Confidencialidad y protección legal, explicado

Dos protecciones distintas, que a menudo se confunden

"Confidencialidad" y "protección legal" se tratan como una sola cosa, pero la Directiva las regula como dos garantías separadas, en dos artículos distintos, con dos funciones distintas: el artículo 16 controla quién puede conocer la identidad de un informante; el artículo 21 controla si el propio acto de denunciar puede usarse en su contra en un procedimiento legal. Un canal — o una empresa — puede acertar en uno y fallar en el otro.

El deber de confidencialidad: quién puede conocerla

El artículo 16(1) es directo: la identidad de un informante no puede revelarse a nadie más allá del personal autorizado competente para recibir o hacer el seguimiento de denuncias, sin el consentimiento expreso de ese informante. No "mantenerse razonablemente en privado" — restringida por defecto a una categoría concreta y designada de personas.

Los secretos comerciales llevan aparejada su propia versión del mismo deber: el artículo 16(4) exige a una autoridad competente que reciba una denuncia con secretos comerciales que no los use ni los revele más allá de lo necesario para un seguimiento adecuado. La confidencialidad no trata solo del nombre del informante — se extiende al material sensible que la propia denuncia pueda contener.

Cuándo puede levantarse la confidencialidad — y qué tiene que ocurrir primero

El artículo 16(2) permite revelar la identidad de un informante cuando sea una obligación necesaria y proporcionada en virtud del derecho de la Unión o nacional — en el contexto de una investigación de una autoridad nacional, o un procedimiento judicial. No es una laguna que una empresa pueda invocar a voluntad; está específicamente vinculada a un proceso legal ya en curso. Incluso entonces, el artículo 16(3) exige garantías adecuadas, y el informante debería ser informado por escrito antes de que se produzca la revelación — a menos que informarle con antelación pusiera en peligro la investigación o el procedimiento del que forma parte.

El escudo de responsabilidad: la propia denuncia no puede usarse en su contra

Por separado de la confidencialidad, el artículo 21 protege a un informante de una categoría de consecuencia legal anterior a la propia Directiva: ser demandado o procesado por el propio acto de denunciar. Dos protecciones concretas:

• Obtener o acceder a la información. El artículo 21(3) protege a un informante de la responsabilidad por cómo obtuvo la información que denunció o divulgó — siempre que obtenerla no constituyera en sí misma un delito autónomo y separado. Leer un documento que no le enviaron pero al que tenía acceso legítimo no se sanciona solo porque haya dado lugar a una denuncia; entrar en un sistema para conseguirlo sería un asunto completamente distinto, fuera de esta protección.
• Ser demandado por la propia denuncia. El artículo 21(7) protege a un informante frente a la responsabilidad en procedimientos legales por difamación, infracción de derechos de autor, ruptura del secreto, infracción de las normas de protección de datos, revelación de secretos comerciales, o reclamaciones de indemnización en virtud del derecho laboral privado, público o colectivo — cuando esos procedimientos se inician a causa de la denuncia. Un informante puede invocar haber presentado una denuncia protegida para pedir el archivo directo de tal procedimiento.

Ambas protecciones comparten la misma condición previa que el resto de protecciones de la Directiva: el informante necesita motivos razonables para creer que la información era veraz y que denunciarla era necesario para revelar la infracción (art. 6(1)) — no certeza, pero sí una creencia genuina y razonable, no una conjetura ni una afirmación deliberadamente falsa.

Lo que el escudo no cubre

El artículo 21(4) traza un límite claro: la responsabilidad por actos u omisiones no relacionados con la propia denuncia o divulgación pública se rige por el derecho ordinario, igual que siempre. El escudo protege la denuncia — no inmuniza retroactivamente una conducta indebida no relacionada solo porque esa misma persona también haya presentado en algún momento una denuncia.

Fundamento jurídico

• Art. 16(1), Directiva (UE) 2019/1937 — la identidad restringida al personal autorizado, sin el consentimiento expreso del informante.
• Art. 16(2)–(3) — la excepción limitada para investigaciones o procedimientos judiciales, y las garantías y el deber de notificación previa que la acompañan.
• Art. 16(4) — el deber paralelo que cubre los secretos comerciales contenidos en una denuncia.
• Art. 6(1) — la condición de "motivos razonables para creer" compartida por todas las protecciones de la Directiva.
• Art. 21(3) — la exención de responsabilidad por obtener o acceder a la información denunciada.
• Art. 21(4) — el límite: los actos u omisiones no relacionados se siguen rigiendo por el derecho ordinario.
• Art. 21(7) — la exención de responsabilidad en procedimientos legales iniciados a causa de la propia denuncia (difamación, derechos de autor, secreto, protección de datos, secretos comerciales, derecho laboral).