Directiva Europea de Protección de Informantes: lo que toda empresa debe saber

Toda empresa privada con 50 o más empleados, y toda entidad pública sin importar su tamaño, está legalmente obligada a operar un canal interno de denuncias conforme a la Directiva (UE) 2019/1937 — con un plazo de 7 días para acusar recibo de las denuncias y 3 meses para resolverlas.

Puntos clave

• La Directiva se aplica a empresas privadas con 50+ empleados y a todas las entidades públicas, sin importar su tamaño.
• Las denuncias deben acusarse en un plazo de 7 días y recibir respuesta en un máximo de 3 meses.
• La denuncia anónima no es obligatoria por la Directiva en sí, pero varias leyes nacionales (Portugal, Alemania) la exigen.
• Las sanciones por incumplimiento deben ser "efectivas, proporcionadas y disuasorias" (artículo 23) — en la práctica incluyen multas y, en algunos países, responsabilidad penal por represalias.
• Cada Estado miembro transpuso la Directiva con sus propias particularidades — un canal genérico no basta si ignora los requisitos locales.

Quién debe cumplir

La Directiva (UE) 2019/1937, adoptada en octubre de 2019, establece una base europea común para proteger a quienes denuncian infracciones del derecho de la UE detectadas en un contexto laboral. Su ámbito es deliberadamente amplio:

• Empresas privadas con 50 o más trabajadores — el umbral que cubre a la mayoría de las empresas medianas y grandes.
• Todas las entidades públicas, incluidos, en algunos Estados miembros, municipios de menos de 10.000 habitantes, sin umbral mínimo de plantilla.
• Sectores regulados específicos (servicios financieros, seguridad del transporte, prevención del blanqueo de capitales), incluso por debajo del umbral de 50 empleados, porque legislación sectorial de la UE ya exigía mecanismos de denuncia.

Las empresas de entre 50 y 249 empleados se beneficiaron de un plazo de transposición posterior en varios Estados miembros, pero ese periodo de gracia ya ha expirado casi en todas partes — el incumplimiento ya no es cuestión de "todavía no", es una exposición legal real.

Los dos plazos legales: 7 días y 3 meses

Aquí es donde más fallan los equipos de cumplimiento, porque no es un plazo, son dos, y son secuenciales:

1. Acuse de recibo — la organización debe confirmar al informante que su denuncia fue recibida, en un plazo de 7 días naturales.
2. Respuesta sobre la denuncia — en un máximo de 3 meses desde el acuse de recibo (no desde la presentación original), la organización debe dar al informante una respuesta significativa: qué medidas se tomaron o están previstas, y por qué.

Incumplir cualquiera de los dos plazos no es solo un fallo de proceso — en la mayoría de las transposiciones es sancionable de forma independiente, y erosiona el principal factor que determina si los empleados usan realmente el canal interno en lugar de acudir a un regulador o a la prensa: la confianza en que algo va a pasar.

Denuncia anónima: qué exige realmente la Directiva

La Directiva protege la confidencialidad de la identidad del informante en todos los casos — eso no es negociable. Lo que deja a discreción de los Estados miembros es si las organizaciones también deben aceptar denuncias totalmente anónimas (donde la identidad nunca se recoge, ni siquiera internamente).

• Portugal (Lei n.º 93/2021) y Alemania (HinSchG) exigen que las organizaciones acepten y procesen denuncias anónimas.
• Otros Estados miembros lo dejan opcional, pero lo permiten — y en la práctica, ofrecer anonimato aumenta notablemente el volumen de denuncias, porque elimina el principal motivo del silencio: el miedo a ser identificado.

Un canal que solo admite denuncia confidencial (no anónima) es conforme en algunos países y no conforme en otros — algo relevante de inmediato para cualquier empresa que opere en varios países.

Sanciones por incumplimiento

El artículo 23 de la Directiva exige que los Estados miembros establezcan sanciones "efectivas, proporcionadas y disuasorias" contra:

• Personas físicas o jurídicas que obstaculicen o intenten obstaculizar una denuncia.
• Quien tome represalias contra un informante.
• Quien vulnere el deber de confidencialidad de la identidad de un informante.
• Organizaciones que no establezcan o mantengan el canal interno requerido.

Las cifras exactas varían según el Estado miembro — algunos fijan rangos de multas administrativas, otros las vinculan a la facturación de la empresa, y varios prevén responsabilidad penal específicamente por represalias contra informantes. Lo constante en todas partes: "no teníamos canal" se trata como agravante, no como defensa.

Transposiciones nacionales de un vistazo

Todos los Estados miembros transpusieron la Directiva, pero los detalles difieren — plazos, requisitos de anonimato y estructuras de sanciones no son idénticos de Lisboa a Helsinki. Algunos ejemplos: la Lei n.º 93/2021 (Portugal), el HinSchG (Alemania), la Loi Waserman (Francia), la Ley 2/2023 (España) y el D.Lgs. 24/2023 (Italia) añaden especificidades locales sobre la base europea. Un canal genérico, pensado para un "cumplimiento UE" abstracto, suele fallar en al menos uno de estos requisitos locales — precisamente la brecha que cierra una plataforma multi-jurisdicción diseñada para ello.

Cómo Vaelo te ayuda a cumplir en minutos, no en meses

Vaelo es una plataforma de denuncias alojada, construida específicamente en torno a esta Directiva y sus transposiciones nacionales. Te da un canal de denuncias personalizable y con capacidad de anonimato activo en minutos — con los plazos de 7 días y 3 meses monitorizados automáticamente, comunicación anónima bidireccional entre informante e investigador, almacenamiento cifrado de pruebas, y un panel de gestión de casos que tu equipo de cumplimiento puede usar de verdad bajo presión de plazos, en los 24 idiomas oficiales de la UE.

Preguntas frecuentes

¿Qué empresas deben cumplir la Directiva Europea de Protección de Informantes? Toda organización privada con 50 o más empleados, y todas las entidades públicas sin importar su tamaño, deben establecer un canal de denuncias interno conforme a la Directiva (UE) 2019/1937.

¿Cuál es el plazo para acusar recibo de una denuncia? Las organizaciones deben acusar recibo de una denuncia en un plazo de 7 días y dar respuesta al informante en un máximo de 3 meses desde ese acuse de recibo.

¿La Directiva exige denuncias anónimas? La Directiva en sí deja la denuncia anónima como opcional a nivel europeo, pero varias transposiciones nacionales (incluidas Portugal y Alemania) exigen que las organizaciones acepten denuncias anónimas y protejan la identidad del informante de principio a fin.

¿Qué ocurre si una empresa no cumple la Directiva? El artículo 23 exige que los Estados miembros establezcan sanciones efectivas, proporcionadas y disuasorias; en la práctica esto va desde multas administrativas hasta responsabilidad por represalias contra informantes, según la legislación nacional.