Volver a página de inicio

La ley tiene por finalidad otorgar una protección adecuada frente a las represalias que puedan sufrir las personas físicas que informen sobre alguna de las acciones u omisiones a que se refiere el art.  2, a través de los procedimientos previstos en la misma, así como el fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público.

La ley protege a las personas físicas que informen, a través de alguno de los procedimientos previstos en ella, de

• a) Cualesquiera acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea siempre que:
  • 1. Entren dentro del ámbito de aplicación de los actos de la Unión Europea enumerados en el Anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 (LA LEY 17913/2019), relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, con independencia de la calificación que de las mismas realice el ordenamiento jurídico interno;
  • 2. Afecten a los intereses financieros de la Unión Europea tal y como se contemplan en el artículo 325 del Tratado de Funcionamiento de la Unión Europea (TFUE (LA LEY 6/1957)); o
  • 3. Incidan en el mercado interior, tal y como se contempla en el artículo 26, apartado 2 del TFUE (LA LEY 6/1957), incluidas las infracciones de las normas de la Unión Europea en materia de competencia y ayudas otorgadas por los Estados, así como las infracciones relativas al mercado interior en relación con los actos que infrinjan las normas del impuesto sobre sociedades o a prácticas cuya finalidad sea obtener una ventaja fiscal que desvirtúe el objeto o la finalidad de la legislación aplicable al impuesto sobre sociedades.
• b) Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. En todo caso, se entenderán comprendidas todas aquellas infracciones penales o administrativas graves o muy graves que impliquen quebranto económico para la Hacienda Pública y para la Seguridad Social.

Sin excluir la aplicación de las normas del proceso penal, ni la protección específica para las personas trabajadoras que informen sobre infracciones en materia de seguridad y salud en el trabajo, con las especialidades previstas en el mismo precepto.

Con esta norma se produce la incorporación al ordenamiento jurídico interno la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 (LA LEY 17913/2019), relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

La Ley se aplica tanto a los informantes que trabajen en el sector privado como en el público y que hayan obtenido información sobre infracciones en un contexto laboral o profesional, comprendiendo en todo caso:

• a) Las personas que tengan la condición de empleados públicos o trabajadores por cuenta ajena;
• b) los autónomos;
• c) los accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o supervisión de una empresa, incluidos los miembros no ejecutivos;
• d) cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores.

También se aplicará a los informantes que comuniquen o revelen públicamente información sobre infracciones obtenida en el marco de una relación laboral o estatutaria ya finalizada, voluntarios, becarios, trabajadores en periodos de formación con independencia de que perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el proceso de selección o de negociación precontractual.

Sin perjuicio de la aplicación específica de las medidas de protección del informante previstas en el título VII a los colectivos establecidos en el art. 3.3 y 3.4.

Todas las entidades que integran el sector público estarán obligadas a disponer de un Sistema interno de información en los términos previstos en la ley.

A los efectos de la ley se entienden comprendidos en el sector público:

• a) La Administración General del Estado, las Administraciones de las comunidades autónomas, ciudades con Estatuto de Autonomía y las entidades que integran la Administración Local.
• b) Los organismos y entidades públicas vinculadas o dependientes de alguna Administración pública, así como aquellas otras asociaciones y corporaciones en las que participen Administraciones y organismos públicos.
• c) Las autoridades administrativas independientes, el Banco de España y las entidades gestoras y servicios comunes de la Seguridad Social.
• d) Las Universidades públicas.
• e) Las corporaciones de Derecho público.
• f) Las fundaciones del sector público

También deberán dotarse de un Sistema interno de información, en los mismos términos requeridos para las entidades del sector público enunciados en el apartado anterior, los órganos constitucionales, los de relevancia constitucional e instituciones autonómicas análogas a los anteriores.

La ley autoriza la creación de la Autoridad Independiente de Protección del Informante, autoridad administrativa independiente, como ente de derecho público de ámbito estatal, de las previstas en la LRJSP (LA LEY 15011/2015), con personalidad jurídica propia y plena capacidad pública y privada, que actuará en el desarrollo de su actividad y para el cumplimiento de sus fines con plena autonomía e independencia orgánica y funcional respecto del Gobierno, de las entidades integrantes del sector público y de los poderes públicos en el ejercicio de sus funciones.

Su estatuto será aprobado, mediante real decreto, por el Consejo de Ministros y en su estructura contará, al menos, con una Comisión Consultiva de Protección del Informante.

A la A.A.I. se le atribuyen, para el cumplimiento de sus fines, las siguientes funciones:

• a) Gestión del canal externo de comunicaciones regulado en el título III.
• b) Adopción de las medidas de protección al informante previstas en su ámbito de competencias, de acuerdo con lo dispuesto en el artículo 41.
• c) Informar preceptivamente los anteproyectos y proyectos de disposiciones generales que afecten a su ámbito de competencias y a las funciones que desarrolla.
• d) Tramitación de los procedimientos sancionadores e imposición de sanciones por las infracciones previstas en el título IX, en su ámbito de competencias, de acuerdo con lo dispuesto en el artículo 61.
• e) Fomento y promoción de la cultura de la información.

La Autoridad Independiente de Protección del Informante, A.A.I., ejercerá la potestad sancionadora por la comisión de infracciones recogidas en el título IX conforme al procedimiento establecido en el mismo.

El Sistema interno de información es el cauce preferente para informar sobre las acciones u omisiones previstas en el artículo 2, siempre que se pueda tratar de manera efectiva la infracción y si el denunciante considera que no hay riesgo de represalia.

Las personas jurídicas obligadas por la norma deben contar con un Sistema interno de información en los términos establecidos en la  ley. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado será el responsable de la implantación del Sistema interno de información, previa consulta con la representación legal de las personas trabajadoras, y tendrá la condición de responsable del tratamiento de los datos personales de conformidad con lo dispuesto en la normativa sobre protección de datos personales.

Dicho sistema podrá ser gestionado dentro de la propia entidad u organismo o mediante el recurso a un tercero externo, teniendo en cuenta que la gestión del sistema conlleva la recepción de informaciones.

El sistema interno de información se articula sobre tres ejes:

• — Canal interno
• — Responsables del Sistema de Información
• — Procedimiento de gestión de informaciones

El responsable del sistema de información será designado por el órgano de administración de cada entidad u organismo obligado y podrá ser un órgano colegiado, sin perjuicio de las delegaciones correspondientes.

El Responsable del Sistema deberá desarrollar sus funciones de forma independiente y autónoma respecto del resto de los órganos de la entidad u organismo, no podrá recibir instrucciones de ningún tipo en su ejercicio, y deberá disponer de todos los medios personales y materiales necesarios para llevarlas a cabo.

En el caso del sector privado, el Responsable del Sistema persona física o la entidad en quien el órgano colegiado responsable haya delegado sus funciones, será un directivo de la entidad, que ejercerá su cargo con independencia del órgano de administración o de gobierno de la misma.

El sector público sólo podrá designar un tercero externo en aquellos casos en los que se acredite insuficiencia de medios y sólo para la recepción de las informaciones sobre infracciones.

En las entidades u organismos en las que ya existiera un responsable de la función de cumplimiento normativo, cualquiera que fuese su denominación, podrá ser éste la persona designada como Responsable del Sistema, siempre que cumpla los requisitos establecidos en la ley.

Todo canal interno de información de que disponga una entidad para posibilitar la presentación de información respecto de las infracciones previstas en el artículo 2 estará integrado dentro del Sistema interno de información.

El canal interno deberá permitir realizar comunicaciones por escrito o verbalmente, o de las dos formas. La información se podrá realizar bien por escrito, a través de correo postal o a través de cualquier medio electrónico habilitado al efecto, o verbalmente, por vía telefónica o a través de sistema de mensajería de voz. A solicitud del informante, también podrá presentarse mediante una reunión presencial dentro del plazo máximo de siete días.

Los canales internos de información permitirán incluso la presentación y posterior tramitación de comunicaciones anónimas.

Los canales internos de información podrán estar habilitados por la entidad que los gestione para la recepción de cualesquiera otras comunicaciones o informaciones fuera del ámbito establecido en el art. 2 de la ley, si bien dichas comunicaciones y sus remitentes quedarán fuera del ámbito de protección dispensado por la misma

Los municipios de menos de 10.000 habitantes, entre sí o con cualesquiera otras Administraciones públicas que se ubiquen dentro del territorio de la comunidad autónoma, podrán compartir el Sistema interno de información y los recursos destinados a las investigaciones y las tramitaciones.

Igualmente, las entidades pertenecientes al sector público con personalidad jurídica propia vinculadas o dependientes de órganos de las Administraciones territoriales, y que cuenten con menos de cincuenta trabajadores, podrán compartir con la Administración de adscripción el Sistema interno de información y los recursos destinados a las investigaciones y las tramitaciones.

En todo caso, deberá garantizarse que los sistemas resulten independientes entre sí y los canales aparezcan diferenciados respecto del resto de entidades u organismos, de modo que no se genere confusión a los ciudadanos.

Toda persona física podrá informar ante la Autoridad Independiente de Protección del Informante, A.A.I. regulada en el título VIII, o ante las autoridades u órganos autonómicos correspondientes, de la comisión de cualesquiera acciones u omisiones incluidas en el ámbito de aplicación de la ley, ya sea directamente o previa comunicación a través del correspondiente canal interno.

La gestión de las informaciones se realizará en los términos establecidos en los arts. 17 y siguientes, tanto en relación con su recepción, como trámite de admisión, instrucción y terminación de las actuaciones, que concluirán con informe, tras el cual la A.A.I. adoptará alguna de las siguientes actuaciones:

• a) Archivo del expediente
• b) Remisión al Ministerio Fiscal si así resultase del curso de la instrucción
• c) Traslado de todo lo actuado a la autoridad competente
• d) Adopción de acuerdo de inicio de un procedimiento sancionador.

El plazo máximo de resolución será de tres meses, y las decisiones no serán recurribles en vía administrativa ni contencioso-administrativo, sin perjuicio de los recursos interpuestos contra la eventual resolución que ponga fin al procedimiento sancionador incoado.

Los sujetos comprendidos dentro del ámbito de aplicación de la ley proporcionarán la información adecuada de forma clara y fácilmente accesible, sobre el uso de todo canal interno de información que hayan implantado, así como sobre los principios esenciales del procedimiento de gestión. En caso de contar con una página web, dicha información deberá constar en la página de inicio, en una sección separada y fácilmente identificable.

Igualmente, las autoridades independientes de protección a informantes deberán publicar en una sección separada, fácilmente identificable y accesible de su sede electrónica, como mínimo, la información recogida en el art. 25.

Todos los sujetos obligados a disponer de un canal interno de informaciones, deberán contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad previstos en la ley.

Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente, mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá accederse total o parcialmente al contenido del referido registro.

Los datos personales relativos a las informaciones recibidas y a las investigaciones internas a que se refiere el apartado anterior solo se conservarán durante el período que sea necesario y proporcionado a efectos de cumplir con la ley.

Los tratamientos de datos personales que deriven de la aplicación de esta ley se regirán por lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (LA LEY 6637/2016), en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales

• — Se considerarán lícitos los tratamientos de datos personales necesarios para la aplicación de la ley.
• — La persona a la que se refieran los hechos relatados no será en ningún caso informada de la identidad del informante o de quien haya llevado a cabo la revelación pública.
• — En caso de que la persona a la que se refieran los hechos relatados en la comunicación o a la que se refiera la revelación pública ejerciese el derecho de oposición, se presumirá que, salvo prueba en contrario, existen motivos legítimos imperiosos que legitiman el tratamiento de sus datos personales.
• — El acceso a los datos personales contenidos en el Sistema interno de información quedará limitado, dentro del ámbito de sus competencias y funciones, exclusivamente a los sujetos recogidos en el art. 32.
• — Quien presente una comunicación o lleve a cabo una revelación pública tiene derecho a que su identidad no sea revelada a terceras personas.
• — La identidad del informante solo podrá ser comunicada a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora.

Las personas que comuniquen o revelen infracciones previstas en el artículo 2, tendrán derecho a protección siempre que concurran las circunstancias siguientes:

• a) tengan motivos razonables para pensar que la información referida es veraz en el momento de la comunicación o revelación, aun cuando no aporten pruebas concluyentes, y que la citada información entra dentro del ámbito de aplicación de la ley,
• b) la comunicación o revelación se haya realizado conforme a los requerimientos previstos en la  ley.

Prohibición de represalias

Se prohíben expresamente los actos constitutivos de represalia, incluidas las amenazas de represalia y las tentativas de represalia contra las personas que presenten una comunicación conforme a lo previsto en la ley. A estos efectos, y a título enunciativo, se consideran represalias las que se contemplan en el art. 36.

La ley articula un sistema de protección que se articula en torno a los siguientes ejes de medias:

• — Medidas de apoyo
• — Medidas de protección frente a represalias
• — Medidas para la protección de las personas afectadas

Igualmente contempla supuestos de exención y atenuación de la sanción cuando una persona que hubiera participado en la comisión de la infracción administrativa objeto de la información sea la que informe de su existencia mediante la presentación de la información y siempre que la misma hubiera sido presentada con anterioridad a que hubiera sido notificada la incoación del procedimiento de investigación o sancionador, el órgano competente para resolver el procedimiento, mediante resolución motivada, acredite las circunstancias establecidas en el art. 40 de la ley.

Las medidas de protección se extenderán a las comunicaciones sobre las acciones u omisiones recogidas en el artículo 2 que hubieran tenido lugar desde la entrada en vigor de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 (LA LEY 17913/2019), relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

El ejercicio de la potestad sancionadora en el ámbito establecido en la ley corresponde a la Autoridad Independiente de Protección del Informante, A.A.I., y a los órganos competentes de las comunidades autónomas, sin perjuicio de las facultades disciplinarias que en el ámbito interno de cada organización pudieran tener los órganos competentes.

Estarán sujetos al régimen sancionador establecido en esta ley las personas físicas y jurídicas que realicen cualquiera de las actuaciones descritas como infracciones en el art. 63 de la ley (muy graves, graves y leves).

La comisión de estas infracciones previstas llevará aparejada la imposición de las siguientes multas:

• a) Si son personas físicas las responsables de las infracciones, serán multadas con una cuantía de 1.001 hasta 10.000 euros por la comisión de infracciones leves; de 10.001 hasta 30.000 euros por la comisión de infracciones graves y de 30.001 hasta 300.000 euros por la comisión de infracciones muy graves.
• b) Si son personas jurídicas serán multadas con una cuantía hasta 100.000 euros en caso de infracciones leves, entre 100.001 y 600.000 euros en caso de infracciones graves y entre 600.001 y 1.000.000 euros en caso de infracciones muy graves.

Adicionalmente, en el caso de infracciones muy graves, la Autoridad Independiente de Protección del Informante, A.A.I., podrá acordar:

• a) La amonestación pública.
• b) La prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de cuatro años.
• c) La prohibición de contratar con el sector público durante un plazo máximo de tres años de conformidad con lo previsto en la LCSP (LA LEY 17734/2017).

Además de contemplar previsiones específicas para la transposición de la Directiva al ordenamiento jurídico español la Ley introduce una serie de modificaciones con en las siguientes normas:

• — Modificación de la Ley 1/1996, de 10 de enero (LA LEY 106/1996), de asistencia jurídica gratuita.
• — Modificación de la Ley 29/1998, de 13 de julio (LA LEY 2689/1998), reguladora de la. Jurisdicción Contencioso-administrativa.
• — Modificación de la Ley 15/2007, de 3 de julio, de Defensa de la Competencia (LA LEY 7240/2007) Disposición final cuarta.
• — Modificación de la Ley 10/2010, de 28 de abril (LA LEY 8368/2010), de prevención del blanqueo de capitales y de la financiación del terrorismo.
• — Modificación de la Ley 10/2014, de 26 de junio (LA LEY 10274/2014), de ordenación, supervisión y solvencia de entidades de crédito.
• — Modificación de la Ley 9/2017, de 8 de noviembre (LA LEY 17734/2017), de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014 (LA LEY 4613/2014).
• — Disposición final séptima. Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

La ley se dicta al amparo de lo dispuesto en el artículo 149.1 apartados 1.a, 6.a, 7.a, 11.a, 13.a, 18.a, 23.a de la Constitución Española que atribuye al Estado las competencias exclusivas sobre la regulación de las condiciones básicas que garanticen la igualdad de todos los españoles en el ejercicio de los derechos y en el cumplimiento de los deberes constitucionales; la legislación mercantil; la legislación procesal, sin perjuicio de las necesarias especialidades que en este orden se deriven de las particularidades del derecho sustantivo de las comunidades autónomas; la legislación laboral; las bases y coordinación de la planificación general de la actividad económica; las bases del régimen jurídico de las Administraciones públicas y del régimen estatutario de sus funcionarios; el procedimiento administrativo común; la legislación básica sobre contratos y concesiones administrativas y el sistema de responsabilidad de todas las Administraciones Públicas; y la legislación básica sobre protección del medio ambiente.

El ámbito de aplicación del título VIII de la ley se limita a la Administración General del Estado y resto de entidades del sector público estatal.

— Entrada en vigor

La ley entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del Estado».

— Adaptación de los Sistemas y canales internos de información existentes

Los sistemas internos de comunicación y sus correspondientes canales que, a la entrada en vigor de esta ley, tengan habilitados las entidades u organismos obligados podrán servir para dar cumplimiento a las previsiones de esta ley siempre y cuando se ajusten a los requisitos establecidos en la misma.

— Plazo máximo para el establecimiento de Sistemas internos de información y adaptación de los ya existentes

Las Administraciones, organismos, empresas y demás entidades obligadas a contar con un Sistema interno de información deberán implantarlo en el plazo máximo de tres meses a partir de la entrada en vigor de la ley.

— Estrategia contra la corrupción

El Gobierno, en el plazo máximo de dieciocho meses a contar desde la entrada en vigor de la ley, deberá aprobar una Estrategia contra la corrupción que al menos deberá incluir una evaluación del cumplimiento de los objetivos establecidos en la ley así como las medidas que se consideren necesarias para paliar las deficiencias que se hayan encontrado en ese periodo de tiempo.

— Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I.

En el plazo de un año desde la entrada en vigor de la ley, el Consejo de Ministros aprobará mediante real decreto, a propuesta conjunta de los Ministerios de Justicia y de Hacienda y Función Pública, el Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I.