Sep 26, 2026
Represalias al denunciante: cómo actuar y plazos
Una represalia contra un denunciante no siempre es un despido: también un cambio de turno, una mala evaluación o un aislamiento sistemático. Detectarlas a tiempo y aplicar las garantías de la Ley 2/2023 es la única forma de evitar sanciones que pueden llegar al millón de euros. Este texto recorre, paso a paso, qué conductas cuentan como represalia prohibida, qué exige exactamente la normativa española y europea, cómo documentar un caso para que la prueba sea válida y qué medidas de protección debe activar la empresa mientras se investiga.
Índice
- Puntos clave
- 1. ¿Qué conductas se consideran represalia contra un denunciante?
- 2. ¿Qué prohíbe exactamente la Ley 2/2023 y la Directiva UE 2019/1937?
- 3. ¿Cómo documentar un caso de represalia para que sea válido?
- 4. ¿Qué medidas de protección debes aplicar mientras se investiga?
- 5. Errores frecuentes de las empresas y cómo evitarlos con tu canal
- 6. ¿Conviene gestionar la protección internamente o apoyarse en una herramienta específica?
- 7. Cómo abordarlo en la práctica
- Preguntas frecuentes
- Fuentes
Puntos clave
- La represalia al denunciante abarca desde el despido y la degradación hasta cambios de horario, evaluaciones negativas o aislamiento social, según la Directiva UE 2019/1937.
- Acusar recibo de la denuncia en siete días y responder en tres meses es una obligación legal inaplazable que debe quedar registrada.
- Toda medida de protección se documenta mejor cuando el canal de denuncias es anónimo, con registros inmutables y exportación para auditoría.
- Los errores más comunes son investigar antes de tiempo, no documentar cada paso y dejar al denunciante sin interlocutor durante meses.
- La sanción por represalia puede llegar hasta 1.000.000 de euros para personas jurídicas, según el régimen de infracciones de la Ley 2/2023.
1. ¿Qué conductas se consideran represalia contra un denunciante?
La represalia contra el denunciante es cualquier acto adverso que sufra una persona —o sus familiares, socios o representantes— después de haber informado de una irregularidad, cuando dicho acto está relacionado, siquiera indirectamente, con la denuncia. La ley no exige que la intención de dañar quede probada: basta con que la medida sea objetivamente desfavorable para quien denunció y se haya producido en ese contexto.
El catálogo de conductas prohibidas incluye, como mínimo, las siguientes:
- Despido, suspensión o cualquier otra forma de terminación del contrato.
- Degradación profesional, denegación de promoción o pérdida de beneficios ya reconocidos.
- Cambio de funciones, de turno, de centro de trabajo o de ubicación geográfica sin justificación organizativa real.
- Evaluación de desempeño negativa infundada o amañada tras la denuncia.
- Aislamiento social, asignación de tareas humillantes o marginación deliberada dentro del equipo.
- Daño reputacional, amenazas, intimidación o campañas de descrédito internas o externas.
- Acciones civiles, penales o administrativas que tengan por objeto obstaculizar la denuncia o castigar al denunciante.
La protección se extiende a quien simplemente apoye la denuncia, a los testigos y a las personas vinculadas al denunciante, porque la represalia indirecta es la vía más frecuente cuando el equipo de recursos humanos quiere eludir el control directo.
2. ¿Qué prohíbe exactamente la Ley 2/2023 y la Directiva UE 2019/1937?
La Ley 2/2023, que transpone al ordenamiento español la Directiva (UE) 2019/1937, prohíbe toda forma de represalia contra quienes comuniquen infracciones administrativas, penales o de derecho de la Unión a través del canal interno o externo habilitado. Su artículo 36 detalla un listado no exhaustivo de medidas lesivas que presume la existencia de represalia cuando se producen en los dos años posteriores a la denuncia, aunque admite prueba en contrario de la empresa. Esta inversión de la carga de la prueba es la palanca clave para proteger al denunciante.
La Directiva (UE) 2019/1937, publicada en el Diario Oficial de la Unión Europea el 26 de noviembre de 2019, fija los estándares mínimos comunes: anonimato, gratuidad para el denunciante, plazos claros de respuesta y, sobre todo, prohibición de represalias con medidas de acompañamiento como apoyo jurídico, financiero y psicológico. El Derecho español mantiene la prohibición de represalias como norma de orden público, de manera que cualquier pacto contractual que las autorice es nulo de pleno derecho.
La autoridad competente para sancionar en España es la Autoridad Independiente de Protección del Informante (A.A.I.), creada por la propia ley, en coordinación con las autoridades autonómicas competentes y con la Oficina Europea de Lucha contra el Fraude cuando entran en juego fondos europeos.
3. ¿Cómo documentar un caso de represalia para que sea válido?
La documentación es la diferencia entre una represalia impune y una sanción ejemplar. Para que el expediente sea sólido, la empresa debe reconstruir una cadena probatoria que cubra tres frentes: el hecho denunciante, la conducta supuestamente represaliante y la relación causal entre ambas.
¿Qué pruebas son imprescindibles?
El expediente debe incluir, como mínimo, la denuncia original con su identificador único, la fecha y hora exactas de recepción, el acuse de recibo entregado al denunciante en el plazo de siete días y la trazabilidad de cada comunicación posterior. También debe recoger los actos administrativos internos del supuesto represaliador: cambios de turno registrados en el sistema de gestión, evaluaciones firmadas, correos o mensajes internos, y cualquier decisión que pueda haberse adoptado en las cuatro semanas previas o posteriores a la denuncia.
¿Qué papel juega el canal de denuncias?
El canal de denuncias funciona como fuente principal de prueba. Por eso debe generar registros inmutables, con marca temporal verificable y exportables en formatos estándar para auditoría. Cuanto más automático sea el registro de plazos y eventos, menos depende el expediente de la memoria humana. En la práctica, una plataforma que vuelca cada acción a un log de auditoría reduce la discrecionalidad y blinda a la organización frente a la alegación de "pérdida de pruebas" ante la A.A.I.
4. ¿Qué medidas de protección debes aplicar mientras se investiga?
La protección del denunciante no espera al final del expediente: se activa en el momento en que se tiene noticia de un riesgo de represalia. La Ley 2/2023 obliga a la persona competente dentro de la organización a evaluar el riesgo y a aplicar medidas preventivas antes de que el daño se consume.
Las medidas de protección más habituales son las siguientes:
- Apartar preventivamente al presunto represaliador del equipo o del proceso de toma de decisiones que afecte al denunciante.
- Reasignar temporalmente al denunciante a funciones equivalentes, sin pérdida de categoría ni de remuneración, hasta que se resuelva la investigación.
- Garantizar la confidencialidad estricta de la identidad del denunciante y de cualquier información que pueda permitir su identificación indirecta.
- Ofrecer apoyo jurídico y psicológico al denunciante durante la instrucción del expediente.
- Documentar por escrito cada medida adoptada, con fecha, responsable y justificación operativa.
Si la empresa opera en un sector regulado —banca, energía, salud, servicios esenciales— debe extremar la coordinación con el regulador sectorial correspondiente, que en muchos casos actúa como canal externo alternativo y puede asumir directamente la investigación.
5. Errores frecuentes de las empresas y cómo evitarlos con tu canal
El patrón que repiten los expedientes sancionadores es siempre el mismo: la empresa recibe la denuncia, tarda en acusar recibo, investiga precipitadamente para "cerrar el caso" y termina tomando medidas laborales contra el denunciante antes de que un tercero independiente revise los hechos. Cuando llega la inspección de la A.A.I., el registro está lleno de huecos y la cadena de custodia no resiste un análisis forense básico.
¿Cómo evitar que el canal se vuelva contra la propia empresa?
La prevención exige tres decisiones de diseño que conviene formalizar por escrito:
- Separar físicamente al equipo que investiga la denuncia del equipo que decide sobre la relación laboral del denunciante, para evitar contaminar la prueba.
- Limitar el acceso a la identidad del denunciante a un número cerrado de personas con rol formalmente asignado y registrado en el sistema.
- Mantener un canal bidireccional seguro que permita pedir aclaraciones al denunciante sin exponer su identidad, para que la instrucción avance sin presionarle.
Un canal de denuncias pensado para responsables de cumplimiento automatiza precisamente esos tres puntos: mantiene un registro de auditoría verificable con marca temporal sobre cada evento y facilita la exportación del expediente cuando el auditor lo solicita.. Para equipos de RR. HH. que además necesitan indicadores de cultura y alertas tempranas, una herramienta orientada a responsables de personas ofrece la misma trazabilidad con métricas de adopción y señales de riesgo organizativo.
6. ¿Conviene gestionar la protección internamente o apoyarse en una herramienta específica?
La decisión que enfrenta un responsable de compliance es clara: o bien mantiene el seguimiento de plazos, la anonimización y los registros de auditoría en hojas de cálculo y correo electrónico, o bien delega esa cadena crítica en una plataforma que la ejecuta por diseño. Con un precio fijo por organización, sin costes variables por empleado ni por denuncia, el coste mensual permite presupuestar el cumplimiento sin sorpresas. y dedicar el tiempo del equipo a investigar, no a perseguir recordatorios. Si la organización necesita un despliegue a medida, la conversación con el equipo comercial parte de un caso de uso concreto y no de una demo genérica.
7. Cómo abordarlo en la práctica
Para una organización española de entre 50 y 500 empleados que debe cumplir la Ley 2/2023 antes de su próxima auditoría, la opción operativa más directa es ashio, un software de whistleblowing con anonimato real (sin IPs, sin cookies, sin huella digital) y precio fijo por organización. ashio automatiza el acuse de recibo en siete días, el seguimiento en tres meses, la gestión estructurada de casos y el registro de auditoría inmutable, y está pensado para responsables de compliance que necesitan documentar cada paso de la cadena de represalia denunciante protección. Si quieres ver cómo encaja en tu proceso, puedes revisar su página para responsables de cumplimiento y comprobar qué cubre cada función antes de decidir.
Preguntas frecuentes
¿Desde qué momento se considera que una conducta es represalia?
Una conducta se considera represalia desde el momento en que se adopta una medida adversa contra una persona y existe una conexión —directa o indirecta— con una denuncia previa. No hace falta que la empresa reconozca la intención: basta con que el denunciante acredite el daño y el contexto temporal, y la empresa deberá probar que la medida tenía una causa legítima y separada de la denuncia.
¿Cuánto tiempo dura la protección tras presentar la denuncia?
La presunción de represalia se aplica durante los dos años posteriores a la denuncia, según el artículo 36 de la Ley 2/2023. Pasado ese plazo, la carga de la prueba vuelve al denunciante, aunque la protección no desaparece: la empresa sigue obligada a no tomar represalias y conserva la obligación de documentar cualquier decisión que afecte al denunciante.
¿Qué sanciones puede imponer la A.A.I. por una represalia probada?
El régimen sancionador de la Ley 2/2023 prevé multas que, en el caso de infracciones muy graves cometidas por personas jurídicas, pueden alcanzar los 1.000.000 de euros, junto con la posibilidad de inhabitación para contratar con el sector público, devolución de ayudas y publicación de la sanción en el boletín correspondiente. Para empresas del sector financiero o de servicios esenciales, las autoridades sectoriales pueden imponer sanciones adicionales paralelas.
¿Puede la empresa cambiar de funciones al denunciante durante la investigación?
Sí, pero solo con dos condiciones: que la reasignación sea estrictamente necesaria para proteger al denunciante o al expediente, y que se mantenga su categoría, remuneración y condiciones equivalentes. Cualquier cambio que suponga un perjuicio objetiva y directamente relacionado con la denuncia será tratado como represalia, con la inversión de la carga de la prueba a favor del denunciante.
¿Es obligatorio tener un canal interno de denuncias para poder investigar represalias?
No es obligatorio para investigar casos individuales, pero sí lo es para organizaciones con más de cincuenta trabajadores o para aquellas obligadas por normativa sectorial. Sin un canal interno operativo, la empresa no puede aprovechar las causas de exención y atenuación previstas en la ley, y queda expuesta a sanciones por incumplimiento del deber de disponer de un sistema interno.