Ley de protección del informante en España #
España implementó la Directiva (UE) 2019/1937 a través de la Ley 2/2023, de 20 de febrero. El marco español combina el umbral estándar del sector privado de 50 trabajadores con una amplia obligación para el sector público y una significativa capa de autoridades autonómicas.
Ley aplicable #
Quién debe establecer un canal interno #
- Las entidades del sector privado con 50 o más trabajadores deben mantener un sistema interno de información (Sistema interno de información).
- Todas las entidades del sector público.
- Las entidades financieras / de prevención del blanqueo de capitales, medioambientales y de seguridad en el transporte, con independencia del número de trabajadores.
Plazos por fases: 13 de junio de 2023 para 250 o más empleados, 1 de diciembre de 2023 para 50-249. Los municipios de menos de 10 000 habitantes pueden compartir medios; las entidades de 50-249 pueden compartir recursos.
Sanciones y aplicación #
España tiene la sanción por carencia de canal más severa de la UE. No disponer de un sistema interno de información es una infracción muy grave conforme al art. 63.1.g — textualmente, «Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley».
| Categoría de la infracción (art. 65) | Personas jurídicas | Personas físicas |
|---|---|---|
| Leve | hasta 100 000 € | 1001-10 000 € |
| Grave | 100 001-600 000 € | 10 001-30 000 € |
| Muy grave (incl. ausencia de sistema interno, represalias, vulneración de la confidencialidad, obstrucción) | 600 001-1 000 000 € | 30 001-300 000 € |
Para las infracciones muy graves la autoridad puede añadir (art. 65.2): amonestación pública, la prohibición de obtener subvenciones / beneficios fiscales durante un máximo de 4 años y la prohibición de contratar con el sector público durante un máximo de 3 años.
Una valoración honesta de la aplicación. Dos cosas diferencian a España del resto de la región. Primero, el titular es real: hasta 1 000 000 € por el mero hecho de no disponer de un sistema conforme. Segundo, la aplicación está empezando a activarse de verdad: la autoridad nacional (AIPI) solo comenzó a operar el 1 de septiembre de 2025 y activó la supervisión de los canales en torno a febrero de 2026, y en diciembre de 2025 dio su primer paso público: derivó un asunto de mala gestión de un canal (el caso PSOE/Salazar) a su Departamento de Seguimiento y Sanciones. Eso es una derivación, todavía no una multa firme —ninguna empresa ha sido multada hasta la fecha—, pero España es la señal más clara de «la aplicación está llegando» de todos los mercados que seguimos.
Autoridad externa de denuncia #
El canal externo nacional lo gestiona la Autoridad Independiente de Protección del Informante . Las autoridades de las comunidades autónomas pueden tramitar asuntos regionales y locales dentro de su territorio, salvo que un convenio los asigne a la autoridad nacional.
Autoridad de protección de datos #
Para reclamaciones en materia de RGPD y orientación sobre privacidad, la autoridad competente es la Agencia Española de Protección de Datos (AEPD) .
Puntos clave de cumplimiento #
- La obligación española para el sector público es más amplia que la simple regla del sector privado de 50 trabajadores.
- El sistema externo nacional admite expresamente presentaciones escritas y verbales.
- La capa de autoridades autonómicas importa en la práctica, especialmente para asuntos locales o de una sola región.
Fuentes oficiales #
- Ley 2/2023 — texto oficial del BOE
- AIPI — canal externo de información
- AIPI — quiénes somos
- AIPI — procedimiento sancionador
- Oficina Antifrau de Catalunya — autoridad de protección del informante
- AEPD
Active su canal de denuncias →
Última actualización: