Directiva UE 2019/1937: guía completa

La Directiva (UE) 2019/1937, adoptada el 23 de octubre de 2019, establece el marco europeo de protección del denunciante. Obliga a todos los Estados miembros a garantizar canales internos y externos, confidencialidad, protección frente a represalias y plazos de respuesta certeros. En España se transpone por la Ley 2/2023.

¿Busca la transposición española en detalle? Vea nuestra guía de la Ley 2/2023: obligaciones, plazos, sanciones AAI (hasta 1.000.000 € para personas jurídicas).

1. Ámbito

La Directiva protege a quienes denuncian infracciones del Derecho de la Unión en sectores como: contratación pública, servicios y mercados financieros, prevención de blanqueo y financiación del terrorismo, seguridad de los productos, seguridad de los transportes, protección del medio ambiente, salud pública, protección del consumidor, privacidad y datos personales, seguridad de las redes, intereses financieros de la Unión. Los Estados miembros pueden ampliar el ámbito; España ha extendido la protección a infracciones administrativas o penales graves.

2. Quién es el denunciante

El art. 4 amplía la protección más allá del trabajador en sentido estricto: se protege a empleados, ex empleados, candidatos a empleo, autónomos, proveedores, subcontratistas, accionistas, miembros de órganos de administración y supervisión, voluntarios, becarios y a quienes faciliten la denuncia.

3. Los tres canales

• Canal interno (art. 8-9): obligatorio para empresas con 50+ empleados y para toda Administración Pública. Confidencial, accesible, gestionado por personal imparcial.
• Canal externo (art. 10-14): gestionado por autoridades nacionales (en España la AAI). El denunciante puede acudir directamente al canal externo sin pasar por el interno.
• Revelación pública (art. 15): protegida sólo en condiciones estrictas, típicamente tras agotar el canal interno y externo o ante peligro inminente.

4. Obligaciones procesales del canal interno

• Acuse de recibo: 7 días (art. 9(1)(b)).
• Respuesta sustantiva al denunciante: 3 meses (art. 9(1)(f)); prorrogable a 6 en casos de especial complejidad.
• Confidencialidad de la identidad del denunciante y de los terceros mencionados (art. 16).
• Protección frente a represalias (art. 19) con inversión de la carga de la prueba (art. 21(5)).
• Conservación documental para demostrar el cumplimiento (art. 18).

5. Sanciones nacionales comparadas

6. La transposición española: Ley 2/2023

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas, transpone la Directiva 2019/1937 en España. En vigor desde el 13 de junio de 2023 para empresas de 250+; desde el 1 de diciembre de 2023 para 50-249. La AAI (Autoridad Independiente de Protección del Informante) es la autoridad externa. Las sanciones administrativas alcanzan el millón de euros para personas jurídicas.

7. Qué hacer ahora

Si la empresa tiene 50+ empleados y no dispone aún de canal interno conforme, las prioridades son:

1. Adoptar la política de denuncias (plantilla disponible aquí).
2. Designar al responsable interno imparcial.
3. Implantar un canal técnico (web + telefonía) accesible a empleados, proveedores y accionistas.
4. Realizar la EIPD y la inscripción en el Registro de Actividades de Tratamiento (art. 30 RGPD).
5. Negociar la implantación con la representación legal de las personas trabajadoras (art. 64 ET).
6. Formar a los responsables.

Preguntas frecuentes

¿Qué es la Directiva UE 2019/1937?

La Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión obliga a empresas con 50+ empleados y a todas las administraciones públicas a establecer un canal interno de denuncias, acusar recibo en 7 días, dar respuesta sustantiva en 3 meses y proteger al denunciante de represalias. Está en vigor en los 27 Estados miembros desde el 17 de diciembre de 2023.

¿Desde cuándo está en vigor?

Adoptada el 23 de octubre de 2019, con plazo de transposición hasta el 17 de diciembre de 2021. La obligación se extendió a empresas con 50-249 empleados el 17 de diciembre de 2023. Varios Estados miembros transpusieron con retraso y fueron objeto de procedimientos de infracción de la Comisión Europea.

¿Quién debe cumplir la Directiva 2019/1937?

Personas jurídicas de Derecho privado con 50+ empleados y todas las personas jurídicas de Derecho público (con excepciones para municipios de menos de 10.000 habitantes en algunas transposiciones). El umbral se calcula por persona jurídica, no por grupo.

¿Cuáles son las sanciones por incumplimiento?

Varían según la transposición nacional. El techo más alto es España (Ley 2/2023) con 1.000.000 €. Francia (Loi Sapin 2) hasta 60.000 €, Alemania (HinSchG) hasta 500.000 € (entidad) y 50.000 € (persona física), Italia (D.Lgs. 24/2023) hasta 50.000 € por infracción, acumulables.

¿Se admiten las denuncias anónimas?

La Directiva (art. 6(2)) deja la cuestión a los Estados miembros. La mayoría: España, Francia, Italia, Alemania, Países Bajos: admite las denuncias anónimas. La Ley 2/2023 española exige que el canal interno acepte denuncias anónimas; la protección frente a represalias se activa si el denunciante es identificado posteriormente.

¿Qué diferencia hay entre denuncia interna, externa y revelación pública?

Interna: al canal confidencial del empleador: primera opción recomendada. Externa: directamente a la autoridad nacional competente (en España la AAI). Revelación pública (p. ej. medios): protegida sólo bajo condiciones estrictas (ausencia de acción tras denuncia interna y externa, o peligro inminente).

¿Qué plazos impone la Directiva?

Acuse de recibo: 7 días. Respuesta sustantiva: 3 meses desde el acuse (prorrogables a 6 en casos de especial complejidad). Conservación de registros: el tiempo necesario y proporcionado; en España hasta 10 años para casos con proceso penal.