Dejan Jasnic · Cofundador & Compliance Lead, Trusty · Más de 20 años en antifraude & compliance · Miembro del consejo del ACFE Swiss Chapter
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, traspone al ordenamiento español la Directiva (UE) 2019/1937. Está en vigor desde el 13 de marzo de 2023 y obliga a muchas organizaciones a disponer de un sistema interno de información que permita comunicar irregularidades de forma segura y proteja a los informantes frente a represalias. Esta guía resume qué exige la ley, a quién se aplica y qué riesgos asume su empresa si no la cumple. Las empresas con 50 o más empleados ponen en marcha el software de canal de denuncias de Trusty en minutos, desde 49 € al mes.
Qué regula la Ley 2/2023
La ley persigue dos objetivos: proteger a quienes informan de infracciones y reforzar la cultura de la información en las organizaciones. Protege a quienes comunican, en un contexto laboral o profesional:
- infracciones del Derecho de la Unión Europea en los ámbitos que enumera la Directiva, como contratación pública, servicios financieros, prevención del blanqueo de capitales, medio ambiente o protección de datos;
- acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave, incluidas las que impliquen quebranto económico para la Hacienda Pública y la Seguridad Social;
- infracciones del Derecho laboral en materia de seguridad y salud en el trabajo.
La protección alcanza a trabajadores, autónomos, accionistas, miembros de órganos de administración, voluntarios, becarios, candidatos en procesos de selección, antiguos empleados y personal de contratistas y proveedores.
Qué empresas y entidades están obligadas
Deben contar con un sistema interno de información, entre otras:
- las personas físicas o jurídicas del sector privado con 50 o más trabajadores;
- con independencia de su plantilla, las entidades incluidas en el ámbito de los actos de la Unión sobre servicios financieros, prevención del blanqueo de capitales y de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente;
- los partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por ellos, siempre que reciban o gestionen fondos públicos;
- las entidades del sector público.
Las empresas de 250 o más trabajadores debían tenerlo implantado desde el 13 de junio de 2023, y las de 50 a 249 trabajadores, desde el 1 de diciembre de 2023. Encontrará el detalle en nuestro artículo sobre qué empresas están obligadas a tener canal de denuncias.
Sistema interno de información y Responsable del Sistema
El sistema interno de información es el cauce preferente para informar. Debe permitir comunicaciones por escrito o verbalmente, también anónimas, y, a solicitud del informante, mediante una reunión presencial en un plazo máximo de siete días. Debe garantizar la confidencialidad del informante y de las personas mencionadas, contar con una política que enuncie sus principios y con un procedimiento de gestión de informaciones, y llevar un libro-registro de las informaciones recibidas y de las investigaciones internas.
El órgano de administración designa al Responsable del Sistema, que debe ser un directivo de la entidad y ejercer su cargo con independencia y autonomía. Su nombramiento y su cese se notifican a la Autoridad Independiente de Protección del Informante o a la autoridad autonómica competente en el plazo de diez días hábiles. La gestión del sistema puede encomendarse a un tercero externo, pero la responsabilidad sigue siendo de la entidad.
Plazos de acuse de recibo y respuesta
El procedimiento de gestión debe prever un acuse de recibo en un plazo de siete días naturales desde la recepción de la comunicación, salvo que ello ponga en peligro su confidencialidad, y una respuesta a las actuaciones de investigación en un plazo máximo de tres meses, ampliable hasta otros tres meses en casos de especial complejidad. El sistema debe permitir mantener la comunicación con el informante y, si es necesario, solicitarle información adicional.
Canal externo: la Autoridad Independiente de Protección del Informante
Además del canal interno, cualquier persona puede informar ante la Autoridad Independiente de Protección del Informante, A.A.I., o ante las autoridades autonómicas competentes, directamente o después de haber utilizado el canal interno. La A.A.I. gestiona el canal externo, tramita los procedimientos sancionadores y adopta medidas de apoyo a los informantes. Un canal interno accesible y fiable es la mejor forma de que las irregularidades se conozcan y se resuelvan primero dentro de la empresa.
Medidas de protección y prohibición de represalias
La ley prohíbe expresamente los actos constitutivos de represalia, incluidas las amenazas y las tentativas, como el despido, la degradación, la no renovación de un contrato, la denegación de formación o la inclusión en listas negras. Si un informante sufre un perjuicio tras su comunicación, se presume que se trata de una represalia, y corresponde a quien adoptó la medida demostrar que obedece a motivos justificados. Para estar protegido, el informante debe tener motivos razonables para pensar que la información es veraz y comunicarla conforme a la ley.
Régimen sancionador de la Ley 2/2023
La ley clasifica las infracciones en leves, graves y muy graves. Son muy graves, entre otras, cualquier actuación que limite el derecho a informar, la adopción de represalias, la vulneración de la confidencialidad y del anonimato y el incumplimiento de la obligación de disponer de un sistema interno de información. Las multas previstas son:
- Personas jurídicas: hasta 100.000 € por infracciones leves, de 100.001 a 600.000 € por graves y de 600.001 a 1.000.000 € por muy graves.
- Personas físicas: de 1.001 a 10.000 € por infracciones leves, de 10.001 a 30.000 € por graves y de 30.001 a 300.000 € por muy graves.
En las infracciones muy graves pueden añadirse la amonestación pública, la prohibición de obtener subvenciones durante un máximo de cuatro años y la prohibición de contratar con el sector público durante un máximo de tres años. Por eso, la implantación y el correcto funcionamiento del canal de denuncias son esenciales.
Protección de datos en el sistema interno de información
Los tratamientos de datos personales derivados de la ley se rigen por el RGPD y la LOPDGDD. El acceso a los datos se limita al Responsable del Sistema y a las personas que los necesiten para la gestión y la investigación. Los datos solo se conservan el tiempo imprescindible: si transcurridos tres meses desde la recepción de la comunicación no se han iniciado actuaciones de investigación, deben suprimirse, salvo que se conserven para dejar evidencia del funcionamiento del sistema. Los datos del libro-registro no pueden conservarse más de diez años.
Empresas y política de responsabilidad social corporativa
Para las empresas que ya han adoptado prácticas de responsabilidad social corporativa y cuentan con programas de compliance, la adaptación a esta nueva normativa será más sencilla. No obstante, es esencial revisar y, en su caso, adaptar estos programas a la nueva ley. En este contexto, figuras como el Compliance Officer o el Delegado de Protección de Datos (DPO) cobran cada vez más relevancia, ya que serán los responsables de garantizar que la empresa cumple sus obligaciones legales.
Conclusión
La Ley 2/2023 exige a las empresas algo más que un buzón: un sistema interno con garantías de confidencialidad, plazos definidos, un responsable designado y protección efectiva frente a represalias, con multas de hasta un millón de euros. Si desea profundizar en los requisitos del canal de denuncias según la Ley 2/2023, consulte nuestra guía sobre la trasposición de la Directiva en España.
Preguntas frecuentes
La ley española que regula la protección de las personas que informen sobre infracciones normativas y la lucha contra la corrupción. Exige un sistema interno de información que permita comunicar irregularidades y proteja a los informantes frente a represalias, bajo la supervisión de la Autoridad Independiente de Protección del Informante.
Las personas físicas y jurídicas del sector privado con 50 o más trabajadores; con independencia de su tamaño, las entidades de sectores como servicios financieros o prevención del blanqueo de capitales; los partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones si reciben o gestionan fondos públicos; y el sector público.
Las infracciones se clasifican en leves, graves y muy graves. Para las personas jurídicas, las multas llegan a 100.000 € (leves), 600.000 € (graves) y 1.000.000 € (muy graves); para las personas físicas, a 300.000 € en los casos muy graves.
Revisar sus programas y, cuando sea necesario, adaptarlos a la nueva ley. Figuras como el Compliance Officer y el Delegado de Protección de Datos cobran más relevancia, ya que son los responsables de garantizar que la empresa cumple sus obligaciones legales.
Acuse de recibo en un plazo de siete días naturales y respuesta a las actuaciones de investigación en un máximo de tres meses, ampliable otros tres meses en casos de especial complejidad.
DESDE 49 EUR AL MES
Trusty Whistleblowing: un canal de denuncias conforme a la Directiva (UE) 2019/1937 de protección de los denunciantes, operativo en minutos y sin proyecto de TI. Desde 49 EUR al mes, prueba gratuita de 7 días.