Confidencialidad del informante: las sanciones que ya se han impuesto en España #
La Ley 2/2023 obliga a preservar la identidad del informante y de las personas afectadas (art. 33) y prohíbe las represalias (art. 36). Las sanciones pueden llegar a 1.000.000 de euros para personas jurídicas. Tres años después de su entrada en vigor, ya hay decisiones que muestran cómo se incumplen estas obligaciones en la práctica.
AEPD: 200.000 euros por un correo electrónico #
Procedimiento PS/00505/2024, resolución de marzo de 2025. La AEPD sancionó a Servicios Especiales, S.A. (Servisa, empresa funeraria del grupo Ocaso) con 200.000 euros por vulnerar el principio de confidencialidad del art. 5.1.f) del RGPD. La empresa reconoció su responsabilidad y pagó voluntariamente, lo que redujo el importe a 120.000 euros.
El expediente no se refiere a un canal de denuncias de la Ley 2/2023, sino a un protocolo de acoso laboral. Pero el fallo es el mismo que puede producirse en cualquier canal:
- En mayo de 2024 se abrió un protocolo con cinco personas denunciantes y diez denunciadas.
- El 31 de julio de 2024 la empresa envió por correo electrónico al comité de empresa la resolución de cierre de cada denunciante. Cada resolución identificaba a todas las personas denunciantes y denunciadas, con su puesto de trabajo.
- Las mismas resoluciones se remitieron a las quince personas implicadas.
- Una de las personas denunciadas escribió en un grupo de WhatsApp del trabajo “Gracias por la denuncia”. La denunciante sufrió una crisis de ansiedad y causó baja.
Las normas internas de la propia empresa prometían confidencialidad. La AEPD calificó la infracción de muy grave.
Fuente: resolución PS/00505/2024 (AEPD) · elDiario.es
La lección para un canal de denuncias: la identidad del informante suele filtrarse cuando el expediente circula, no cuando se recibe la denuncia. Un correo de cierre, una notificación a la representación legal o un documento enviado a todas las partes bastan.
Oficina Antifrau de Catalunya: 600.000 euros por represalias #
En diciembre de 2025 la Oficina Antifrau de Catalunya impuso su primera sanción por represalias contra una persona alertadora al amparo de la Ley 2/2023: 600.000 euros y amonestación pública a Nora, S.A., empresa pública de gestión de residuos del Consell Comarcal de la Selva y del Ayuntamiento de Blanes.
Según la prensa, una trabajadora pidió información interna sobre irregularidades en contrataciones, pluses y control horario, y en 2023 acudió a Antifrau. Aproximadamente un mes después la empresa la suspendió de empleo y sueldo seis días. El Juzgado de lo Social de Girona anuló la suspensión por represalia y le reconoció una indemnización de 7.500 euros.
La memoria 2025 de Antifrau, presentada en abril de 2026, confirma que la sanción por represalias a una persona alertadora es firme, sin nombrar a la empresa.
Fuentes: memoria 2025 de la Oficina Antifrau (nota de prensa, p. 9) · Nació Digital · 3Cat
La Autoridad Independiente: primer expediente, todavía sin multa #
La Autoridad Independiente de Protección del Informante (A.A.I.) no inició ningún procedimiento sancionador formal en su primer ejercicio, según su propia memoria anual de 2025. Algunas publicaciones han hablado de “dos sanciones” en el sector público; la memoria recoge remisiones a procedimiento sancionador, no multas impuestas. Memoria anual 2025 de la A.A.I.
Según elDiario.es, en abril de 2026 la A.A.I. remitió a procedimiento sancionador el caso de la Autoridad Portuaria de Valencia, por la configuración de su sistema interno de información: el responsable del sistema presidía también la comisión investigadora, y la investigación se había externalizado a una consultora. No hay sanción impuesta. elDiario.es
Qué revisar en su canal de denuncias #
- Circulación del expediente. ¿Qué documentos salen del canal (resoluciones, informes, notificaciones) y quién los recibe? ¿Incluyen la identidad del informante o datos que permitan deducirla?
- Separación de la identidad. ¿Pueden los instructores trabajar el caso sin ver quién denunció? ¿La identidad queda restringida a personas concretas?
- Correo electrónico. ¿Se admite el correo como vía de entrada? ¿Las notificaciones internas contienen el texto de la denuncia? La autoridad italiana de protección de datos ha declarado que el correo electrónico es “en sí mismo inadecuado” para proteger la identidad del informante, por los registros que generan los sistemas de correo. (Garante, 9 de octubre de 2025 )
- Independencia del responsable del sistema. ¿Quien gestiona el canal es también quien decide la investigación? ¿Se ha delegado la instrucción a un tercero más allá de la mera recepción?
- Represalias. ¿Se revisan las medidas disciplinarias contra una persona que ha informado en los meses siguientes a su comunicación?
Las decisiones publicadas sobre fallos en canales de denuncias, en España y en otros países, con importes y fuentes primarias, están recogidas en el registro de casos (en inglés).
Última actualización: