Marco legal

Whistleblowing en España: qué es, quién puede denunciar y qué protege la ley

Actualizado a mayo 2026 · 8 minutos de lectura

Publicado el 21 de mayo de 2026 por el equipo de EticAlert

Si has oído hablar de whistleblowing pero no tienes del todo claro qué significa en el contexto de tu empresa española, no eres el único. El término lleva años circulando en foros de compliance y medios especializados, pero la obligación legal de actuar llegó con la Ley 2/2023. Esta guía explica el concepto desde la base: qué es el whistleblowing, quién puede ser whistleblower, qué protege la ley española y cómo tu empresa puede dar cumplimiento de forma sencilla.

Qué es el whistleblowing

Whistleblowing es un término anglosajón que literalmente significa "hacer sonar el silbato". Proviene de la imagen del árbitro que detiene el juego cuando se produce una infracción, o del agente de policía que alerta a los ciudadanos ante un peligro. En el ámbito organizacional, el concepto se aplicó por primera vez de forma sistemática en Estados Unidos a finales de los años setenta, cuando diversas leyes federales comenzaron a ofrecer protección a los empleados que revelaban fraudes contra la Administración.

En el contexto empresarial y de cumplimiento normativo, el whistleblowing consiste en comunicar, a través de un canal formal, infracciones normativas, conductas corruptas, fraudes o comportamientos contrarios a la ética que se producen en el seno de una organización. La persona que realiza esa comunicación es el whistleblower o informante.

En español, el término se traduce habitualmente como "denuncia de irregularidades" o "sistema de alertas internas". La legislación española optó por el término "informante" y "Sistema Interno de Información" (SII), evitando el uso de "denuncia" —con sus connotaciones penales— para subrayar que comunicar una irregularidad es un acto de responsabilidad cívica y corporativa, no una acusación formal.

La diferencia entre el whistleblowing y una denuncia ordinaria radica precisamente en el contexto: el informante tiene una relación con la organización sobre la que informa (es empleado, proveedor, becario…) y esa relación es la que genera el riesgo de represalias que la ley busca eliminar.

El whistleblower: quién puede serlo

Uno de los errores más comunes entre los responsables de compliance es pensar que el whistleblower es siempre un empleado. La realidad legal es bastante más amplia. La Ley 2/2023 extiende la condición de informante potencial —y la correspondiente protección— a cualquier persona que tenga o haya tenido un vínculo de naturaleza profesional con la organización:

• Empleados actuales, con independencia de su tipo de contrato (indefinido, temporal, a tiempo parcial).
• Exempleados que hubieran conocido la irregularidad durante su relación laboral.
• Becarios y estudiantes en prácticas, remunerados o no.
• Voluntarios que desarrollen actividades para la organización.
• Candidatos en procesos de selección: si una persona descubre una irregularidad durante una entrevista o las fases previas de contratación, también está protegida.
• Proveedores, contratistas y subcontratistas, así como sus empleados y colaboradores.
• Accionistas, socios y miembros de órganos de gobierno (consejo de administración, comité de dirección).
• Trabajadores autónomos que presten servicios a la organización.

Esta amplitud del concepto tiene una consecuencia práctica importante: el canal de denuncias de tu empresa no puede estar diseñado solo para empleados. Debe ser accesible para todos estos colectivos, lo que implica que la URL de acceso al canal debe ser pública y funcionar sin requerir un login corporativo.

La protección del informante también se extiende a terceros que no son el informante directo: familiares del informante, compañeros que le hayan apoyado y personas jurídicas vinculadas al informante quedan igualmente protegidos frente a represalias.

Marco legal del whistleblowing en España: la Ley 2/2023

El marco jurídico del whistleblowing en España se articula principalmente a través de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

Esta ley establece la obligación de disponer de un Sistema Interno de Información para las siguientes entidades:

• Empresas privadas con 50 o más trabajadores (calculados como media de los últimos doce meses).
• Todas las entidades del sector público, con independencia de su tamaño.
• Partidos políticos, sindicatos y organizaciones empresariales que gestionen fondos públicos.
• Personas jurídicas con facturación superior a 10 millones de euros, aunque no alcancen el umbral de empleados.

El Sistema Interno de Información debe reunir una serie de requisitos técnicos y procedimentales: garantizar la confidencialidad de la identidad del informante, permitir denuncias anónimas, estar disponible 24 horas, enviar acuse de recibo en un plazo máximo de siete días, y responder al informante con las medidas adoptadas en un plazo máximo de tres meses. Además, la gestión del canal debe estar asignada a un Responsable del Sistema Interno de Información (RSII) con autonomía funcional y libre de conflictos de interés.

La Directiva Europea 2019/1937: el origen de la obligación

Para entender por qué España aprobó la Ley 2/2023, hay que remontarse al origen europeo de la obligación. La Directiva 2019/1937 del Parlamento Europeo y del Consejo, adoptada el 23 de octubre de 2019, estableció un marco armonizado de protección de los informantes en toda la Unión Europea.

Los objetivos de la Directiva eran tres. En primer lugar, garantizar que las personas que comuniquen infracciones del Derecho de la Unión no sufran represalias. En segundo lugar, crear canales de comunicación seguros, tanto internos (dentro de la organización) como externos (ante las autoridades competentes). Y en tercer lugar, establecer un suelo mínimo de protección común para todos los estados miembros, evitando que la debilidad de la legislación en un país se convirtiera en una ventaja competitiva desleal para las empresas allí radicadas.

Los estados miembros tenían de plazo hasta el 17 de diciembre de 2021 para transponer la Directiva. España lo hizo con más de un año de retraso, publicando la Ley 2/2023 en el BOE el 21 de febrero de 2023. Ese retraso no exime de responsabilidad a las empresas: la obligación es hoy plenamente exigible y la autoridad competente ya está operativa.

Qué protege la ley al whistleblower

El núcleo de la protección que ofrece la Ley 2/2023 se articula en torno a dos pilares fundamentales: la prohibición de represalias y la inversión de la carga de la prueba.

La ley prohíbe cualquier acto de la organización que perjudique al informante como consecuencia de su denuncia. No solo el despido: también la suspensión, la degradación, el cambio de funciones con perjuicio objetivo, la reducción salarial, las evaluaciones negativas injustificadas, el acoso, el ostracismo, las listas negras o la revelación no consentida de la identidad del informante. La lista legal es explícitamente no exhaustiva, lo que significa que otras formas de represalia no enumeradas también están prohibidas.

La inversión de la carga de la prueba es el mecanismo más poderoso de la ley. Si el informante sufre un perjuicio laboral tras presentar la denuncia y existe una conexión temporal entre ambos hechos, se presume que el perjuicio es una represalia. La empresa debe demostrar activamente que el perjuicio tiene causas ajenas a la denuncia. Si no puede demostrarlo, el despido puede ser declarado nulo —no improcedente, sino nulo—, con obligación de readmisión y abono de todos los salarios dejados de percibir.

Para las empresas, la consecuencia económica de una represalia declarada es doble: sanción administrativa de la AIPI de hasta 1.000.000 euros por infracción muy grave, más la indemnización judicial al informante por todos los daños acreditados (daño moral, lucro cesante, gastos legales). La combinación puede ser devastadora para una empresa de tamaño mediano.

Canal interno vs canal externo (AIPI): cuándo usar cada uno

La Ley 2/2023 distingue dos vías para comunicar una irregularidad: el canal interno, gestionado por la propia organización, y el canal externo, gestionado por la AIPI o las autoridades sectoriales competentes.

El canal interno es el punto de entrada natural para la mayoría de las comunicaciones. El informante lo usa cuando confía en que la organización tiene voluntad real de investigar y corregir la irregularidad, cuando la gravedad del asunto no exige intervención externa inmediata y cuando el vínculo laboral o profesional con la organización hace preferible resolver el asunto internamente.

El canal externo ante la AIPI está diseñado para situaciones en las que el canal interno no funciona adecuadamente, la irregularidad afecta directamente a quienes gestionan el canal interno (lo que crea un conflicto de interés insalvable), o el informante teme fundadamente sufrir represalias si comunica a través del canal interno. El informante puede acudir directamente al canal externo sin necesidad de haber utilizado previamente el canal interno: la ley no establece una obligación de agotamiento previo de la vía interna.

Para las empresas, disponer de un canal interno eficaz y en el que los empleados confíen es estratégicamente relevante: cuantos más informantes usen el canal interno, menos comunicaciones llegarán directamente a la AIPI, lo que reduce la exposición regulatoria y permite a la empresa resolver los problemas antes de que escalen.

Cómo implementar un sistema de whistleblowing en tu empresa

Implementar un sistema de whistleblowing conforme a la Ley 2/2023 implica cinco pasos concretos:

1. Elegir la solución técnica. Las opciones son desarrollo interno, consultoría especializada o plataforma SaaS. Para la pyme, la plataforma SaaS es la opción más rápida y económica: canal operativo en minutos, todos los requisitos técnicos de la ley ya cubiertos, sin necesidad de técnicos ni abogados.
2. Designar el RSII. El Responsable del Sistema Interno de Información puede ser una persona física interna (director de RRHH, director jurídico, compliance officer) o una persona o entidad externa. Lo fundamental es que tenga autonomía funcional y esté libre de conflictos de interés con los asuntos que gestione. La designación debe ser comunicada a la AIPI a través de su sede electrónica.
3. Redactar e implantar la política del sistema. El canal no es solo la tecnología: necesita un procedimiento documentado que establezca cómo se reciben las comunicaciones, quién las gestiona, en qué plazos, qué investigación se realiza y cómo se comunican los resultados al informante.
4. Comunicar el canal a todos los colectivos. Los empleados, los proveedores y el resto de personas que pueden usar el canal deben conocer su existencia, cómo acceder a él y qué garantías ofrece. Esta comunicación debe quedar documentada.
5. Mantener y auditar el sistema. El canal debe estar operativo de forma permanente. La empresa debe registrar todas las comunicaciones recibidas, las actuaciones realizadas y las decisiones adoptadas, y debe revisar periódicamente que el sistema funciona correctamente y sigue cumpliendo los requisitos legales.

Para las pymes españolas con obligación legal, la ruta más sencilla es activar una plataforma SaaS especializada que cubra los requisitos técnicos de la ley desde el primer día y que incluya el proceso guiado de designación y comunicación del RSII.

El estado del whistleblowing en España en 2026

Con la AIPI operativa desde comienzos de 2026, el panorama del whistleblowing en España ha cambiado cualitativamente. Ya no es una obligación teórica: el organismo ha iniciado expedientes sancionadores, ha publicado resoluciones y ha emitido recomendaciones prácticas que definen cómo debe funcionar un canal para superar una inspección. Los datos que permiten calibrar dónde estamos:

• Tasa de incumplimiento estimada en pymes: según los datos de solicitud de designación de RSII en la sede de la AIPI, una proporción significativa de empresas obligadas (50-249 empleados) aún no había comunicado su RSII a finales del primer semestre de 2026, lo que las sitúa en doble incumplimiento: sin canal operativo y sin designación formal del responsable.
• Perfil de las infracciones detectadas: las actuaciones de inspección de la AIPI se han centrado principalmente en tres tipologías: ausencia total de canal, canal con formulario accesible pero sin RSII designado y notificado, y canales que no garantizan el anonimato del informante (formularios con IP registrada o con identificación corporativa obligatoria).
• Sectores con mayor presión inspectora: el sector financiero, las entidades que gestionan fondos públicos y las constructoras han recibido mayor atención por parte de la AIPI en su primera fase de actividad, en línea con el énfasis de la Directiva 2019/1937 en los sectores con mayor riesgo de corrupción.
• Uso real del canal externo: la AIPI también gestiona su propio canal externo de denuncias para empleados de organizaciones que no disponen de canal interno o donde el canal interno no funciona. El número de comunicaciones recibidas en el canal externo sirve como indicador indirecto de la confianza (o desconfianza) en los canales internos del mercado.

Whistleblowing en perspectiva internacional

España no está sola en este proceso. La Directiva 2019/1937 ha obligado a todos los estados miembros de la UE a crear marcos similares. La experiencia de los países que transpusieron antes la directiva ofrece algunas lecciones útiles sobre cómo evoluciona el whistleblowing una vez que la ley lleva varios años en vigor:

• Francia (Loi Sapin II, 2016): en los primeros años de aplicación, las denuncias internas aumentaron pero la mayoría seguían siendo anónimas. Con el tiempo, y a medida que los informantes confirmaron que las protecciones funcionaban, el porcentaje de denuncias con identificación voluntaria creció. La confianza en el sistema es el factor determinante.
• Reino Unido (Public Interest Disclosure Act, 1998): uno de los marcos más maduros de Europa. La experiencia británica muestra que los canales con mayor uso son los que garantizan respuesta real al informante — no solo acuse de recibo, sino actualización periódica del estado de la investigación. La obligación de informar al denunciante en 3 meses de la Ley 2/2023 sigue precisamente este modelo.
• EEUU (Dodd-Frank, SEC Whistleblower Program): el modelo más desarrollado globalmente incluye compensaciones económicas para informantes cuya denuncia derivó en sanción superior a 1 millón de dólares. La Ley 2/2023 española no prevé compensaciones económicas, pero sí la nulidad del despido represalia y la inversión de la carga de la prueba, mecanismos de protección de primera magnitud.

La tendencia global apunta a que el whistleblowing efectivo requiere tres condiciones simultáneas: un canal técnicamente seguro (que el informante crea que no puede ser identificado), un proceso de gestión creíble (que el informante crea que la denuncia tendrá consecuencias reales) y una cultura organizativa que no penalice implícitamente el uso del canal. La tecnología cubre la primera condición; el RSII y el procedimiento cubren la segunda; la comunicación y el liderazgo cubren la tercera.

Recursos relacionados:

• Ley 2/2023: guía completa para empresas →
• Directiva 2019/1937: qué exige Europa →
• Protección del informante: garantías y represalias →
• AIPI: sanciones y enforcement →