Entra en vigor la Directiva (UE) 2019/1937 sobre la protección de las personas que informan sobre infracciones del Derecho de la Unión.
Los canales de denuncia interna son obligatorios en toda la UE
EU Whistleblower Protection Directive
Toda empresa privada con 50 o más empleados que opere en la UE debe disponer de un canal interno de denuncias confidencial, acusar recibo de las denuncias en un plazo de siete días, investigarlas y responder en un plazo de tres meses, y proteger a los denunciantes de cualquier forma de represalia. Las sanciones por incumplimiento alcanzan hasta 1 millón de euros en algunos Estados miembros.
Próximo plazo:
La obligación ya está en vigor. Para las empresas con 250 o más empleados en la UE, el plazo de cumplimiento fue el 17 de diciembre de 2021. Para las de 50 a 249 empleados, el 17 de diciembre de 2023. Ambos plazos han vencido. El informe de implementación de la Comisión Europea de julio de 2024 constató lagunas de cumplimiento generalizadas en los Estados miembros. Las organizaciones sin un canal interno de denuncias conforme están actualmente incumpliendo la legislación nacional de protección del denunciante.
Las legislaciones nacionales de transposición difieren en alcance y enfoque de aplicación: las empresas que operan en varios Estados miembros de la UE pueden enfrentarse a obligaciones distintas bajo la ley de cada país, no solo al nivel básico de la Directiva. Un canal a nivel de grupo no es automáticamente suficiente para todas las jurisdicciones.
Cronología de la regulación
Qué exige la Directiva de protección del denunciante de la UE
La Directiva de protección del denunciante de la UE (Directiva (UE) 2019/1937) entró en vigor el 16 de diciembre de 2019, estableciendo estándares mínimos en todos los Estados miembros de la UE para la protección de las personas que informan sobre infracciones del Derecho de la UE.
Las empresas privadas con 50 o más empleados y todas las entidades del sector público, con independencia de su tamaño, deben establecer un canal interno de denuncias seguro, designar a un responsable para tramitar las denuncias, acusar recibo en un plazo de siete días y dar una respuesta sustantiva sobre el resultado de la investigación en un plazo de tres meses. Los denunciantes deben quedar protegidos frente a cualquier forma de represalia, incluidos el despido, la degradación y las listas negras.
Las infracciones cubiertas abarcan contratación pública, servicios financieros, prevención del blanqueo de capitales, protección del consumidor, protección del medio ambiente, seguridad alimentaria, seguridad del transporte, salud pública y privacidad de datos. Cada Estado miembro ha transpuesto la Directiva a su legislación nacional, con la opción de establecer requisitos más estrictos que el nivel básico de la Directiva.
Retos habituales de cumplimiento en materia de denuncias
Las herramientas generales no cumplen los requisitos técnicos de canal de la Directiva
Los requisitos del canal interno de denuncias van más allá de una dirección de correo compartida o un portal general de RR. HH.: un canal conforme debe proteger la identidad del denunciante, admitir denuncias escritas y orales, permitir la denuncia anónima cuando la legislación nacional lo exija y ofrecer un mecanismo de comunicación bidireccional. Las herramientas de comunicación de uso general carecen normalmente de los controles de acceso y la arquitectura de anonimato que estas obligaciones exigen.
Cada denuncia tiene sus propios plazos de siete días y tres meses
Las obligaciones de acuse de recibo en siete días y de respuesta en tres meses se aplican a cada denuncia individual, no como una tasa media de respuesta. Un único plazo incumplido crea un fallo de cumplimiento documentado, y el seguimiento manual no es fiable cuando aumenta el volumen de denuncias o los casos abarcan varias jurisdicciones.
Los Estados miembros han transpuesto la Directiva con diferencias importantes de alcance y plazos
La ley alemana de protección del denunciante (HinSchG), la ley francesa de mejora de la protección de los denunciantes (Loi Waserman) y la Ley 2/2023 española de protección de las personas que informan sobre infracciones del Derecho añaden cada una requisitos que van más allá del nivel básico de la Directiva. Para las empresas que operan en varios Estados miembros de la UE, cumplir significa satisfacer los requisitos específicos de cada legislación nacional, no solo el mínimo de la Directiva.
El GDPR se aplica a cada denuncia junto con los requisitos de la Directiva
Las denuncias contienen datos personales sensibles sobre el denunciante y, habitualmente, sobre una o más personas mencionadas en la denuncia. El GDPR exige una base jurídica documentada para el tratamiento, controles de acceso estrictos sobre las identidades de los denunciantes y una política de conservación de datos definida que los buzones compartidos y los sistemas generales de RR. HH. no pueden satisfacer.
Canales de denuncia y gestión de casos conformes con la legislación europea y nacional
La configuración del canal seguro, la gestión estructurada de casos, el seguimiento automatizado de plazos y la documentación lista para auditoría funcionan en una sola plataforma a través del osapiens HUB for Complaint Management. Los datos de cumplimiento se conectan directamente con los flujos de diligencia debida de la CSDDD y de reporting de la CSRD sin una transferencia de datos separada.
Acepta denuncias anónimas, seudónimas e identificadas a través de un único canal multicanal configurable
El osapiens HUB for Complaint Management acepta denuncias a través de una página pública de denuncias, un chatbot asistido por IA y correo electrónico, disponible en más de 40 idiomas con grabación de voz y síntesis de voz para denunciantes que no pueden leer o escribir con fluidez. Los denunciantes anónimos siguen el estado de su caso mediante un código de denuncia cifrado que mantiene su identidad separada del ID interno del caso, y el mismo canal cubre las obligaciones de gestión de reclamaciones de la CSDDD y el LkSG.
Asigna automáticamente cada denuncia al responsable y controla los plazos reglamentarios
Cada denuncia se analiza automáticamente con IA integrada por categoría de riesgo, países afectados y socios comerciales mencionados, se asigna al responsable designado y se sigue frente a los plazos regulatorios de siete días y tres meses. Las alertas de escalado avisan al equipo de cumplimiento antes de que venza cualquier plazo, y el audit trail completo está disponible en el Reporting Cockpit para la divulgación CSRD bajo los indicadores sociales ESRS relevantes sin una exportación de datos separada.
Aplica controles de acceso basados en roles y genera expedientes estructurados para la revisión regulatoria
Los controles de acceso basados en roles restringen la visibilidad de la identidad del denunciante al responsable designado, y las políticas de conservación de datos configurables se alinean con los requisitos de limitación del plazo de conservación del GDPR. Cada caso genera un registro estructurado exportable como CSV para revisión regulatoria, con la misma documentación disponible en el osapiens HUB for Disclosure Management para el reporting financiero y de sostenibilidad combinado.
Preguntas frecuentes
La Directiva (UE) 2019/1937 se aplica a todas las empresas privadas con 50 o más empleados que operen en cualquier Estado miembro de la UE, con independencia de dónde tenga su sede la empresa. Las matrices no europeas con filiales o sucursales en la UE que superen el umbral de empleados también están dentro del ámbito. Todas las entidades del sector público están cubiertas con independencia de su tamaño, y las organizaciones de sectores regulados como los servicios financieros, la seguridad del transporte y la seguridad alimentaria pueden enfrentarse a obligaciones adicionales con independencia del número de empleados.
Un canal interno de denuncias debe permitir denuncias escritas y orales, proteger la confidencialidad de la identidad del denunciante en todas las fases del proceso y ofrecer un mecanismo de comunicación bidireccional que permita acusar recibo y dar seguimiento a las denuncias. Cuando la legislación nacional lo exija, el canal debe además aceptar denuncias anónimas. Las organizaciones deben designar a una persona o equipo específico para tramitar las denuncias entrantes; una dirección de correo electrónico compartida de uso general no cumple los requisitos de confidencialidad ni de control de acceso de la Directiva. Toda denuncia debe acusarse recibo en un plazo de siete días, y el denunciante debe recibir una respuesta sustantiva sobre las medidas adoptadas en un plazo de tres meses desde su presentación.
Las sanciones las fija cada Estado miembro y varían significativamente. La Hinweisgeberschutzgesetz (HinSchG) alemana prevé multas de hasta 20.000 euros por no establecer un canal de denuncias y de hasta 50.000 euros por represalias contra un denunciante. La Ley 2/2023 española de protección de las personas que informan sobre infracciones del Derecho establece sanciones administrativas para las personas jurídicas que van de 100.000 hasta 1.000.000 de euros por infracciones relativas al canal de denuncias, reservando la banda más alta a la falta total de un sistema interno de denuncias; las infracciones graves pueden conllevar además apercibimiento público y prohibición temporal de acceso a subvenciones, beneficios fiscales o contratación pública. La ley polaca de protección del denunciante considera la obstrucción de una denuncia, las represalias y la revelación de la identidad del denunciante delitos castigados con multa, restricción de libertad o prisión. En todos los Estados miembros, las organizaciones también se enfrentan a responsabilidad civil si los denunciantes presentan reclamaciones por represalias y pueden ser objeto de investigación regulatoria en caso de un fallo de cumplimiento divulgado públicamente.
La Directiva de diligencia debida en sostenibilidad corporativa de la UE (CSDDD) y la ley alemana Lieferkettensorgfaltspflichtengesetz (LkSG) exigen cada una a las empresas afectadas operar un mecanismo de reclamaciones, pero de alcance más amplio que la Directiva de denuncias. La Directiva de denuncias exige un canal interno, de ámbito laboral, para empleados y otras personas en un contexto laboral, mientras que la CSDDD y el LkSG exigen un canal de acceso público abierto a cualquier persona afectada, incluidos trabajadores de la cadena de suministro y partes externas como ONG y sindicatos. No obstante, los requisitos técnicos subyacentes se solapan sustancialmente: admisión confidencial, gestión estructurada de casos, seguimiento documentado y protección frente a represalias. El osapiens HUB for Complaint Management cubre ambos: una página pública de reclamaciones, abierta a empleados, trabajadores de la cadena de suministro y partes externas, con envío anónimo o confidencial, respaldada por la misma gestión estructurada de casos y documentación de auditoría que exige cada régimen. Las organizaciones cubren el canal laboral de la Directiva de denuncias y el mecanismo público de la CSDDD y el LkSG con un único sistema, en lugar de canales separados para cada regulación.
Sí. La Directiva (UE) 2019/1937 establece estándares mínimos, y los Estados miembros podían superarlos en la transposición. Alemania, Francia y España han añadido cada una requisitos que van más allá del nivel básico de la Directiva, cubriendo categorías adicionales de infracciones, categorías más amplias de personas protegidas o plazos de investigación más cortos. Para las empresas que operan en varios Estados miembros de la UE, cumplir significa satisfacer los requisitos específicos de cada legislación nacional de transposición. Las variaciones afectan a qué tipos de infracciones son denunciables, qué personas tienen derecho a protección y qué sanciones se aplican, por lo que la configuración específica por jurisdicción es una necesidad práctica para las organizaciones internacionales.
Las denuncias contienen datos personales sobre el denunciante y habitualmente mencionan a una o más personas como objeto de la denuncia. El GDPR se aplica en paralelo con la Directiva: las organizaciones deben disponer de una base jurídica documentada para tratar los datos personales relacionados con las denuncias, implementar controles de acceso estrictos para que solo las personas designadas puedan ver las identidades de los denunciantes, y definir una política de conservación de datos que satisfaga los requisitos de limitación del plazo de conservación. Un canal de denuncias que satisface el GDPR pero incumple los requisitos de anonimato o de comunicación bidireccional de la Directiva sigue siendo no conforme, y viceversa. Ambos conjuntos de obligaciones deben cumplirse con el mismo sistema técnico.
El osapiens HUB for Complaint Management cubre la configuración del canal seguro, la gestión estructurada de casos y el seguimiento automatizado de plazos en una sola plataforma. Los datos de cumplimiento se conectan directamente con la gestión de la diligencia debida de la CSDDD, los requisitos del mecanismo de reclamaciones del LkSG y los flujos de divulgación de la CSRD, con los registros de casos disponibles en el Reporting Cockpit para el reporting CSRD y en el módulo Disclosure Management para la divulgación financiera y de sostenibilidad combinada, sin un segundo ejercicio de recopilación. Las organizaciones que gestionan múltiples obligaciones regulatorias evitan sistemas de admisión duplicados y transferencias manuales de datos entre herramientas.
