La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone la Directiva Europea 2019/1937 (Whistleblower Directive) al ordenamiento español. La norma establece la obligación de contar con un canal interno de información para empresas con 50 o más trabajadores, partidos políticos, sindicatos y fundaciones receptoras de fondos públicos.
Contexto: la Directiva Whistleblower y su transposición tardía
La Directiva 2019/1937/UE del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, estableció un plazo de transposición hasta el 17 de diciembre de 2021. España, como otros Estados miembros, incumplió ese plazo y la Ley 2/2023 no se publicó en el BOE hasta el 20 de febrero de 2023, con más de un año de retraso sobre el plazo europeo. Este retraso no exime de responsabilidad a las empresas: en el período de vacatio, la Directiva podía invocarse directamente frente a organismos del sector público, y muchas organizaciones del ámbito privado optaron por anticipar la implantación del canal para no quedar expuestas.
La Ley 2/2023 no se limita a transponer la Directiva: amplía el ámbito de protección e introduce obligaciones adicionales que van más allá de lo estrictamente requerido por la normativa europea. En particular, extiende la obligación del canal a partidos políticos, sindicatos y organizaciones empresariales con financiación pública por importe superior a 100.000 euros anuales, e incluye infracciones que no tienen cobertura directa en la Directiva, como las relativas a seguridad de los productos, protección del medio ambiente o contratación pública.
Ámbito de aplicación
Las entidades del sector privado con más de 249 trabajadores debían haber implantado el canal antes del 13 de junio de 2023. Las de entre 50 y 249 empleados disponían de un plazo ampliado hasta el 1 de diciembre de 2023. Las entidades del sector público, independientemente de su tamaño, también quedaron obligadas.
El umbral de 50 trabajadores se calcula atendiendo a la plantilla media del año natural anterior, computándose tanto los contratos indefinidos como los temporales de duración superior a un mes. Los grupos de empresas que en su conjunto superen los 50 trabajadores pueden implantar un canal único y compartido entre las sociedades del grupo, siempre que se garantice la independencia de la gestión y la confidencialidad de cada informante.
Quedan excluidas del ámbito de aplicación las empresas de menos de 50 trabajadores, aunque la ley habilita a estas entidades para implantar voluntariamente un canal que ofrezca las mismas garantías. En la práctica, muchas pymes con contratos con el sector público o integradas en cadenas de suministro de grandes grupos optan por implantarlo voluntariamente para cumplir con los requisitos de sus clientes o para acceder a licitaciones que lo exigen.
Requisitos del canal
El canal debe garantizar la confidencialidad de la identidad del informante durante todo el proceso, salvo en los supuestos en que la revelación sea obligatoria en el marco de investigaciones judiciales. El gestor del canal —interno o externo— tiene 7 días para acusar recibo y 3 meses para investigar y responder. La norma prohíbe expresamente las represalias contra informantes.
Los requisitos técnicos y organizativos que debe cumplir el canal son los siguientes:
Confidencialidad: El sistema debe garantizar que la identidad del informante no sea conocida por personas ajenas al gestor del canal, incluso internamente. Esto implica que el canal no puede ser gestionado por el departamento de recursos humanos o por la dirección de la empresa directamente, salvo que existan medidas organizativas que garanticen la independencia. La mayoría de las empresas medianas y grandes optan por externalizar la gestión del canal a un proveedor externo especializado o a un asesor jurídico independiente.
Posibilidad de denuncia anónima: La ley, a diferencia de lo que permite opcionalidad en la Directiva, obliga a que el canal admita denuncias anónimas. El gestor debe mantener un sistema de comunicación bidireccional con el informante anónimo que permita solicitar aclaraciones o información adicional sin revelar su identidad.
Plazos de respuesta: El acuse de recibo de la comunicación debe producirse en el plazo máximo de 7 días hábiles desde su recepción. Las actuaciones de investigación y las medidas adoptadas deben comunicarse al informante en un plazo máximo de 3 meses desde el acuse de recibo, prorrogable por otros 3 meses en casos de especial complejidad.
Prohibición de represalias: La ley establece una protección reforzada frente a represalias: la carga de la prueba de que una medida adoptada frente al informante (despido, sanción, cambio de condiciones laborales) no tiene carácter represaliador recae sobre el empleador. Esta inversión de la carga probatoria tiene implicaciones prácticas directas en la gestión de las relaciones laborales con trabajadores que hayan comunicado una infracción.
Sanciones
El régimen sancionador distingue entre infracciones muy graves (multas de hasta un millón de euros para personas jurídicas), graves y leves. La ausencia del canal o su inadecuado funcionamiento constituye infracción muy grave.
Las infracciones muy graves incluyen también las represalias contra informantes, la revelación de la identidad del informante de forma contraria a la ley y la obstaculización de las investigaciones. Las infracciones graves abarcan el incumplimiento de los plazos de gestión o la falta de acuse de recibo. Las infracciones leves contemplan irregularidades procedimentales de menor entidad.
Las multas para personas físicas tienen un límite distinto: hasta 300.000 euros para las infracciones muy graves cometidas por personas físicas en su actividad profesional. En ambos casos, la resolución sancionadora puede incluir la publicación de la sanción, con el consiguiente daño reputacional.
La autoridad competente para la supervisión y sanción a nivel estatal es la Autoridad Independiente de Protección del Informante (A.A.I.), cuya creación fue prevista en la propia ley pero que a finales de 2023 aún no había completado su constitución formal. Entre tanto, las comunidades autónomas y las entidades locales pueden crear sus propias autoridades de supervisión para el sector público de su ámbito territorial.
Integración con el sistema de compliance penal
La implantación de un canal de denuncias eficaz no solo responde a la obligación legal de la Ley 2/2023, sino que es también un elemento fundamental del modelo de prevención de delitos exigido por el artículo 31 bis del Código Penal para que una persona jurídica quede exenta o vea atenuada su responsabilidad penal. Los requisitos del canal del Código Penal y de la Ley 2/2023 son compatibles y complementarios: el canal diseñado conforme a la Ley 2/2023 puede servir simultáneamente como mecanismo de denuncia del modelo penal, siempre que cubra también las infracciones penales relevantes para la actividad de la empresa.
Esta integración reduce costes operativos y evita la duplicación de canales, pero requiere que el gestor del canal tenga formación específica tanto en la normativa de whistleblowing como en compliance penal. Un canal técnicamente conforme pero con procedimientos de investigación deficientes puede ser insuficiente para acreditar la debida diligencia exigida por el artículo 31 bis CP.
Recomendaciones para la implantación
Las empresas que aún no dispongan de canal o que tengan uno implantado antes de la Ley 2/2023 sin los requisitos actuales deben ejecutar un proceso de auditoría y adecuación en cuatro fases: primero, verificar si la entidad está en el ámbito de aplicación y qué plazo le correspondía; segundo, revisar la documentación existente (política de canal, procedimiento de investigación, aviso de privacidad) contra los requisitos de la ley; tercero, implementar o ajustar la plataforma tecnológica para garantizar la confidencialidad y la posibilidad de comunicación anónima bidireccional; y cuarto, formar al gestor del canal y comunicar internamente su existencia y funcionamiento a toda la plantilla.
Desde BMC ofrecemos el diseño e implantación del canal de denuncias como parte de nuestros servicios de compliance. Conozca nuestros servicios de compliance legal.
