Su organización necesita un canal interno de denuncias si es una empresa privada con 50 empleados o más, una entidad del sector público de cualquier tamaño, o una de una lista reducida de actividades reguladas (servicios financieros, seguridad del transporte, prevención del blanqueo de capitales, protección del medio ambiente) que deben cumplir con independencia del número de empleados en virtud de la Directiva (UE) 2019/1937. Por debajo de ese umbral, en el sector privado y fuera de esas actividades reguladas, actualmente no existe una obligación a escala de la UE, aunque los grupos empresariales y los pequeños organismos públicos disponen de una opción específica para compartir un mismo canal en lugar de que cada uno construya el suyo.
El artículo 8, apartado 3, de la Directiva fija la base: las entidades jurídicas privadas con 50 trabajadores o más deben establecer un canal interno de denuncias. Lo que suele complicar a los equipos de cumplimiento no es la cifra en sí, sino el método de cálculo. La Directiva no impone una fórmula única a escala de la UE para determinar qué son «50 empleados», por lo que las transposiciones nacionales divergen:
Esta es una de las áreas en las que las transposiciones nacionales difieren lo suficiente como para tener consecuencias prácticas: una plantilla de 55 personas repartidas en contratos a tiempo parcial podría quedar por encima del umbral en un país que use el recuento bruto de personas y por debajo en uno que use el cálculo ETC.
Por debajo de 50 empleados, una empresa puramente privada ajena a los sectores regulados que se describen más abajo no tiene hoy ninguna obligación a escala de la UE. Eso no es necesariamente permanente: el artículo 27 exige que la Comisión Europea evalúe periódicamente si debe ampliarse el ámbito de aplicación de la Directiva, por lo que las empresas más pequeñas que llevan años operando en un único mercado no deberían dar por sentado que el umbral quedará congelado para siempre.
El artículo 8, apartado 1, no establece ningún límite de tamaño para el sector público. Los municipios, las autoridades regionales, las empresas públicas, las universidades y otros organismos públicos deben operar un canal interno con independencia del número de personas que empleen. En la práctica, los Estados miembros han utilizado la flexibilidad que permite el artículo 8, apartado 6, para suavizar esta exigencia en el caso de las administraciones locales más pequeñas: varios eximen a los municipios de menos de 10.000 habitantes o les permiten agrupar recursos (más sobre esto a continuación), pero la regla por defecto es ciega al tamaño: pertenecer al sector público es en sí mismo lo que activa la obligación.
Prueba gratuita de 7 días con acceso completo, sin tarjeta de crédito
El artículo 8, apartado 4, establece una excepción que alcanza a organizaciones que un simple recuento de plantilla pasaría por alto. Si su empresa está comprendida en los actos de la UE enumerados en las partes I.B y II del anexo de la Directiva —a grandes rasgos, servicios financieros, prevención del blanqueo de capitales y de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente—, debe contar con un canal interno de denuncias aunque solo tenga un puñado de empleados. Estos sectores ya tenían obligaciones de denuncia en virtud de legislación sectorial de la UE anterior, y la Directiva los incorpora a la misma base común en lugar de crear un régimen aparte. Una firma de asesoría de inversión de 12 personas o un pequeño contratista de seguridad del transporte pueden estar legalmente obligados a disponer exactamente de la misma infraestructura de canal interno que un fabricante de 500 empleados.
Construir un canal totalmente independiente para cada entidad jurídica de un grupo es precisamente el tipo de carga que la Directiva trata de evitar a las organizaciones más pequeñas. El artículo 8, apartado 6, permite que los Estados miembros autoricen a dos categorías de entidades a compartir recursos para la recepción e investigación de denuncias, en lugar de que cada una gestione los suyos:
Las empresas con 250 empleados o más no disponen de esta opción: la Directiva espera que las entidades por encima de ese tamaño gestionen su propio canal dedicado. Si su Estado miembro ha implementado realmente la opción del artículo 8, apartado 6, y de qué forma la ha estructurado, depende una vez más de la transposición correspondiente, por lo que conviene confirmarlo a nivel local antes de dar por hecho que existe la posibilidad de un canal compartido.
La mayoría de las herramientas de denuncias están diseñadas para una sola entidad jurídica, lo que obliga a los grupos empresariales a elegir entre dos malas opciones: pagar una cuenta independiente por cada filial, o hacer que todas las entidades compartan una única bandeja de entrada indiferenciada que hace imposible saber a quién concierne realmente cada denuncia. Vaelo está construido justo al revés: una sola cuenta puede alojar varios canales de denuncias con marca propia y configuración independiente para cada filial o municipio, con las denuncias enrutadas automáticamente y con gestión de casos por entidad, sin dejar de permitir que un equipo de cumplimiento a nivel de grupo comparta recursos de investigación exactamente como permite el artículo 8, apartado 6. Se obtiene así la eficiencia de coste y configuración de un canal compartido sin perder la trazabilidad por entidad, operativo en minutos y sin necesidad de ningún proyecto de TI.
¿El recuento de 50 empleados incluye al personal a tiempo parcial? Por lo general sí, contabilizado como personas completas y no como fracciones, aunque una minoría de Estados miembros utiliza en su lugar un cálculo de equivalente a tiempo completo, de modo que la misma plantilla puede quedar a un lado u otro del umbral según el país. Conviene consultar la transposición nacional concreta en lugar de dar nada por sentado.
¿Los organismos del sector público necesitan un canal sea cual sea su tamaño? Sí, en principio: el artículo 8, apartado 1, no establece una plantilla mínima para el sector público. Algunos Estados miembros eximen a los municipios de menos de 10.000 habitantes u ofrecen opciones de recursos compartidos, pero la obligación por defecto se aplica con independencia del tamaño.
¿Qué sectores deben cumplir la norma incluso con menos de 50 empleados? Los servicios financieros, la prevención del blanqueo de capitales y la financiación del terrorismo, la seguridad del transporte y la protección del medio ambiente, conforme al artículo 8, apartado 4, y al anexo de la Directiva; estos sectores ya estaban sujetos a obligaciones de denuncia en virtud de legislación sectorial de la UE anterior.
¿Puede un grupo empresarial con varias filiales compartir un único canal de denuncias? Sí; para filiales de entre 50 y 249 empleados cada una, el artículo 8, apartado 6, permite que los Estados miembros autoricen recursos compartidos de recepción e investigación en todo el grupo, en lugar de un canal totalmente independiente por entidad. Las entidades con 250 empleados o más no cuentan con esta opción.
¿Qué ocurre si mi empresa supera el umbral de 50 empleados a mitad de año? La mayoría de las transposiciones nacionales aplican la obligación desde el momento en que el umbral se supera de forma duradera, a menudo con un breve período de gracia para poner en marcha el canal en lugar de un plazo inmediato; pero los detalles concretos (fecha de referencia, duración del período de gracia) dependen de la legislación local, así que conviene confirmarlo con la normativa de transposición de su Estado miembro en cuanto el crecimiento le acerque al límite.
Prueba gratuita de 7 días con acceso completo, sin tarjeta de crédito
Un resumen práctico de la Directiva (UE) 2019/1937: quién debe cumplirla, los plazos legales de 7 días y 3 meses, los requisitos del canal de denuncias y las sanciones por incumplimiento.
La Directiva Europea fija un suelo común, pero la HinSchG alemana, la Loi Waserman francesa, la Ley 2/2023 española y la Lei 93/2021 portuguesa difieren notablemente en plazos, umbrales y sanciones. Una comparación lado a lado para equipos de compliance que operan en varios países.
El RGPD no le impide investigar una denuncia — define cómo hacerlo. Base jurídica, derechos del denunciado vs. confidencialidad del informante, plazos de conservación y cuándo hace falta una EIPD.