Ley 2/2023 vs. Directiva Whistleblower: qué cambia en España

La Ley 2/2023 nace de la Directiva (UE) 2019/1937, pero "transponer" no significa copiar y pegar. España tenía margen para ir más allá del mínimo europeo en varios puntos, y lo usó. Esto es lo que cambia respecto al texto europeo.

El punto de partida: qué exige la Directiva

La Directiva (UE) 2019/1937 obliga a los Estados miembros a garantizar canales de denuncia y protección frente a represalias, pero limitando su ámbito material a infracciones del Derecho de la Unión: contratación pública, servicios financieros, prevención de blanqueo, seguridad de productos, protección del medio ambiente, salud pública, protección de datos, entre otros ámbitos listados taxativamente.

Lo que España amplía: el ámbito material

Aquí está la diferencia más importante. La Ley 2/2023 no se limita a las materias de Derecho de la UE — extiende la protección a cualquier infracción penal o administrativa grave o muy grave del ordenamiento español, sea o no de origen europeo. En la práctica, esto significa que el canal en España cubre un abanico de irregularidades bastante más amplio que el mínimo exigido por Bruselas.

El umbral de empleados: igual en la letra, distinto en el detalle

La Directiva fija el umbral general en 50 trabajadores, igual que la ley española. Pero España añade sus propias excepciones sin umbral (Ley 10/2010 de blanqueo de capitales, entre otras) que no están explícitamente armonizadas de la misma forma en todos los países de la UE — cada Estado miembro ha calibrado sus propias excepciones sectoriales.

La Autoridad Independiente: una pieza propia

La Directiva no obliga a crear una autoridad estatal específica — cada país decide cómo organiza el canal externo. España optó por crear una autoridad dedicada, la A.A.I. (Autoridad Independiente de Protección del Informante), mientras otros países han optado por repartir esa función entre organismos ya existentes (defensorías del pueblo, agencias anticorrupción sectoriales).

El régimen sancionador: España fija sus propios importes

La Directiva exige que las sanciones sean "efectivas, proporcionadas y disuasorias", pero no fija cuantías. España las concreta: hasta 1.000.000 € para personas jurídicas en infracciones muy graves — puedes ver el desglose completo en nuestra guía de sanciones. Otros países de la UE han fijado importes distintos, algunos considerablemente más bajos.

Las comunidades autónomas: una peculiaridad exclusivamente española

Aquí España añade una capa que la Directiva ni contempla: la posibilidad de que las comunidades autónomas creen sus propias autoridades de protección al informante con competencia en su territorio. Es una consecuencia de la estructura autonómica española, no algo que exista de forma equivalente en la mayoría de los demás Estados miembros. Lo explicamos con la tabla completa en nuestra guía de comunicación a la A.A.I.

En resumen

Si alguna vez lees fuentes en inglés sobre la Directiva y te suena distinto a lo que exige tu canal en España, no es un error — es que España fue más allá del mínimo europeo en varios frentes: ámbito material más amplio, régimen sancionador propio, y un nivel autonómico que no existe en el texto de Bruselas.