Directiva europea 2019/1937: el origen del canal de denuncias obligatorio en España
Actualizado a marzo 2026 · 7 minutos de lectura
Publicado el por el equipo de EticAlert
Si tu empresa tiene un canal de denuncias, o está planteándose tenerlo, el origen de toda esa obligación está en Bruselas. La Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, conocida como la Directiva Whistleblowing, marcó un antes y un después en la protección de los denunciantes y en la obligación de las empresas de crear canales internos de comunicación. España la transpuso tres años después con la Ley 2/2023. En este artículo explicamos de dónde viene todo, qué exige la directiva original y cómo se tradujo al derecho español.
¿Qué es la Directiva 2019/1937?
La Directiva (UE) 2019/1937, de 23 de octubre de 2019, es una norma de la Unión Europea que establece un marco mínimo de protección para las personas que comunican infracciones del Derecho de la Unión que han conocido en un contexto laboral. Su nombre oficial en español es Directiva relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.
Antes de esta directiva, no existía en Europa un estándar común de protección para los llamados whistleblowers (denunciantes de irregularidades). Cada Estado miembro tenía —o no tenía— su propia normativa, y las personas que comunicaban irregularidades a menudo sufrían represalias laborales sin mecanismos de defensa claros. La directiva vino a cambiar eso.
La norma es vinculante: todos los Estados miembros de la UE estaban obligados a transponerla a su ordenamiento jurídico antes del 17 de diciembre de 2021. España incumplió ese plazo y aprobó la Ley 2/2023 con más de un año de retraso.
¿Por qué se creó esta directiva?
La Comisión Europea identificó que en muchos Estados miembros las personas que comunicaban irregularidades no contaban con protección efectiva. Los estudios previos a la directiva mostraban que el miedo a las represalias (despido, degradación, acoso, litigios) disuadía a muchos potenciales denunciantes de actuar, lo que permitía que ilegalidades graves —corrupción, evasión fiscal, fraude, daños medioambientales— continuaran sin ser detectadas.
El objetivo fue, por tanto, doble: proteger a las personas que informan y, al mismo tiempo, crear un mecanismo estructural que permitiera a las organizaciones detectar y corregir sus propios problemas antes de que llegaran a las autoridades externas.
Casos sonados como los de Luxleaks, Panama Papers o Cambridge Analytica demostraron que los denunciantes habían sido clave para sacar a la luz esas irregularidades, pero que a menudo lo pagaron con su carrera profesional o incluso con procesos penales en su contra. La directiva reconoció explícitamente que el interés público en la información que aportaban justificaba una protección especial.
¿Qué exige la directiva?
La Directiva 2019/1937 establece una serie de obligaciones que se dividen en dos grandes bloques: las que afectan a las organizaciones (canales internos) y las que afectan a los Estados (canales externos y protección legal).
Para las organizaciones privadas y públicas con 50 o más trabajadores:
- Establecer canales de comunicación interna seguros, confidenciales y accesibles.
- Garantizar que los canales permiten comunicaciones tanto escritas como verbales.
- Designar a una persona o departamento imparcial, independiente y competente para gestionar las comunicaciones recibidas.
- Acusar recibo de cada comunicación en un plazo máximo de 7 días.
- Proporcionar información al denunciante sobre las medidas adoptadas en un plazo razonable (no superior a 3 meses).
- Proteger la identidad del denunciante de forma rigurosa; la revelación no autorizada está expresamente prohibida.
- Posibilitar las denuncias anónimas, aunque los Estados miembros no están obligados a garantizar su seguimiento si el informante no facilita ningún medio de contacto.
Para los Estados miembros:
- Crear canales externos de denuncia (autoridades competentes) con las mismas garantías de confidencialidad y seguimiento.
- Prohibir cualquier forma de represalia contra el denunciante: despido, suspensión, degradación, discriminación, acoso, daño reputacional, revelación de identidad, entre otras.
- Establecer la inversión de la carga de la prueba: si el denunciante sufre un perjuicio, se presume que es una represalia y corresponde a la organización demostrar lo contrario.
- Prever sanciones efectivas, proporcionadas y disuasorias tanto para las represalias como para el incumplimiento de las obligaciones formales.
¿Cómo la transpuso España?
España aprobó la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Fue publicada en el BOE el 21 de febrero de 2023 con un retraso de más de 14 meses respecto al plazo marcado por la directiva.
La transposición española no se limitó a copiar la directiva. La Ley 2/2023 amplió el ámbito de aplicación en algunos aspectos importantes. Mientras la directiva solo cubre infracciones del Derecho de la Unión Europea, la ley española extiende la protección a infracciones del derecho nacional en general, lo que amplía considerablemente el número de situaciones que pueden comunicarse por el canal.
Adicionalmente, la ley española creó la Autoridad Independiente de Protección del Informante (AIPI), organismo público encargado de gestionar el canal externo y de ejercer la potestad sancionadora sobre las organizaciones que incumplan la normativa. La AIPI inició su actividad plena en 2026.
Diferencias entre la directiva y la ley española
Aunque la Ley 2/2023 es la transposición de la directiva, hay diferencias relevantes que conviene conocer:
| Aspecto | Directiva 2019/1937 | Ley 2/2023 (España) |
|---|---|---|
| Ámbito material | Solo infracciones del Derecho UE | Infracciones del Derecho UE y nacional |
| Autoridad externa | Cada Estado designa autoridades competentes | Se crea la AIPI como organismo específico |
| Denuncias anónimas | Permitidas; seguimiento opcional | Obligatoriamente tratadas |
| RSII | No figura con este nombre | Figura obligatoria con notificación a AIPI |
| Sanciones máximas | Disuasorias (sin cifra concreta) | Hasta 1.000.000€ personas jurídicas |
| Libro-registro | No especificado | Obligatorio con conservación 10 años |
¿Qué implica para empresas con matriz internacional?
Para los grupos multinacionales con filial española, la Directiva 2019/1937 es especialmente relevante porque garantiza que el estándar sea homogéneo en toda la UE. Sin embargo, cada país ha añadido matices en su transposición, por lo que el cumplimiento no es automático por disponer de un canal corporativo que cumpla la ley de otro país.
Una empresa con matriz en Alemania, Francia o cualquier otro Estado miembro que ya tenga un canal de denuncias conforme a la directiva tiene un buen punto de partida, pero deberá verificar que ese canal cumple también los requisitos específicos de la Ley 2/2023 para su filial española. En particular:
- El canal debe poder recibir denuncias en español y garantizar la confidencialidad bajo las normas del RGPD aplicado en España.
- Debe existir un RSII designado para la filial española, con notificación formal a la AIPI.
- El libro-registro debe mantenerse conforme a los requisitos del artículo 26 de la Ley 2/2023, independientemente de los registros corporativos globales.
- Las sanciones en caso de incumplimiento son competencia exclusiva de la AIPI española, no de las autoridades del país de la matriz.
Para empresas con presencia en varios países de la UE, la recomendación habitual es disponer de una infraestructura técnica unificada (un software de canal de denuncias configurable por país) con procedimientos y responsables adaptados a cada jurisdicción nacional.
Cumple la directiva europea y la ley española con EticAlert
EticAlert está diseñado para cumplir tanto la Directiva 2019/1937 como la Ley 2/2023 española desde el primer día. Starter desde 9€/mes · Business 19€/mes · Company 39€/mes.
Cumple la directiva europea y la ley española con EticAlert →Recursos relacionados: