Directiva sobre denunciantes de irregularidades de la UE

La Unión Europea finalizó su primer régimen de protección de denunciantes a nivel de bloque con la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, sobre la protección de las personas que denuncien infracciones de la legislación de la Unión. Para finales de 2024, los 27 estados miembros habían transpuesto la directiva en su legislación nacional, pero la mayoría llegó con años de retraso, varios solo después de que el Tribunal de Justicia los multara, y la Comisión Europea ha abierto ahora una revisión de la directiva que se prolongará hasta el cuarto trimestre de 2026. Hacemos seguimiento del estado de la transposición país por país en una visión general independiente de las leyes nacionales de protección de denunciantes en Europa. Toda empresa con al menos 50 empleados tiene hoy la obligación legal de implantar un procedimiento interno de denuncias para denunciantes.

El Berlaymont en Bruselas, sede de la Comisión Europea, la institución que redactó la directiva y ahora supervisa su transposición
© Matthias v.d. Elbe (CC BY-SA 3.0)

Quién debe ejecutar un canal de denuncia interno

La directiva identifica tres grupos de organizaciones obligadas a establecer canales y procedimientos de denuncia interna confidenciales. Las entidades del sector público están cubiertas independientemente del tamaño, con una excepción limitada que permite a los estados miembros eximir a los municipios con menos de 10.000 habitantes. Las empresas del sector privado con 50 o más empleados están cubiertas independientemente de su actividad. Las empresas privadas más pequeñas (menos de 50 empleados) se incluyen si operan en sectores regulados donde el costo del incumplimiento es estructuralmente mayor: servicios financieros, prevención del blanqueo de capitales, seguridad del transporte, protección ambiental, y cualquier empresa que compita por contratos de compras públicas a gran escala.

El umbral de 50 empleados es el piso de la directiva, no su techo. Cada estado miembro tenía libertad para ir más allá al transponerla, y varios lo hicieron. La ley de transposición de Polonia se aplica a un catálogo más amplio de infracciones que la lista de la propia directiva, incluyendo corrupción doméstica y ciertas violaciones de derechos constitucionales. El marco francés Sapin II, enmendado para alinearse con la directiva, mantuvo reglas de represalia más estrictas que alcanzan a empresas por debajo del umbral de la UE. Cualquiera que lea el texto de la directiva y asuma que ese texto es la ley vigente en cada estado miembro va a malinterpretar algo.

Prueba tu propio Sistema de Denuncia de Irregularidades gratis

El plazo que nadie cumplió

La directiva estableció un plazo de transposición de 17 de diciembre de 2021 para el sector público y para las empresas del sector privado con 250 o más empleados. Un segundo plazo escalonado de 17 de diciembre de 2023 se aplicaba a las empresas del sector privado con 50 a 249 empleados. El primer plazo llegó y solo tres estados (Dinamarca, Suecia y Portugal) tenían leyes de transposición en vigor. La mayoría de los otros 24 no lo cumplieron. A mediados de 2023, la Comisión Europea había abierto procedimientos por incumplimiento contra ocho estados, y a finales de 2024 finalmente había obligado a los 27 a cruzar la línea. Los atrasados tardaron en promedio dos años y medio adicionales en hacer lo que se habían comprometido a hacer antes de Navidad de 2021.

El hemiciclo del Parlamento Europeo en Estrasburgo, donde la directiva fue coadoptada con el Consejo en octubre de 2019
© jeffowenphotos (CC BY 2.0)

Polonia es el caso canónico de retraso. El parlamento polaco adoptó la Ley de Protección de Denunciantes el 14 de junio de 2024; la ley entró en vigor el 25 de septiembre de 2024, casi tres años después del plazo original de 2021. Los organismos públicos recibieron un período de gracia adicional hasta 25 de diciembre de 2024 para establecer los canales de denuncia externos que ya se suponía que debían estar funcionando antes de Navidad de 2021. Las empresas con sede en Polonia que habían construido un canal conforme a la directiva durante la espera tuvieron que revisarlo según el texto nacional real, que (como en muchos estados miembros) amplió el catálogo de infracciones notificables más allá de la lista de la propia directiva.

La revisión de conformidad de la Comisión en 2024

El 3 de julio de 2024, la Comisión Europea publicó su informe de conformidad estatutario sobre la directiva, COM(2024) 269 final. Los 27 estados habían transpuesto para cuando el informe fue finalizado, y el hallazgo principal fue que todos ellos habían transpuesto las disposiciones principales de la directiva. El cuerpo del informe es más sobrio: se identificaron problemas de no conformidad en aproximadamente la mitad de los estados miembros, concentrados en cuatro áreas.

Una preocupación es el alcance material, es decir, el catálogo de lo que cuenta como una infracción notificable. Varios estados transpusieron la lista de la directiva de forma estrecha y dejaron fuera categorías que la directiva pretendía cubrir. Una segunda es las condiciones de protección, las reglas que determinan cuándo un denunciante realmente cumple los requisitos de denunciante. Algunas leyes nacionales establecen la barra más alta que la directiva, por ejemplo, al añadir una prueba de interés público además de la creencia razonable, lo que hace más difícil calificar y más fácil excluir reportes marginales.

Una tercera preocupación son las salvaguardas contra represalias. La presunción de represalia de la directiva es una herramienta de prueba que transfiere la carga al empleador cuando un denunciante es despedido poco después de informar; en algunas transposiciones ha sido debilitada u omitida enteramente. Finalmente, el informe señala sanciones: algunos marcos de penalización nacional caen por debajo de la norma de la directiva de «efectivo, proporcional y disuasorio», con multas máximas que parecen más simbólicas que disuasorias en el balance de una empresa mediana.

El informe no nombra a los estados uno por uno para avergonzarlos. Señala qué disposiciones plantean preocupación e indica que los procedimientos por incumplimiento siguen siendo una opción. La Comisión ha dejado claro que tiene la intención de seguir usándolos.

Marzo de 2025: el Tribunal de Justicia multa a cinco estados con 38 millones de euros

El 6 de marzo de 2025, el Tribunal de Justicia de la Unión Europea falló en un grupo de casos acumulados (C-147/23 y C-149/23 a C-155/23) que cinco estados miembros no habían cumplido sus obligaciones bajo la directiva. El Tribunal rechazó cada defensa e impuso sanciones financieras que superan los 38 millones de euros. Alemania fue golpeada con una suma global de 34 millones de euros, con mucho la más grande. La República Checa recibió una suma global de 2,3 millones de euros, Hungría 1,75 millones, Luxemburgo 375.000. Estonia, donde la transposición seguía siendo incompleta el día de la sentencia, recibió una suma global de 500.000 euros más una sanción diaria de 1.500 euros que continúa acumulándose hasta que la Comisión certifique plena conformidad.

Kirchberg en Luxemburgo, sede del Tribunal de Justicia de la Unión Europea. El 6 de marzo de 2025, el Tribunal multó a cinco estados miembros por transposición tardía de la directiva
© Cayambe (CC BY-SA 4.0)

Las sentencias establecen, más allá de los números principales, que los plazos de transposición de la directiva son exigibles en efectivo. La propia página de protección de denunciantes de la Comisión ahora lista las sentencias junto a su resumen de la directiva, una señal silenciosa de que la institución tiene la intención de usarlas como precedente. Una segunda onda de acciones por incumplimiento, esta vez dirigida a no conformidad en lugar de no transposición, ha sido abiertamente contemplada desde el informe de 2024.

Lo que la ley realmente requiere dentro de las empresas

Las obligaciones de cumplimiento de la directiva en un empleador cubierto caen en cuatro categorías, y una ley nacional de transposición no puede debilitar ninguna de ellas, solo añadir a ellas. La obligación principal es un canal de denuncia seguro y confidencial: una ruta interna por la cual un trabajador puede reportar una infracción sin que su identidad se haga conocida más allá de las personas designadas para manejar el reporte. La directiva es neutral en tecnología; no obliga a una herramienta específica, pero el canal debe aceptar reportes escritos y orales, debe reconocer la recepción dentro de siete días, y debe producir una respuesta sustantiva dentro de tres meses.

Junto con el canal viene la protección contra represalias. Despido, degradación, retención de capacitación, cambio de funciones, modificación de horas de trabajo, retención de referencias, medidas disciplinarias y cualquier otra consecuencia negativa de haber reportado están prohibidas. La directiva establece una presunción de represalia: si se toma una acción adversa contra un trabajador después de reportar, el empleador carga con la carga de demostrar que la acción no tuvo nada que ver con el reporte. Los acuerdos contractuales de renuncia del derecho a reportar (del tipo a veces integrados en NDAs o acuerdos de transacción) no son exigibles.

Luego está el registro y seguimiento. El destinatario de un reporte debe registrarlo, evaluarlo, tomar acciones donde la acción esté garantizada, e informar al reportero del resultado en la marca de tres meses. Las reglas de retención están limitadas por los principios de minimización de datos del GDPR, por lo que los registros no pueden mantenerse indefinidamente. La cuarta obligación es el acceso a canales externos, típicamente una autoridad nacional designada por la ley de transposición, que el trabajador puede usar directamente, sin pasar primero por la ruta interna, sin pérdida de protección.

En la práctica: una dirección de correo genérica enrutada a una bandeja de entrada de HR de la empresa no es un canal conforme a la directiva. Tampoco es una línea telefónica que nadie esté obligado contractualmente a monitorear. Una configuración conforme requiere manejadores designados, procedimientos documentados, reglas de retención, y una ruta de escalamiento clara, respaldada por un equipo interno, un proveedor externo, o un Oficial de Protección de Datos con el ancho de banda para realmente hacer el trabajo.

La evaluación de 2026 y qué podría cambiar

El artículo 27(3) de la propia directiva requería que la Comisión Europea presentara un informe al Parlamento y al Consejo para 17 de diciembre de 2025 sobre cómo ha funcionado la directiva y si su alcance debería ser extendido. Como parte de ese trabajo, la Comisión abrió una consulta pública Tenga Su Say que se ejecutó de 25 de agosto a 18 de septiembre de 2025, alimentando un Plan de Acción más amplio sobre Protección de Denunciantes cuya evaluación completa vence en Q4 2026.

Una posición que está tomando forma en las respuestas de la consulta, articulada por observadores de la sociedad civil como el Instituto Europeo de Denunciantes, es que el texto de la directiva es sólido y los fracasos están en la implementación. La directora ejecutiva del instituto, Vigjilenca Abazi, ha señalado que algunas de las mismas instituciones encargadas de la protección han enfrentado interferencia política que socava su credibilidad, y ha argumentado a favor de autoridades nacionales independientes empoderadas para monitorear, sancionar y hacer cumplir. En esa lectura, la respuesta es presionar más sobre conformidad, en lugar de reabrir un texto ganado difícilmente.

La otra línea de argumento anticipa presión de la dirección opuesta. Los comentaristas de la sociedad civil han señalado el riesgo de que los actores comerciales presionen la evaluación hacia protecciones más débiles: elevar el umbral del canal interno de 50 a 250 empleados, estrechar el alcance material de infracciones que desencadenan protección, todo enmarcado como «simplificación». Nada de esto es una propuesta de la Comisión aún. Pero para cualquier empresa que haya construido un canal conforme bajo el texto actual, la posibilidad importa: una empresa de 60 personas que hoy debe ejecutar un canal interno podría, en un borrador diferente de la directiva, estar exenta, y la lucha política correrá paralela a la evaluación misma.

Banderas de estados miembros frente al Parlamento Europeo en Bruselas. A finales de 2024, los 27 habían transpuesto la directiva, en textos nacionales ampliamente diferentes
© Marek Ślusarczyk (CC BY 3.0)

La ley de transposición que realmente vincula a tu organización es la ley nacional en tu país, y casi con certeza es diferente de lo que el resumen titular de la directiva describe. Si aún no has adoptado un sistema de denunciantes conforme a la directiva, las multas de marzo de 2025 deberían llegar como la señal inequívoca de que la aplicación es real y que «aún estamos trabajando en ello» ya no es una posición defendible. Proporcionamos un sistema de denunciantes completamente conforme a la directiva con implementación en un día; mira cómo funciona el servicio del Sistema de Denuncia de Irregularidades.