Qué hace la directiva
La Directiva (UE) 2019/1937, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, se adoptó el 23 de octubre de 2019 y entró en vigor el 16 de diciembre de 2019. Los Estados miembros tenían hasta el 17 de diciembre de 2021 para incorporarla a su legislación nacional, y hasta el 17 de diciembre de 2023 en lo que respecta a la obligación de los empleadores privados con entre 50 y 249 trabajadores de establecer canales internos.
La directiva hace dos cosas. Obliga a las organizaciones a ofrecer vías seguras para comunicar irregularidades, y protege frente a las represalias a las personas que informan. Fija normas mínimas, de modo que las leyes nacionales pueden proteger a más personas o abarcar más tipos de irregularidades.
Un informante puede utilizar tres vías: la interna, ante su propia organización; la externa, ante una autoridad competente, o, en condiciones estrictas, la revelación pública. Los Estados miembros deben fomentar que se informe primero por la vía interna cuando la infracción pueda tratarse internamente y el informante no vea riesgo de represalias.
Qué infracciones abarca
La directiva abarca las comunicaciones sobre infracciones del Derecho de la UE en estos ámbitos:
- contratación pública
- servicios, productos y mercados financieros, y prevención del blanqueo de capitales y de la financiación del terrorismo
- seguridad y conformidad de los productos
- seguridad del transporte
- protección del medio ambiente
- protección frente a las radiaciones y seguridad nuclear
- seguridad de los alimentos y los piensos, sanidad animal y bienestar de los animales
- salud pública
- protección de los consumidores
- protección de la privacidad y de los datos personales, y seguridad de las redes y los sistemas de información
- los intereses financieros de la UE y el mercado interior, incluidas las normas sobre competencia, ayudas de Estado e impuesto sobre sociedades
Según el informe de 2024 de la Comisión Europea sobre la directiva, una amplia mayoría de los Estados miembros extendió la protección más allá de la directiva, y aproximadamente la mitad añadió ámbitos del Derecho nacional, como la corrupción o las infracciones penales. Compruebe qué abarca la ley de su país.
Quién está protegido
La protección abarca a las personas que conocen infracciones a través de su trabajo, en el sector privado o en el público. Incluye, como mínimo:
- los empleados, incluidos los funcionarios
- los trabajadores autónomos
- los accionistas, los miembros de los órganos de dirección y supervisión, los voluntarios y los becarios, remunerados o no
- las personas que trabajan para contratistas, subcontratistas y proveedores
- los antiguos empleados y los candidatos que conocieron una infracción durante el proceso de selección
La protección se extiende también a las personas que ayudan al informante, a los compañeros y familiares que podrían sufrir represalias y a las empresas de las que el informante es propietario o para las que trabaja. Para tener derecho a protección, el informante debe haber tenido motivos razonables para pensar, en el momento de informar, que la información era veraz y entraba en el ámbito de la directiva. Una persona que informó de forma anónima y es identificada después conserva la misma protección.
Quién debe establecer un canal interno
- Sector privado: todos los empleadores con 50 o más trabajadores.
- Algunos sectores regulados, como los servicios financieros y la prevención del blanqueo de capitales: todos los empleadores sujetos a las normas de la UE correspondientes, sea cual sea su tamaño.
- Sector público: todos los organismos públicos, incluidas las entidades que poseen o controlan. Los Estados miembros pueden eximir a los municipios de menos de 10.000 habitantes o con menos de 50 trabajadores, y a otros organismos públicos con menos de 50 trabajadores.
- Empleadores privados más pequeños: solo cuando la ley nacional lo exija tras una evaluación de riesgos, por ejemplo por los riesgos para el medio ambiente o la salud pública.
Los empleadores privados con entre 50 y 249 trabajadores pueden compartir recursos para recibir las comunicaciones e investigarlas, pero cada uno mantiene sus propias obligaciones de confidencialidad, respuesta y seguimiento. El canal puede gestionarlo una persona o un departamento designado dentro de la organización, o un proveedor externo que cumpla los mismos requisitos.
Grupos de empresas
En su informe de 2024, la Comisión Europea criticó las normas nacionales que permiten a los grupos de empresas tener un canal solo a nivel de grupo y eximir a sus empresas más grandes, porque los canales deben ser accesibles y estar cerca de las personas que informan. Si tiene un único canal para todo el grupo, compruebe si sus empresas con 250 o más trabajadores necesitan uno propio.
Qué debe ofrecer el canal interno
Los procedimientos de comunicación interna deben incluir:
- un canal seguro que proteja la identidad del informante y de cualquier persona mencionada en la comunicación, sin acceso para el personal no autorizado
- un acuse de recibo al informante en un plazo de siete días
- una persona o un departamento imparcial que haga el seguimiento de las comunicaciones, mantenga el contacto con el informante y le pida más información cuando sea necesario
- un seguimiento diligente, también de las comunicaciones anónimas cuando lo exija la ley nacional
- una respuesta al informante en un plazo razonable, como máximo tres meses después del acuse de recibo, o tres meses después de que venza el plazo de siete días si no se envió acuse de recibo
- información clara y fácil de encontrar sobre cómo informar por vía externa a las autoridades competentes
El canal debe aceptar comunicaciones por escrito, verbales o de ambos tipos. Si un canal admite comunicaciones verbales, debe ser posible hacerlas por teléfono o mediante otro sistema de mensajería de voz. La directiva también prevé una reunión presencial, en un plazo razonable, cuando el informante la solicite, y las leyes nacionales difieren sobre si todos los canales deben ofrecerla, así que compruebe la suya.
El calendario de una comunicación
- Día 0: la comunicación llega a través del canal.
- A más tardar el día 7: el informante recibe un acuse de recibo.
- En los tres meses siguientes al acuse de recibo: el informante conoce qué se ha hecho o qué está previsto, y por qué.
- En todo momento: la comunicación se registra, el acceso es limitado y la identidad del informante sigue protegida.
Comunicaciones anónimas
La directiva deja en manos de cada Estado miembro decidir si las organizaciones deben aceptar las comunicaciones anónimas y darles seguimiento. Según el informe de 2024 de la Comisión, en torno a la mitad de las leyes nacionales regulan las comunicaciones anónimas, y la mayoría de ellas exige aceptarlas y darles seguimiento, ya sea a las autoridades competentes o a todas las organizaciones que tienen un canal. Cuando deben aceptarse, se tramitan como cualquier otra comunicación.
Aceptar comunicaciones anónimas solo sirve si el informante puede seguir en contacto sin revelar quién es. Planifique cómo acusará recibo de una comunicación anónima, cómo hará preguntas de seguimiento y cómo dará respuesta.
Cómo ayuda HR Hero
La página pública del canal de denuncias de HR Hero es anónima por defecto. Los informantes reciben un número de referencia y pueden generar una frase de contraseña de cuatro palabras para consultar el estado. El formulario no tiene campo de contacto, así que el informante que quiera conversar deja un dato de contacto en la propia comunicación, y el gestor le envía allí un token de seguimiento privado.
Confidencialidad, protección de datos y registros
La identidad del informante no puede revelarse, sin su consentimiento expreso, a nadie más que al personal autorizado para recibir las comunicaciones o darles seguimiento. Lo mismo se aplica a cualquier información de la que pueda deducirse su identidad. Solo se permiten excepciones cuando lo exija el Derecho de la UE o nacional, por ejemplo en una investigación o un proceso judicial, y normalmente hay que informar antes al informante.
Los datos personales se tratan con arreglo al RGPD, y los datos que manifiestamente no sean pertinentes para una comunicación no deben recogerse o deben suprimirse sin demora. Cada comunicación debe registrarse y conservarse solo el tiempo que sea necesario y proporcionado. Las comunicaciones verbales y las reuniones pueden documentarse mediante una grabación o un acta precisa, con el consentimiento del informante y la posibilidad de que este la compruebe, la rectifique y la firme.
Cómo ayuda HR Hero
El contenido de las comunicaciones se cifra con la clave propia de su empresa, solo las personas con permisos del canal de denuncias pueden abrir un caso, y cada caso tiene un registro encadenado con hashes que se verifica cada noche. Las comunicaciones cerradas salen de la bandeja una vez transcurrido el periodo de conservación que Office Hero fija para su empresa, de 12 a 120 meses desde su recepción; se marcan como eliminadas, pero no se borran.
Protección frente a represalias
Está prohibida cualquier forma de represalia, incluidas las amenazas y las tentativas. La directiva da algunos ejemplos:
- despido, suspensión, degradación o denegación de un ascenso
- cambios de funciones, de lugar de trabajo, de retribución o de horario, y denegación de formación
- evaluaciones del desempeño o referencias negativas, y medidas disciplinarias
- coacciones, intimidación, acoso, ostracismo y discriminación
- no convertir o no renovar un contrato temporal, o rescindirlo anticipadamente
- daños a la reputación, también en las redes sociales, pérdidas económicas e inclusión en listas negras de un sector
- anulación de contratos de bienes o servicios, anulación de licencias o permisos, y derivaciones a tratamiento psiquiátrico o médico
Si un informante sufre un perjuicio y demuestra que informó, se presume que el perjuicio es una represalia, y el empleador debe demostrar que tenía otros motivos debidamente justificados. Los acuerdos y las políticas internas no pueden suprimir estos derechos. Los Estados miembros fijan sanciones para quien obstaculice la comunicación, tome represalias, promueva procedimientos abusivos o vulnere la confidencialidad, y para los informantes que comuniquen a sabiendas información falsa.
Situación de las leyes nacionales
La transposición fue lenta. Al vencer el plazo, el 17 de diciembre de 2021, solo tres Estados miembros habían transpuesto plenamente la directiva; ocho lo hicieron en 2022 y trece en 2023, según el informe de 2024 de la Comisión. El mismo informe constató que todos los Estados miembros habían transpuesto las disposiciones principales, pero que aún había que mejorar aspectos clave, como el ámbito de aplicación, las condiciones de protección y la protección frente a represalias, incluidas las sanciones.
Las leyes nacionales difieren en los detalles: si deben aceptarse las comunicaciones anónimas, qué ámbitos del Derecho nacional se incluyen, cómo deben funcionar las comunicaciones verbales y qué autoridad recibe las comunicaciones externas. Siga las normas del país en el que tiene su sede cada una de sus empresas.
Fuera de la UE: Macedonia del Norte y la región
La directiva no se aplica directamente fuera de la UE, pero muchos países tienen sus propias leyes de protección de informantes. Macedonia del Norte adoptó su Ley de Protección de Informantes en 2015. Según un análisis del bufete CMS, las empresas con diez o más empleados deben adoptar normas internas para las comunicaciones y designar a una persona que las reciba.
Se ha redactado una nueva ley para adaptar Macedonia del Norte a la directiva. El Informe sobre el Estado de Derecho 2026 de la Comisión Europea indica que el proyecto completó la consulta dentro del Gobierno en marzo de 2026, sin un calendario claro para su aprobación por el Parlamento. Otros países de la región también tienen sus propias normas, así que compruébelas para cada empresa, y recuerde que las filiales en países de la UE siguen la ley de su Estado miembro.
Lista de comprobación para implantar su canal
- Cuente los trabajadores de cada empresa y compruebe los umbrales de su ley nacional.
- Designe a una persona o un departamento imparcial para tramitar las comunicaciones, con un suplente, y fórmelos en materia de confidencialidad.
- Decida cómo podrán informar las personas, por escrito, por teléfono o en una reunión, y si debe aceptar comunicaciones anónimas.
- Publique instrucciones claras para informar internamente y para informar a las autoridades competentes.
- Establezca una rutina que acuse recibo de cada comunicación en un plazo de siete días y dé respuesta en un plazo de tres meses.
- Limite el acceso a las comunicaciones, proteja las identidades y deje constancia de cada paso.
- Fije para las comunicaciones cerradas un periodo de conservación acorde con la directiva y con su ley nacional.
- Comunique a los mandos que las represalias están prohibidas, y revise el procedimiento con regularidad.
Cómo puede ayudar Office Hero
HR Hero, la aplicación de recursos humanos de Office Hero, incluye un canal de denuncias diseñado en torno a la directiva. Le ofrece una página pública del canal en Office Hero Connect que no requiere cuenta, un formulario interno para el personal, una bandeja de casos para sus gestores designados y un recordatorio a los gestores asignados a una comunicación cuando pasan siete días sin acuse de recibo. El contenido de las comunicaciones se cifra, y cada caso tiene un registro encadenado con hashes.
Conozca también sus límites: las comunicaciones se hacen por escrito, sin línea telefónica ni grabación de voz; los informantes no pueden adjuntar archivos; nadie recibe un aviso cuando llega una comunicación nueva, y el plazo de tres meses para la respuesta se vigila con el filtro de antigüedad de la bandeja, no con un recordatorio. La página del canal de denuncias explica cómo funciona.