Inicio/Compliance/Ley 2/2023
Ley 2/2023 de protección del informante
La Ley 2/2023 traspone la directiva europea de protección de quienes informan sobre infracciones normativas. Impone a muchas empresas la obligación de disponer de un sistema interno de información y establece un régimen sancionador propio, con importes que hacen inviable ignorarla.
Qué protege y a quién
La ley protege a las personas físicas que informen sobre infracciones del Derecho de la Unión en las materias que la propia norma enumera, así como sobre infracciones penales o administrativas graves o muy graves del ordenamiento español. El ámbito subjetivo es amplio: empleados, autónomos, accionistas y partícipes, miembros del órgano de administración, voluntarios, becarios y personas en formación, incluidos quienes todavía no han iniciado la relación y quienes ya la han terminado, y también quienes asisten al informante o están vinculados con él.
No cualquier queja entra en el sistema. La ley se refiere a infracciones de determinadas materias del Derecho de la Unión y a infracciones penales o administrativas graves o muy graves. Las reclamaciones puramente laborales individuales tienen sus propios cauces, aunque muchas empresas amplían voluntariamente el ámbito del canal.
Obligaciones de la empresa
- Implantar el sistema interno de información con los requisitos de confidencialidad, anonimato posible y accesibilidad.
- Designar responsable del sistema por el órgano de administración, con autonomía e independencia, y comunicarlo a la autoridad cuando proceda.
- Aprobar un procedimiento de gestión por el órgano de administración, con los plazos y garantías legales.
- Llevar el libro registro de las informaciones recibidas y de las investigaciones, con acceso restringido.
- Informar de forma clara y accesible sobre la existencia del canal interno y sobre los canales externos.
- Garantizar la indemnidad del informante y de las personas protegidas frente a cualquier represalia.
- Cumplir la normativa de protección de datos en el tratamiento de la información recibida, incluidos los plazos de conservación.
Régimen sancionador
| Tipo de conducta | Ejemplos |
|---|---|
| Infracciones muy graves | Adoptar represalias, impedir la comunicación, vulnerar la confidencialidad, incumplir la obligación de disponer del sistema |
| Infracciones graves | Incumplir garantías del procedimiento, no designar responsable, no llevar el libro registro |
| Infracciones leves | Remitir información de forma incompleta o extemporánea a la autoridad |
Las sanciones para personas jurídicas alcanzan importes muy elevados en el tramo de infracciones muy graves, y pueden acompañarse de sanciones accesorias como la prohibición de obtener subvenciones o de contratar con el sector público durante un período determinado. Conviene consultar la redacción vigente para las cuantías concretas.
Los tres errores más frecuentes
Primero, tener el canal pero no el procedimiento escrito aprobado por el órgano de administración. Segundo, designar responsable a alguien sin independencia real, como el director de recursos humanos, que puede ser precisamente el afectado por muchas comunicaciones. Y tercero, no haber previsto la vía alternativa para cuando la comunicación afecta a la propia dirección.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre la Ley 2/2023
¿Cómo se cuentan los cincuenta trabajadores?
Se atiende al número de trabajadores de la entidad, con las particularidades de cómputo que resulten aplicables según el tipo de contrato y la normativa laboral. En grupos de sociedades, cada entidad tiene su propia obligación, aunque la ley permite compartir medios y recursos en determinados supuestos. Conviene documentar el cálculo, sobre todo si se está cerca del umbral, porque superar los cincuenta activa la obligación de forma inmediata.
¿Podemos usar el mismo canal para acoso y para compliance?
Puede compartirse la herramienta, pero los procedimientos son distintos y así debe reflejarse: el protocolo de acoso tiene sus propias reglas, sus plazos y sus garantías, y el sistema interno de información tiene las suyas. Lo habitual y recomendable es una única puerta de entrada con derivación interna al procedimiento que corresponda, dejando claro en la documentación cuál se aplica en cada caso.
¿El informante puede acudir directamente a la autoridad?
Sí. La ley prevé canales externos ante la autoridad independiente de protección del informante o ante las autoridades autonómicas correspondientes, y el informante puede acudir a ellos directamente, sin necesidad de agotar el canal interno. Precisamente por eso interesa a la empresa que el canal interno funcione bien y genere confianza: es la única forma de conocer y resolver los problemas antes de que lleguen a la autoridad.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.