https://ethicsportal.eu/es/whistleblower-laws/EthicsPortal is a secure, anonymous whistleblower reporting platform that helps organizations comply with EU Directive 2019/1937.es-ESThu, 18 Jun 2026 20:09:21 +0000https://ethicsportal.eu/images/logo.svghttps://ethicsportal.eu/https://ethicsportal.eu/es/whistleblower-laws/spain/Wed, 10 Jun 2026 00:00:00 +0000https://ethicsportal.eu/es/whistleblower-laws/spain/La Ley 2/2023 de España: el umbral del sector privado, el alcance del sector público, el matiz de las autoridades autonómicas y las autoridades oficiales de denuncia españolas.<h1 id="ley-de-protección-del-informante-en-españa"> Ley de protección del informante en España <a href="#ley-de-protecci%c3%b3n-del-informante-en-espa%c3%b1a" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h1> <p>España implementó la Directiva (UE) 2019/1937 a través de la <strong>Ley 2/2023, de 20 de febrero</strong>. El marco español combina el umbral estándar del sector privado de <strong>50 trabajadores</strong> con una amplia obligación para el sector público y una significativa capa de autoridades autonómicas.</p> <h2 id="ley-aplicable"> Ley aplicable <a href="#ley-aplicable" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h2> <ul> <li><a href="https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513" rel="nofollow">Ley 2/2023 — texto oficial del BOE</a> </li> <li><a href="https://www.proteccioninformante.gob.es/sistema-de-informacion-canal-externo" rel="nofollow">AIPI — canal externo de información</a> </li> </ul> <h2 id="quién-debe-establecer-un-canal-interno"> Quién debe establecer un canal interno <a href="#qui%c3%a9n-debe-establecer-un-canal-interno" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h2> <ul> <li>Las <strong>entidades del sector privado con 50 o más trabajadores</strong> deben mantener un sistema interno de información (<em>Sistema interno de información</em>).</li> <li><strong>Todas las entidades del sector público.</strong></li> <li>Las <strong>entidades financieras / de prevención del blanqueo de capitales, medioambientales y de seguridad en el transporte</strong>, con independencia del número de trabajadores.</li> </ul> <p>Plazos por fases: <strong>13 de junio de 2023</strong> para 250 o más empleados, <strong>1 de diciembre de 2023</strong> para 50-249. Los municipios de menos de 10 000 habitantes pueden compartir medios; las entidades de 50-249 pueden compartir recursos.</p> <h2 id="sanciones-y-aplicación"> Sanciones y aplicación <a href="#sanciones-y-aplicaci%c3%b3n" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h2> <p>España tiene la <strong>sanción por carencia de canal más severa de la UE</strong>. No disponer de un sistema interno de información es una infracción <em>muy grave</em> conforme al <strong>art. 63.1.g</strong> — textualmente, <em>«Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley»</em>.</p> <table> <thead> <tr> <th>Categoría de la infracción (art. 65)</th> <th>Personas jurídicas</th> <th>Personas físicas</th> </tr> </thead> <tbody> <tr> <td>Leve</td> <td>hasta 100 000 €</td> <td>1001-10 000 €</td> </tr> <tr> <td>Grave</td> <td>100 001-600 000 €</td> <td>10 001-30 000 €</td> </tr> <tr> <td><strong>Muy grave</strong> (incl. <strong>ausencia de sistema interno</strong>, represalias, vulneración de la confidencialidad, obstrucción)</td> <td><strong>600 001-1 000 000 €</strong></td> <td>30 001-300 000 €</td> </tr> </tbody> </table> <p>Para las infracciones <em>muy graves</em> la autoridad puede añadir (art. 65.2): <strong>amonestación pública</strong>, la prohibición de obtener subvenciones / beneficios fiscales durante un máximo de 4 años y la prohibición de contratar con el sector público durante un máximo de 3 años.</p> <p><strong>Una valoración honesta de la aplicación.</strong> Dos cosas diferencian a España del resto de la región. Primero, el titular es real: <strong>hasta 1 000 000 €</strong> por el mero hecho de no disponer de un sistema conforme. Segundo, <strong>la aplicación está empezando a activarse de verdad</strong>: la autoridad nacional (<strong>AIPI</strong>) solo comenzó a operar el <strong>1 de septiembre de 2025</strong> y activó la supervisión de los canales en torno a febrero de 2026, y en diciembre de 2025 dio su primer paso público: derivó un asunto de mala gestión de un canal (el caso PSOE/Salazar) a su Departamento de Seguimiento y Sanciones. Eso es una <em>derivación</em>, todavía no una multa firme —ninguna empresa ha sido multada hasta la fecha—, pero España es la señal más clara de «la aplicación está llegando» de todos los mercados que seguimos.</p> <h2 id="autoridad-externa-de-denuncia"> Autoridad externa de denuncia <a href="#autoridad-externa-de-denuncia" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h2> <p>El canal externo nacional lo gestiona la <a href="https://www.proteccioninformante.gob.es/sistema-de-informacion-canal-externo" rel="nofollow">Autoridad Independiente de Protección del Informante</a> . Las autoridades de las comunidades autónomas pueden tramitar asuntos regionales y locales dentro de su territorio, salvo que un convenio los asigne a la autoridad nacional.</p> <h2 id="autoridad-de-protección-de-datos"> Autoridad de protección de datos <a href="#autoridad-de-protecci%c3%b3n-de-datos" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h2> <p>Para reclamaciones en materia de RGPD y orientación sobre privacidad, la autoridad competente es la <a href="https://www.aepd.es/" rel="nofollow">Agencia Española de Protección de Datos (AEPD)</a> .</p> <h2 id="puntos-clave-de-cumplimiento"> Puntos clave de cumplimiento <a href="#puntos-clave-de-cumplimiento" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h2> <ul> <li>La obligación española para el sector público es más amplia que la simple regla del sector privado de 50 trabajadores.</li> <li>El sistema externo nacional admite expresamente presentaciones escritas y verbales.</li> <li>La capa de autoridades autonómicas importa en la práctica, especialmente para asuntos locales o de una sola región.</li> </ul> <h2 id="fuentes-oficiales"> Fuentes oficiales <a href="#fuentes-oficiales" class="ml-1 text-base-content/30 hover:text-base-content/60 no-underline" aria-label="Enlace a esta sección">#</a> </h2> <ul> <li><a href="https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513" rel="nofollow">Ley 2/2023 — texto oficial del BOE</a> </li> <li><a href="https://www.proteccioninformante.gob.es/sistema-de-informacion-canal-externo" rel="nofollow">AIPI — canal externo de información</a> </li> <li><a href="https://www.proteccioninformante.gob.es/quienes-somos" rel="nofollow">AIPI — quiénes somos</a> </li> <li><a href="https://www.proteccioninformante.gob.es/procedimiento-sancionador-detalle" rel="nofollow">AIPI — procedimiento sancionador</a> </li> <li><a href="https://www.antifrau.cat/en/who-is-independent-whistleblower-protection-authority-catalonia" rel="nofollow">Oficina Antifrau de Catalunya — autoridad de protección del informante</a> </li> <li><a href="https://www.aepd.es/" rel="nofollow">AEPD</a> </li> </ul> <hr> <p><a href="/pricing/">Active su canal de denuncias →</a> </p>support@ethicsportal.eu (EthicsPortal)