EquipoEl pasado 12 de agosto de 2025 se publicó en el BOE la Orden PJC/908/2025, de 8 de agosto, por la que se el fija el 1 de septiembre de 2025 como fecha de puesta en funcionamiento de la Autoridad Independiente de Protección del Informante, A.A.I., empezando así el cómputo del plazo de dos meses establecido en la Disposición transitoria única del Real Decreto 1101/2024, de 29 de octubre, por el que se aprueba el Estatuto de la A.A.I. para efectuar la notificación a la A.A.I. sobre los nombramientos y ceses, tanto de las personas físicas como de las personas integrantes del órgano colegiado que hayan sido designadas como Responsables del Sistema Interno de Información por las entidades obligadas desde la entrada en vigor de la Ley 2/2023.
Introducción
La Ley 2/2023 responde a la obligación de incorporar al ordenamiento español la Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, y tiene por finalidad otorgar una protección adecuada frente a posibles represalias derivadas de la comunicación de acciones u omisiones susceptibles de constituir infracciones penales o administrativas graves o muy graves, o infracciones del Derecho de la Unión Europea. De este modo, se persigue reforzar la cultura de la integridad y la prevención en las organizaciones tanto públicas como privadas, dotando a las personas informantes de garantías suficientes para proteger sus derechos e intereses y fomentando la detección de conductas contrarias al interés general.
Ámbito material de aplicación
El ámbito material de protección de la ley abarca: (i) las informaciones sobre acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea, siempre que tengan incidencia en los intereses financieros de la Unión o en el mercado interior en los términos definidos por la Directiva (UE) 2019/1937; y (ii) aquellas que constituyan infracciones penales o administrativas graves o muy graves, especialmente si ocasionan un quebranto económico para la Hacienda Pública o la Seguridad Social. La Ley excluye de su aplicación las informaciones referidas a hechos clasificados, protegidos por secreto profesional, confidencialidad policial o judicial, o que se refieran a procedimientos contractuales declarados secretos, reservados o que afecten a la seguridad del Estado.
Ámbito personal de aplicación
La persona informante protegida por la Ley 2/2023 es toda aquella que, en un contexto laboral o profesional, obtenga información de infracciones y las comunique por los cauces previstos, comprendiendo expresamente: empleados públicos, trabajadores por cuenta ajena, autónomos, accionistas, personas integrantes de órganos de administración o supervisión, empleados o colaboradores de contratistas, subcontratistas o proveedores, voluntarios, becarios, trabajadores en formación, y personas cuya relación laboral ya haya finalizado o no haya comenzado (en caso de obtención de información durante procesos de selección). Esta protección se extiende, en su caso, a representantes legales de los trabajadores asesorando o apoyando al informante, a quienes asistan al informante, a personas cercanas susceptibles de represalias (trabajadores, familiares) y a personas jurídicas significativamente vinculadas al informante.
Sistemas internos y canales externos de información
Todas las entidades que integran el sector público, y todas las empresas privadas con 50 o más empleados (o con independencia de este umbral si desarrollan actividades en sectores regulados por la UE, como financiero, prevención de blanqueo, transporte o medio ambiente), así como partidos políticos, sindicatos y organizaciones empresariales que gestionen fondos públicos, están obligadas a disponer de un Sistema Interno de Información (SII). Las singularidades prácticas que deben cumplirse incluyen:
- Permitir comunicaciones escritas y verbales, incluidas anónimas
- Asegurar la confidencialidad y seguridad de la identidad del informante
- Atender a todas las garantías de protección de datos y privacidad
- Integrar distintos canales internos en un sistema documentado y publicitado
- Designar un Responsable del Sistema, notificarlo a la A.A.I. o autoridad autonómica y dotarlo de independencia y medios propios
El órgano de administración o gobierno de la entidad será responsable de la implantación y del tratamiento de los datos que se deriven del sistema, debiendo consultar con la representación legal de las personas trabajadoras. Además, se consagra la existencia de un canal externo gestionado por la A.A.I. como autoridad estatal, o por autoridades autonómicas competentes, a los que puede acudirse de manera preferente, subsidiaria o simultánea respecto del canal interno.
Requisitos para gozar de protección
Para que la persona informante tenga derecho a la protección legal, se exige: (i) que tenga motivos razonables para pensar que la información comunicada es veraz en el momento de la comunicación, aun sin disponer de pruebas concluyentes; y (ii) que la comunicación se realice conforme a los procedimientos y requisitos establecidos en la Ley. Quedan excluidas de protección aquellas denuncias inadmitidas por los canales internos por las causas legales, las vinculadas a conflictos personales exclusivamente, los meros rumores o informaciones ya completamente públicas, así como aquellas que no entren en el ámbito material definido anteriormente. El derecho de protección alcanza igualmente a los informantes anónimos que luego sean identificados, si concurren el resto de condiciones.
Medidas de protección y garantías para el informante
Entre las garantías reconocidas a las personas informantes se encuentran: la preservación de la identidad (no pudiendo ser revelada a terceros y sólo susceptible de comunicación a la autoridad judicial, fiscal o administrativa en el marco de investigaciones penales, disciplinarias o sancionadoras), el derecho a comunicar de forma anónima, el acceso a información sobre el estado del expediente, a asistencia letrada y a apoyo financiero y psicológico (de forma excepcional), así como la protección frente a cualquier represalia o amenaza de represalia derivada de su comunicación. El plazo de protección se extiende durante dos años desde la revelación, pudiendo prorrogarse de forma motivada excepcionalmente. Los actos de represalia o discriminación derivados de la presentación de informaciones son nulos de pleno derecho y pueden dar lugar a sanciones, medidas disciplinarias, y a la indemnización de daños y perjuicios.
Prohibición de represalias
Se prohíbe expresamente cualquier acto, amenaza o tentativa de represalia contra los informantes, incluyéndose entre otros: despido, suspensión del contrato, cambios sustanciales de condiciones laborales, degradación, exclusión de formación, acoso, inclusión en listas negras, daños económicos, denegación de ascensos o permisos, y cualquier otra medida discriminatoria o de trato injusto. En caso de que la lesión ocurra transcurridos los dos años, el informante podrá solicitar la extensión de la protección ante la autoridad competente, la cual decidirá motivadamente. Los actos administrativos contrarios al derecho de información o de represalia serán nulos de pleno derecho y exigibles las responsabilidades disciplinarias o patrimoniales que correspondan.
Autoridad Independiente de Protección del Informante (A.A.I.)
La A.A.I., creada por la Ley 2/2023 y desarrollada por el Real Decreto 1101/2024, es una autoridad administrativa independiente de ámbito estatal, con personalidad jurídica propia y plena autonomía, cuya finalidad es garantizar la protección del informante, servir de referente institucional en la lucha contra la corrupción y coordinarse con las autoridades autonómicas que pudieran existir. Entre sus principales funciones se cuentan: la gestión del canal externo, adopción de medidas de protección, tramitación de procedimientos sancionadores, emisión de informes y recomendaciones, producción de estadísticas y fomento de la cultura de integridad o el ejercicio de la potestad sancionadora. La A.A.I. actúa con plena independencia y su personal está sometido al deber de secreto. Desde su inicio de operatividad, el 1 de septiembre de 2025, se convierte en la autoridad central de recepción y tramitación de denuncias externas, salvo en los supuestos en que la gestión corresponda a organismos autonómicos designados.
Régimen sancionador y medidas de apoyo
La comisión de infracciones asociadas a la vulneración de la protección del informante o de la obligación de disponer de canales internos, puede implicar para personas físicas sanciones económicas que oscilan entre 1.001 y 300.000 euros, y para personas jurídicas desde 100.001 hasta 1.000.000 euros, en función de la gravedad de la infracción. Asimismo, la A.A.I. podrá adoptar medidas provisionales de protección en el marco de procedimientos sancionadores. Las personas informantes pueden acceder a información, asesoramiento legal, asistencia jurídica en procesos penales y apoyo financiero o psicológico en supuestos justificados, sin perjuicio del acceso a la justicia gratuita si reúnen los requisitos.
Cooperación con autoridades autonómicas
La Ley 2/2023 prevé mecanismos de coordinación y colaboración entre la A.A.I. y las autoridades autonómicas designadas en materia de protección del informante, que garantizan la aplicación uniforme de la normativa en todo el territorio nacional y evitan duplicidades administrativas. El intercambio de información y la celebración de reuniones semestrales constituyen pilares del sistema de cooperación. En el ámbito estatal, la A.A.I actuará como canal externo para recibir informaciones (denuncias) sobre irregularidades que afecten a las entidades del sector privado, cuando la infracción o el incumplimiento sobre el que se informe afecte o produzca sus efectos en el ámbito territorial de más de una comunidad autónoma. Por su parte, las autoridades autonómicas designadas recibirán y tramitarán informaciones de irregularidades que afecten a entidades del sector privado cuando el incumplimiento comunicado se circunscriba al ámbito territorial de la correspondiente comunidad autónoma.
¿Y ahora, qué?
La entrada en vigor de la Orden PJC/908/2025, de 8 de agosto, fija de manera efectiva la fecha de inicio de las funciones operativas de la Autoridad Independiente de Protección del Informante, estableciendo un hito determinante para todas las entidades sujetas a la Ley 2/2023. Desde ese momento, se activa el régimen transitorio previsto legalmente, de manera que todos los sujetos obligados —ya sean entidades públicas o privadas— deben proceder a notificar los nombramientos y ceses de los Responsables del Sistema Interno de Información, o de las personas integrantes del órgano colegiado asignado a dicha función, en el plazo de dos meses a contar desde la mencionada fecha de puesta en funcionamiento de la A.A.I. Esto significa que, a partir de la fecha oficial de inicio de operaciones de la Autoridad (1 de septiembre de 2025), toda designación previa realizada desde la entrada en vigor de la Ley 2/2023 deberá ser comunicada antes del transcurso de dicho plazo transitorio y, en adelante, cualquier nuevo nombramiento o cese deberá notificarse en los plazos reducidos ordinarios que marca la norma (diez días hábiles), ante la A.A.I. a través de los canales habilitados al efecto. En este sentido, ya es posible realizar dicha notificación (a través del correo electrónico habilitado, según Nota informativa publicada) estándose a la espera de que la A.A.I. pueda emitir alguna guía sobre coordinación con autoridades autonómicas, habilitar la sede electrónica, etc. En cualquier caso, las entidades deben revisar de inmediato sus designaciones vigentes y garantizar la presentación puntual de la comunicación, ya que el incumplimiento puede derivar en responsabilidad y sanciones. Queda así formalmente iniciado el cómputo de los plazos legales y, por tanto, se activa la exigibilidad de la obligación de notificación como elemento clave de la gobernanza del sistema de protección al informante en el marco de la nueva A.A.I.