor de la comunicación de remitirla inmediatamente al Responsable del Sistema.
h) Exigencia del respeto a la presunción de inocencia y al honor de las personas afectadas.
i) Respeto de las disposiciones sobre protección de datos personales de acuerdo a lo previsto en el título VI.
j) Remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea.

CAPÍTULO II. Sistema interno de información en el sector privado
Artículo 10.  Entidades obligadas del sector privado.
1. Estarán obligadas a disponer un Sistema interno de información en los términos previstos en esta ley:

a) Las personas físicas o jurídicas del sector privado que tengan contratados cincuenta o más trabajadores.
b) Las personas jurídicas del sector privado que entren en el ámbito de aplicación de los actos de la Unión Europea en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente a que se refieren las partes I.B y II del anexo de la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, deberán disponer de un Sistema interno de información que se regulará por su normativa específica con independencia del número de trabajadores con que cuenten. En estos casos, esta ley será de aplicación en lo no regulado por su normativa específica.
Se considerarán incluidas en el párrafo anterior las personas jurídicas que, pese a no tener su domicilio en territorio nacional, desarrollen en España actividades a través de sucursales o agentes o mediante prestación de servicios sin establecimiento permanente.
c) Los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.
2. Las personas jurídicas del sector privado que no estén vinculadas por la obligación impuesta en el apartado 1 podrán establecer su propio Sistema interno de información, que deberá cumplir, en todo caso, los requisitos previstos en esta ley.

Artículo 11.  Grupos de sociedades.
1. En el caso de un grupo de empresas conforme al artículo 42 del Código de Comercio, la sociedad dominante aprobará una política general relativa al Sistema interno de información a que se refiere el artículo 5 y a la defensa del informante, y asegurará la aplicación de sus principios en todas las entidades que lo integran, sin perjuicio de la autonomía e independencia de cada sociedad, subgrupo o conjunto de sociedades integrantes que, en su caso, pueda establecer el respectivo sistema de gobierno corporativo o de gobernanza del grupo, y de las modificaciones o adaptaciones que resulten necesarias para el cumplimiento de la normativa aplicable en cada caso.

2. El Responsable del Sistema podrá ser uno para todo el grupo, o bien uno para cada sociedad integrante del mismo, subgrupo o conjunto de sociedades, en los términos que se establezcan por la citada política. Por su parte, el Sistema interno de información podrá ser uno para todo el grupo.

3. Será admisible el intercambio de información entre los diferentes Responsables del Sistema del grupo, si los hubiera, para la adecuada coordinación y el mejor desempeño de sus funciones.

Artículo 12.  Medios compartidos en el sector privado.
Las personas jurídicas en el sector privado que tengan entre cincuenta y doscientos cuarenta y nueve trabajadores y que así lo decidan, podrán compartir entre sí el Sistema interno de información y los recursos destinados a la gestión y tramitación de las comunicaciones, tanto si la gestión se lleva a cabo por cualquiera de ellas como si se ha externalizado, respetándose en todo caso las garantías previstas en esta ley.

CAPÍTULO III. Sistema interno de información en el sector público
Artículo 13.  Entidades obligadas en el sector público.
1. Todas las entidades que integran el sector público estarán obligadas a disponer de un Sistema interno de información en los términos previstos en esta ley.

A los efectos de esta ley se entienden comprendidos en el sector público:

a) La Administración General del Estado, las Administraciones de las comunidades autónomas, ciudades con Estatuto de Autonomía y las entidades que integran la Administración Local.
b) Los organismos y entidades públicas vinculadas o dependientes de alguna Administración pública, así como aquellas otras asociaciones y corporaciones en las que participen Administraciones y organismos públicos.
c) Las autoridades administrativas independientes, el Banco de España y las entidades gestoras y servicios comunes de la Seguridad Social.
d) Las universidades públicas.
e) Las corporaciones de Derecho público.
f) Las fundaciones del sector público. A efectos de esta ley, se entenderá por fundaciones del sector público aquellas que reúnan alguno de los siguientes requisitos:
1.º Que se constituyan de forma inicial, con una aportación mayoritaria, directa o indirecta, de una o varias entidades integradas en el sector público, o bien reciban dicha aportación con posterioridad a su constitución.
2.º Que el patrimonio de la fundación esté integrado en más de un cincuenta por ciento por bienes o derechos aportados o cedidos por sujetos integrantes del sector público con carácter permanente.
3.º Que la mayoría de derechos de voto en su patronato corresponda a representantes del sector público.
g) Las sociedades mercantiles en cuyo capital social la participación, directa o indirecta, de entidades de las mencionadas en las letras a), b), c), d) y g) del presente apartado sea superior al cincuenta por ciento, o en los casos en que, sin superar ese porcentaje, se encuentre respecto de las referidas entidades en el supuesto previsto en el artículo 5 del texto refundido de la Ley del Mercado de Valores, aprobado por Real Decreto Legislativo 4/2015, de 23 de octubre.
2. También deberán dotarse de un Sistema interno de información, en los mismos términos requeridos para las entidades del sector público enunciados en el apartado anterior, los órganos constitucionales, los de relevancia constitucional e instituciones autonómicas análogas a los anteriores.

3. En caso de organismos públicos con funciones de comprobación o investigación de incumplimientos sujetos a esta norma, se distinguirá, al menos, entre un canal interno referente a los propios incumplimientos del organismo o su personal, y el canal externo referente a las comunicaciones que reciba de los incumplimientos de terceros cuya investigación corresponda a sus competencias.

4. En caso de que un organismo público con competencias en materia de investigación reciba informaciones referentes a los incumplimientos de terceros en el plazo de duración establecido en la letra d) del artículo 9.2, se resolverá si procede o no iniciar una comprobación o investigación del sujeto afectado dando traslado de ello al informante.

Una vez ultimado el procedimiento de comprobación o investigación, se comunicará al informante el resultado de la comprobación. Si los datos e informes que figuran en el expediente tienen carácter reservado o confidencial de acuerdo con alguna disposición con rango de ley, el contenido del resultado que se traslade al informante tendrá carácter genérico.

5. Las decisiones adoptadas por los organismos públicos con funciones de comprobación o investigación en relación con las informaciones no serán recurribles en vía administrativa ni en vía contencioso-administrativa.

Artículo 14.  Medios compartidos en el sector público.
1. Los municipios de menos de 10.000 habitantes, entre sí o con cualesquiera otras Administraciones públicas que se ubiquen dentro del territorio de la comunidad autónoma, podrán compartir el Sistema interno de información y los recursos destinados a las investigaciones y las tramitaciones.

2. Asimismo, las entidades pertenecientes al sector público con personalidad jurídica propia vinculadas o dependientes de órganos de las Administraciones territoriales, y que cuenten con menos de cincuenta trabajadores, podrán compartir con la Administración de adscripción el Sistema interno de información y los recursos destinados a las investigaciones y las tramitaciones.

3. En todo caso, deberá garantizarse que los sistemas resulten independientes entre sí y los canales aparezcan diferenciados respecto del resto de entidades u organismos, de modo que no se genere confusión a los ciudadanos.

Artículo 15.  Gestión del Sistema interno de información por tercero externo.
La gestión del Sistema interno de información por un tercero externo en el ámbito de la Administración General del Estado, las Administraciones autonómicas y ciudades con Estatuto de Autonomía y las Entidades que integran la Administración Local solo podrá acordarse en aquellos casos en que se acredite insuficiencia de medios propios, conforme a lo dispuesto en el artículo 116 apartado 4 letra f) de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014. Esta gestión comprenderá únicamente el procedimiento para la recepción de las informaciones sobre infracciones y, en todo caso, tendrá carácter exclusivamente instrumental.

TÍTULO III. Canal externo de información de la Autoridad Independiente de Protección del Informante, A.A.I.
Artículo 16.  Comunicación a través del canal externo de información de la Autoridad Independiente de Protección del Informante, A.A.I. o a través de las autoridades u órganos autonómicos.
1. Toda persona física podrá informar ante la Autoridad Independiente de Protección del Informante, A.A.I., o ante las autoridades u órganos autonómicos correspondientes, de la comisión de cualesquiera acciones u omisiones incluidas en el ámbito de aplicación de esta ley, ya sea directamente o previa comunicación a través del correspondiente canal interno.

2. Las referencias realizadas en este título III a la Autoridad Independiente de Protección del Informante, A.A.I., se entenderán hechas, en su caso, a las autoridades autonómicas competentes.

Artículo 17.  Recepción de informaciones.
1. La información puede llevarse a cabo de forma anónima. En otro caso, se reservará la identidad del informante en los términos del artículo 33, debiendo adoptarse las medidas en él previstas.

2. La información se podrá realizar por escrito, a través de correo postal o a través de cualquier medio electrónico habilitado al efecto dirigido al canal externo de informaciones de la Autoridad Independiente de Protección del Informante, A.A.I., o verbalmente, por vía telefónica o a través de sistema de mensajería de voz. A solicitud del informante, también podrá presentarse mediante una reunión presencial, dentro del plazo máximo de siete días. En los casos de comunicación verbal se advertirá al informante de que la comunicación será grabada y se le informará del tratamiento de sus datos de acuerdo con lo que establecen el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y la Ley Orgánica 3/2018, de 5 de diciembre.

Al presentar la información, el informante podrá indicar un domicilio, correo electrónico o lugar seguro a efectos de recibir las notificaciones, pudiendo asimismo renunciar expresamente a la recepción de cualquier comunicación de actuaciones llevadas a cabo por la Autoridad Independiente de Protección del Informante, A.A.I. como consecuencia de la información.

En caso de comunicación verbal, incluidas las realizadas a través de reunión presencial, telefónicamente o mediante sistema de mensajería de voz, la Autoridad Independiente de Protección del Informante, A.A.I. deberá documentarla de alguna de las maneras siguientes:

a) mediante una grabación de la conversación en un formato seguro, duradero y accesible, o
b) a través de una transcripción completa y exacta de la conversación realizada por el personal responsable de tratarla.
Sin perjuicio de los derechos que le corresponden de acuerdo a la normativa sobre protección de datos, se ofrecerá al informante la oportunidad de comprobar, rectificar y aceptar mediante su firma la transcripción del mensaje.

3. Presentada la información, se procederá a su registro en el Sistema de Gestión de Información, siéndole asignado un código de identificación. El Sistema de Gestión de Información estará contenido en una base de datos segura y de acceso restringido exclusivamente al personal de la Autoridad Independiente de Protección del Informante, A.A.I. convenientemente autorizado, en la que se registrarán todas las comunicaciones recibidas, cumplimentando los siguientes datos:

a) Fecha de recepción.
b) Código de identificación.
c) Actuaciones desarrolladas.
d) Medidas adoptadas.
e) Fecha de cierre.
4. Recibida la información, en un plazo no superior a cinco días hábiles desde dicha recepción se procederá a acusar recibo de la misma, a menos que el informante expresamente haya renunciado a recibir comunicaciones relativas a la investigación o que la Autoridad Independiente de Protección del Informante, A.A.I. considere razonablemente que el acuse de recibo de la información comprometería la protección de la identidad del informante.

Artículo 18.  Trámite de admisión.
1. Registrada la información, la Autoridad Independiente de Protección del Informante, A.A.I., deberá comprobar si aquella expone hechos o conductas que se encuentran dentro del ámbito de aplicación recogido en el artículo 2.

2. Realizado este análisis preliminar, la Autoridad Independiente de Protección del Informante, A.A.I., decidirá, en un plazo que no podrá ser superior a diez días hábiles desde la fecha de entrada en el registro de la información:

a) Inadmitir la comunicación, en alguno de los siguientes casos:
1.º Cuando los hechos relatados carezcan de toda verosimilitud.
2.º Cuando los hechos relatados no sean constitutivos de infracción del ordenamiento jurídico incluida en el ámbito de aplicación de esta ley.
3.º Cuando la comunicación carezca manifiestamente de fundamento o existan, a juicio de la Autoridad Independiente de Protección del Informante, A.A.I., indicios racionales de haberse obtenido mediante la comisión de un delito. En este último caso, además de la inadmisión, se remitirá al Ministerio Fiscal relación circunstanciada de los hechos que se estimen constitutivos de delito.
4.º Cuando la comunicación no contenga información nueva y significativa sobre infracciones en comparación con una comunicación anterior respecto de la cual han concluido los correspondientes procedimientos, a menos que se den nuevas circunstancias de hecho o de Derecho que justifiquen un seguimiento distinto. En estos casos, la Autoridad Independiente de Protección del Informante, A.A.I., notificará la resolución de manera motivada.
La inadmisión se comunicará al informante dentro de los cinco días hábiles siguientes, salvo que la comunicación fuera anónima o el informante hubiera renunciado a recibir comunicaciones de la Autoridad Independiente de Protección del Informante, A.A.I.
b) Admitir a trámite la comunicación.
La admisión a trámite se comunicará al informante dentro de los cinco días hábiles siguientes, salvo que la comunicación fuera anónima o el informante hubiera renunciado a recibir comunicaciones de la Autoridad Independiente de Protección del Informante, A.A.I.
c) Remitir con carácter inmediato la información al Ministerio Fiscal cuando los hechos pudieran ser indiciariamente constitutivos de delito o a la Fiscalía Europea en el caso de que los hechos afecten a los intereses financieros de la Unión Europea.
d) Remitir la comunicación a la autoridad, entidad u organismo que se considere competente para su tramitación.
Artículo 19.  Instrucción.
1. La instrucción comprenderá todas aquellas actuaciones encaminadas a comprobar la verosimilitud de los hechos relatados.

2. Se garantizará que la persona afectada por la información tenga noticia de la misma, así como de los hechos relatados de manera sucinta. Adicionalmente se le informará del derecho que tiene a presentar alegaciones por escrito y del tratamiento de sus datos personales. No obstante, esta información podrá efectuarse en el trámite de audiencia si se considerara que su aportación con anterioridad pudiera facilitar la ocultación, destrucción o alteración de las pruebas.

En ningún caso se comunicará a los sujetos afectados la identidad del informante ni se dará acceso a la comunicación. Durante la instrucción se dará noticia de la comunicación con sucinta relación de hechos al investigado. Esta información podrá efectuarse en el trámite de audiencia si se considera que su aportación con anterioridad pudiera facilitar la ocultación, destrucción o alteración de las pruebas.

3. Sin perjuicio del derecho a formular alegaciones por escrito, la instrucción comprenderá, siempre que sea posible, una entrevista con la persona afectada en la que, siempre con absoluto respeto a la presunción de inocencia, se le invitará a exponer su versión de los hechos y a aportar aquellos medios de prueba que considere adecuados y pertinentes.

A fin de garantizar el derecho de defensa de la persona afectada, la misma tendrá acceso al expediente sin revelar información que pudiera identificar a la persona informante, pudiendo ser oída en cualquier momento, y se le advertirá de la posibilidad de comparecer asistida de abogado.

4. Los funcionarios de la Autoridad Independiente de Protección del Informante, A.A.I. que desarrollen actividades de investigación tendrán la consideración de agentes de la autoridad en el ejercicio de sus funciones y estarán obligados a guardar secreto sobre las informaciones que conozcan con ocasión de dicho ejercicio.

5. Todas las personas naturales o jurídicas, privadas o públicas, deberán colaborar con las autoridades competentes y estarán obligadas a atender los requerimientos que se les dirijan para aportar documentación, datos o cualquier información relacionada con los procedimientos que se estén tramitando, incluso los datos personales que le fueran requeridos.

Artículo 20.  Terminación de las actuaciones.
1. Concluidas todas las actuaciones, la Autoridad Independiente de Protección del Informante, A.A.I. emitirá un informe que contendrá al menos:

a) Una exposición de los hechos relatados junto con el código de identificación de la comunicación y la fecha de registro.
b) La clasificación de la comunicación a efectos de conocer su prioridad o no en su tramitación.
c) Las actuaciones realizadas con el fin de comprobar la verosimilitud de los hechos.
d) Las conclusiones alcanzadas en la instrucción y la valoración de las diligencias y de los indicios que las sustentan.
2. Emitido el informe, la Autoridad Independiente de Protección del Informante, A.A.I., adoptará alguna de las siguientes decisiones:

a) Archivo del expediente, que será notificado al informante y, en su caso, a la persona afectada. En estos supuestos, el informante tendrá derecho a la protección prevista en esta ley, salvo que, como consecuencia de las actuaciones llevadas a cabo en fase de instrucción, se concluyera que la información a la vista de la información recabada, debía haber sido inadmitida por concurrir alguna de las causas previstas en el artículo 18.2.a).
b) Remisión al Ministerio Fiscal si, pese a no apreciar inicialmente indicios de que los hechos pudieran revestir el carácter de delito, así resultase del curso de la instrucción. Si el delito afectase a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea.
c) Traslado de todo lo actuado a la autoridad competente, de conformidad con lo dispuesto en el artículo 18.2.d).
d) Adopción de acuerdo de inicio de un procedimiento sancionador en los términos previstos en el título IX.
3. El plazo para finalizar las actuaciones y dar respuesta al informante, en su caso, no podrá ser superior a tres meses desde la entrada en registro de la información. Cualquiera que sea la decisión, se comunicará al informante, salvo que haya renunciado a ello o que la comunicación sea anónima.

4. Las decisiones adoptadas por la Autoridad Independiente de Protección del Informante, A.A.I., en las presentes actuaciones no serán recurribles en vía administrativa ni en vía contencioso administrativa, sin perjuicio del recurso administrativo o contencioso administrativo que pudiera interponerse frente a la eventual resolución que ponga fin al procedimiento sancionador que pudiera incoarse con ocasión de los hechos relatados.

5. La presentación de una comunicación por el informante no le confiere, por si sola, la condición de interesado.

Artículo 21.  Derechos y garantías del informante ante la Autoridad Independiente de Protección del Informante, A.A.I.
El informante tendrá las siguientes garantías en sus actuaciones ante la Autoridad Independiente de Protección del Informante, A.A.I.:

1.º Decidir si desea formular la comunicación de forma anónima o no anónima; en este segundo caso se garantizará la reserva de identidad del informante, de modo que esta no sea revelada a terceras personas.

2.º Formular la comunicación verbalmente o por escrito.

3.º Indicar un domicilio, correo electrónico o lugar seguro donde recibir las comunicaciones que realice la Autoridad Independiente de Protección del Informante, A.A.I. a propósito de la investigación.

4.º Renunciar, en su caso, a recibir comunicaciones de la Autoridad Independiente de Protección del Informante, A.A.I.

5.º Comparecer ante la Autoridad Independiente de Protección del Informante, A.A.I., por propia iniciativa o cuando sea requerido por esta, siendo asistido, en su caso y si lo considera oportuno, por abogado.

6.º Solicitar a la Autoridad Independiente de Protección del Informante, A.A.I. que la comparecencia ante la misma sea realizada por videoconferencia u otros medios telemáticos seguros que garanticen la identidad del informante, y la seguridad y fidelidad de la comunicación.

7.º Ejercer los derechos que le confiere la legislación de protección de datos de carácter personal.

8.º Conocer el estado de la tramitación de su denuncia y los resultados de la investigación.

Artículo 22.  Publicación y revisión del procedimiento de gestión de informaciones.
La Autoridad Independiente de Protección del Informante, A.A.I. deberá publicar su procedimiento de gestión de informaciones.

Cada tres años revisará y, en su caso, modificará dicho procedimiento teniendo en cuenta su experiencia y la de otras autoridades competentes. La modificación será asimismo objeto de publicación.

Artículo 23.  Traslado de la comunicación por otras autoridades a la Autoridad Independiente de Protección del Informante, A.A.I.
Cualquier autoridad que reciba una comunicación y no tenga competencias para investigar los hechos relatados por tratarse de alguna de las infracciones previstas en el título IX, deberá remitirla a la Autoridad Independiente de Protección del Informante, A.A.I. dentro de los diez días siguientes a aquel en el que la hubiera recibido. La remisión se comunicará al informante dentro de dicho plazo.

Artículo 24.  Informaciones sujetas a la competencia de las autoridades independientes de protección a informantes.
1. La Autoridad Independiente de Protección del Informante, A.A.I. es la autoridad competente para la tramitación, a través del canal externo, de las informaciones que afecten a los siguientes sujetos:

a) La Administración General del Estado y entidades que integran el sector público estatal.
b) Resto de entidades del sector público, los órganos constitucionales y los órganos de relevancia constitucional a que se refiere el artículo 13.
c) Entidades que integran el sector privado, cuando la infracción o el incumplimiento sobre el que se informe afecte o produzca sus efectos en el ámbito territorial de más de una comunidad autónoma.
d) Cuando se suscriba el oportuno convenio, las Administraciones de las comunidades autónomas, las entidades que integran la Administración y el sector público institucional autonómico o local.
2. La autoridad independiente o entidad que pueda señalarse en cada comunidad autónoma, lo será respecto de las informaciones que afecten:

a) al sector público autonómico y local de su respectivo territorio,
b) a las instituciones autonómicas a que se refiere el artículo 13.2, y
c) a las entidades que formen parte del sector privado, cuando el incumplimiento comunicado se circunscriba al ámbito territorial de la correspondiente comunidad autónoma.
3. Cuando se reciba una comunicación por un canal que no sea el competente o por los miembros del personal que no sean los responsables de su tratamiento, las autoridades competentes garantizarán, mediante el procedimiento de gestión del Sistema establecido, que el personal que la haya recibido no pueda revelar cualquier información que pudiera permitir identificar al informante o a la persona afectada y que remitan con prontitud la comunicación, sin modificarla, al Responsable del Sistema de información.

TÍTULO IV. Publicidad de la información y Registro de informaciones
Artículo 25.  Información sobre los canales interno y externo de información.
Los sujetos comprendidos dentro del ámbito de aplicación de esta ley proporcionarán la información adecuada de forma clara y fácilmente accesible, sobre el uso de todo canal interno de información que hayan implantado, así como sobre los principios esenciales del procedimiento de gestión. En caso de contar con una página web, dicha información deberá constar en la página de inicio, en una sección separada y fácilmente identificable.

De igual modo, las autoridades competentes a las que se refiere el artículo 24 publicarán, en una sección separada, fácilmente identificable y accesible de su sede electrónica, como mínimo, la información siguiente:

a) las condiciones para poder acogerse a la protección en virtud de esta ley;

b) los datos de contacto para los canales externos de información previstos en el título III, en particular, las direcciones electrónica y postal y los números de teléfono asociados a dichos canales, indicando si se graban las conversaciones telefónicas;

c) los procedimientos de gestión, incluida la manera en que la autoridad competente puede solicitar al informante aclaraciones sobre la información comunicada o que proporcione información adicional, el plazo para dar respuesta al informante, en su caso, y el tipo y contenido de dicha respuesta;

d) el régimen de confidencialidad aplicable a las comunicaciones y, en particular, la información sobre el tratamiento de los datos personales de conformidad con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en la Ley Orgánica 3/2018, de 5 de diciembre, y en el título VII de esta ley.

e) las vías de recurso y los procedimientos para la protección frente a represalias, y la disponibilidad de asesoramiento confidencial. En particular, se contemplarán las condiciones de exención de responsabilidad y de atenuación de la sanción a las que se refiere el artículo 40.

f) los datos de contacto de la Autoridad Independiente de Protección del Informante, A.A.I. o de la autoridad u organismo competente de que se trate.

Artículo 26.  Registro de informaciones.
1. Todos los sujetos obligados, de acuerdo con lo dispuesto en esta ley, a disponer de un canal interno de informaciones, con independencia de que formen parte del sector público o del sector privado, deberán contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad previstos en esta ley.

Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente, mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá accederse total o parcialmente al contenido del referido registro.

2. Los datos personales relativos a las informaciones recibidas y a las investigaciones internas a que se refiere el apartado anterior solo se conservarán durante el período que sea necesario y proporcionado a efectos de cumplir con esta ley. En particular, se tendrá en cuenta lo previsto en los apartados 3 y 4 del artículo 32. En ningún caso podrán conservarse los datos por un período superior a diez años.

TÍTULO V. Revelación pública
Artículo 27.  Concepto.
1. Se entenderá por revelación pública la puesta a disposición del público de información sobre acciones u omisiones en los términos previstos en esta ley.

2. A las personas que hagan una revelación pública de las acciones u omisiones previstas en el artículo 2 les será aplicable el régimen de protección establecido en el título VII cuando se cumpla alguna de las condiciones establecidas en el artículo siguiente.

Artículo 28.  Condiciones de protección.
1. La persona que haga una revelación pública podrá acogerse a protección en virtud de esta ley si se cumplen las condiciones de protección reguladas en el título VII y alguna de las condiciones siguientes:

a) Que haya realizado la comunicación primero por canales internos y externos, o directamente por canales externos, de conformidad con los títulos II y III, sin que se hayan tomado medidas apropiadas al respecto en el plazo establecido.
b) Que tenga motivos razonables para pensar que, o bien la infracción puede constituir un peligro inminente o manifiesto para el interés público, en particular cuando se da una situación de emergencia, o existe un riesgo de daños irreversibles, incluido un peligro para la integridad física de una persona; o bien, en caso de comunicación a través de canal externo de información, exista riesgo de represalias o haya pocas probabilidades de que se dé un tratamiento efectivo a la información debido a las circunstancias particulares del caso, tales como la ocultación o destrucción de pruebas, la connivencia de una autoridad con el autor de la infracción, o que esta esté implicada en la infracción.
2. Las condiciones para acogerse a protección previstas en el apartado anterior no serán exigibles cuando la persona haya revelado información directamente a la prensa con arreglo al ejercicio de la libertad de expresión y de información veraz previstas constitucionalmente y en su legislación de desarrollo.

TÍTULO VI. Protección de datos personales
Artículo 29.  Régimen jurídico del tratamiento de datos personales.
Los tratamientos de datos personales que deriven de la aplicación de esta ley se regirán por lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, y en el presente título.

No se recopilarán datos personales cuya pertinencia no resulte manifiesta para tratar una información específica o, si se recopilan por accidente, se eliminarán sin dilación indebida.

Artículo 30.  Licitud de los tratamientos de datos personales.
1. Se considerarán lícitos los tratamientos de datos personales necesarios para la aplicación de esta ley.

2. El tratamiento de datos personales, en los supuestos de comunicación internos, se entenderá lícito en virtud de lo que disponen los artículos 6.1.c) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, 8 de la Ley Orgánica 3/2018, de 5 de diciembre, y 11 de la Ley Orgánica 7/2021, de 26 de mayo, cuando, de acuerdo a lo establecido en los artículos 10 y 13 de la presente ley, sea obligatorio disponer de un sistema interno de información.

Si no fuese obligatorio, el tratamiento se presumirá amparado en el artículo 6.1.e) del citado reglamento.

3. El tratamiento de datos personales en los supuestos de canales de comunicación externos se entenderá lícito en virtud de lo que disponen los artículos 6.1.c) del Reglamento (UE) 2016/679, 8 de la Ley Orgánica 3/2018, de 5 de diciembre, y 11 de la Ley Orgánica 7/2021, de 26 de mayo.

4. El tratamiento de datos personales derivado de una revelación pública se presumirá amparado en lo dispuesto en los artículos 6.1.e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y 11 de la Ley Orgánica 7/2021, de 26 de mayo.

5. El tratamiento de las categorías especiales de datos personales por razones de un interés público esencial se podrá realizar conforme a lo previsto en el artículo 9.2.g) del Reglamento (UE) 2016/679.

Artículo 31.  Información sobre protección de datos personales y ejercicio de derechos.
1. Cuando se obtengan directamente de los interesados sus datos personales se les facilitará la información a que se refieren los artículos 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y 11 de la Ley Orgánica 3/2018, de 5 de diciembre.

A los informantes y a quienes lleven a cabo una revelación pública se les informará, además, de forma expresa, de que su identidad será en todo caso reservada, que no se comunicará a las personas a las que se refieren los hechos relatados ni a terceros.

2. La persona a la que se refieran los hechos relatados no será en ningún caso informada de la identidad del informante o de quien haya llevado a cabo la revelación pública.

3. Los interesados podrán ejercer los derechos a que se refieren los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

4. En caso de que la persona a la que se refieran los hechos relatados en la comunicación o a la que se refiera la revelación pública ejerciese el derecho de oposición, se presumirá que, salvo prueba en contrario, existen motivos legítimos imperiosos que legitiman el tratamiento de sus datos personales.

Artículo 32.  Tratamiento de datos personales en el Sistema interno de información.
1. El acceso a los datos personales contenidos en el Sistema interno de información quedará limitado, dentro del ámbito de sus competencias y funciones, exclusivamente a:

a) El Responsable del Sistema y a quien lo gestione directamente.
b) El responsable de recursos humanos o el órgano competente debidamente designado, solo cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador. En el caso de los empleados públicos, el órgano competente para la tramitación del mismo.
c) El responsable de los servicios jurídicos de la entidad u organismo, si procediera la adopción de medidas legales en relación con los hechos relatados en la comunicación.
d) Los encargados del tratamiento que eventualmente se designen.
e) El delegado de protección de datos.
2. Será lícito el tratamiento de los datos por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas correctoras en la entidad o la tramitación de los procedimientos sancionadores o penales que, en su caso, procedan.

En ningún caso serán objeto de tratamiento los datos personales que no sean necesarios para el conocimiento e investigación de las acciones u omisiones a las que se refiere el artículo 2, procediéndose, en su caso, a su inmediata supresión. Asimismo, se suprimirán todos aquellos datos personales que se puedan haber comunicado y que se refieran a conductas que no estén incluidas en el ámbito de aplicación de la ley.

Si la información recibida contuviera datos personales incluidos dentro de las categorías especiales de datos, se procederá a su inmediata supresión, sin que se proceda al registro y tratamiento de los mismos.

3. Los datos que sean objeto de tratamiento podrán conservarse en el sistema de informaciones únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos informados.

Si se acreditara que la información facilitada o parte de ella no es veraz, deberá procederse a su inmediata supresión desde el momento en que se tenga constancia de dicha circunstancia, salvo que dicha falta de veracidad pueda constituir un ilícito penal, en cuyo caso se guardará la información por el tiempo necesario durante el que se tramite el procedimiento judicial.

4. En todo caso, transcurridos tres meses desde la recepción de la comunicación sin que se hubiesen iniciado actuaciones de investigación, deberá procederse a su supresión, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del sistema. Las comunicaciones a las que no se haya dado curso solamente podrán constar de forma anonimizada, sin que sea de aplicación la obligación de bloqueo prevista en el artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre.

5. Los empleados y terceros deberán ser informados acerca del tratamiento de datos personales en el marco de los Sistemas de información a que se refiere el presente artículo.

Artículo 33.  Preservación de la identidad del informante y de las personas afectadas.
1. Quien presente una comunicación o lleve a cabo una revelación pública tiene derecho a que su identidad no sea revelada a terceras personas.

2. Los sistemas internos de información, los canales externos y quienes reciban revelaciones públicas no obtendrán datos que permitan la identificación del informante y deberán contar con medidas técnicas y organizativas adecuadas para preservar la identidad y garantizar la confidencialidad de los datos correspondientes a las personas afectadas y a cualquier tercero que se mencione en la información suministrada, especialmente la identidad del informante en caso de que se hubiera identificado.

3. La identidad del informante solo podrá ser comunicada a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.

Las revelaciones hechas en virtud de este apartado estarán sujetas a salvaguardas establecidas en la normativa aplicable. En particular, se trasladará al informante antes de revelar su identidad, salvo que dicha información pudiera comprometer la investigación o el procedimiento judicial. Cuando la autoridad competente lo comunique al informante, le remitirá un escrito explicando los motivos de la revelación de los datos confidenciales en cuestión.

Artículo 34.  Delegado de protección de datos.
De acuerdo con lo que dispone el artículo 37.1.a) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Autoridad Independiente de Protección del Informante, A.A.I., y las autoridades independientes que en su caso se constituyan, deberán nombrar un delegado de protección de datos.

TÍTULO VII. Medidas de protección
Artículo 35.  Condiciones de protección.
1. Las personas que comuniquen o revelen infracciones previstas en el artículo 2 tendrán derecho a protección siempre que concurran las circunstancias siguientes:

a) tengan motivos razonables para pensar que la información referida es veraz en el momento de la comunicación o revelación, aun cuando no aporten pruebas concluyentes, y que la citada información entra dentro del ámbito de aplicación de esta ley,
b) la comunicación o revelación se haya realizado conforme a los requerimientos previstos en esta ley.
2. Quedan expresamente excluidos de la protección prevista en esta ley aquellas personas que comuniquen o revelen:

a) Informaciones contenidas en comunicaciones que hayan sido inadmitidas por algún canal interno de información o por alguna de las causas previstas en el artículo 18.2.a).
b) Informaciones vinculadas a reclamaciones sobre conflictos interpersonales o que afecten únicamente al informante y a las personas a las que se refiera la comunicación o revelación.
c) Informaciones que ya estén completamente disponibles para el público o que constituyan meros rumores.
d) Informaciones que se refieran a acciones u omisiones no comprendidas en el artículo 2.
3. Las personas que hayan comunicado o revelado públicamente información sobre acciones u omisiones a que se refiere el artículo 2 de forma anónima pero que posteriormente hayan sido identificadas y cumplan las condiciones previstas en esta ley, tendrán derecho a la protección que la misma contiene.

4. Las personas que informen ante las instituciones, órganos u organismos pertinentes de la Unión Europea infracciones que entren en el ámbito de aplicación de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, tendrán derecho a protección con arreglo a lo dispuesto en esta ley en las mismas condiciones que una persona que haya informado por canales externos.

Artículo 36.  Prohibición de represalias.
1. Se prohíben expresamente los actos constitutivos de represalia, incluidas las amenazas de represalia y las tentativas de represalia contra las personas que presenten una comunicación conforme a lo previsto en esta ley.

2. Se entiende por represalia cualesquiera actos u omisiones que estén prohibidos por la ley, o que, de forma directa o indirecta, supongan un trato desfavorable que sitúe a las personas que las sufren en desventaja particular con respecto a otra en el contexto laboral o profesional, solo por su condición de informantes, o por haber realizado una revelación pública.

3. A los efectos de lo previsto en esta ley, y a título enunciativo, se consideran represalias las que se adopten en forma de:

a) Suspensión del contrato de trabajo, despido o extinción de la relación laboral o estatutaria, incluyendo la no renovación o la terminación anticipada de un contrato de trabajo temporal una vez superado el período de prueba, o terminación anticipada o anulación de contratos de bienes o servicios, imposición de cualquier medida disciplinaria, degradación o denegación de ascensos y cualquier otra modificación sustancial de las condiciones de trabajo y la no conversión de un contrato de trabajo temporal en uno indefinido, en caso de que el trabajador tuviera expectativas legítimas de que se le ofrecería un trabajo indefinido; salvo que estas medidas se llevaran a cabo dentro del ejercicio regular del poder de dirección al amparo de la legislación laboral o reguladora del estatuto del empleado público correspondiente, por circunstancias, hechos o infracciones acreditadas, y ajenas a la presentación de la comunicación.
b) Daños, incluidos los de carácter reputacional, o pérdidas económicas, coacciones, intimidaciones, acoso u ostracismo.
c) Evaluación o referencias negativas respecto al desempeño laboral o profesional.
d) Inclusión en listas negras o difusión de información en un determinado ámbito sectorial, que dificulten o impidan el acceso al empleo o la contratación de obras o servicios.
e) Denegación o anulación de una licencia o permiso.
f) Denegación de formación.
g) Discriminación, o trato desfavorable o injusto.
4. La persona que viera lesionados sus derechos por causa de su comunicación o revelación una vez transcurrido el plazo de dos años, podrá solicitar la protección de la autoridad competente que, excepcionalmente y de forma justificada, podrá extender el período de protección, previa audiencia de las personas u órganos que pudieran verse afectados. La denegación de la extensión del período de protección deberá estar motivada.

5. Los actos administrativos que tengan por objeto impedir o dificultar la presentación de comunicaciones y revelaciones, así como los que constituyan represalia o causen discriminación tras la presentación de aquellas al amparo de esta ley, serán nulos de pleno derecho y darán lugar, en su caso, a medidas correctoras disciplinarias o de responsabilidad, pudiendo incluir la correspondiente indemnización de daños y perjuicios al perjudicado.

6. La Autoridad Independiente de Protección del Informante, A.A.I. podrá, en el marco de los procedimientos sancionadores que instruya, adoptar medidas provisionales en los términos establecidos en el artículo 56 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

Artículo 37.  Medidas de apoyo.
1. Las personas que comuniquen o revelen infracciones previstas en el artículo 2 a través de los procedimientos previstos en esta ley accederán a las medidas de apoyo siguientes:

a) Información y asesoramiento completos e independientes, que sean fácilmente accesibles para el público y gratuitos, sobre los procedimientos y recursos disponibles, protección frente a represalias y derechos de la persona afectada.
b) Asistencia efectiva por parte de las autoridades competentes ante cualquier autoridad pertinente implicada en su protección frente a represalias, incluida la certificación de que pueden acogerse a protección al amparo de la presente ley.
c) Asistencia jurídica en los procesos penales y en los procesos civiles transfronterizos de conformidad con la normativa comunitaria.
d) Apoyo financiero y psicológico, de forma excepcional, si así lo decidiese la Autoridad Independiente de Protección del Informante, A.A.I. tras la valoración de las circunstancias derivadas de la presentación de la comunicación.
2. Todo ello, con independencia de la asistencia que pudiera corresponder al amparo de la Ley 1/1996, de 10 de enero, de asistencia jurídica gratuita, para la representación y defensa en procedimientos judiciales derivados de la presentación de la comunicación o revelación pública.

Artículo 38.  Medidas de protección frente a represalias.
1. No se considerará que las personas que comuniquen información sobre las acciones u omisiones recogidas en esta ley o que hagan una revelación pública de conformidad con esta ley hayan infringido ninguna restricción de revelación de información, y aquellas no incurrirán en responsabilidad de ningún tipo en relación con dicha comunicación o revelación pública, siempre que tuvieran motivos razonables para pensar que la comunicación o revelación pública de dicha información era necesaria para revelar una acción u omisión en virtud de esta ley, todo ello sin perjuicio de lo dispuesto en el artículo 2.3. Esta medida no afectará a las responsabilidades de carácter penal.

Lo previsto en el párrafo anterior se extiende a la comunicación de informaciones realizadas por los representantes de las personas trabajadoras, aunque se encuentren sometidas a obligaciones legales de sigilo o de no revelar información reservada. Todo ello sin perjuicio de las normas específicas de protección aplicables conforme a la normativa laboral.

2. Los informantes no incurrirán en responsabilidad respecto de la adquisición o el acceso a la información que es comunicada o revelada públicamente, siempre que dicha adquisición o acceso no constituya un delito.

3. Cualquier otra posible responsabilidad de los informantes derivada de actos u omisiones que no estén relacionados con la comunicación o la revelación pública o que no sean necesarios para revelar una infracción en virtud de esta ley será exigible conforme a la normativa aplicable.

4. En los procedimientos ante un órgano jurisdiccional u otra autoridad relativos a los perjuicios sufridos por los informantes, una vez que el informante haya demostrado razonablemente que ha comunicado o ha hecho una revelación pública de conformidad con esta ley y que ha sufrido un perjuicio, se presumirá que el perjuicio se produjo como represalia por informar o por hacer una revelación pública. En tales casos, corresponderá a la persona que haya tomado la medida perjudicial probar que esa medida se basó en motivos debidamente justificados no vinculados a la comunicación o revelación pública.

5. En los procesos judiciales, incluidos los relativos a difamación, violación de derechos de autor, vulneración de secreto, infracción de las normas de protección de datos, revelación de secretos empresariales, o a solicitudes de indemnización basadas en el derecho laboral o estatutario, las personas a que se refiere el artículo 3 de esta ley no incurrirán en responsabilidad de ningún tipo como consecuencia de comunicaciones o de revelaciones públicas protegidas por la misma. Dichas personas tendrán derecho a alegar en su descargo y en el marco de los referidos procesos judiciales, el haber comunicado o haber hecho una revelación pública, siempre que tuvieran motivos razonables para pensar que la comunicación o revelación pública era necesaria para poner de manifiesto una infracción en virtud de esta ley.

Artículo 39.  Medidas para la protección de las personas afectadas.
Durante la tramitación del expediente las personas afectadas por la comunicación tendrán derecho a la presunción de inocencia, al derecho de defensa y al derecho de acceso al expediente en los términos regulados en esta ley, así como a la misma protección establecida para los informantes, preservándose su identidad y garantizándose la confidencialidad de los hechos y datos del procedimiento.

Artículo 40.  Supuestos de exención y atenuación de la sanción.
1. Cuando una persona que hubiera participado en la comisión de la infracción administrativa objeto de la información sea la que informe de su existencia mediante la presentación de la información y siempre que la misma hubiera sido presentada con anterioridad a que hubiera sido notificada la incoación del procedimiento de investigación o sancionador, el órgano competente para resolver el procedimiento, mediante resolución motivada, podrá eximirle del cumplimiento de la sanción administrativa que le correspondiera siempre que resulten acreditados en el expediente los siguientes extremos:

a) Haber cesado en la comisión de la infracción en el momento de presentación de la comunicación o revelación e identificado, en su caso, al resto de las personas que hayan participado o favorecido aquella.
b) Haber cooperado plena, continua y diligentemente a lo largo de todo el procedimiento de investigación.
c) Haber facilitado información veraz y relevante, medios de prueba o datos significativos para la acreditación de los hechos investigados, sin que haya procedido a la destrucción de estos o a su ocultación, ni haya revelado a terceros, directa o indirectamente su contenido.
d) Haber procedido a la reparación del daño causado que le sea imputable.
2. Cuando estos requisitos no se cumplan en su totalidad, incluida la reparación parcial del daño, quedará a criterio de la autoridad competente, previa valoración del grado de contribución a la resolución del expediente, la posibilidad de atenuar la sanción que habría correspondido a la infracción cometida, siempre que el informante o autor de la revelación no haya sido sancionado anteriormente por hechos de la misma naturaleza que dieron origen al inicio del procedimiento.

3. La atenuación de la sanción podrá extenderse al resto de los participantes en la comisión de la infracción, en función del grado de colaboración activa en el esclarecimiento de los hechos, identificación de otros participantes y reparación o minoración del daño causado, apreciado por el órgano encargado de la resolución.

4. Lo dispuesto en este artículo no será de aplicación a las infracciones establecidas en la Ley 15/2007, de 3 de julio, de Defensa de la Competencia.

Artículo 41.  Autoridades competentes.
Las medidas de apoyo previstas en el presente título serán prestadas por la Autoridad Independiente de Protección del Informante, A.A.I., cuando se trate de infracciones cometidas en el ámbito del sector privado y en el sector público estatal, y, en su caso, por los órganos competentes de las comunidades autónomas, respecto de las infracciones en el ámbito del sector público autonómico y local del territorio de la respectiva comunidad autónoma, así como las infracciones en el ámbito del sector privado, cuando el incumplimiento comunicado se circunscriba al ámbito territorial de la correspondiente comunidad autónoma.

Lo anterior debe entenderse sin perjuicio de las medidas de apoyo y asistencia específicas que puedan articularse por las entidades del sector público y privado.

TÍTULO VIII. Autoridad Independiente de Protección del Informante, A.A.I.
CAPÍTULO I. Disposiciones generales
Artículo 42.  Naturaleza.
1. Se autoriza la creación de la Autoridad Independiente de Protección del Informante, autoridad administrativa independiente, como ente de derecho público de ámbito estatal, de las previstas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, con personalidad jurídica propia y plena capacidad pública y privada, que actuará en el desarrollo de su actividad y para el cumplimiento de sus fines con plena autonomía e independencia orgánica y funcional respecto del Gobierno, de las entidades integrantes del sector público y de los poderes públicos en el ejercicio de sus funciones.

Su denominación oficial, de conformidad con lo establecido en el artículo 109.3 de la Ley 40/2015, de 1 de octubre, será «Autoridad Independiente de Protección del Informante, A.A.I.».

2. La Autoridad Independiente de Protección del Informante, A.A.I., se relaciona con el Gobierno a través del Ministerio de Justicia, al que está vinculada.

3. La presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. convocará, por iniciativa propia o cuando lo solicite otra autoridad, a las autoridades autonómicas de protección del informante para contribuir a la aplicación coherente de la normativa en materia de protección del informante. En todo caso, se celebrarán reuniones semestrales de cooperación.

La presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. y las autoridades autonómicas de protección del informante podrán solicitar y facilitarán el intercambio muto de la información necesaria para el cumplimiento de sus funciones. Asimismo, podrán constituir grupos de trabajo para tratar asuntos específicos de interés común y establecer pautas comunes de actuación.

4. En el desempeño de las funciones que le asigna la legislación, y sin perjuicio de la colaboración con otros órganos y de las facultades de dirección de la política general del Gobierno ejercidas a través de su capacidad normativa, ni el personal ni los miembros de los órganos de la Autoridad Independiente de Protección del Informante, A.A.I. podrán solicitar o aceptar instrucciones de ninguna entidad pública o privada.

Artículo 43.  Funciones.
Para el cumplimiento de sus fines, la Autoridad Independiente de Protección del Informante, A.A.I. tendrá las siguientes funciones:

1. Gestión del canal externo de comunicaciones regulado en el título III.

2. Adopción de las medidas de protección al informante previstas en su ámbito de competencias, de acuerdo con lo dispuesto en el artículo 41.

3. Informar preceptivamente los anteproyectos y proyectos de disposiciones generales que afecten a su ámbito de competencias y a las funciones que desarrolla.

4. Tramitación de los procedimientos sancionadores e imposición de sanciones por las infracciones previstas en el título IX, en su ámbito de competencias, de acuerdo con lo dispuesto en el artículo 61.

5. Fomento y promoción de la cultura de la información.

CAPÍTULO II. Régimen jurídico
Artículo 44.  Régimen jurídico.
1. La Autoridad Independiente de Protección del Informante, A.A.I. se rige por lo dispuesto en esta ley y en su estatuto.

Supletoriamente, en cuanto sea compatible con su plena independencia se regirá por las normas citadas en el artículo 110.1 de la Ley 40/2015, de 1 de octubre.

2. El Consejo de Ministros aprobará, mediante real decreto, el Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I., por el que se desarrollará su estructura, organización y funcionamiento interno.

Artículo 45.  Régimen de personal.
1. El personal al servicio de la Autoridad Independiente de Protección del Informante, A.A.I. será funcionario o laboral y se regirá por lo previsto en el texto refundido de la Ley del Estatuto Básico del Empleado Público, aprobado por el Real Decreto Legislativo 5/2015, de 30 de octubre, y demás normativa reguladora de los funcionarios públicos y, en su caso, por la normativa laboral.

2. La selección del personal directivo se ajustará a los principios de competencia y aptitud profesional, mérito y capacidad y a criterios de idoneidad, y se llevará a cabo mediante procedimientos que garanticen la publicidad y concurrencia.

3. El personal al servicio de la Autoridad Independiente de Protección del Informante, A.A.I., recibirá formación específica a los efectos de tratar las comunicaciones.

Artículo 46.  Régimen de contratación.
1. Los contratos que celebre la Autoridad Independiente de Protección del Informante, A.A.I. se ajustarán a lo dispuesto en la legislación sobre contratación del sector público.

2. La persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I., tendrá la consideración de órgano de contratación sin perjuicio de la posibilidad de delegar sus funciones en la forma prevista en el estatuto.

Artículo 47.  Régimen patrimonial.
1. La Autoridad Independiente de Protección del Informante, A.A.I. tendrá patrimonio propio e independiente del patrimonio de la Administración General del Estado.

2. La Autoridad Independiente de Protección del Informante, A.A.I. contará, para el cumplimiento de sus fines, con los siguientes bienes y medios económicos:

a) Las asignaciones que se establezcan anualmente con cargo a los Presupuestos Generales del Estado.
b) Los bienes y derechos que constituyan su patrimonio, así como los productos y rentas del mismo.
c) El porcentaje que se determine en la Ley de Presupuestos Generales del Estado sobre las cantidades correspondientes a sanciones pecuniarias impuestas por la propia Autoridad en el ejercicio de su potestad sancionadora.
d) Cualesquiera otros que legal o reglamentariamente puedan serle atribuidos.
Artículo 48.  Régimen de asistencia jurídica.
La asistencia jurídica, consistente en el asesoramiento, representación y defensa en juicio de la Autoridad Independiente de Protección del Informante, A.A.I., corresponderá a la Abogacía General del Estado-Dirección del Servicio Jurídico del Estado, mediante la formalización del oportuno convenio en los términos previstos en la Ley 52/1997, de 27 de noviembre, de Asistencia Jurídica al Estado e Instituciones Públicas y su normativa de desarrollo.

Artículo 49.  Régimen presupuestario, de contabilidad y control económico y financiero.
1. La Autoridad Independiente de Protección del Informante, A.A.I., elaborará y aprobará anualmente un anteproyecto de presupuesto, cuyos créditos tendrán carácter limitativo, y lo remitirá al Ministerio de Hacienda y Función Pública para su posterior integración en los Presupuestos Generales del Estado, de acuerdo con lo previsto en la Ley 47/2003, de 26 de noviembre, General Presupuestaria.

2. El régimen de modificaciones y de especificación de los créditos de dicho presupuesto será el establecido en la Ley 47/2003, de 26 de noviembre, General Presupuestaria, para los presupuestos de los organismos autónomos.

3. Corresponde a la persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. aprobar los gastos y ordenar los pagos, salvo los casos reservados a la competencia del Gobierno, y efectuar la rendición de cuentas del organismo.

4. Sin perjuicio de las competencias atribuidas al Tribunal de Cuentas por su Ley Orgánica, la gestión económico financiera de la Autoridad Independiente de Protección del Informante, A.A.I. estará sometida al control de la Intervención General de la Administración del Estado en los términos que establece la Ley 47/2003, de 26 de noviembre.

5. De conformidad con lo previsto en la Ley 40/2015, de 1 de octubre, la Autoridad Independiente de Protección del Informante, A.A.I., estará sometida al control de eficacia y supervisión continua.

Artículo 50.  Régimen de recursos.
1. Los actos y resoluciones de la persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I., pondrán fin a la vía administrativa, siendo únicamente recurribles ante la jurisdicción contencioso-administrativa, sin perjuicio del recurso potestativo de reposición y de lo establecido en el artículo 20.

2. Los actos y decisiones de los órganos de la Autoridad Independiente de Protección del Informante, A.A.I., distintos de la persona titular de la Presidencia no agotan la vía administrativa, pudiendo ser objeto de recurso administrativo conforme a lo dispuesto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

Artículo 51.  Circulares y recomendaciones.
1. La persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I., podrá elaborar circulares y recomendaciones que establezcan los criterios y prácticas adecuados para el correcto funcionamiento de la Autoridad.

2. Las circulares serán aprobadas de acuerdo con el procedimiento establecido para la elaboración de disposiciones de carácter general y serán obligatorias una vez que estén publicadas en el «Boletín Oficial del Estado».

Artículo 52.  Potestad sancionadora.
La Autoridad Independiente de Protección del Informante, A.A.I., ejercerá la potestad sancionadora por la comisión de infracciones recogidas en el título IX conforme al procedimiento establecido en el mismo.

CAPÍTULO III. Organización
Artículo 53.  De la Presidencia.
1. La persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I., es el máximo órgano de representación y gobierno de esta.

2. La persona titular de la Presidencia, que tendrá rango de subsecretario, será nombrada por real decreto a propuesta del titular del Ministerio de Justicia, por un período de cinco años no renovable, entre personas de reconocido prestigio y competencia profesional en el ámbito de las materias competencia de la Autoridad, previa comparecencia ante la Comisión correspondiente del Congreso de los Diputados. El Congreso, a través de la Comisión correspondiente y por acuerdo adoptado por mayoría absoluta, deberá ratificar el nombramiento en el plazo de un mes desde la recepción de la correspondiente comunicación. En ningún caso podrá ser objeto de prórroga su mandato.

Artículo 54.  De la Comisión Consultiva de Protección del Informante.
1. La persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. estará asesorada por una Comisión Consultiva, que presidirá.

2. La Comisión Consultiva se integrará por los siguientes miembros, con rango al menos de Director general o asimilado:

a) Un representante del Tribunal de Cuentas.
b) Un representante del Consejo de Transparencia y Buen Gobierno.
c) Un representante de la Oficina Independiente de Regulación y Supervisión de la Contratación.
d) Un representante de la Autoridad Independiente de Responsabilidad Fiscal.
e) Un representante del Banco de España.
f) Un representante de la Comisión Nacional del Mercado de Valores.
g) Un representante de la Comisión Nacional de los Mercados y la Competencia.
h) Un representante de la Abogacía General del Estado-Dirección del Servicio Jurídico del Estado.
i) Un representante de la Oficina Nacional de Auditoría de la Intervención General de la Administración del Estado.
j) Un representante del Ministerio de Hacienda y Función Pública perteneciente a la Agencia Estatal de Administración Tributaria.
k) Dos representantes designados por el Ministerio de Justicia por un período de cinco años entre juristas de reconocida competencia con más de diez años de ejercicio profesional.
l) Un representante de las personas informantes a nivel nacional de la asociación o asociaciones más representativas.
2. Los miembros de la Comisión Consultiva de Protección del Informante serán nombrados por orden del titular del Ministerio de Justicia, publicada en el «Boletín Oficial del Estado».
3. La Comisión Consultiva de Protección del Informante se reunirá cuando así lo disponga la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. y, en todo caso, una vez al semestre.

4. Las decisiones tomadas por la Comisión Consultiva de Protección del Informante no tendrán en ningún caso carácter vinculante.

5. En todo lo no previsto por esta ley, el régimen, competencias y funcionamiento de la Comisión Consultiva de Protección del Informante serán los establecidos en el Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I.

Artículo 55.  Funciones de la Presidencia.
Corresponde a la persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. el ejercicio de las siguientes funciones:

a) Ostentar la representación legal de la Autoridad Independiente.

b) Acordar la convocatoria de las sesiones ordinarias y extraordinarias de la Comisión Consultiva de Protección del Informante.

c) Dirigir y coordinar las actividades de todos los órganos directivos de la Autoridad Independiente de Protección del Informante, A.A.I.

d) Disponer los gastos y ordenar los pagos de la Autoridad Independiente de Protección del Informante, A.A.I.

e) Celebrar los contratos y convenios.

f) Desempeñar la jefatura superior de todo el personal de la Autoridad Independiente de Protección del Informante, A.A.I.

g) Nombrar a las personas titulares de los órganos directivos de la Autoridad Independiente de Protección del Informante, A.A.I.

h) Dictar resolución en los procedimientos en materia sancionadora en los términos previstos en el título IX.

i) Ejercer las demás funciones que le atribuyen esta ley, su Estatuto y el resto del ordenamiento jurídico vigente.

Artículo 56.  Funciones de la Comisión Consultiva de Protección del Informante.
1. La Comisión Consultiva de Protección del Informante es un órgano colegiado de asesoramiento de la persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I.

2. La Comisión Consultiva de Protección del Informante emitirá informe en todas las cuestiones que le someta la persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. y podrá formular propuestas en temas relacionados con las materias de competencia de esta.

Artículo 57.  Organización interna.
El régimen de organización y funcionamiento interno de la Autoridad Independiente de Protección del Informante, A.A.I., se regirá por lo dispuesto en su Estatuto y en el Reglamento de funcionamiento interno.

Artículo 58.  Causas de cese de la Presidencia.
La persona titular de la Presidencia cesará por expiración de su mandato, a petición propia o por separación acordada por el Consejo de Ministros, mediante real decreto, en los siguientes casos:

a) Incumplimiento grave de sus obligaciones.

b) Incapacidad sobrevenida para el ejercicio de su función.

c) Incompatibilidad.

d) Condena firme por delito doloso.

En los supuestos previstos en las letras a), b) y c) será necesaria la ratificación de la separación por la mayoría absoluta de la Comisión competente del Congreso de los Diputados.

Artículo 59.  Control parlamentario.
La persona titular de la presidencia de la Autoridad Independiente de Protección del Informante, A.A.I., comparecerá anualmente ante las comisiones competentes del Congreso de los Diputados y el Senado.

TÍTULO IX. Régimen sancionador
Artículo 60.  Régimen jurídico aplicable.
El ejercicio de la potestad sancionadora en el ámbito de esta ley se llevará a cabo conforme a los principios y con sujeción a las reglas de procedimiento previstas en la Ley 40/2015, de 1 de octubre, y la Ley 39/2015, de 1 de octubre.

Artículo 61.  Autoridad sancionadora.
1. El ejercicio de la potestad sancionadora prevista en esta ley corresponde a la Autoridad Independiente de Protección del Informante, A.A.I., y a los órganos competentes de las comunidades autónomas, sin perjuicio de las facultades disciplinarias que en el ámbito interno de cada organización pudieran tener los órganos competentes.

2. La Autoridad Independiente de Protección del Informante, A.A.I. será competente respecto de las infracciones cometidas en el ámbito del sector público estatal. También será competente respecto a las infracciones cometidas en el ámbito del sector privado en todo el territorio, siempre que la normativa autonómica correspondiente no haya atribuido esta competencia a los organismos competentes de las respectivas comunidades autónomas. La competencia para la imposición de sanciones derivadas de los procedimientos competencia de la Autoridad Independiente de Protección del Informante, A.A.I. corresponderá a la persona titular de su presidencia.

3. Los órganos competentes de las comunidades autónomas lo serán exclusivamente respecto de las infracciones cometidas en el ámbito del sector público autonómico y local del territorio de la correspondiente comunidad autónoma. La normativa autonómica podrá prever que dichos órganos sean competentes respecto de las infracciones cometidas en el ámbito del sector privado cuando afecten solamente a su ámbito territorial.

Artículo 62.  Sujetos responsables.
1. Estarán sujetos al régimen sancionador establecido en esta ley las personas físicas y jurídicas que realicen cualquiera de las actuaciones descritas como infracciones en el artículo 63.

2. Cuando la comisión de la infracción se atribuya a un órgano colegiado la responsabilidad será exigible en los términos que señale la resolución sancionadora. Quedarán exentos de responsabilidad aquellos miembros que no hayan asistido por causa justificada a la reunión en que se adoptó el acuerdo o que hayan votado en contra del mismo.

3. La exigencia de responsabilidades derivada de las infracciones tipificadas en esta ley se extenderá a los responsables incluso aunque haya desaparecido su relación o cesado en su actividad en o con la entidad respectiva.

Artículo 63.  Infracciones.
1. Tendrán la consideración de infracciones muy graves las siguientes acciones u omisiones dolosas:

a) Cualquier actuación que suponga una efectiva limitación de los derechos y garantías previstos en esta ley introducida a través de contratos o acuerdos a nivel individual o colectivo y en general cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o de impedir, frustrar o ralentizar su seguimiento, incluida la aportación de información o documentación falsa por parte de los requeridos para ello.
b) La adopción de cualquier represalia derivada de la comunicación frente a los informantes o las demás personas incluidas en el ámbito de protección establecido en el artículo 3 de esta ley.
c) Vulnerar las garantías de confidencialidad y anonimato previstas en esta ley, y de forma particular cualquier acción u omisión tendente a revelar la identidad del informante cuando este haya optado por el anonimato, aunque no se llegue a producir la efectiva revelación de la misma.
d) Vulnerar el deber de mantener secreto sobre cualquier aspecto relacionado con la información.
e) La comisión de una infracción grave cuando el autor hubiera sido sancionado mediante resolución firme por dos infracciones graves o muy graves en los dos años anteriores a la comisión de la infracción, contados desde la firmeza de las sanciones.
f) Comunicar o revelar públicamente información a sabiendas de su falsedad.
g) Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley.
2. Tendrán la consideración de infracciones graves las siguientes acciones u omisiones:

a) Cualquier actuación que suponga limitación de los derechos y garantías previstos en esta ley o cualquier intento o acción efectiva de obstaculizar la presentación de informaciones o de impedir, frustrar o ralentizar su seguimiento que no tenga la consideración de infracción muy grave conforme al apartado 1.
b) Vulnerar las garantías de confidencialidad y anonimato previstas en esta ley cuando no tenga la consideración de infracción muy grave.
c) Vulnerar el deber de secreto en los supuestos en que no tenga la consideración de infracción muy grave.
d) Incumplimiento de la obligación de adoptar las medidas para garantizar la confidencialidad y secreto de las informaciones.
e) La comisión de una infracción leve cuando el autor hubiera sido sancionado por dos infracciones leves, graves o muy graves en los dos años anteriores a la comisión de la infracción, contados desde la firmeza de las sanciones.
3. Tendrán la consideración de infracciones leves las siguientes acciones u omisiones:

a) Remisión de información de forma incompleta, de manera deliberada por parte del Responsable del Sistema a la Autoridad, o fuera del plazo concedido para ello.
b) Incumplimiento de la obligación de colaboración con la investigación de informaciones.
c) Cualquier incumplimiento de las obligaciones previstas en esta ley que no esté tipificado como infracción muy grave o grave.
Artículo 64.  Prescripción de las infracciones.
1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a los seis meses.

2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción hubiera sido cometida. En las infracciones derivadas de una actividad continuada, la fecha inicial del cómputo será la de finalización de la actividad o la del último acto con el que la infracción se consume.

3. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador permaneciera paralizado durante tres meses por causa no imputable a aquellos contra quienes se dirija.

Artículo 65.  Sanciones.
1. La comisión de infracciones previstas en esta ley llevará aparejada la imposición de las siguientes multas:

a) Si son personas físicas las responsables de las infracciones, serán multadas con una cuantía de 1.001 hasta 10.000 euros por la comisión de infracciones leves; de 10.001 hasta 30.000 euros por la comisión de infracciones graves y de 30.001 hasta 300.000 euros por la comisión de infracciones muy graves.
b) Si son personas jurídicas serán multadas con una cuantía hasta 100.000 euros en caso de infracciones leves, entre 100.001 y 600.000 euros en caso de infracciones graves y entre 600.001 y 1.000.000 de euros en caso de infracciones muy graves.
2. Adicionalmente, en el caso de infracciones muy graves, la Autoridad Independiente de Protección del Informante, A.A.I., podrá acordar:

a) La amonestación pública.
b) La prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de cuatro años.
c) La prohibición de contratar con el sector público durante un plazo máximo de tres años de conformidad con lo previsto en la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.
3. Las sanciones por infracciones muy graves de cuantía igual o superior a 600.001 euros impuestas a entidades jurídicas podrán ser publicadas en el «Boletín Oficial del Estado», tras la firmeza de la resolución en vía administrativa. La publicación deberá contener, al menos, información sobre el tipo y naturaleza de la infracción y, en su caso, la identidad de las personas responsables de las mismas de acuerdo con la normativa en materia de protección de datos.

Artículo 66.  Graduación.
1. Para la graduación de las infracciones se podrán tener en cuenta los criterios siguientes:

a) La reincidencia, siempre que no hubiera sido tenido en cuenta en los supuestos del artículo 63.1.e) y 2.e).
b) La entidad y persistencia temporal del daño o perjuicio causado.
c) La intencionalidad y culpabilidad del autor.
d) El resultado económico del ejercicio anterior del infractor.
e) La circunstancia de haber procedido a la subsanación del incumplimiento que dio lugar a la infracción por propia iniciativa.
f) La reparación de los daños o perjuicios causados.
g) La colaboración con la Autoridad Independiente de Protección del Informante, A.A.I., u otras autoridades administrativas.
2. Las sanciones a imponer como consecuencia de la comisión de infracciones tipificadas en esta ley se graduarán teniendo en cuenta la naturaleza de la infracción y las circunstancias concurrentes en cada caso. De modo especial, y siempre que no se hubieran tenido en cuenta para la graduación de la infracción, la ponderación de las sanciones atenderá a los criterios del apartado anterior.

Artículo 67.  Concurrencia.
El ejercicio de la potestad sancionadora previsto en este título es autónomo y podrá concurrir con el régimen disciplinario del personal funcionario, estatutario o laboral que resulte de aplicación en cada caso.

Artículo 68.  Prescripción de las sanciones.
Las sanciones impuestas por infracciones muy graves prescribirán a los tres años, las impuestas por infracciones graves a los dos años y las impuestas por infracciones leves al año.

El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que sea ejecutable la resolución por la que se impone la sanción.

Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si aquel está paralizado durante más de un mes por causa no imputable al infractor.

DISPOSICIONES ADICIONALES
Disposición adicional primera.  Revisión de los procedimientos de recepción y seguimiento.
Las autoridades responsables de los canales externos de información revisarán sus procedimientos de recepción y seguimiento de informaciones al menos una vez cada tres años, incorporando actuaciones y buenas prácticas con la finalidad de que sirvan con la mayor eficacia a los fines para los que fueron creados.

Disposición adicional segunda.  Convenios.
La Autoridad Independiente de Protección del Informante, A.A.I., podrá actuar como canal externo de informaciones y como una autoridad independiente de protección de informantes para aquellas comunidades autónomas que así lo decidan y previa suscripción del correspondiente convenio en el que se estipulen las condiciones en las que la comunidad autónoma sufragará los gastos derivados de esta asunción de competencias.

Las ciudades con Estatuto de Autonomía podrán designar sus propios órganos independientes o bien atribuir la competencia a la Autoridad Independiente de Protección del Informante, A.A.I., celebrando al efecto un convenio en los términos previstos en el párrafo anterior.

Disposición adicional tercera.  Memoria anual y estadísticas.
1. La Autoridad Independiente de Protección del Informante, A.A.I. elaborará en los tres primeros meses del año una Memoria anual en la que dará cuenta de las actuaciones desarrolladas durante el año anterior en el ámbito de sus funciones.

Esta memoria incluirá el número y naturaleza de las comunicaciones presentadas y también las que fueron objeto de investigación y su resultado, especificándose las sugerencias o recomendaciones formuladas a la Autoridad Independiente de Protección del Informante, A.A.I. y el número de procedimientos abiertos.

2. En la memoria no constarán datos y referencias personales que permitan la identificación de las personas informantes ni de las afectadas, excepto cuando ya sean públicas como consecuencia de una sentencia penal o contencioso-administrativa firme.

3. De la Memoria anual, que será pública, se dará traslado a las Cortes Generales de modo previo a la comparecencia a que alude el artículo 59.

4. La Autoridad Independiente de Protección del Informante, A.A.I., de acuerdo con la obligación impuesta por el artículo 27 de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, sobre presentación anual a la Comisión Europea de estadísticas sobre las informaciones mencionadas en el capítulo III, preferiblemente de forma agregada, deberá disponer de los siguientes datos estadísticos:

a) número de comunicaciones recibidas por las autoridades competentes;
b) número de investigaciones y actuaciones judiciales iniciadas a raíz de dichas comunicaciones, y su resultado, y
c) estimación del perjuicio económico y los importes recuperados tras las investigaciones y actuaciones judiciales relacionadas con las infracciones, si se hubieran podido obtener.

Disposición adicional cuarta.  Administración de los Territorios Históricos del País Vasco.
A los efectos de lo dispuesto en el artículo 24, la tramitación a través del canal externo podrá ser ejercida en el País Vasco por las instituciones competentes en los términos que disponga la normativa autonómica.

Disposición adicional quinta.  Estrategia contra la corrupción.
El Gobierno, en el plazo máximo de dieciocho meses a contar desde la entrada en vigor de la presente ley, y en colaboración con las Comunidades Autónomas, deberá aprobar una Estrategia contra la corrupción que al menos deberá incluir una evaluación del cumplimiento de los objetivos establecidos en la presente ley así como las medidas que se consideren necesarias para paliar las deficiencias que se hayan encontrado en ese periodo de tiempo.

Disposición adicional sexta.  Extensión de las medidas de protección.
Las medidas de protección recogidas en esta ley se extenderán a las comunicaciones sobre las acciones u omisiones recogidas en el artículo 2 que hubieran tenido lugar desde la entrada en vigor de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

DISPOSICIONES TRANSITORIAS
Disposición transitoria primera.  Adaptación de los Sistemas y canales internos de información existentes.
Los sistemas internos de comunicación y sus correspondientes canales que, a la entrada en vigor de esta ley, tengan habilitados las entidades u organismos obligados podrán servir para dar cumplimiento a las previsiones de esta ley siempre y cuando se ajusten a los requisitos establecidos en la misma.

Disposición transitoria segunda.  Plazo máximo para el establecimiento de Sistemas internos de información y adaptación de los ya existentes.
1. Las Administraciones, organismos, empresas y demás entidades obligadas a contar con un Sistema interno de información deberán implantarlo en el plazo máximo de tres meses a partir de la entrada en vigor de esta ley.

2. Como excepción, en el caso de las entidades jurídicas del sector privado con doscientos cuarenta y nueve trabajadores o menos, así como de los municipios de menos de diez mil habitantes, el plazo previsto en el párrafo anterior se extenderá hasta el 1 de diciembre de 2023.

3. Los canales y procedimientos de información externa se regirán por su normativa específica resultando de aplicación las disposiciones de esta ley en aquellos aspectos en los que no se adecúen a la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019. Dicha adaptación deberá producirse en el plazo de seis meses desde la entrada en vigor de esta ley.

En estos supuestos, el informante gozará de la protección establecida en esta ley siempre que la relación laboral o profesional en cuyo contexto se produzca la infracción, se rija por la ley española y, en su caso, adicionalmente de la protección establecida en la normativa específica.

Disposición transitoria tercera.  Previsión presupuestaria de la Autoridad Independiente de Protección del Informante, A.A.I.
Hasta que la Autoridad Independiente de Protección del Informante, A.A.I., cuente con un presupuesto propio, su actividad se financiará con cargo a los créditos presupuestarios del Ministerio de Justicia.

DISPOSICIONES FINALES
Disposición final primera.  Modificación de la Ley 1/1996, de 10 de enero, de asistencia jurídica gratuita.
Se añade una nueva letra k) al artículo 2 de la Ley 1/996, de 10 de enero, de asistencia jurídica gratuita, con la siguiente redacción:

«k) Las personas que comuniquen infracciones en los términos de la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, a la Autoridad Independiente de Protección del Informante, A.A.I., o a las autoridades autonómicas respectivas, siempre que cumplan las condiciones de protección recogidas en la citada Ley, siempre que cuenten con unos recursos e ingresos económicos brutos, computados anualmente por todos los conceptos y por unidad familiar, inferiores a cuatro veces el indicador público de renta de efectos múltiples vigente en el momento de comunicar la información, y exclusivamente para los procedimientos seguidos en cualquier orden jurisdiccional que sean consecuencia directa de la infracción comunicada.»

Disposición final segunda.  Modificación de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa.
La Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, queda modificada en los siguientes términos:

Uno. Se modificala letra m) y se añade unanueva letra n) en el apartado 1 del artículo 10, con la siguiente redacción:

«m) Los actos y disposiciones dictados por las autoridades independientes autonómicas u órganos competentes de las comunidades autónomas referidos en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

n) Cualesquiera otras actuaciones administrativas no atribuidas expresamente a la competencia de otros órganos de este orden jurisdiccional.»

Dos. Se modifica el apartado 5 de la disposición adicional cuarta, que queda redactado como sigue:

«5. Los actos y disposiciones dictados por la Agencia Española de Protección de Datos, Comisión Nacional de los Mercados y la Competencia, Consejo de Transparencia y Buen Gobierno, Consejo Económico y Social, Instituto Cervantes, Consejo de Seguridad Nuclear, Consejo de Universidades, Autoridad Independiente de Protección del Informante, A.A.I. y Sección Segunda de la Comisión de Propiedad Intelectual, directamente, ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.»

Disposición final tercera.  Modificación de la Ley 15/2007, de 3 de julio, de Defensa de la Competencia.
Se introduce una nueva disposición adicional duodécima en la Ley 15/2007, de 3 de julio, de Defensa de la Competencia, con la siguiente redacción:

«Disposición adicional duodécima.  Comunicación de posibles infracciones a través del canal externo de comunicaciones de la Dirección de Competencia de la Comisión Nacional de los Mercados y la Competencia.
1. Cualquier persona física podrá informar a través del canal externo de comunicaciones de la Dirección de Competencia de la Comisión Nacional de los Mercados y la Competencia sobre cualesquiera acciones u omisiones que puedan constituir infracciones de esta ley.

2. La comunicación de infracciones realizada por los informantes no tendrá la consideración de denuncia, a los efectos previstos en el artículo 49 de esta ley, ni de solicitud de exención ni de reducción del pago de la multa, a los efectos de los artículos 65 y 66 de esta ley.

3. La comunicación puede llevarse a cabo de forma anónima. En otro caso, se preservará la identidad del informante, que sólo podrá ser comunicada a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.

4. Las personas que comuniquen posibles infracciones de esta ley a través del canal externo de comunicaciones de la Dirección de Competencia tendrán derecho a las medidas de apoyo y protección previstas en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

5. Recibida la comunicación a través del canal externo de comunicaciones, la Dirección de Competencia procederá a su registro, siéndole asignado un código de identificación. El registro de las comunicaciones externas estará contenido en una base de datos segura y de acceso restringido exclusivamente al personal de la Comisión Nacional de los Mercados y la Competencia convenientemente autorizado por el titular de la Dirección de Competencia, en la que se registrarán todas las comunicaciones recibidas, cumplimentando los siguientes datos:

a) Fecha de recepción.

b) Código de identificación.

c) Actuaciones desarrolladas.

d) Medidas adoptadas.

e) Fecha de cierre.

6. En un plazo no superior a diez días hábiles desde su recepción, la Dirección de Competencia procederá a acusar recibo de la comunicación, a menos que la comunicación sea anónima o el informante expresamente hubiera renunciado a recibir comunicaciones relativas a la investigación.

7. La Dirección de Competencia comprobará si la comunicación expone hechos o conductas que puedan constituir indicios de infracciones de esta ley. En el caso de que los hechos expuestos recayeran en el ámbito de competencias propio de otros órganos, dará traslado de los mismos a las autoridades y organismos competentes, comunicándoselo al informante, salvo que la comunicación fuera anónima o el informante hubiera renunciado a recibir comunicaciones de la Comisión Nacional de los Mercados y la Competencia. Dicho traslado se realizará de forma que se mantengan las garantías señaladas para preservar la confidencialidad de la identidad del informante.

8. La Autoridad Independiente de Protección del Informante, A.A.I. prestará a los informantes a que se refiere la presente disposición las medidas de apoyo y aplicará el régimen sancionador en lo relativo a las medidas de protección, previstas en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

9. Los apartados anteriores serán de aplicación igualmente a los canales de información de las autoridades autonómicas de competencia.»

Disposición final cuarta.  Modificación de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo.
Se da nueva redacción al apartado 5 del artículo 65 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, que queda redactado como sigue:

«5. Las personas expuestas a amenazas, acciones hostiles o medidas laborales adversas por comunicar por vía interna o al Servicio Ejecutivo de la Comisión comunicaciones sobre actividades relacionadas con el blanqueo de capitales o la financiación del terrorismo podrán presentar una reclamación ante la Autoridad Independiente de Protección del Informante, A.A.I. en los términos previstos en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

En los casos en los que el sujeto obligado no haya adoptado las medidas adecuadas para mantener la confidencialidad sobre la identidad de los empleados, directivos o agentes que hayan realizado una comunicación a los órganos de control interno, en los términos del artículo 30.1, será de aplicación el artículo 52.1.s).»

Disposición final quinta.  Modificación de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
Se añade un nuevo apartado 3 en el artículo 122 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito, con la siguiente redacción:

«3. Cuando la persona comunicante quede sujeta al ámbito de aplicación personal de la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, será la Autoridad Independiente de Protección del Informante, A.A.I. quien adoptará las medidas de protección al informante previstas en la referida ley.»

Disposición final sexta.  Modificación de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.
Se modifica la letra b) del apartado 1 del artículo 71 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014, que queda redactada como sigue:

«b) Haber sido sancionadas con carácter firme por infracción grave en materia profesional que ponga en entredicho su integridad, de disciplina de mercado, de falseamiento de la competencia, de integración laboral y de igualdad de oportunidades y no discriminación de las personas con discapacidad, o de extranjería, de conformidad con lo establecido en la normativa vigente; o por infracción muy grave en materia medioambiental de conformidad con lo establecido en la normativa vigente, o por infracción muy grave en materia laboral o social, de acuerdo con lo dispuesto en el texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social, aprobado por el Real Decreto Legislativo 5/2000, de 4 de agosto, así como por la infracción grave prevista en el artículo 22.2 del citado texto; o por las infracciones muy graves previstas en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.»

Disposición final séptima.  Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Se modifica el artículo 24 de Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que queda redactado como sigue:

«Artículo 24.  Tratamiento de datos para la protección de las personas que informen sobre infracciones normativas.
Serán lícitos los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas.

Dichos tratamientos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en esta ley orgánica y en la Ley reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.»

Disposición final octava.  Títulos competenciales.
Esta ley se dicta al amparo de lo dispuesto en el artículo 149.1 apartados 1.ª, 6.ª, 7.ª, 11.ª, 13.ª, 18.ª y 23.ª de la Constitución Española que atribuye al Estado las competencias exclusivas sobre la regulación de las condiciones básicas que garanticen la igualdad de todos los españoles en el ejercicio de los derechos y en el cumplimiento de los deberes constitucionales; la legislación mercantil; la legislación procesal, sin perjuicio de las necesarias especialidades que en este orden se deriven de las particularidades del derecho sustantivo de las comunidades autónomas; la legislación laboral; las bases y coordinación de la planificación general de la actividad económica; las bases del régimen jurídico de las Administraciones públicas y del régimen estatutario de sus funcionarios; el procedimiento administrativo común; la legislación básica sobre contratos y concesiones administrativas y el sistema de responsabilidad de todas las Administraciones Públicas; y la legislación básica sobre protección del medio ambiente.

El ámbito de aplicación del título VIII de esta ley se limita a la Administración General del Estado y resto de entidades del sector público estatal.

Disposición final novena.  Incorporación de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.
La presente ley incorpora al ordenamiento jurídico interno la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

Disposición final décima.  Habilitación de desarrollo.
Se habilita al Gobierno para dictar cuantas disposiciones reglamentarias sean precisas para el desarrollo y ejecución de esta ley.

Disposición final undécima.  Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I.
En el plazo de un año desde la entrada en vigor de esta ley, el Consejo de Ministros aprobará mediante real decreto, a propuesta conjunta de los Ministerios de Justicia y de Hacienda y Función Pública, el Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I., en el que se establecerán las disposiciones oportunas sobre organización, estructura, funcionamiento, así como todos los aspectos que sean necesarios para el cumplimiento de las funciones asignadas mediante esta ley.

Disposición final duodécima.  Entrada en vigor.
La presente ley entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del Estado».

Por tanto,

Mando a todos los españoles, particulares y autoridades, que guarden y hagan guardar esta ley.

Madrid, 20 de febrero de 2023.

FELIPE R.

El Presidente del Gobierno,

PEDRO SÁNCHEZ PÉREZ-CASTEJÓN