Ley Whistleblowing: Qué es, cómo funciona, multas y obligaciones

La Ley Whistleblowing establece en España un marco específico para proteger a las personas que informan sobre determinadas infracciones conocidas dentro de un contexto laboral o profesional. Su finalidad es que estas comunicaciones puedan realizarse de forma segura y que el informante no quede expuesto a represalias por haber trasladado la información.

En España, esta regulación se articula principalmente a través de la Ley 2/2023, de 20 de febrero, que incorporó al ordenamiento español la Directiva (UE) 2019/1937. La norma obliga a determinadas empresas y entidades públicas a disponer de un Sistema interno de información y establece cómo deben gestionarse las comunicaciones.

La confidencialidad, la posibilidad de presentar comunicaciones anónimas y la protección frente a represalias son algunos de sus principios más importantes. Además, las organizaciones deben definir quién será responsable del sistema y disponer de un procedimiento para gestionar cada comunicación.

Cumplir con la Ley Whistleblowing implica, por tanto, algo más que habilitar un formulario. La empresa necesita combinar tecnología, procedimientos internos y personas responsables para conseguir que el sistema funcione correctamente cuando alguien decida utilizarlo.

Qué es la Ley Whistleblowing

La Ley Whistleblowing es la denominación utilizada habitualmente para referirse a la normativa destinada a proteger a las personas que informan sobre determinadas infracciones.

En España, su principal referencia es la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Esta norma desarrolla en España la Directiva (UE) 2019/1937 y establece mecanismos para que una persona pueda comunicar determinados hechos conocidos dentro de su relación laboral o profesional sin quedar desprotegida por hacerlo.

Entre los objetivos de la normativa se encuentran:

• Facilitar la comunicación de determinadas infracciones.
• Proteger a las personas informantes frente a represalias.
• Mantener la confidencialidad de la información.
• Permitir comunicaciones anónimas.
• Establecer procedimientos claros para gestionar cada caso.
• Facilitar la detección de posibles irregularidades dentro de las organizaciones.

Puede consultar el texto completo de la Ley 2/2023 para conocer directamente el contenido de la normativa.

Ámbito de aplicación y sujetos obligados

La Ley Whistleblowing protege a diferentes perfiles que pueden tener conocimiento de posibles infracciones dentro de un contexto laboral o profesional.

Esto puede incluir, entre otros, a trabajadores, antiguos empleados, autónomos, accionistas, miembros de órganos de administración, personas que trabajan para contratistas o proveedores y determinadas personas cuya relación profesional todavía no haya comenzado. En cuanto a las organizaciones obligadas, uno de los criterios principales es el número de trabajadores.

Con carácter general, deben disponer de un Sistema interno de información las empresas privadas con 50 o más trabajadores. Sin embargo, existen determinados sectores en los que la obligación puede aplicarse con independencia del tamaño de la plantilla. La Ley 2/2023 también establece obligaciones para el sector público y contempla otros supuestos específicos.

Los plazos iniciales para poner en marcha estos sistemas finalizaron durante 2023. Por tanto, las organizaciones que actualmente se encuentren dentro de los supuestos previstos por la normativa ya deberían disponer de su sistema.

Si quiere comprobar si una empresa concreta está incluida puede consultar nuestra guía sobre Cuando es obligatorio un canal de denuncias. También puede ampliar esta cuestión en nuestro artículo sobre Canal ético obligatorio.

Obligaciones de las entidades

Las organizaciones obligadas por la Ley Whistleblowing deben disponer de un Sistema interno de información que permita recibir y gestionar las comunicaciones con las garantías previstas por la normativa.

Entre sus principales obligaciones se encuentran:

• Implantar el Sistema interno de información.
• Habilitar uno o varios canales internos.
• Permitir comunicaciones por escrito o verbalmente.
• Permitir la presentación de comunicaciones anónimas.
• Designar un Responsable del Sistema.
• Aprobar un procedimiento para gestionar las comunicaciones.
• Garantizar la confidencialidad.
• Proteger los datos personales.
• Evitar represalias contra las personas protegidas por la normativa.
• Respetar los plazos establecidos.

El Sistema interno debe funcionar además de manera independiente respecto al canal externo gestionado por la autoridad competente. La empresa debe informar de manera clara sobre la existencia de ambas vías, pero no tiene que crear ni gestionar el canal externo.

Diseño del Sistema interno de información

El Sistema interno de información es más amplio que el propio canal de denuncias. Dicho canal es la vía mediante la que se recibe una comunicación, mientras que el sistema incluye también al Responsable del Sistema, el procedimiento de gestión, las medidas de seguridad y las garantías que deben respetarse durante todo el proceso.

Para funcionar correctamente debería contemplar aspectos como:

• Una vía sencilla para presentar comunicaciones.
• Controles de acceso a los expedientes.
• Gestión de comunicaciones anónimas.
• Comunicación segura con el informante.
• Registro de las actuaciones.
• Control de los plazos.
• Gestión documental.
• Protección de datos.
• Procedimientos para evitar conflictos de interés.

La Ley Whistleblowing exige además que exista un Responsable del Sistema, que puede ser una persona física o un órgano colegiado y debe desarrollar sus funciones de forma independiente y autónoma.

Para conocer cómo puede implantarse en la práctica puede consultar nuestra guía sobre Implementar canal de denuncias.

Procedimiento de denuncia paso a paso

Una vez implantado el sistema, debe existir un procedimiento claro para saber qué ocurre cuando llega una comunicación. Aunque cada expediente puede presentar circunstancias diferentes, el proceso suele seguir varias fases:

1. Recepción de la comunicación

La persona informante utiliza alguno de los medios habilitados para comunicar los hechos. El canal interno puede admitir comunicaciones por medios electrónicos, correo postal, teléfono, sistemas de mensajería de voz u otras vías establecidas por la organización.

Además, cuando el informante lo solicite, debe existir la posibilidad de realizar una reunión presencial dentro del plazo establecido.

2. Registro y acuse de recibo

Una vez recibida la información, se crea el correspondiente expediente y se registra la comunicación. Cuando proceda, debe enviarse al informante un acuse de recibo en un máximo de 7 días naturales, salvo que hacerlo pueda comprometer la confidencialidad.

3. Análisis inicial

La información recibida se revisa para determinar si entra dentro del ámbito del sistema y qué actuaciones deben llevarse a cabo. En esta fase también es importante comprobar si existe algún conflicto de interés que pueda afectar a las personas inicialmente encargadas de gestionar el expediente.

4. Investigación

Cuando resulta necesario continuar, se realizan las correspondientes actuaciones para analizar los hechos. Esto puede implicar revisar documentación, solicitar información adicional, realizar entrevistas o comprobar determinados acontecimientos relacionados con la comunicación.

El plazo máximo general para dar respuesta a las actuaciones de investigación es de 3 meses, aunque puede ampliarse hasta otros tres meses cuando el asunto presente una especial complejidad.

5. Conclusiones y cierre

Después de analizar los hechos se determinan las medidas que correspondan y se documentan las actuaciones realizadas. La comunicación y conservación de la información deben realizarse respetando las obligaciones relacionadas con la confidencialidad y la protección de datos.

Para conocer más sobre este tipo de sistemas puede consultar este artículo sobre whistleblowing y canales de denuncias.

Protección del denunciante y medidas anti‑represalias

La protección de la persona informante constituye uno de los elementos centrales de la Ley Whistleblowing. La normativa prohíbe determinadas represalias contra aquellas personas que cumplen los requisitos previstos para recibir protección.

Estas represalias pueden adoptar formas muy diferentes y no tienen por qué limitarse al despido. Pueden incluir, entre otras situaciones:

• Suspensión o extinción de la relación laboral.
• Degradación profesional.
• Denegación de promociones.
• Cambios perjudiciales en las condiciones laborales.
• Evaluaciones negativas injustificadas.
• Daños reputacionales.
• Discriminación o trato desfavorable.
• Inclusión en determinadas listas que dificulten futuras contrataciones.

La confidencialidad también resulta especialmente importante. La identidad de la persona informante no debería ser accesible para personas que no estén autorizadas a conocerla. El sistema interno debe diseñarse precisamente para que las comunicaciones puedan gestionarse con confidencialidad y protección de datos.

Además, la normativa establece distintas medidas de apoyo y protección para las personas que se encuentran dentro de su ámbito de aplicación.

Sanciones y multas previstas

El incumplimiento de la Ley Whistleblowing puede dar lugar a sanciones económicas importantes. La Ley 2/2023 diferencia entre infracciones leves, graves y muy graves.

En el caso de personas físicas, las multas previstas son:

• Infracciones leves: de 1.001 a 10.000 euros.
• Infracciones graves: de 10.001 a 30.000 euros.
• Infracciones muy graves: de 30.001 a 300.000 euros.

En el caso de personas jurídicas:

• Infracciones leves: hasta 100.000 euros.
• Infracciones graves: entre 100.001 y 600.000 euros.
• Infracciones muy graves: entre 600.001 y 1.000.000 de euros.

En determinados supuestos de infracciones muy graves también pueden imponerse consecuencias adicionales, como una amonestación pública, la prohibición de obtener subvenciones o beneficios fiscales durante un máximo de cuatro años o la prohibición temporal de contratar con el sector público.

No disponer del Sistema interno de información cuando existe obligación legal está tipificado como una infracción muy grave. Puede consultar nuestra guía sobre Sanciones por no tener canal de denuncias para profundizar en este apartado.

Casos prácticos de aplicación

La aplicación de la normativa puede observarse especialmente en situaciones en las que una persona comunica posibles irregularidades y posteriormente considera que ha sufrido consecuencias laborales por hacerlo.

Un ejemplo citado habitualmente es el de un trabajador de Acciona cuyo despido fue declarado nulo después de haber denunciado posibles prácticas irregulares. Puede consultar una explicación del caso en este artículo sobre la readmisión de un trabajador después de denunciar posibles prácticas corruptas.

Este tipo de situaciones permite entender por qué la prohibición de represalias ocupa un lugar tan importante dentro de la Ley Whistleblowing.

También muestra la necesidad de que las empresas dispongan de procedimientos claros para gestionar tanto las comunicaciones como cualquier decisión laboral que posteriormente pueda afectar a una persona informante. El objetivo no es únicamente recibir la información, sino garantizar que todo el procedimiento se desarrolle respetando los derechos de las personas implicadas.

Buenas prácticas y soluciones para cumplir la Ley

Cumplir con la Ley Whistleblowing requiere combinar procedimientos internos, tecnología y formación. Una plataforma puede facilitar el trabajo, pero no sustituye a una gestión adecuada.

Entre las buenas prácticas que conviene aplicar se encuentran:

• Definir previamente el procedimiento.
• Designar correctamente al Responsable del Sistema.
• Limitar los accesos a información confidencial.
• Permitir comunicaciones anónimas.
• Controlar los plazos.
• Documentar las actuaciones realizadas.
• Establecer mecanismos para detectar conflictos de interés.
• Formar a las personas responsables.
• Informar a empleados y terceros sobre la existencia del canal.
• Revisar periódicamente el funcionamiento del sistema.

La comunicación interna es especialmente importante. Si una persona no sabe dónde se encuentra el canal o duda de que su información vaya a mantenerse protegida, será mucho menos probable que decida utilizarlo.

También conviene revisar periódicamente el sistema para detectar dificultades de uso, retrasos en la gestión o problemas en los procedimientos internos. Para profundizar en la puesta en marcha puede consultar nuestra guía para implementar un canal de denuncias.

Utilizar una plataforma para cumplir con la Ley Whistleblowing

Una solución digital puede simplificar considerablemente la gestión del Sistema interno de información. En lugar de recibir comunicaciones mediante correos electrónicos o documentos dispersos, una plataforma especializada permite centralizar los expedientes y realizar un seguimiento más ordenado.

Entre las funcionalidades que conviene valorar se encuentran:

• Gestión de comunicaciones anónimas.
• Control de permisos.
• Comunicación segura con el informante.
• Registro de actuaciones.
• Gestión documental.
• Seguimiento de plazos.
• Trazabilidad.
• Personalización.
• Protección de la información.

En Canal de Denuncias Seguro ofrecemos una solución orientada a facilitar la recepción y gestión de estas comunicaciones dentro de un entorno centralizado.

También puede conocer con mayor detalle nuestra Plataforma canal de denuncias Ley 2/2023 o consultar qué requisitos debe reunir un Canal de denuncias digital conforme a la ley.

La tecnología facilita el cumplimiento de muchos procedimientos, pero no garantiza por sí sola el cumplimiento de la Ley Whistleblowing. La organización sigue necesitando responsables correctamente designados, protocolos internos y una gestión adecuada de cada comunicación.

Cuando estos elementos funcionan conjuntamente, el canal deja de ser simplemente una obligación normativa y pasa a convertirse en una herramienta que permite detectar y gestionar posibles irregularidades de forma mucho más ordenada.