Dejan Jasnic · Cofundador y responsable de Compliance, Trusty · Más de 20 años en antifraude y compliance · Miembro del consejo de ACFE Swiss Chapter
La normativa de whistleblowing en la UE protege a las personas que denuncian irregularidades detectadas en su entorno laboral, y obliga a los empleadores con 50 o más trabajadores a disponer de un canal interno de denuncias confidencial. Las normas proceden de la Directiva (UE) 2019/1937, que los 27 Estados miembros ya han incorporado a su legislación nacional.
Suena sencillo, pero cada país ha añadido sus propias normas adicionales. Esta guía explica qué exige la normativa de whistleblowing, en qué se diferencian las principales leyes nacionales, qué cambió en 2026 y cómo cumplir sin necesidad de crear un departamento jurídico.
menos de 5 minutos
¿Necesita un canal de denuncias que cumpla con la ley de whistleblowing de la UE? Trusty configura un canal de denuncias seguro y anónimo en menos de cinco minutos.
¿Qué es la normativa de whistleblowing?
La normativa de whistleblowing es el conjunto de normas que protege a una persona frente a represalias cuando denuncia una infracción legal de la que ha tenido conocimiento a través de su trabajo. En la UE cumple dos funciones: protege a quien denuncia y obliga a las organizaciones a ofrecerle una vía segura para hacerlo.
La Directiva europea de protección del denunciante establece el estándar mínimo. Las leyes nacionales, como la Hinweisgeberschutzgesetz alemana, la Ley 2/2023 española, el marco Sapin II francés y el Decreto Legislativo 24/2023 italiano, la aplican a nivel local y a menudo van más allá.
Las empresas con 50 o más empleados pueden configurar el software de denuncias de Trusty en cuestión de minutos, desde 49 € al mes.
¿A quién protege la normativa de whistleblowing?
La normativa de whistleblowing protege a cualquier persona que denuncie una infracción de la que haya tenido conocimiento en un contexto laboral, no solo a los empleados. Según el artículo 4 de la directiva, esto incluye a:
• Empleados, funcionarios públicos, trabajadores a tiempo parcial y con contrato temporal
• Autónomos, contratistas, subcontratistas y proveedores
• Accionistas, miembros del consejo de administración, voluntarios y personas en prácticas
• Candidatos a un puesto de trabajo y antiguos trabajadores
• Facilitadores que ayudan al denunciante, y compañeros o familiares que podrían sufrir represalias
La protección se aplica cuando la persona tenía motivos razonables para creer que la información era veraz en el momento de la denuncia. Su motivación no importa, y un error de buena fe no elimina la protección.
¿Qué se considera una denuncia protegida?
Una denuncia está protegida cuando se refiere a una infracción legal en un área cubierta por la legislación. La directiva enumera ámbitos del Derecho de la UE, entre ellos la contratación pública, los servicios financieros, el blanqueo de capitales, la seguridad de productos y transportes, la protección medioambiental, la seguridad alimentaria, la salud pública, la protección de los consumidores, la protección de datos y las normas de competencia.
Muchos Estados miembros han ampliado esa lista. Alemania cubre delitos penales y determinadas infracciones administrativas, y Francia cubre cualquier delito, infracción o amenaza al interés general. Una queja laboral de carácter puramente personal suele quedar fuera del ámbito de la normativa de whistleblowing.
¿Qué deben hacer los empleadores según la normativa de whistleblowing?
Los empleadores con 50 o más trabajadores deben establecer un canal interno de denuncias y seguir un procedimiento fijo para cada denuncia recibida. Los organismos públicos también están sujetos a esta obligación, y algunos sectores, como los servicios financieros, están cubiertos independientemente de su tamaño.
Las obligaciones principales, recogidas en los artículos 8, 9, 16 y 18 de la directiva, son:
1. Disponer de un canal. Las personas deben poder denunciar por escrito, verbalmente, o ambas opciones. Si lo solicitan, también debe ofrecerse una reunión presencial en un plazo razonable.
2. Mantener la confidencialidad de la identidad. El canal debe ser seguro, y el personal no autorizado para gestionar las denuncias no debe poder acceder a ellas.
3. Designar a una persona o equipo imparcial. Alguien independiente debe recibir las denuncias, darles seguimiento y mantener el contacto con el denunciante.
4. Acusar recibo en un plazo de 7 días. El denunciante debe recibir confirmación de recepción en un plazo de siete días.
5. Dar respuesta en un plazo de 3 meses. Debe informar al denunciante de las medidas adoptadas o previstas, como máximo tres meses después del acuse de recibo.
6. Explicar la vía externa. Debe proporcionar información clara sobre cómo denunciar ante la autoridad nacional competente.
7. Conservar registros. Cada denuncia debe documentarse y conservarse únicamente durante el tiempo necesario, de conformidad con el RGPD.
¿El umbral de 50 empleados se aplica por empresa o por grupo?
El umbral se aplica a cada entidad jurídica individual, no al grupo empresarial en su conjunto. Las empresas con entre 50 y 249 trabajadores pueden compartir recursos para la recepción e investigación de denuncias, pero cada entidad mantiene su propia obligación.
Un canal puede gestionarse internamente o ser proporcionado por un tercero externo. En cualquier caso, el empleador sigue siendo responsable de la confidencialidad, los plazos y el seguimiento.
¿En qué se diferencian las leyes de whistleblowing entre los países de la UE?
Las leyes nacionales de whistleblowing comparten la base de la directiva, pero difieren en su alcance, el tratamiento de las denuncias anónimas, las autoridades competentes y las sanciones. Una empresa con entidades en varios países debe cumplir cada legislación local, no solo el mínimo establecido por la UE.
País | Law | En vigor desde | Denuncias anónimas | Autoridad externa | Multas máximas |
|---|---|---|---|---|---|
Alemania | Hinweisgeberschutzgesetz (HinSchG) | 2 de julio de 2023 | Debe tramitarse, pero no hay obligación de ofrecer un canal anónimo | Oficina Federal de Justicia | Hasta 50.000 €; hasta 500.000 € para empresas en caso de obstaculizar denuncias, adoptar represalias o vulnerar la confidencialidad; hasta 20.000 € por no disponer de un canal interno |
España | Ley 2/2023 | 13 de marzo de 2023 | Debe aceptarse | Autoridad Independiente de Protección del Informante (A.A.I.) | Hasta 1.000.000 € para empresas |
Francia | Sapin II, modificada por la Ley Waserman y el Decreto 2022-1284 | 1 de septiembre de 2022 | Permitido, con protección si la persona es identificada posteriormente | Défenseur des droits | Hasta 1 año de prisión y 15.000 € por obstruir una denuncia |
Italia | Decreto Legislativo 24/2023 | 15 de julio de 2023 | Permitido, con protección si la persona es identificada posteriormente | ANAC | De 10.000 € a 50.000 € |
Tres diferencias prácticas son especialmente relevantes para los empleadores con presencia en varios países:
• Anonimato. España exige aceptar denuncias anónimas. Un sistema que las admita en todos los países es la opción más segura.
• Idioma. Los denunciantes necesitan información y formularios que puedan entender, por lo que el canal debe ofrecerse en cada idioma local.
• Separación entre entidades. Cada entidad jurídica necesita su propia gestión de casos y permisos de acceso, aunque el grupo comparta una sola plataforma.
Este artículo es información general y no constituye asesoramiento jurídico. Antes de finalizar su política, consulta el texto vigente de cada ley nacional o acude a un asesor jurídico local.
grupos multinacionales
¿Gestiona entidades en varios países de la UE? Trusty acepta denuncias anónimas, mantiene la gestión de casos separada para cada entidad y lo integra todo en una sola plataforma. O reserva una demo.
¿Qué cambió en la normativa de whistleblowing en 2026?
Dos cosas cambiaron en 2026: la directiva ahora cubre explícitamente las denuncias relacionadas con el Reglamento de IA de la UE, y la Comisión Europea está evaluando todo el marco normativo.
Las denuncias sobre el Reglamento de IA ya están protegidas. Desde el 2 de agosto de 2026, la protección de la directiva cubre explícitamente las denuncias de infracciones del Reglamento de IA de la UE, en virtud del artículo 87 de dicho Reglamento. Si su organización desarrolla o utiliza sistemas de IA, su formulario de denuncias y su política deben incluir la IA como tema denunciable.
La directiva está en proceso de revisión. Se prevé que la evaluación de la directiva por parte de la Comisión finalice en el cuarto trimestre de 2026. Podría dar lugar a propuestas para endurecer o ampliar las normas.
El foco de la supervisión está cambiando. Los 27 Estados miembros han aprobado sus leyes, pero los grupos de seguimiento informan de que ninguno cumple plenamente con la directiva. Es previsible que las normativas nacionales sigan evolucionando, por lo que conviene revisar su canal al menos una vez al año.
¿Qué se considera represalia contra un denunciante?
Una represalia es cualquier acto perjudicial o amenaza llevada a cabo como consecuencia de una denuncia. La directiva las prohíbe por completo, incluyendo el despido, la degradación, la denegación de un ascenso, la reducción salarial, una referencia negativa, el acoso, la inclusión en listas negras y la finalización anticipada de un contrato con un proveedor.
La carga de la prueba recae en el empleador. Si un denunciante demuestra que presentó una denuncia y posteriormente sufrió un perjuicio, el empleador debe probar que la medida no tuvo ninguna relación con la denuncia.
¿Cuáles son las sanciones por incumplir la normativa de whistleblowing?
Las sanciones las establece cada Estado miembro y pueden alcanzar 1.000.000 € para las empresas en España. El artículo 23 de la directiva exige sanciones para quien:
• Obstaculice o intente obstaculizar una denuncia
• Tome represalias contra un denunciante
• Inicie procedimientos abusivos contra un denunciante
• Incumpla el deber de mantener la confidencialidad de la identidad del denunciante
Varios países, entre ellos Alemania e Italia, también sancionan a los empleadores que no cuentan con ningún canal interno. Además de las multas, los tribunales pueden ordenar la readmisión y una compensación, y una denuncia mal gestionada a menudo acaba haciéndose pública.
¿Cómo pueden los empleadores cumplir rápidamente con la normativa de whistleblowing?
La vía más rápida hacia el cumplimiento normativo es un sistema de whistleblowing específico que integre los requisitos legales directamente en el flujo de trabajo. Trusty es una plataforma de whistleblowing diseñada conforme a la Directiva europea de protección del denunciante, y permite configurar un canal interno en menos de cinco minutos.
Qué exige la ley | Cómo lo cubre Trusty |
|---|---|
Denuncias por escrito y orales | Formulario de denuncia en línea más mensajes de voz en el navegador con distorsión de voz |
Confidencialidad y acceso restringido | Acceso basado en roles, con gestión de casos separada para cada entidad jurídica |
Contacto con el denunciante, incluidos los anónimos | Bandeja de entrada anónima bidireccional que el denunciante vuelve a abrir con un código de acceso |
Acuse de recibo en 7 días y respuesta en 3 meses | Panel de casos que muestra cada denuncia y su estado |
Conservación de registros | Sello de tiempo cualificado eIDAS en cada denuncia y un registro de auditoría a prueba de manipulaciones |
Tratamiento conforme al RGPD | Alojamiento en centros de datos certificados ISO/IEC 27001 en Alemania |
Información y sensibilización | Políticas de cumplimiento ya elaboradas y formación para empleados incluida |
Prueba Trusty gratis durante 7 días en trusty.report, o reserve una breve demostración para ver el canal de denuncias en funcionamiento.
Preguntas frecuentes sobre la normativa de whistleblowing
El whistleblowing consiste en denunciar una conducta indebida de la que ha tenido conocimiento a través de su trabajo, como fraude, corrupción, infracciones de seguridad o mal uso de datos. La denuncia puede dirigirse a su empleador, a una autoridad pública o, en casos limitados, al público.
En la UE, le protegen la Directiva (UE) 2019/1937 y la ley nacional que la transpone. Algunos ejemplos son la Hinweisgeberschutzgesetz en Alemania, la Ley 2/2023 en España, la Sapin II en Francia y el Decreto Legislativo 24/2023 en Italia.
Las empresas privadas con 50 trabajadores o más y los organismos del sector público deben disponer de un canal de denuncias interno. Algunos sectores, como los servicios financieros, deben tenerlo independientemente de su tamaño.
Sí. Una empresa con sede fuera de la UE debe cumplir la normativa en cada entidad jurídica de la UE que tenga 50 trabajadores o más, conforme a la ley del país donde esté establecida dicha entidad.
Sí. Una persona que denuncia de forma anónima y es identificada posteriormente tiene la misma protección que un denunciante identificado. Que los empleadores deban aceptar denuncias anónimas depende del país, y España lo exige.
Un empleador debe acusar recibo de la denuncia en un plazo de siete días y proporcionar información sobre el seguimiento en un plazo de tres meses desde ese acuse de recibo.
Sí. Un denunciante puede dirigirse a la autoridad nacional competente sin utilizar primero el canal interno, y conserva la protección total. Se anima a los empleadores a que la denuncia interna sea la opción más sencilla.
Sí. Desde el 2 de agosto de 2026, las denuncias de infracciones del Reglamento de IA de la UE están explícitamente cubiertas por la Directiva europea de protección del denunciante.
Fuentes
• Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, EUR-Lex
• Whistleblowing y el Reglamento de IA de la UE, EU Artificial Intelligence Act
• La evaluación de la Directiva de Whistleblowing de la UE ya está en marcha, EU Whistleblowing Monitor
• Resumen de novedades de abril de 2026, EU Whistleblowing Monitor
• Trusty, información del producto
con la Directiva de la UE y el RGPD
Software de denuncias sencillo, creado por expertos en cumplimiento normativo.