Leyes de Protección de Informantes por País: Alemania, Francia, España y Portugal

La Directiva Europea de Protección de Informantes fija un suelo común, pero la ley que realmente se aplica a su empresa es la norma nacional que su país usó para transponerla — y esas normas difieren en plazos, umbrales y sanciones. La HinSchG alemana, la Loi Waserman francesa, la Ley 2/2023 española y la Lei n.º 93/2021 portuguesa transponen todas la Directiva (UE) 2019/1937, pero un equipo de compliance que opere en más de uno de estos países no puede aplicar una única política genérica y asumir que satisface las cuatro.

Ideas clave

• Las cuatro leyes comparten el mismo suelo europeo: canal de denuncias interno para entidades con 50 o más trabajadores, confidencialidad de la identidad del informante y prohibición de represalias.
• Los plazos y las cuantías de las sanciones difieren según el país — Portugal sanciona la falta de canal interno con multas de hasta 125 000 € para una empresa; España sanciona la ausencia total de canal con multas de hasta 1 000 000 €.
• La HinSchG alemana (en vigor desde el 2 de julio de 2023) y la Loi Waserman francesa (en vigor desde el 1 de septiembre de 2022) van ambas más allá del mínimo europeo en aspectos concretos — Alemania en las denuncias anónimas, Francia en quién cuenta como "lanceur d'alerte" protegido.
• España creó una autoridad dedicada, la Autoridad Independiente de Protección del Informante (A.A.I.), mientras que Portugal aplica la ley a través del Mecanismo Nacional Anticorrupção (MENAC).
• Un grupo que opera en varios de estos países necesita un único canal que adapte su flujo de trabajo por jurisdicción, no cuatro sistemas separados.

Lo que exige la Directiva en todas partes

La Directiva (UE) 2019/1937 fijó un plazo de transposición de 17 de diciembre de 2021 para los Estados miembros, con un periodo de gracia adicional hasta el 17 de diciembre de 2023 para que las entidades privadas de 50-249 trabajadores implantaran su canal interno. Todas las leyes nacionales heredan tres obligaciones básicas: acusar recibo de una denuncia en un plazo de 7 días, dar respuesta al informante en un plazo de 3 meses (prorrogable a 6 en casos complejos), y proteger la identidad del informante frente a cualquier persona ajena a quienes gestionan el caso. Los cuatro países divergen en la rigurosidad de aplicación, en qué cuenta como denuncia válida, y en la severidad de las sanciones por incumplimiento.

Alemania: la HinSchG — ámbito amplio, sanciones escalonadas

La Hinweisgeberschutzgesetz (HinSchG) entró en vigor el 2 de julio de 2023. Exige un servicio interno de recepción de denuncias ("interne Meldestelle") para cualquier empleador privado con 50 o más trabajadores, con las empresas de 50-249 trabajadores disponiendo de plazo hasta el 17 de diciembre de 2023 para cumplir. Un rasgo distintivo de la ley alemana es que los canales internos deben poder recibir denuncias anónimas, aunque los empleadores no están obligados a solicitarlas activamente. Las represalias o la obstrucción de una denuncia pueden sancionarse con una multa de hasta 50 000 € para un responsable individual conforme al § 40 HinSchG, y conforme al § 30 de la OWiG esa multa base puede multiplicarse hasta diez veces — hasta 500 000 € — cuando el infractor es una empresa. Una multa separada, de hasta 20 000 €, por simplemente no disponer de canal alguno entró en vigor el 1 de diciembre de 2023, al concluir el periodo transitorio inicial.

Francia: la Loi Waserman — quién cuenta como protegido se amplió mucho

La Ley n.º 2022-401, de 21 de marzo de 2022, conocida como Loi Waserman, entró en vigor el 1 de septiembre de 2022 junto con su decreto de aplicación de 3 de octubre de 2022. Modifica el marco anterior de la Sapin II en lugar de sustituirlo por completo. Su cambio más relevante: un informante ya no necesita actuar de forma "désintéressé" (sin interés personal) para estar protegido — la buena fe ahora basta. La ley extiende además la protección a los "facilitateurs" (compañeros, sindicatos o asociaciones que ayudan a un informante) y a las personas jurídicas vinculadas al informante. El umbral de 50 trabajadores se aplica a empresas y a entidades públicas y municipios de más de 10 000 habitantes. Las sanciones recaen sobre la obstrucción, no sobre la ausencia de canal: obstruir una denuncia se castiga con hasta 1 año de prisión y multa de 15 000 € conforme al artículo 13 de la Sapin II modificada, y emprender una acción judicial abusiva o dilatoria ("bâillon") contra un informante puede acarrear ahora una multa civil de hasta 60 000 €.

España: la Ley 2/2023 — las sanciones más altas y una autoridad dedicada

La Ley 2/2023, de 20 de febrero, entró en vigor el 13 de marzo de 2023 y, de forma inusual entre las cuatro, creó un regulador independiente: la Autoridad Independiente de Protección del Informante, A.A.I., que gestiona el canal externo y tiene potestad sancionadora, incluida la posibilidad de excluir a una empresa incumplidora de la contratación pública. El régimen sancionador español es el más severo del grupo: las entidades que carezcan por completo de canal interno, o que cometan otras infracciones "muy graves", se enfrentan a multas de entre 600 001 € y 1 000 000 €. El umbral de 50 trabajadores replica el suelo europeo, y las empresas de 50-249 trabajadores recibieron el mismo plazo transitorio aplicable en toda la UE.

Portugal: la Lei n.º 93/2021 — el cuadro de sanciones más detallado

La Lei n.º 93/2021, de 20 de dezembro, entró en vigor el 18 de junio de 2022. Se aplica a entidades privadas con 50 o más trabajadores y a entidades públicas con independencia de su tamaño, y fija los mismos plazos de 7 días para el acuse de recibo y 3 meses para la resolución que constituyen la base europea. El artículo 27 de la ley clasifica las infracciones en dos niveles con horquillas de sanción precisas: las infracciones "muy graves" — que incluyen impedir una denuncia, represalias, quebrantar la confidencialidad o carecer de cualquier canal externo — se sancionan con multas de 1000 € a 25 000 € para una persona física o de 10 000 € a 250 000 € para una persona jurídica; las infracciones "graves", que incluyen simplemente no disponer de canal interno, se sancionan con multas de 500 € a 12 500 € para una persona física o de 1000 € a 125 000 € para una persona jurídica. La negligencia y la tentativa reducen a la mitad el límite máximo de la sanción aplicable. La vigilancia corresponde al Mecanismo Nacional Anticorrupção (MENAC).

Cómo ayuda Vaelo a cumplir en las cuatro jurisdicciones

Mantener sistemas de denuncias separados por país es la forma más habitual en que un equipo de compliance multipaís malgasta presupuesto y, aun así, termina con lagunas — una central despliega una política que satisface la HinSchG pero no cubre la protección de la Loi Waserman a los facilitateurs, o el canal de una filial española no encamina las denuncias como espera la AAI. Vaelo está construida como un único canal que se adapta por jurisdicción: cada unidad de negocio se configura con los plazos de acuse de recibo y resolución, las reglas de retención y las vías de escalado que corresponden a la transposición de su país, mientras que su equipo de compliance mantiene un único panel en lugar de cuatro herramientas desconectadas. Si ya tiene mapeadas las obligaciones a nivel europeo, nuestra visión general sobre la Directiva Europea de Protección de Informantes cubre la base sobre la que se asientan todas estas leyes nacionales.

Preguntas frecuentes

¿Todos los países de la UE aplican las mismas reglas para informantes? No. Comparten el mismo suelo fijado por la Directiva (UE) 2019/1937 — umbral de 50 trabajadores, acuse de recibo en 7 días y ventana de resolución de 3 meses —, pero las leyes nacionales divergen mucho en las cuantías de las sanciones, en quién cualifica para protección y en qué autoridad vigila el cumplimiento.

¿Qué país tiene las sanciones más altas por incumplimiento? La Ley 2/2023 española fija el tramo más elevado de las cuatro: de 600 001 € a 1 000 000 € para entidades que carezcan de canal alguno o cometan otras infracciones "muy graves".

¿Una empresa con menos de 50 trabajadores necesita cumplir? Por regla general no, en ninguna de las cuatro leyes, salvo que opere en un sector regulado (servicios financieros, por ejemplo) donde normas sectoriales europeas específicas pueden reducir o eliminar el umbral de plantilla.

¿Puede un único canal de denuncias satisfacer los cuatro países a la vez? Sí, siempre que el canal esté configurado por jurisdicción — reflejando los plazos, reglas de retención e integraciones con la autoridad de cada país — en lugar de aplicar una política genérica a todas las filiales.

¿Exige la Directiva denuncia anónima en todas partes? No. La Directiva Europea deja esta decisión a los Estados miembros. La HinSchG alemana exige explícitamente canales capaces de recibir denuncias anónimas; las otras tres leyes de esta comparación exigen confidencialidad de la identidad, pero no obligan universalmente a que los canales acepten envíos totalmente anónimos.