MAINSYSTEMS 
El Marco Regulador de la Ley 2/2023 y la Estructura Operativa de la AIPI
La transposición de la Directiva (UE) 2019/1937 mediante la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, marcó un hito definitivo en el ordenamiento jurídico corporativo español. Lejos de constituir una mera directriz programática o una recomendación de buenas prácticas de gobernanza corporativa, la Ley 2/2023 configuró un régimen imperativo de orden público, vinculante para todas las entidades del sector público y para aquellas personas físicas o jurídicas del sector privado que cuenten con 50 o más personas trabajadoras, con independencia de su volumen de negocio o balance anual.
La culminación de la fase de despliegue institucional se ha materializado con la plena actividad fiscalizadora de la Autoridad Independiente de Protección del Informante (AIPI), adscrita funcionalmente al Ministerio de la Presidencia, Justicia y Relaciones con las Cortes pero dotada de personalidad jurídica propia, plena autonomía orgánica y facultades de coerción inspectora. La AIPI ostenta una doble condición funcional: por un lado, actúa como canal externo receptor de comunicaciones e informaciones a escala estatal; por otro, ejerce como supremo órgano sancionador y supervisor del cumplimiento efectivo de la obligación de implantar y mantener operativos los Sistemas Internos de Información en las empresas españolas, coordinando su actuación con las autoridades autonómicas análogas existentes (como la Oficina Antifrau de Catalunya - OAC, la Agencia de Prevención y Lucha contra el Fraude y la Corrupción de la Comunitat Valenciana - AVAF, la Oficina Andaluza contra el Fraude y la Corrupción - OAF, o la Oficina de Prevención y Lucha contra la Corrupción en las Illes Balears).
El artículo 4 de la Ley 2/2023 impone a las organizaciones la obligación indelegable de diseñar, implantar y gestionar un Sistema Interno de Información que garantice de forma efectiva la confidencialidad de la identidad del informante y de cualquier tercero mencionado en la comunicación, así como de las actuaciones que se desarrollen en la gestión y tramitación de la misma. Para satisfacer este requerimiento legal, las organizaciones deben abandonar cualquier método rudimentario e implementar un canal de denuncias formalmente segregado, seguro y auditable.
El Catálogo de Infracciones del Artículo 63 y las Multas de hasta 1.000.000 €
El Título IX de la Ley 2/2023 consagra un régimen sancionador administrativo de extrema dureza que tipifica con meticulosidad las conductas reprochables. El artículo 63 del texto legal clasifica las infracciones en tres categorías graduales: leves, graves y muy graves, diseñando un marco penalizador concebido para disuadir cualquier tentativa corporativa de elusión formal.
De conformidad con el artículo 63.1, constituyen infracciones muy graves atribuibles a las entidades jurídicas y a sus gestores individuales:
- La vulneración de las garantías de confidencialidad y anonimato impuestas por la ley, así como cualquier revelación no consentida de la identidad del informante a terceras personas no autorizadas formalmente para la gestión de las informaciones;
- La adopción de cualquier tipo de represalia laboral, mercantil, disciplinaria o profesional contra las personas que hayan formulado una comunicación o revelación pública con arreglo a la ley;
- El incumplimiento de la obligación legal de disponer de un Sistema Interno de Información formalmente constituido y en funcionamiento en los términos exigidos por el artículo 4 y concordantes;
- La limitación, obstaculización, impedimento o tentativa de desincentivar o dificultar la presentación de comunicaciones o informaciones a través de los canales internos o externos;
- La vulneración consciente del deber de secreto impuesto a los responsables de la tramitación de las informaciones y a cualquier miembro de la entidad que tenga conocimiento incidental del proceso.
Las consecuencias patrimoniales asociadas a la comisión de infracciones muy graves son extraordinarias. El artículo 65.1.a) de la Ley 2/2023 establece que, en el caso de personas jurídicas, las infracciones muy graves serán sancionadas con multa pecuniaria de 600.001 a 1.000.000 de euros. Si la infracción muy grave es cometida por una persona física —categoría en la que se incluyen expresamente administradores de sociedades, directores de recursos humanos, consejeros delegados o asesores legales internos que hayan participado o consentido en la represalia—, la multa oscila entre 30.001 y 300.000 euros, recayendo de manera directa e inderogable sobre su patrimonio particular.
Por su parte, las infracciones graves —entre las que se incluyen la falta de remisión del acuse de recibo en 7 días, el exceso no justificado del plazo de respuesta de 3 meses o la falta de documentación reglamentaria— conllevan multas de 100.001 a 600.000 euros para personas jurídicas y de 10.001 a 30.000 euros para personas físicas. Las infracciones leves se sancionan con multas de hasta 100.000 euros para personas jurídicas y hasta 10.000 euros para personas físicas. Conozca en detalle la relación de sujetos pasivos obligados en nuestro portal sobre quién está obligado por la Ley 2/2023.
Blinde a su Empresa frente a Multas de la AIPI y Despidos Nulos
UNOVOX proporciona el software líder en España plenamente adaptado a la Ley 2/2023: cifrado de extremo a extremo, automatización de plazos de 7 días y 3 meses, canal bidireccional anónimo y pistas de auditoría inmutables.
Pedir Demostración Conforme →Sanciones Accesorias: Prohibición de Contratar con el Sector Público y Pérdida de Subvenciones
Más allá del impacto patrimonial directo derivado de las multas impuestas por la AIPI, el artículo 65.2 de la Ley 2/2023 incorpora un conjunto de sanciones accesorias de efectos potencialmente letales para la viabilidad económica de las empresas que operan en el mercado español. En los casos de infracciones muy graves, el órgano sancionador está facultado para acordar:
- La prohibición de contratar con el sector público por un plazo de hasta tres años: En aplicación supletoria de la Ley 9/2017, de Contratos del Sector Público, la imposición de esta sanción por resolución administrativa firme inhabilita a la empresa sancionada para concurrir a cualquier licitación pública estatal, autonómica o local, provocando asimismo la rescisión culpable de los contratos de suministro o concesión de obras y servicios que se encuentren en curso de ejecución;
- La pérdida de la posibilidad de obtener subvenciones públicas y ayudas fiscales durante cuatro años: La entidad infractora queda privada del acceso a cualquier tipo de subvención o incentivo económico concedido por administraciones públicas, incluyendo la imposibilidad de percibir fondos europeos (NextGenerationEU, FEDER o FSE) y la inhabilitación para aplicar deducciones e incentivos fiscales en el Impuesto sobre Sociedades por un período de hasta cuatro años;
- La publicación oficial de la sanción en el Boletín Oficial del Estado (BOE): La resolución administrativa sancionadora firme será publicada en el BOE, con mención expresa de la identidad de la empresa y del administrador infractor, lo que desata un descrédito reputacional demoledor en auditorías de ESG y calificaciones crediticias bancarias.
Este catálogo de penas complementarias sitúa el riesgo de compliance en la máxima escala de prioridad de los Consejos de Administración, que no pueden permitirse descuidos técnicos al seleccionar su software de gestión de denuncias.
La Protección frente a Represalias y la Nulidad Radical del Despido (Art. 38)
El núcleo sustantivo de la tutela al informante se encuentra recogido en el Título VII (artículos 35 a 40) de la Ley 2/2023. El artículo 38 formula una prohibición tajante y de orden público: quedan expresamente prohibidos todos los actos constitutivos de represalia, entendiendo por tales cualquier acto u omisión que esté prohibido por la ley o que, de forma directa o indirecta, suponga un trato desfavorable que coloque a la persona que lo sufre en una situación de desventaja particular con respecto a otra en el contexto laboral o profesional.
La ley establece un régimen de nulidad de pleno derecho con efectos radicales. El artículo 38.2 preceptúa que "los actos que tengan por objeto o como consecuencia una represalia contra el informante serán nulos de pleno derecho y no producirán efecto alguno". En el plano laboral, esta declaración de nulidad automática transforma sustancialmente el tratamiento de las extinciones contractuales en los Juzgados de lo Social españoles:
- Improcedencia vs. Nulidad Radical: En el marco ordinario del Estatuto de los Trabajadores, una empresa puede optar por extinguir un contrato asumiendo el coste económico de la indemnización por despido improcedente (33 días de salario por año de servicio, con un máximo de 24 mensualidades). Sin embargo, cuando el trabajador despedido ostenta la condición legal de informante protegido bajo la Ley 2/2023, la opción de indemnizar queda anulada. El despido es calificado inexorablemente como nulo de pleno derecho con arreglo a los artículos 53.4 y 55.5 del Estatuto de los Trabajadores y el artículo 108 de la Ley Reguladora de la Jurisdicción Social (LRJS);
- Obligación de Readmisión Inmediata: La consecuencia ineludible de la nulidad radical es la condena a la readmisión inmediata de la persona trabajadora en su puesto de trabajo de origen y con las mismas condiciones laborales y salariales anteriores al cese;
- Abono Íntegro de los Salarios de Tramitación: La empresa está obligada a abonar todos los salarios devengados desde la fecha efectiva del despido hasta la notificación de la sentencia judicial de readmisión, sin posibilidad de repercutir tales costes a entidades aseguradoras;
- Indemnización Adicional por Daños y Perjuicios Morales: Los Juzgados de lo Social y las Salas de lo Social de los Tribunales Superiores de Justicia (TSJ) aplican con rigor la doctrina consolidada de fijación de indemnizaciones por vulneración de derechos fundamentales (artículos 15 y 24 de la Constitución Española), utilizando con frecuencia como baremo orientador las sanciones de la Ley sobre Infracciones y Sanciones en el Orden Social (LISOS), fijando indemnizaciones adicionales por daño moral que oscilan entre 7.500 y 150.000 euros según la gravedad de la represalia.
Para evitar incurrir en nulidad en procedimientos de despido objetivo o disciplinario, las entidades deben blindar sus protocolos probatorios internos conforme al protocolo de anonimato y confidencialidad.
Inversión de la Carga de la Prueba: Cómo los Tribunales de lo Social Juzgan la Represalia
El mecanismo procesal que decanta casi invariablemente las sentencias judiciales en favor de los informantes es la inversión de la carga de la prueba consagrada en el artículo 38.3 de la Ley 2/2023. Este precepto dispone taxativamente que en los procedimientos judiciales y administrativos en que una persona alegue haber sufrido represalias por haber comunicado o revelado públicamente información con arreglo a la ley, corresponderá a la persona o entidad demandada demostrar que la medida adoptada no constituyó represalia alguna, sino que se fundó exclusivamente en motivos objetivos, razonables y debidamente justificados ajenos a la comunicación.
La Sala de lo Social del Tribunal Supremo y los Tribunales Superiores de Justicia han fijado un estándar probatorio de máxima exigencia para la empresa demandada. Una vez que el trabajador acredita indiciariamente dos extremos elementales —la presentación previa de una comunicación a través del canal o ante la AIPI y la posterior adopción de una medida perjudicial en un marco temporal razonable (habitualmente valorado hasta en dos años)—, opera una presunción iuris tantum de represalia ilegítima.
Para desvirtuar esta presunción judicial, la empresa no puede limitarse a formular explicaciones genéricas o teóricas de reestructuración organizativa, quejas verbales de clientes o bajadas estadísticas de rendimiento productivo. Los tribunales exigen lo que la jurisprudencia define como "prueba objetiva y cronológicamente preexistente de causalidad exclusiva". La entidad demandada tiene que demostrar fehacientemente:
- Que la causa objetiva del despido o sanción (por ejemplo, disminución continuada y voluntaria del rendimiento, absentismo injustificado o reestructuración productiva) estaba documentada mediante auditorías externas o expedientes disciplinarios previos con anterioridad a la fecha en que se formuló la denuncia;
- Que los órganos directivos o mandos intermedios que tomaron la decisión disciplinaria o de amortización del puesto desconocían en absoluto la identidad del informante y no tuvieron acceso alguno a los datos obrantes en el Sistema Interno de Información.
Es precisamente en este segundo requisito donde la inmensa mayoría de las empresas fracasan estrepitosamente en sede judicial. Si la empresa gestionaba las denuncias a través de un buzón de correo electrónico corporativo o mediante formularios web básicos alojados en sus propios servidores de IT, resulta pericialmente imposible demostrar que los administradores de sistemas, el director de recursos humanos o los miembros del consejo de administración no tuvieron conocimiento de quién formuló la comunicación. Solo un software de gestión de denuncias con arquitectura zero-knowledge, segregación estricta de perfiles y pistas de auditoría selladas en el tiempo permite expedir un certificado pericial de incomunicación que destruya la sospecha judicial de represalia.
Criterios Técnicos de la AIPI: Por qué el Correo Electrónico es Manifiestamente Ilegal
En sus directrices y criterios técnicos vinculantes emitidos para 2026, la AIPI ha cerrado formalmente la puerta a las interpretaciones laxas de la ley que pretendían validar el uso de buzones de correo electrónico genéricos (tipo canaldenuncias@empresa.es o buzonetico@empresa.com) como Sistemas Internos de Información válidos. La AIPI ha calificado de forma expresa esta práctica como constitutiva de infracción muy grave por incumplimiento de los requisitos esenciales de confidencialidad del artículo 7 de la Ley 2/2023.
Los motivos técnicos y jurídicos de esta prohibición taxativa son incontestables para cualquier especialista en ciberseguridad y derecho digital:
| Requisito Legal Ley 2/2023 | Buzón de E-mail Convencional | Plataforma Certificada UNOVOX |
|---|---|---|
| Confidencialidad absoluta frente a directivos y personal de TI | Vulnerada. Los administradores de TI y proveedores de cloud (M365, Google) acceden a logs, buzones y copias de seguridad. | Garantizada. Cifrado asimétrico de extremo a extremo (AES-256 / RSA-4096). Solo el Responsable del Sistema posee las claves privadas de descifrado. |
| Anonimato bidireccional sin registro de IP | Inviable. La dirección IP del remitente y los metadatos de las cabeceras quedan registrados en los servidores SMTP corporativos. | Nativo. Eliminación automática e irreversible de IPs. Buzón anónimo seguro con clave única para diálogo interactivo sin desvelar la identidad. |
| Control estricto de plazos vinculantes (7 días y 3 meses) | Manual y propenso a errores humanos, olvidos y falta de registro verificable. | Automatizado. Alertas proactivas de vencimiento de los 7 días naturales y cuenta atrás de los 3 meses legales con acuses automáticos. |
| Pista de auditoría inmutable admisible ante la AIPI y los Juzgados | Inexistente. Los correos pueden ser borrados o modificados sin registro forense inalterable. | Auditoría inmutable con sellado de tiempo criptográfico (SHA-256), admisible como prueba plena en juicio laboral y penal. |
Adicionalmente, el tratamiento de informaciones a través de correo electrónico infringe de forma flagrante el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), en particular los principios de seguridad del tratamiento (art. 32 RGPD) y privacidad desde el diseño y por defecto (art. 25 RGPD), exponiendo a la empresa a sanciones concurrentes de la Agencia Española de Protección de Datos (AEPD) que pueden alcanzar los 20 millones de euros o el 4% del volumen de negocio anual global de la compañía.
La Matriz Temporal Vinculativa: 7 Días Naturales y 3 Meses Obligatorios
El cumplimiento de los plazos temporales fijados por el artículo 9 de la Ley 2/2023 constituye uno de los parámetros de comprobación inmediata en las inspecciones de la AIPI. El cronograma procedimental no admite dilaciones discrecionales:
- Acuse de recibo en un plazo máximo de 7 días naturales: El Responsable del Sistema debe remitir acuse de recibo de la comunicación al informante en el plazo de siete días naturales siguientes a su recepción, salvo que ello pueda comprometer la confidencialidad de la comunicación (por ejemplo, si el informante no aportó canal seguro de contacto o solicitó expresamente no recibir acuses). Es vital señalar que la ley española computa días naturales, por lo que los fines de semana y festivos computan inexorablemente;
- Plazo de tramitación y respuesta motivada en 3 meses: El plazo máximo para dar respuesta a las actuaciones de investigación no podrá ser superior a tres meses a contar desde la recepción de la comunicación (o desde el envío del acuse si este se produjo dentro de los 7 días). La respuesta debe ser motivada y detallar las medidas correctoras implementadas, el archivo del expediente por falta de indicios o la remisión al Ministerio Fiscal si se aprecian indicios de delito;
- Prórroga excepcional de hasta 3 meses adicionales: Solo en casos de especial complejidad justificada por la naturaleza del asunto (por ejemplo, investigaciones contables transnacionales o peritajes forenses complejos) se podrá extender el plazo hasta un máximo de otros tres meses adicionales, requiriendo resolución motivada y notificación fehaciente al informante antes de que expire el primer trimestre.
Si la empresa incumple estos plazos, el informante queda legalmente facultado para acudir a la AIPI a través del canal externo o realizar una revelación pública a los medios de comunicación manteniendo intacta su inmunidad frente a despidos y sanciones. Consulte el análisis exhaustivo en nuestro módulo sobre plazos de tramitación bajo la Ley 2/2023.
Checklist de Cumplimiento en 10 Pasos para Directores de Compliance y RRHH
Para asegurar que su compañía supera con éxito una inspección de oficio de la AIPI y queda completamente blindada frente a litigios laborales de despido nulo, verifique el cumplimiento sistemático de este decálogo operativo:
- Nombramiento formal del Responsable del Sistema: Designación formal por el órgano de administración de una persona física o comité colegiado, y notificación obligatoria a la AIPI en el plazo de 10 días hábiles posteriores a su nombramiento;
- Aprobación de la Política y Procedimiento de Gestión: Redacción y aprobación formal del procedimiento interno de recepción, instrucción y archivo de informaciones, con audiencia previa legal a la representación legal de las personas trabajadoras (RLT);
- Implantación de software seguro con cifrado end-to-end: Descarte total del correo electrónico y activación de una plataforma digital especializada con separación de perfiles y trazabilidad auditable;
- Publicación accesible del canal en la página web: Disposición de un enlace claro, independiente y visible en la página de inicio del sitio web corporativo de la empresa, accesible tanto para la plantilla como para terceros (proveedores, extrabajadores, candidatos);
- Garantía de opción 100% anónima: Configuración del canal para permitir la presentación de informaciones totalmente anónimas, ofreciendo una vía de comunicación segura mediante código de acceso único sin registro de dirección IP;
- Automatización del acuse de recibo en 7 días naturales: Activación de flujos de trabajo con alertas tempranas para que ningún acuse sobrepase el límite estricto de los 7 días de calendario;
- Protocolo de desconexión entre instructores y decisores laborales: Creación de una barrera operativa de confidencialidad que impida que los responsables de expedientes disciplinarios o de recursos humanos tengan acceso a la identidad del informante;
- Registro Oficial de Informaciones Custodiado: Mantenimiento de un libro-registro de todas las comunicaciones recibidas, garantizando su conservación durante un período mínimo de dos años en caso de actuaciones judiciales o un máximo de diez años conforme a las obligaciones de compliance penal;
- Formación específica a directivos y mandos intermedios: Realización de programas de capacitación a mandos con responsabilidad jerárquica para evitar que cualquier decisión organizativa sea interpretada como represalia punible con hasta 1M€;
- Auditoría técnica y pericial periódica del Sistema: Revisión anual de los controles de seguridad de la información, verificación de certificados ISO 27001 y emisión de informes periódicos de efectividad del canal.
Compruebe las soluciones específicas para su sector en nuestras páginas sectoriales para empresas privadas y entidades de la administración pública.
Preguntas Frecuentes sobre la Ley 2/2023, la AIPI y el Despido Nulo
La carencia de un Sistema Interno de Información conforme a la Ley 2/2023 constituye una infracción muy grave sancionada con multas de entre 600.001 y 1.000.000 de euros para personas jurídicas, y de 30.001 a 300.000 euros para administradores y directivos a título personal, pudiendo llevar aparejada la prohibición de contratar con el sector público por hasta tres años.
Porque el artículo 38 de la Ley 2/2023 califica cualquier represalia como nula de pleno derecho por vulneración de derechos fundamentales (artículos 15 y 24 CE). De acuerdo con los artículos 53.4 y 55.5 del Estatuto de los Trabajadores, el despido nulo no permite a la empresa optar por pagar indemnización: obliga a la readmisión inmediata del empleado, al pago íntegro de todos los salarios de tramitación devengados y a una indemnización por daños morales adicionales.
No. La AIPI y la AEPD han determinado de forma tajante que los correos electrónicos no garantizan la confidencialidad técnica exigida por el artículo 7 de la ley, dado que los administradores de sistemas tienen acceso técnico a los buzones y metadatos de envío. Además, el e-mail no garantiza el anonimato ni genera pistas de auditoría inmutables legalmente admisibles.
Conforme al artículo 38.3 de la Ley 2/2023, una vez que el empleado acredita haber formulado una comunicación protegida, se presume que cualquier medida perjudicial posterior constituye una represalia. Corresponde a la empresa la carga exclusiva de probar de forma fehaciente que la decisión se fundó en motivos objetivos, preexistentes y que los decisores desconocían la identidad del informante.
Todas las personas jurídicas del sector privado con 50 o más trabajadores, todas las entidades del sector público, y todas aquellas entidades que operen en el ámbito de los servicios financieros, prevención del blanqueo de capitales o seguridad del transporte, con independencia de su número de empleados.
El plazo de 7 días para enviar el acuse de recibo se cuenta en días naturales contados desde la recepción de la comunicación. El plazo de 3 meses para concluir la investigación y comunicar la decisión motivada se cuenta a partir de la fecha del acuse o del vencimiento de los 7 días. Solo en supuestos excepcionales de alta complejidad puede prorrogarse motivadamente hasta un máximo de otros 3 meses adicionales.
Debe ser nombrado formalmente por el Consejo de Administración un directivo de la entidad o un comité colegiado que desempeñe sus funciones con absoluta independencia y sin recibir órdenes jerárquicas en la gestión de las informaciones. Su nombramiento debe ser notificado obligatoriamente a la AIPI dentro de los 10 días hábiles siguientes.
No. En el derecho administrativo sancionador español las sanciones pecuniarias tienen carácter personalísimo e intransferible, siendo nulas las cláusulas de aseguramiento o indemnidad que pretendan transferir el pago de sanciones administrativas impuestas por infracción dolosa o culposa de la ley.