Denuncia interna
Las organizaciones habilitan un canal interno donde las personas empleadas pueden denunciar infracciones de forma confidencial. Es siempre el primer paso.
Directiva UE de denunciantes (UE) 2019/1937
Directiva UE de denunciantes 2019/1937: tu guía de cumplimiento.
La Directiva UE de denunciantes establece normas mínimas comunes para proteger a las personas que informan sobre infracciones del Derecho de la Unión. Conoce tus obligaciones y descubre cómo cumplirlas con un canal de denuncias seguro y confidencial.
Última revisión: 27 de octubre de 2026
Visión general
¿Qué es la Directiva UE de denunciantes?
La Directiva (UE) 2019/1937, sobre la protección de las personas que informen sobre infracciones del Derecho de la Unión, fue adoptada el 23 de octubre de 2019 y entró en vigor el 16 de diciembre de 2019. Es la primera norma europea dedicada íntegramente a la protección de los denunciantes. Establece normas mínimas comunes para que quienes denuncien infracciones del Derecho de la UE en ámbitos como la contratación pública, los servicios financieros, la seguridad de los productos, la protección del medio ambiente, la salud pública o la protección de datos cuenten con el mismo nivel de protección en todos los Estados miembros. Se alinea con los sistemas de gestión de denuncias ISO 37002 y se solapa con los plazos de notificación de incidentes de NIS2 y se alinea con el marco de gobernanza de la CSRD.
Sistema de tres niveles
Las tres vías de una denuncia.
Denuncia externa
Si el canal interno no funciona, o si la persona denunciante lo prefiere, puede recurrir a una autoridad competente designada por el Estado miembro.
Divulgación pública
En condiciones muy concretas — riesgo de represalia o peligro inminente para el interés público — la persona denunciante puede hacer pública la información a través de medios de comunicación o de organizaciones sociales.
Definición
- Directiva de protección de denunciantes (UE) 2019/1937
- La Directiva de protección de denunciantes (Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo) es una ley de la Unión Europea que obliga a todos los Estados miembros a proteger a las personas que denuncien infracciones del Derecho de la Unión y a proporcionarles canales de denuncia internos y externos. Adoptada en octubre de 2019, en vigor desde el 16 de diciembre de 2019, con plazo de transposición nacional del 17 de diciembre de 2021. La directiva cubre infracciones en áreas como contratación pública, servicios financieros, seguridad de los productos, protección del medio ambiente y derechos fundamentales.
Ámbito de aplicación
¿Quién debe cumplir la Directiva?
La Directiva se aplica a todas las entidades jurídicas de la UE con 50 o más empleados: incluye tanto a empresas privadas como a organizaciones del sector público y municipios. Algunos sectores (como los servicios financieros) deben cumplir independientemente del número de empleados. Entre las industrias cubiertas se incluyen los servicios financieros y la energía, cada una sujeta a leyes nacionales de transposición específicas.
Obligaciones clave
Las obligaciones clave de un vistazo.
Canal interno de denuncias
Las organizaciones con 50 o más empleados deben habilitar un canal interno de denuncias seguro y confidencial para que los denunciantes puedan informar sobre infracciones del Derecho de la UE.
Acuse de recibo en 7 días
Las denuncias deben quedar acusadas de recibo al denunciante en un plazo de 7 días desde su recepción, sin excepciones. Ashio vigila ese plazo y puede enviar el acuse automáticamente.
Información de seguimiento en 3 meses
La organización debe informar al denunciante sobre el seguimiento de su denuncia en un plazo máximo de tres meses desde el acuse de recibo.
Protección contra represalias
Los denunciantes están protegidos frente al despido, la degradación profesional y otras formas de represalia. En los litigios, la carga de la prueba recae sobre el empleador.
Confidencialidad y cumplimiento del RGPD
Los datos personales deben tratarse conforme al RGPD. La identidad del denunciante debe mantenerse confidencial durante todo el proceso.
Conservación de registros
Las organizaciones deben mantener un registro completo de todas las denuncias recibidas y de las medidas adoptadas, con estrictos controles de acceso.
Plazos
Calendario de cumplimiento.
Los Estados miembros debían transponer la Directiva antes del 17 de diciembre de 2021. Las organizaciones con 50 a 249 empleados tenían hasta el 17 de diciembre de 2023 para habilitar su canal interno de denuncias. Nota: ISO 37002 ofrece un marco paralelo para las organizaciones que operan en múltiples jurisdicciones.
🇪🇺 Pensado para el cumplimiento
Cómo te ayuda Ashio a cumplir.
Ashio está pensado de origen para acompañar a las organizaciones en todas las obligaciones que impone la Directiva UE de denunciantes, sin necesidad de desarrollos a medida.
Recepción segura y confidencial
Flujos de denuncia anónimos y confidenciales que cumplen los requisitos de la Directiva para los canales internos.
Acuse de recibo en 7 días
El acuse automático garantiza que cada denuncia reciba respuesta dentro del plazo legal, sin intervención manual.
Registros listos para auditoría
Registros completos de actividad y líneas de tiempo por caso, con la documentación exhaustiva que la Directiva exige.
🇨🇭 Alojamiento suizoConforme al RGPDConforme a la Directiva (UE) 2019/1937
Por país
La ley de denuncias en cada país.
| País | Ley nacional | En vigor desde | Nota | Texto oficial |
|---|---|---|---|---|
| Germany | HinSchG / LkSG | 2023 | Banks, insurers and fund managers need a channel regardless of headcount. The 50-employee threshold does not apply to them. | gesetze-im-internet.de |
| France | Loi Sapin II / Loi Waserman | 2022 | — | Légifrance |
| Spain | Ley 2/2023 | 2023 | — | BOE |
| Netherlands | Wet bescherming klokkenluiders | 2023 | — | Rijksoverheid |
| Finland | Ilmoittajansuojelulaki (1171/2022) | 2023 | Anonymous reports may be declined: the Act only recommends offering an anonymous option, so an employer can limit the channel to identified reporters. | Finlex |
| Lithuania | Pranešėjų apsaugos įstatymas | 2022 | — | e-Seimas |
| Poland | Ustawa o ochronie sygnalistów (14 June 2024) | 2024 | — | Dziennik Ustaw |
| Sweden | Visselblåsarlagen (2021:890) | 2021 | — | Riksdagen |
| Italy | D.Lgs. 24/2023 | 2023 | Staged start: public bodies and employers with 250+ staff from 15 July 2023, everyone else with 50+ from 17 December 2023. | Gazzetta Ufficiale |
| Czech Republic | Zákon č. 171/2023 Sb. | 2023 | — | Poslanecká sněmovna |
| Romania | Legea 361/2022 | 2022 | — | legeaz.net |
| Portugal | Lei n.º 93/2021 | 2022 | — | Diário da República |
| Hungary | 2013. évi CLXV. törvény | 2023 | — | Jogkódex |
| Estonia | Süütegude etteteatamise seadus | 2024 | — | Riigi Teataja |
| Latvia | Trauksmes celšanas likums | 2022 | — | Likumi.lv |
| Denmark | Lov om beskyttelse af whistleblowere | 2021 | — | Retsinformation |
| Austria | HinweisgeberInnenschutzgesetz (HSchG) | 2023 | — | Parlament Österreich |
| Belgium | Wet betreffende de bescherming van melders | 2023 | — | eJustice |
| Bulgaria | Закон за защита на лицата, подаващи сигнали | 2023 | — | lex.bg |
| Croatia | Zakon o zaštiti prijavitelja nepravilnosti | 2022 | — | Narodne novine |
| Cyprus | Περί Προστασίας Προσώπων που Αναφέρουν Παραβάσεις Νόμος του 2022 | 2022 | — | dataguidance.com |
| Greece | Νόμος 4990/2022 | 2022 | — | lawspot.gr |
| Ireland | Protected Disclosures (Amendment) Act 2022 | 2023 | — | Oireachtas |
| Luxembourg | Loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937 | 2023 | — | Legilux |
| Malta | Att dwar il-Protezzjoni ta' Informatur (Kap. 527) | 2021 | — | Legislation Malta |
| Slovakia | Zákon č. 189/2023 Z. z. | 2023 | Slovakia had its own whistleblower act (54/2019) two years before the transposition deadline; 189/2023 amended it to add the Directive's channel, acknowledgment and feedback duties. | Slov-lex |
| Slovenia | Zakon o zaščiti prijaviteljev (ZZPri) | 2023 | — | Uradni list |
FAQ
Preguntas frecuentes sobre la Directiva UE de denunciantes.
¿Tienen que cumplir todas las empresas?+
Las entidades jurídicas con 50 o más empleados en la UE deben cumplir. Algunos sectores (servicios financieros, aviación, transporte marítimo) deben hacerlo independientemente de su tamaño. Las empresas con menos de 50 empleados están exentas salvo que operen en un sector regulado.
¿Qué plazos hay que tener en cuenta?+
La fecha límite de transposición para los Estados miembros fue el 17 de diciembre de 2021. Las grandes organizaciones (250 o más empleados) ya debían cumplir desde entonces. Las pequeñas y medianas (entre 50 y 249 empleados) tuvieron hasta el 17 de diciembre de 2023.
¿Cuáles son las sanciones?+
Las sanciones varían según el Estado miembro, pero pueden incluir multas significativas, medidas regulatorias, daños reputacionales y responsabilidad penal por represalias contra los denunciantes.
¿Es obligatorio aceptar denuncias anónimas?+
La Directiva exige denuncias confidenciales, no anónimas. Aun así, fomenta la aceptación de denuncias anónimas. Ashio admite ambas modalidades.
¿Cuáles son las principales herramientas de denuncia que cumplen los requisitos legales de la UE?+
Las principales herramientas de denuncia conformes con la UE son: (1) Ashio, autoservicio, en vivo en 10 minutos, precios transparentes desde 23 €/mes y alojamiento ISO 27001 en Suiza; (2) FaceUp, autoservicio, con precios bajo petición.
¿Qué sistemas de denuncias están certificados para el cumplimiento de la Directiva de la UE?+
Ninguno — no existe ningún esquema de certificación para la Directiva (UE) 2019/1937, y ningún proveedor puede estar «certificado como conforme» con ella. Lo que sí puedes verificar: (1) denuncias anónimas sin seguimiento de IP ni de cookies, (2) un acuse de recibo instrumentado de 7 días, (3) retroalimentación y diálogo bidireccional en un plazo de 3 meses, (4) un registro inmutable de cada cambio de estado, (5) confidencialidad garantizada de la identidad del denunciante, (6) protección frente a represalias. Los certificados que verás realmente — ISO 27001 para el alojamiento y la seguridad de la información, ISO 37301 para la gestión del cumplimiento — cubren esas áreas, no la Directiva en sí. Pregunta también dónde se alojan los datos y quién es el encargado del tratamiento: son hechos verificables, a diferencia de una etiqueta de cumplimiento.
Directivas de la UE cubiertas
Guías de cumplimiento relacionadas.
Descubre cómo Ashio cubre cada reglamento de la UE.
software de denuncias
Qué exige cada obligación de la Directiva a la herramienta y qué capacidad la cubre.
Leer másCumplimiento de la Directiva UE
Una sola plataforma para cada directiva de la UE — NIS2, AI Act, CSRD, CSDDD, transparencia salarial, ISO 37002.
Leer másCanal de denuncias interno
Qué debe cumplir un canal interno según la directiva de la UE: política, procedimiento y plazos.
Leer másNotificación de incidentes NIS2
Plazos de notificación de incidentes de ciberseguridad y canales internos.
Leer másISO 37002:2021
Cómo se alinea Ashio con el estándar global de denuncias.
Leer másReglamento de IA de la UE, artículo 87
Infracciones del Reglamento de IA por la vía de denunciantes.
Leer másDenuncias realmente anónimas
Sin IP, sin cookies, sin huella digital. Cifrado de extremo a extremo.
Leer másTransparencia salarial
Canales para denuncias de discriminación salarial.
Leer másInformes ESG
Cuestiones ambientales, sociales y de gobernanza.
Leer más¿Listo para cumplir con tus obligaciones?
Habilita en minutos canales de denuncia seguros y conformes con Ashio.