Valora positivamente la ampliación que hace el Anteproyecto en relación con la protección dispensada por la Directiva 2019/1937, al extender el concepto de entidad jurídica propiedad del informante a la ostentación de una participación significativa por parte del informante en la entidad jurídica, entendida como aquella participación que “permite a la persona que la posea tener capacidad de influencia en la persona jurídica participada” (artículo 3.4c) in fine), pues responde adecuadamente a la capacidad de las organizaciones para tomar represalias más allá de las personas que se encuentran bajo su organización.
La Directiva dispensa también protección a los «terceros que estén relacionados con el denunciante y que puedan sufrir represalias en un contexto laboral, como compañeros de trabajo o familiares del denunciante». A estos efectos, el Anteproyecto prescinde de la referencia al contexto laboral, referencia que puede resultar innecesaria en relación con los compañeros de trabajo, pero no en relación con los familiares, resultando conveniente, dado el objetivo y ámbito material de aplicación del Anteproyecto que la protección a los familiares esté vinculada a las represalias laborales, pues su establecimiento con carácter general parece desvirtuar el contexto jurídico de la norma.
En relación con la obligación de anonimizar los datos de las denuncias, conviene precisar que la anonimización es un proceso mediante el cual los datos anonimizados se transforman en información que no permite reidentificar a la persona física a la que pertenecen, a diferencia de lo que ocurre en el proceso de seudonimización, que sí podría llegar a permitir, en un contexto determinado —de forma indirecta— llegar a saber quién es la persona física a la que pertenece la información que se le asocia. La eventual conclusión de que los titulares de los datos personales deben ser informados no solo sobre la existencia del canal de denuncias, sino, también, sobre el tratamiento de sus datos personales en relación con las concretas denuncias en las que se vean involucrados (directa o indirectamente) resulta abonada por la proyección sistemática del marco normativo regulador del deber de información en materia de protección de datos.
Ello es así por cuanto el art. 13 del RGPD (LA LEY 6637/2016) —aplicable a los casos en los que los datos se obtengan directamente de los interesados— y el art. 14 del mismo Reglamento —de aplicación a aquello supuestos en los que estos no se obtengan de los interesados— exigen que los responsables del tratamiento pongan a disposición de los interesados una información muy exhaustiva sobre los tratamientos de datos que pretendan llevar a cabo (por ejemplo, indicar qué tipología de datos se tratan y a quién van a ser cedidos), de lo que cabe colegir que la mera publicidad de la existencia de un canal de denuncias, tal y como únicamente exigen los artículos 24.1 de la LOPDGDD (LA LEY 19303/2018) y 32.5 del Anteproyecto, no agote el cumplimiento del deber de información, por lo que la adición complementaria de una referencia a la extensión del deber de información a estos extremos podría ser contemplada por el prelegislador.
Entre las medidas de protección de los informantes postuladas por el prelegislador se encuentra, asimismo, una específica previsión de inversión de la carga de la prueba en el ámbito de los procedimientos laborales ante órganos jurisdiccionales. En relación con la expresa previsión de la inversión de la carga de la prueba, sería conveniente que se adicionara una regla similar para los procedimientos administrativos, singularmente los sustanciados con la intervención de la Inspección de Trabajo.
Pueden acceder al texto completo del Informe, en ESTE ENLACE.