La Ley 2/2023, explicada para pymes y autónomos
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone en España la Directiva (UE) 2019/1937, la conocida como «directiva whistleblower». Obliga a las empresas a disponer de un Sistema interno de información —el canal de denuncias— y protege a quien lo utiliza.
¿Quién está obligado?
- Empresas y entidades con 50 o más trabajadores.
- Sin umbral de plantilla: entidades sujetas a normativa de blanqueo de capitales, mercado de valores, seguros, seguridad del transporte o medio ambiente, entre otras.
- Partidos, sindicatos, patronales y fundaciones que reciban fondos públicos, y todo el sector público.
Las pymes por debajo del umbral pueden implantarlo voluntariamente. En la práctica, cada vez más contratos, licitaciones y programas de compliance penal (art. 31 bis del Código Penal) lo exigen a proveedores de cualquier tamaño.
Qué debe cumplir el canal
- Permitir comunicaciones por escrito y verbalmente, y admitir las anónimas.
- Acuse de recibo en un máximo de 7 días naturales.
- Respuesta en 3 meses, ampliables a 6 en casos de especial complejidad.
- Mantener comunicación con el informante, incluso si es anónimo.
- Garantizar la confidencialidad de la identidad del informante y de los afectados (art. 33).
- Llevar un libro-registro de las comunicaciones (art. 26).
- Designar un Responsable del Sistema y comunicar su nombramiento a la A.A.I. (art. 8).
- Tratar los datos personales con retención limitada: si en 3 meses no se inicia tramitación, deben suprimirse (art. 32).
Sanciones por no tenerlo
No disponer del sistema, vulnerar la confidencialidad o tomar represalias son infracciones muy graves: multas de hasta 1.000.000 € para personas jurídicas (hasta 300.000 € para personas físicas), además de posibles prohibiciones de obtener subvenciones o contratar con el sector público.
Protección del informante
La ley prohíbe las represalias —despido, sanción, no renovación, degradación o cualquier trato desfavorable— contra quien comunica de buena fe, durante los dos años siguientes, e invierte la carga de la prueba: será la empresa quien deba demostrar que su decisión no fue una represalia.
Cómo cumplir sin un departamento jurídico
Con 1r9 activas en minutos un canal que resuelve de serie los requisitos técnicos: anonimato con seguimiento, acuse automático, cifrado de identidad, plazos vigilados, libro-registro y supresión de datos. Te entregamos además los textos de política del canal para que tu órgano de administración los apruebe y solo te quede comunicar la designación del Responsable a la autoridad.
Este contenido es divulgativo y no constituye asesoramiento jurídico. Para dudas concretas sobre tu obligación, consulta con un profesional.