Ashio whistleblowing software

Sep 4, 2026

Directiva UE 2019/1937 de whistleblowing: qué obliga exactamente a tu empresa

Cover: Directiva UE 2019/1937 de whistleblowing: qué obliga exactamente a tu empresa

La directiva UE 2019/1937 lleva años en vigor y muchas PYMEs europeas siguen sin tener un canal interno que cumpla los plazos. Aquí tienes el resumen práctico que tu equipo legal necesita.

Índice

Qué es la Directiva (UE) 2019/1937 y por qué existe

La Directiva (UE) 2019/1937, conocida como la Directiva de Whistleblowing, es la norma europea que armoniza la protección de las personas que informan sobre infracciones del Derecho de la Unión. Su objetivo es doble: por un lado, garantizar que los denunciantes internos y externos dispongan de canales seguros y confidenciales para reportar malas prácticas; por otro, reforzar la cultura de cumplimiento en sectores donde el fraude, la corrupción o los daños al interés público tienen un impacto directo en los ciudadanos y en los propios mercados.

Antes de esta norma, los marcos nacionales eran fragmentados: algunos países ni siquiera reconocían la denuncia anónima y otros carecían de protección frente a represalias. La Directiva establece un suelo mínimo común, lo que en la práctica significa que cualquier empresa obligada debe diseñar un sistema de Canal de denuncia interno capaz de recibir, acusar recibo, investigar y dar respuesta en plazos concretos.

La norma nace tras casos como los Papeles de Panamá o Dieselgate, donde quedó demostrado que los denunciantes internos son, con frecuencia, la primera línea de detección de fraude. Por eso, el texto europeo insiste en la confidencialidad, en la prohibición de represalias y en el acceso a canales externos como la Oficina Europea de Lucha contra el Fraude (OLAF) o las autoridades nacionales competentes.

A quién aplica: umbral de 50 empleados y excepciones por sector

El alcance subjetivo de la Directiva 2019/1937 combina dos criterios: tamaño de la organización y sector de actividad. El umbral más conocido es el de 50 o más trabajadores, a partir del cual las empresas privadas deben disponer de un canal interno de denuncias. Este umbral es el mismo para entidades jurídicas del sector privado con más de 50 empleados, y también se aplica a las entidades del sector público, con independencia de su tamaño.

Ahora bien, el tamaño no es el único factor determinante. Existen excepciones por sector que reducen o eliminan ese umbral de 50 empleados, y que conviene revisar con lupa si tu compañía opera en mercados regulados. Las actividades donde se aplica sin importar el número de empleados son las siguientes:

  • Servicios financieros: entidades de crédito, empresas de seguros y reaseguros, empresas de inversión, sociedades de gestión de fondos, entidades de pago y de dinero electrónico.
  • Prevención del blanqueo de capitales y financiación del terrorismo.
  • Seguridad nuclear, transporte y medio ambiente.
  • Seguridad de los productos y conformidad.
  • Protección del consumidor, privacidad y seguridad de las redes y los sistemas de información.
  • Contratación pública, intereses financieros de la UE y mercado interior.

En consecuencia, una startup de 12 personas que opera en fintech no queda exenta por su tamaño: le aplica la Directiva y, por tanto, las obligaciones canal de denuncias son obligatorias desde el primer día. Lo mismo ocurre con cualquier empresa participada mayoritariamente por alguna de las anteriores, o que reciba fondos públicos por encima de ciertos umbrales. Por el contrario, los municipios con menos de 10.000 habitantes o las empresas pequeñas sin presencia en sectores regulados quedan fuera del alcance obligatorio del canal interno, aunque pueden implantarlo de forma voluntaria.

Obligaciones clave: canal interno, acusar recibo en 7 días, respuesta en 3 meses

Las obligaciones canal de denuncias se concretan en tres bloques: diseño del canal, plazos procedimentales y garantías para el denunciante. Son obligaciones mínimas, lo que significa que la normativa nacional o la política interna de la empresa pueden endurecerlas, nunca relajarlas.

Diseño del canal interno

El canal debe ser accesible para empleados, autónomos, contratistas, proveedores, becarios, accionistas y, en general, cualquier persona que haya tenido relación laboral o comercial con la entidad. La Directiva exige que el canal pueda usarse por escrito y, como mínimo, verbalmente, mediante reuniones presenciales o電話líneas telefónicas dedicadas. La opción de denuncia anónima en Europa se contempla de forma explícita: los Estados miembros deben permitir que el denunciante opte por mantener su identidad reservada, y la empresa tiene prohibido revelar datos identificativos sin su consentimiento, salvo excepciones tasadas (como una investigación penal).

Plazos: 7 días para acusar recibo y 3 meses para responder

El plazo para acusar recibo de la denuncia es de 7 días naturales desde su recepción, y la respuesta motivada sobre el seguimiento dado debe comunicarse en un máximo de 3 meses, ampliables a 6 en casos complejos. Estos plazos son obligatorios, no recomendatorios, y deben estar documentados en la política interna.

Garantías para el denunciante

  • Prohibición de represalias (despido, degradación, acoso, denegación de promoción, etc.).
  • Inversión de la carga de la prueba: si la persona sufre un perjuicio laboral en los dos años posteriores, se presume que la represalia está conectada a la denuncia.
  • Asistencia jurídica gratuita en procedimientos penales y civiles transfronterizos.
  • Medidas de protección de la identidad, con sanciones específicas para quienes la revelen indebidamente.

Sanciones y responsabilidad de personas jurídicas

El incumplimiento de la Directiva 2019/1937 no es un riesgo menor: la norma obliga a los Estados miembros a establecer sanciones eficaces, proporcionadas y disuasorias, aplicables tanto a personas físicas como a personas jurídicas. La trasposición nacional ha convertido estas sanciones en multas que, en varios ordenamientos, alcanzan los seis o siete dígitos para empresas grandes.

El régimen sancionador suele estructurarse en tres niveles, en función de la gravedad de la infracción:

  1. Infracciones leves: no llevar un registro de denuncias, no publicar información clara sobre los canales externos o superar los plazos de respuesta de forma aislada.
  2. Infracciones graves: no contar con canal interno cuando sea exigible, obstaculizar una denuncia o no investigar hechos denunciados con apariencia de veracidad.
  3. Infracciones muy graves: represaliar a un denunciante, revelar su identidad sin causa legal justificada o destruir pruebas de la investigación interna.

La responsabilidad de las personas jurídicas se activa cuando la infracción se comete por cuenta y en beneficio de la entidad, o cuando existe falta de supervisión por parte de los órganos de dirección. Esto significa que un administrador que no dota de medios al canal de denuncias responde personalmente junto a la compañía, lo que refuerza el papel de los for compliance officers en el diseño, control y reporte del sistema.

Adicionalmente, la Directiva prevé responsabilidad civil: el denunciante que sufra daños tiene derecho a una indemnización completa, incluyendo lucro cesante y daño moral, con presunción de causalidad si los hechos ocurren en el entorno temporal de la denuncia.

Cómo encaja con la Ley 2/2023 en España y otras normativas nacionales

En España, la transposición de la Directiva se materializó en la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de la lucha contra la corrupción, conocida coloquialmente como la ley whistleblowing española. Esta ley entró en vigor el 13 de marzo de 2023 y coincidió, en lo esencial, con los plazos de transposición fijados por la Directiva.

La Ley 2/2023 reproduce los puntos clave de la norma europea y los adapta al ordenamiento nacional: extiende el catálogo de infracciones denunciables a las del Derecho español y de la UE, exige un canal interno en empresas de 50 o más empleados y en los sectores obligados, y mantiene los plazos de 7 días para acusar recibo y 3 meses para responder. Una particularidad es la creación de la Autoridad Independiente de Protección del Informante (A.A.I.), que actúa como canal externo y supervisa el cumplimiento de la ley.

La directiva whistleblowing españa no es la única referencia interna. Conviene recordar que coexisten con:

  • La Ley 10/2010 de prevención del blanqueo de capitales y su régimen sectorial.
  • El Reglamento UE 2016/679 (RGPD) para el tratamiento de datos personales en la investigación interna.
  • La Ley 12/2018 de medidas para prevenir y luchar contra la corrupción en Cataluña.
  • Normativa sectorial específica para banca, seguros, mercados de valores y energía.

Para empresas con presencia en varios países, la gobernanza debe diseñarse a nivel de grupo, pero la operación cotidiana del canal debe adaptarse a cada jurisdicción. La eu whistleblowing directive marca el suelo común; las legislaciones nacionales son el techo operativo real.

Próximos pasos para tu empresa: checklist inicial

Infographic: Próximos pasos para tu empresa: checklist inicial Pongamos la teoría en práctica. Antes de evaluar proveedores o hablar con el consejo de administración, conviene auditar la situación actual de tu organización con este checklist inicial. La meta es detectar carencias críticas, no alcanzar la excelencia el primer día.

  • Mapa de obligaciones: ¿tu empresa tiene 50 o más empleados o opera en algún sector obligado? Si la respuesta es sí, el canal interno es obligatorio desde la fecha de transposición aplicable.
  • Política de denuncias: ¿existe un documento aprobado por el órgano de gobierno que describa el alcance, los canales, los plazos y las garantías? Si no, es la primera entrega que debe liderar compliance.
  • Canal técnico: ¿el canal garantiza confidencialidad, permite denuncias anónimas, registra trazabilidad y soporta los plazos de 7 y 90 días sin intervención humana en la identificación?
  • Procedimiento de investigación: ¿hay un equipo responsable, plazos internos de triage, criterios de escalada y plantillas de informe? La eu whistleblowing compliance exige un procedimiento verificable.
  • Formación y comunicación: ¿los empleados conocen la existencia del canal, sus derechos y la prohibición de represalias? Sin difusión efectiva, el canal existe formalmente pero no cumple su propósito.
  • Revisión periódica: ¿se revisan los indicadores clave (volumen de denuncias, tipología, tiempo medio de cierre) al menos una vez al año y se reporta al órgano de gobierno?

Cumplir con la Directiva no es un proyecto de tres semanas. Es un programa que combina tecnología, gobernanza y cultura organizacional. Las empresas que lo tratan como una pieza más de su sistema de cumplimiento, en lugar de un trámite aislado, son las que obtienen un retorno real: detección temprana de fraude, reducción de litigios y una reputación reforzada ante reguladores y clientes.

Revisa la guía completa sobre la Directiva 2019/1937 y sus implicaciones operativas en la página dedicada.

Fuentes