> La Ley 2/2023 de España: el umbral del sector privado, el alcance del sector público, el matiz de las autoridades autonómicas y las autoridades oficiales de denuncia españolas.

Source: https://ethicsportal.eu/es/whistleblower-laws/spain/
Updated: 2026-06-10

---

# Ley de protección del informante en España

España implementó la Directiva (UE) 2019/1937 a través de la **Ley 2/2023, de 20 de febrero**. El marco español combina el umbral estándar del sector privado de **50 trabajadores** con una amplia obligación para el sector público y una significativa capa de autoridades autonómicas.

## Ley aplicable

- [Ley 2/2023 — texto oficial del BOE](https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513)
- [AIPI — canal externo de información](https://www.proteccioninformante.gob.es/nuestro-trabajo/investigacion)

## Quién debe establecer un canal interno

- Las **entidades del sector privado con 50 o más trabajadores** deben mantener un sistema interno de información (*Sistema interno de información*).
- **Todas las entidades del sector público.**
- Las **entidades financieras / de prevención del blanqueo de capitales, medioambientales y de seguridad en el transporte**, con independencia del número de trabajadores.

Plazos por fases: **13 de junio de 2023** para 250 o más empleados, **1 de diciembre de 2023** para 50-249. Los municipios de menos de 10 000 habitantes pueden compartir medios; las entidades de 50-249 pueden compartir recursos.

## Qué infracciones cubre

La ley protege a quien informe de (art. 2):

- infracciones del **Derecho de la Unión Europea** incluidas en el anexo de la Directiva (UE) 2019/1937, que afecten a los intereses financieros de la UE (art. 325 TFUE) o que incidan en el mercado interior (art. 26.2 TFUE), incluidas competencia, ayudas de Estado y prácticas de elusión del impuesto sobre sociedades;
- acciones u omisiones que puedan ser constitutivas de **infracción penal o administrativa grave o muy grave**.

El segundo supuesto va más allá del mínimo de la Directiva: en España el sistema cubre cualquier infracción penal o administrativa grave o muy grave, no solo las materias del anexo.

## Quién está protegido

El art. 3 alcanza a quienes obtengan la información en un contexto laboral o profesional, incluyendo en todo caso empleados públicos y trabajadores por cuenta ajena, **autónomos**, **accionistas y partícipes**, miembros del órgano de administración, dirección o supervisión —incluidos los **no ejecutivos**— y quienes trabajen para contratistas, subcontratistas y proveedores.

Se extiende además a **relaciones ya finalizadas**, voluntarios, becarios, personas en formación remunerada o no, y a quienes **aún no han empezado a trabajar**, cuando la información se obtuvo durante el proceso de selección o la negociación precontractual.

## Qué debe cumplir el Sistema interno de información

La responsabilidad de implantarlo corresponde al **órgano de administración o de gobierno**, previa consulta con la representación legal de las personas trabajadoras (art. 5.1). El sistema debe (art. 5.2):

- permitir comunicar a todas las personas del art. 3;
- estar diseñado, establecido y gestionado de forma **segura**, garantizando la confidencialidad de la identidad del informante y de cualquier tercero mencionado, e impidiendo el acceso de personal no autorizado;
- permitir comunicaciones **por escrito, verbalmente o de ambos modos**;
- **integrar** los distintos canales internos que existan en la entidad;
- garantizar un tratamiento efectivo dentro de la entidad, de modo que sea la propia organización la primera en conocer la posible irregularidad.

**Comunicaciones anónimas.** El art. 7.3 es explícito: *«Los canales internos de información permitirán incluso la presentación y posterior tramitación de comunicaciones anónimas.»* No es una recomendación. Alemania, por ejemplo, no impone nada equivalente.

**Canal y formas de presentación** (art. 7.2). Por escrito —correo postal o medio electrónico— o verbalmente, por teléfono o mensajería de voz. A solicitud del informante, **reunión presencial dentro del plazo máximo de siete días**. Las comunicaciones verbales se documentan, previo consentimiento, mediante grabación en formato seguro y duradero o transcripción completa, y se ofrece al informante comprobarla, rectificarla y aceptarla con su firma.

**Gestión por un tercero** (art. 6). El sistema puede gestionarse internamente o mediante un tercero externo, entendiendo por gestión la recepción de informaciones. El tercero debe ofrecer garantías adecuadas de independencia, confidencialidad, protección de datos y secreto de las comunicaciones.

**Responsable del Sistema** (art. 8). El órgano de administración designa a la persona física responsable de la gestión. Si se opta por un órgano colegiado, este debe delegar en uno de sus miembros. Punto que se pasa por alto con frecuencia: **tanto el nombramiento como el cese deben notificarse a la AIPI** o, en su caso, a la autoridad autonómica competente (art. 8.3).

**Plazos del procedimiento** (art. 9.2). Acuse de recibo en **siete días naturales**, salvo que pueda poner en peligro la confidencialidad. Respuesta en un plazo máximo de **tres meses** desde la recepción —o desde el vencimiento de los siete días si no se acusó recibo—, **ampliable hasta tres meses adicionales** en casos de especial complejidad.

**Libro-registro** (art. 26). Toda entidad obligada debe llevar un registro de las informaciones recibidas y de las investigaciones internas. No es público: solo cabe acceder a él a petición razonada de la autoridad judicial, mediante auto y en el marco de un procedimiento judicial. Los datos no pueden conservarse más de **diez años**.

## Sanciones y aplicación

España tiene la **sanción por carencia de canal más severa de la UE**. No disponer de un sistema interno de información es una infracción *muy grave* conforme al **art. 63.1.g** — textualmente, *«Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley»*.

| Categoría de la infracción (art. 65) | Personas jurídicas | Personas físicas |
| --- | --- | --- |
| Leve | hasta 100 000 € | 1001-10 000 € |
| Grave | 100 001-600 000 € | 10 001-30 000 € |
| **Muy grave** (incl. **ausencia de sistema interno**, represalias, vulneración de la confidencialidad, obstrucción) | **600 001-1 000 000 €** | 30 001-300 000 € |

Para las infracciones *muy graves* la autoridad puede añadir (art. 65.2): **amonestación pública**, la prohibición de obtener subvenciones / beneficios fiscales durante un máximo de 4 años y la prohibición de contratar con el sector público durante un máximo de 3 años.

**Una valoración honesta de la aplicación.** Dos cosas diferencian a España del resto de la región. Primero, el titular es real: **hasta 1 000 000 €** por el mero hecho de no disponer de un sistema conforme. Segundo, **la aplicación está empezando a activarse de verdad**: la autoridad nacional (**AIPI**) solo comenzó a operar el **1 de septiembre de 2025** y activó la supervisión de los canales en torno a febrero de 2026, y en diciembre de 2025 dio su primer paso público: derivó un asunto de mala gestión de un canal (el caso PSOE/Salazar) a su Departamento de Seguimiento y Sanciones. Eso es una *derivación*, todavía no una multa firme —ninguna empresa ha sido multada hasta la fecha—, pero España es la señal más clara de «la aplicación está llegando» de todos los mercados que seguimos.

## Autoridad externa de denuncia

El canal externo nacional lo gestiona la [Autoridad Independiente de Protección del Informante (AIPI)](/authorities/spain-aipi/) — competencias, plazos legales y cómo presentar una comunicación. Las autoridades de las comunidades autónomas pueden tramitar asuntos regionales y locales dentro de su territorio, salvo que un convenio los asigne a la autoridad nacional.

## Autoridad de protección de datos

Para reclamaciones en materia de RGPD y orientación sobre privacidad, la autoridad competente es la [Agencia Española de Protección de Datos (AEPD)](https://www.aepd.es/).

## Puntos clave de cumplimiento

- La obligación española para el sector público es más amplia que la simple regla del sector privado de 50 trabajadores.
- El sistema externo nacional admite expresamente presentaciones escritas y verbales.
- La capa de autoridades autonómicas importa en la práctica, especialmente para asuntos locales o de una sola región.

Para el detalle práctico, consulte [quién está obligado a tener canal de denuncias y desde cuándo](/blog/canal-de-denuncias-obligatorio/) y [qué debe reunir un software conforme a la Ley 2/2023](/blog/software-ley-2-2023/).

## Fuentes oficiales

- [Ley 2/2023 — texto oficial del BOE](https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513)
- [AIPI — canal externo de información](https://www.proteccioninformante.gob.es/nuestro-trabajo/investigacion)
- [AIPI — quiénes somos](https://www.proteccioninformante.gob.es/AIPI/que-es)
- [AIPI — procedimiento sancionador](https://www.proteccioninformante.gob.es/nuestro-trabajo/potestad-sancionadora/procedimiento)
- [Oficina Antifrau de Catalunya — autoridad de protección del informante](https://www.antifrau.cat/en/who-is-independent-whistleblower-protection-authority-catalonia)
- [AEPD](https://www.aepd.es/)

---

[Active su canal de denuncias →](/pricing/)