La Ley 2/2023 española, explicada

Una ley que llega más lejos que la propia Directiva

La Directiva europea sobre denuncias — Directiva (UE) 2019/1937 — obliga a las empresas con 50 o más trabajadores en la UE a dar a sus empleados una vía protegida e interna para denunciar conductas irregulares; vea la Directiva, explicada para conocer la base completa sobre la que se asienta cada Estado miembro.

España transpuso la Directiva mediante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Publicada en el BOE el 21 de febrero de 2023, entró en vigor 20 días después, el 13 de marzo de 2023. Donde se gana su propia guía es en que su ámbito no se limita a las infracciones del derecho de la UE como sí lo hace el propio mínimo de la Directiva: el artículo 2.1.b extiende el mismo marco de denuncia protegida a acciones u omisiones que puedan constituir una infracción penal o administrativa grave o muy grave conforme al derecho español puramente interno — asuntos de corrupción e integridad pública muy al margen de lo que Bruselas exigió cubrir a los Estados miembros. Aquí, una denuncia no tiene que tocar el derecho de la UE en absoluto para tener derecho a protección.

El mismo umbral de 50 empleados, una fecha posterior para las empresas más pequeñas

El artículo 10.1.a fija el mismo umbral que el propio mínimo de la Directiva: las entidades del sector privado con 50 o más empleados están obligadas a implantar un sistema interno de información (véase el umbral de 50 empleados, explicado para cómo funciona esa línea con carácter general). La fecha de cumplimiento sí se divide según el tamaño: las entidades de 250 o más empleados debían tener su canal listo antes del 13 de junio de 2023 — tres meses desde la entrada en vigor de la ley. Las entidades de 50 a 249 empleados obtuvieron el margen ampliado que la propia Directiva permite conceder a los Estados miembros (art. 26(2)), que se extendía hasta el 1 de diciembre de 2023 — un par de semanas antes que el plazo alemán equivalente del 17 de diciembre de 2023, pero con la misma idea de fondo: las empresas más pequeñas obtuvieron tiempo extra para poner en marcha un canal.

Denuncia anónima: obligatoria, no solo permitida

Este es el contraste más marcado con el planteamiento de Alemania. El artículo 7.3 establece que los canales internos "permitirán incluso la presentación y posterior tramitación de comunicaciones anónimas" — deben permitir la presentación y tramitación de comunicaciones anónimas, no solo "deberían". El artículo 17.1 repite la misma exigencia sobre cómo puede presentarse una denuncia. Mientras que el HinSchG alemán trata la denuncia anónima como algo fomentado pero opcional, España resuelve la cuestión del art. 6(2) que la Directiva deja abierta a cada Estado miembro haciéndola obligatoria: una empresa española no puede montar un canal que solo acepte denuncias identificadas y llamarlo conforme. Provoxis no trata esto como una opción específica de España que activar — la denuncia anónima está siempre disponible para cualquier informante independientemente de la jurisdicción, véase denuncia anónima frente a identificada, explicado para cómo funciona esto mecánicamente — pero conviene saber que en España no es opcional ni siquiera en principio.

¿Basta con una dirección de correo electrónico?

La Ley 2/2023 no descarta el correo electrónico: el artículo 7.2 admite comunicaciones por escrito a través de medios electrónicos. Pero hay dos requisitos que hacen difícil apoyarse en él. El artículo 7.3 exige que los canales internos permitan presentar y tramitar comunicaciones anónimas, y la única forma de denunciar de forma anónima por correo es que el informante cree antes una cuenta aparte que no se le pueda atribuir. El artículo 5.2 exige que todo el sistema esté diseñado y gestionado de forma segura, de modo que la identidad del informante sea confidencial. Una dirección de correo puede ser una de las vías de entrada al sistema, pero por sí sola es una respuesta débil a la exigencia de anonimato. Véase «¿Sirve un correo electrónico como canal de denuncias según la Ley 2/2023?» para lo que necesita un buzón, y «¿Se puede usar Google Forms como canal de denuncias?» para la alternativa de un formulario.

Consultar a la representación de los trabajadores antes de construir el canal

El artículo 5.1 hace responsable al órgano de administración de la empresa de implantar el sistema interno "previa consulta con la representación legal de las personas trabajadoras". Esta es la implementación española del artículo 8(1) de la propia Directiva, que exige a los Estados miembros garantizar que los canales internos se establezcan previa consulta a los interlocutores sociales cuando así lo prevea el derecho nacional (véase qué exige realmente un canal conforme para ese mínimo común a toda la UE) — la misma obligación de fondo que recorre la consulta al comité de empresa en Alemania y la consulta al CSE en Francia, cada una implementada a través de las propias estructuras de representación de los trabajadores ya existentes en ese país, en lugar de un nuevo órgano específico de la Ley 2/2023.

Dónde cuesta caro un incumplimiento — tres niveles, dos escalas de límites

El Título IX establece el régimen de infracciones y sanciones. El artículo 63 clasifica las infracciones en tres niveles — leves, graves y muy graves — y el artículo 65 fija una escala de multas separada para personas físicas y para personas jurídicas:

• Personas físicas: de 1.001 € a 10.000 € por una infracción leve, de 10.001 € a 30.000 € por una grave, y de 30.001 € a 300.000 € por una muy grave.
• Personas jurídicas: hasta 100.000 € por una infracción leve, de 100.001 € a 600.000 € por una grave, y de 600.001 € a 1.000.000 € por una muy grave — el techo a nivel de empresa que da a este artículo su cifra más destacada.

Para el nivel más grave, una empresa también puede enfrentarse a sanciones accesorias además de la multa: amonestación pública, pérdida de la posibilidad de obtener subvenciones públicas, y exclusión de la contratación con el sector público durante un plazo de hasta tres años en virtud de la Ley de Contratos del Sector Público. Ese último punto importa más allá de la propia multa — la Ley 2/2023 también modificó la propia lista de prohibiciones de contratar de la ley de contratación pública para añadir una sanción muy grave en virtud de esta ley como motivo autónomo de exclusión.

Una autoridad nacional que tardó dos años y medio en abrir sus puertas

El Título VIII crea la Autoridad Independiente de Protección del Informante (A.A.I.) como el canal externo de España — el artículo 42 fija su naturaleza jurídica como entidad de derecho público independiente, y el artículo 43 le atribuye la potestad de gestionar denuncias externas, adoptar medidas de protección para los informantes, y tramitar procedimientos sancionadores en virtud de esta ley. El detalle que conviene conocer: la ley que crea la A.A.I. entró en vigor en marzo de 2023, pero la autoridad en sí no empezó a funcionar realmente hasta el 1 de septiembre de 2025, según la Orden PJC/908/2025 — aproximadamente dos años y medio después. Su estatuto orgánico solo se aprobó mediante el Real Decreto 1101/2024 en octubre de 2024. Las empresas no se quedaron completamente sin recurso externo mientras tanto (organismos ya existentes, como la Fiscalía y los reguladores sectoriales, siguieron recibiendo denuncias), pero la autoridad nacional dedicada a los informantes que la ley prometía simplemente no existió durante la mayor parte de ese periodo — una brecha genuinamente inusual en comparación con el Bundesamt für Justiz alemán o el Défenseur des Droits francés, ambas instituciones plenamente operativas desde el primer día de sus respectivas leyes.

Las autoridades autonómicas pueden asumir los casos que quedan en el ámbito local

Las comunidades autónomas de España pueden gestionar su propio canal externo equivalente en lugar de pasar por la A.A.I. nacional. El artículo 24 hace competente a una autoridad designada autonómicamente para las denuncias limitadas al propio sector público de esa comunidad, a sus instituciones autonómicas, o a entidades privadas cuyo incumplimiento denunciado tenga efectos limitados al territorio de esa comunidad; la disposición adicional segunda permite en su lugar que una comunidad firme un acuerdo para que sea la A.A.I. quien lo gestione en su nombre. Cataluña ya contaba con un organismo posicionado para asumir esto — la Oficina Antifraude de Catalunya, a la que se atribuyó el papel equivalente a la A.A.I. para los asuntos catalanes — y otras comunidades, incluida Madrid, han avanzado hacia crear la suya propia. Para una empresa que opera en una sola comunidad, eso significa que la "autoridad competente" para una denuncia externa puede no ser en absoluto la A.A.I. nacional.

Cómo se compara esto con el HinSchG alemán

Las cifras de las multas más destacadas parecen similares a primera vista — el techo español de 1.000.000 € a nivel de empresa se sitúa bien por encima de los hasta 500.000 € alemanes para el peor caso equivalente — pero la diferencia con más peso práctico no es la cifra, es la cuestión de la denuncia anónima. Alemania la deja como un "debería"; España la convierte en un "deberá". Un diseño de canal que sea plenamente conforme en Alemania sin aceptar denuncias anónimas se quedaría corto frente al artículo 7.3 en cuanto la misma empresa opere en España.

Fundamento jurídico

• Ley 2/2023, de 20 de febrero (BOE-A-2023-4513) — el texto completo; entrada en vigor a los 20 días de su publicación en el BOE el 21 de febrero de 2023.
• Art. 2.1.b, Ley 2/2023 — el ámbito material que se extiende a las infracciones penales/administrativas internas, no solo a las infracciones del derecho de la UE.
• Art. 10.1.a, Ley 2/2023 — el umbral de 50 empleados para las entidades obligadas del sector privado.
• Art. 7.3 y art. 17.1, Ley 2/2023 — los canales internos deben permitir las comunicaciones anónimas.
• Art. 5.2 y art. 7.2, Ley 2/2023 — sistema diseñado y gestionado de forma segura para proteger la identidad del informante; comunicaciones por escrito, por correo postal o medios electrónicos, o verbalmente.
• Art. 5.1, Ley 2/2023 — la consulta previa con la representación legal de las personas trabajadoras antes de implantar el sistema interno.
• Art. 63 y art. 65, Ley 2/2023 (Título IX) — los niveles de infracción leve/grave/muy grave y sus correspondientes escalas de multas para personas físicas y jurídicas.
• Art. 71.1.b, Ley de Contratos del Sector Público, modificado por la Ley 2/2023 — las infracciones muy graves en virtud de esta ley como motivo autónomo de exclusión de la contratación pública.
• Art. 42 y art. 43, Ley 2/2023 (Título VIII) — la naturaleza jurídica y las funciones de la A.A.I.
• Orden PJC/908/2025, de 8 de agosto (BOE-A-2025-16764) — la que fija el 1 de septiembre de 2025 como fecha de inicio de la actividad de la A.A.I.
• Real Decreto 1101/2024, de 29 de octubre (BOE-A-2024-22298) — el que aprueba el estatuto orgánico de la A.A.I.
• Art. 24 y disposición adicional segunda, Ley 2/2023 — la competencia de las autoridades autonómicas sobre las denuncias limitadas a su territorio, y el mecanismo de acuerdo que permite a una comunidad remitirse a la A.A.I. en su lugar.
• Art. 26(2), Directiva (UE) 2019/1937 — el plazo de transposición ampliado que sigue el propio calendario español de 50 a 249 empleados.