Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción
También conocida como: L 2/2023, L 2/23Esta ley protege a quienes denuncian irregularidades o corrupción en su trabajo, garantizando su anonimato y evitando que sufran represalias.
Los resúmenes de esta página están escritos en lenguaje sencillo y generados con IA a partir del texto oficial. No son asesoramiento jurídico: lo que vale es el texto publicado en el BOE. Cómo los hacemos.
El texto completo y oficial de la ley, tal como lo publica el Boletín Oficial del Estado (BOE).
Qué ha cambiado
Esta ley no tiene modificaciones registradas desde su publicación.
Artículo por artículo
Qué dice cada artículo, en lenguaje sencillo (89 artículos con resumen).Pulsa en un artículo para leer su texto oficial en el BOE.
Artículo 1 — Finalidad de la ley
La ley protege a quienes informen de represalias y fortalece la integridad organizativa para prevenir amenazas al interés público.
Artículo 2 — Ámbito material de aplicación
Protege a personas físicas por infracciones UE (financieros, mercado interior) y penales/administrativas graves (especialmente quebranto Hacienda/Seguridad Social). Excluye información clasificada, secreto profesional médico/legal, seguridad Estado y contratación reservada.
Artículo 3 — Ámbito personal de aplicación
La ley aplica a informantes del sector público y privado (empleados, autónomos, accionistas, contratistas). Incluye relaciones finalizadas, voluntarios y procesos precontractuales. Protege también a representantes legales, compañeros, familiares y empresas relacionadas.
Artículo 4 — Comunicación de infracciones a través del Sistema interno de información
El Sistema interno de información es el cauce preferente para informar, siempre que permita tratar la infracción eficazmente y no haya riesgo de represalia. Las personas jurídicas obligadas deben disponer de este sistema.
Artículo 5 — Sistema interno de información
El órgano de gobierno implanta el Sistema interno de información, consultando a los trabajadores. Debe ser seguro, confidencial, permitir comunicaciones escritas o verbales, integrar canales, tener un responsable, una política pública y un procedimiento de gestión.
Artículo 6 — Gestión del Sistema interno de información por tercero externo
La gestión del sistema puede ser externa si ofrece garantías de independencia y confidencialidad. El tercero es encargado del tratamiento, requiriendo acuerdo de corresponsabilidad y contrato conforme al RGPD.
Artículo 7 — Canal interno de información
Los canales internos permiten comunicaciones escritas, verbales o presenciales (en 7 días). Se informa sobre protección de datos y canales externos. Se admiten denuncias anónimas.
Artículo 8 — Responsable del Sistema interno de información
El órgano de gobierno designa al Responsable del Sistema, notificándolo en 10 días hábiles. Debe actuar con independencia y autonomía, sin recibir instrucciones.
Artículo 9 — Procedimiento de gestión de informaciones
Se acusa recibo en 7 días. La respuesta máxima es 3 meses (ampliable a 6). Se garantiza confidencialidad, derecho a ser oído y respeto a la presunción de inocencia.
Artículo 10 — Entidades obligadas del sector privado
Obligados: sector privado con 50+ trabajadores, entidades financieras/ambientales (sin límite), partidos/sindicatos con fondos públicos. Otros pueden crear sistema propio.
Artículo 11 — Grupos de sociedades
La sociedad dominante de un grupo aprueba una política general para el sistema de información y defensa del informante, asegurando su aplicación en todas las entidades integrantes, respetando su autonomía.
Artículo 12 — Medios compartidos en el sector privado
Las empresas privadas con entre 50 y 249 trabajadores pueden compartir el sistema interno de información y recursos para gestionar comunicaciones, respetando las garantías legales.
Artículo 13 — Entidades obligadas en el sector público
Todas las entidades públicas deben tener un sistema interno de información. Incluye administraciones, organismos públicos, universidades y fundaciones públicas. Los organismos de investigación deben distinguir canales internos y externos.
Artículo 14 — Medios compartidos en el sector público
Los municipios de menos de 10.000 habitantes y entidades públicas con menos de 50 trabajadores pueden compartir el sistema de información y recursos, garantizando la independencia y diferenciación de canales.
Artículo 15 — Gestión del Sistema interno de información por tercero externo
La gestión del sistema por un tercero externo solo es admisible si se acredita insuficiencia de medios propios. La gestión es exclusivamente instrumental para recibir informaciones.
Artículo 16 — Comunicación a través del canal externo de información de la Autoridad Independiente de Protección del Informante, A.A.I. o a través de las autoridades u órganos autonómicos
Toda persona física puede informar a la Autoridad Independiente de Protección del Informante (A.A.I.) o a autoridades autonómicas, directamente o tras usar el canal interno. Las referencias a la A.A.I. equivalen a las autoridades autonómicas competentes.
Artículo 17 — Recepción de informaciones
La información puede ser anónima o verbal (presencial, telefónica o voz), registrándose con código único. Se acusa recibo en 5 días hábiles salvo renuncia o riesgo. Los datos se guardan en base segura con fecha, código, actuaciones, medidas y cierre.
Artículo 18 — Trámite de admisión
La AAI decide en 10 días: inadmitir (falta verosimilitud, no infracción, sin fundamento, reiteración), admitir, remitir a Fiscalía/Europea o autoridad competente. Notificación en 5 días.
Artículo 19 — Instrucción
La instrucción verifica hechos, informa al afectado (derecho a alegaciones, entrevista, abogado) sin revelar identidad del informante. Colaboración obligatoria con autoridades.
Artículo 20 — Terminación de las actuaciones
La AAI emite informe y decide: archivo, remisión al Ministerio Fiscal (o Fiscalía Europea), traslado a autoridad competente o inicio de sanción. Plazo máximo: 3 meses. Las decisiones no son recurribles, salvo contra la resolución sancionadora final.
Artículo 21 — Derechos y garantías del informante ante la Autoridad Independiente de Protección del Informante, A.A.I
El informante puede elegir anonimato, forma verbal o escrita, domicilio seguro, renunciar a comunicaciones, comparecer con abogado o por videoconferencia, ejercer derechos de protección de datos y conocer el estado y resultados de la investigación ante la AAI.
Artículo 22 — Publicación y revisión del procedimiento de gestión de informaciones
La AAI publica su procedimiento de gestión de informaciones. Cada tres años lo revisa y modifica según experiencia, publicando también las modificaciones.
Artículo 23 — Traslado de la comunicación por otras autoridades a la Autoridad Independiente de Protección del Informante, A.A.I
Las autoridades sin competencias para investigar infracciones del título IX deben remitir la comunicación a la AAI en 10 días, notificando al informante dentro del mismo plazo.
Artículo 24 — Informaciones sujetas a la competencia de las autoridades independientes de protección a informantes
La AAI gestiona informaciones sobre Administración General, sector público estatal, constitucional, privado transfronterizo y autonómico/local con convenio. Las CCAA gestionan su sector público y privado local. Las comunicaciones erróneas se reenvían sin modificar al Responsable del Sistema.
Artículo 25 — Información sobre los canales interno y externo de información
Los sujetos deben informar sobre canales internos y externos. Las autoridades publican en su sede electrónica: condiciones de protección, datos de contacto, procedimientos, confidencialidad, recursos contra represalias y datos de la Autoridad Independiente.
Artículo 26 — Registro de informaciones
Los obligados deben llevar un libro-registro de informaciones e investigaciones internas, garantizando la confidencialidad. No es público, salvo acceso judicial razonado. Los datos se conservan lo necesario, máximo 10 años.
Artículo 27 — Concepto
La revelación pública es poner información disponible para el público. Se aplica el régimen de protección del título VII si se cumplen las condiciones del artículo siguiente.
Artículo 28 — Condiciones de protección
La revelación pública tiene protección si se usaron canales internos/externos sin respuesta, o hay peligro inminente, riesgo de represalias o ineficacia. No aplica si se informa a prensa por libertad de expresión. Se requiere cumplir condiciones del título VII.
Artículo 29 — Régimen jurídico del tratamiento de datos personales
El tratamiento de datos personales se rige por el Reglamento UE 2016/679, LOPDGDD y Ley Orgánica 3/2018. No se recopilan datos no pertinentes para la información específica; los accidentales se eliminan sin dilación indebida.
Artículo 30 — Licitud de los tratamientos de datos personales
El tratamiento de datos es lícito para aplicar esta ley. Se basa en reglamentos UE y leyes orgánicas según el tipo de canal (interno, externo o público).
Artículo 31 — Información sobre protección de datos personales y ejercicio de derechos
Se informa a los interesados sobre sus derechos. La identidad del informante es reservada. Se pueden ejercer derechos de acceso, rectificación, etc.
Artículo 32 — Tratamiento de datos personales en el Sistema interno de información
El acceso a datos del sistema interno lo tienen solo responsables designados. Los datos se conservan lo imprescindible. Se borran si no son veraces o tras 3 meses sin investigación.
Artículo 33 — Preservación de la identidad del informante y de las personas afectadas
La identidad del informante no se revela a terceros. Solo se comunica a autoridades judiciales, fiscales o administrativas en investigaciones penales o disciplinarias.
Artículo 34 — Delegado de protección de datos
La Autoridad Independiente de Protección del Informante y otras autoridades independientes deben nombrar un delegado de protección de datos, conforme al Reglamento (UE) 2016/679.
Artículo 35 — Condiciones de protección
La protección exige motivos razonables de veracidad y cumplimiento legal. Se excluyen: comunicaciones inadmitidas, conflictos interpersonales, rumores públicos o acciones ajenas al artículo 2. La protección aplica también a informaciones anónimas identificadas posteriormente y ante la UE.
Artículo 36 — Prohibición de represalias
Se prohíben represalias como despido, daños, ostracismo o discriminación. La protección dura 2 años, ampliable excepcionalmente. Los actos represorios son nulos de pleno derecho. La Autoridad puede adoptar medidas provisionales en procedimientos sancionadores.
Artículo 37 — Medidas de apoyo
Se garantiza información gratuita e independiente, asistencia efectiva de autoridades, asistencia jurídica en procesos penales y civiles transfronterizos, y apoyo financiero y psicológico excepcional. Se mantiene la asistencia jurídica gratuita de la Ley 1/1996.
Artículo 38 — Medidas de protección frente a represalias
No hay responsabilidad por comunicar infracciones con motivos razonables, salvo penal. Se presume represalia si se demuestra perjuicio tras la denuncia. En procesos judiciales, la comunicación protegida es defensa válida.
Artículo 39 — Medidas para la protección de las personas afectadas
Las personas afectadas tienen derecho a presunción de inocencia, defensa, acceso al expediente y protección de identidad y confidencialidad.
Artículo 40 — Supuestos de exención y atenuación de la sanción
Si el infractor informa antes de la investigación y cumple requisitos (cesar, cooperar, reparar), se le exime de sanción. Si no cumple todo, puede atenuarse.
Artículo 41 — Autoridades competentes
La A.A.I. presta apoyo en sector privado y público estatal. Las comunidades autónomas lo hacen en su ámbito territorial y sector privado local.
Artículo 42 — Naturaleza
La A.A.I. es autoridad independiente con autonomía. Se vincula al Ministerio de Justicia. Su presidencia coordina con comunidades autónomas semestralmente.
Artículo 43 — Funciones
La Autoridad Independiente gestiona el canal externo, protege al informante, informa sobre disposiciones, sanciona infracciones y fomenta la cultura de la información.
Artículo 44 — Régimen jurídico
La Autoridad se rige por esta ley y su estatuto. El Consejo de Ministros aprueba el Estatuto mediante real decreto, desarrollando su estructura y funcionamiento.
Artículo 45 — Régimen de personal
El personal es funcionario o laboral, regido por el Estatuto Básico. La selección directiva garantiza mérito y publicidad. Se exige formación específica para tratar comunicaciones.
Artículo 46 — Régimen de contratación
Los contratos se ajustan a la legislación de contratación pública. La presidencia es el órgano de contratación, pudiendo delegar funciones según el estatuto.
Artículo 47 — Régimen patrimonial
La Autoridad tiene patrimonio propio. Sus medios provienen de los Presupuestos Generales, sus bienes, un porcentaje de sanciones y otros legalmente atribuidos.
Artículo 48 — Régimen de asistencia jurídica
La Abogacía General del Estado asiste a la A.A.I. en asesoramiento y defensa judicial, mediante convenio con la Ley 52/1997.
Artículo 49 — Régimen presupuestario, de contabilidad y control económico y financiero
La A.A.I. aprueba su presupuesto anual para Hacienda. La presidencia ordena pagos. La Intervención General controla la gestión económica y financiera.
Artículo 50 — Régimen de recursos
Los actos de la Presidencia agotan la vía administrativa y solo son recurribles ante la jurisdicción contencioso-administrativa. Los actos de otros órganos no agotan la vía y pueden recurrirse administrativamente conforme a la Ley 39/2015.
Artículo 51 — Circulares y recomendaciones
La Presidencia puede elaborar circulares y recomendaciones para el funcionamiento de la Autoridad. Las circulares se aprueban como disposiciones generales y son obligatorias tras su publicación en el Boletín Oficial del Estado.
Artículo 52 — Potestad sancionadora
La Autoridad Independiente de Protección del Informante ejerce la potestad sancionadora por infracciones del título IX, siguiendo su procedimiento.
Artículo 53 — De la Presidencia
La Presidencia, con rango de subsecretario, se nombra por Real Decreto a propuesta de Justicia, por 5 años no renovables, tras comparecencia y ratificación del Congreso.
Artículo 54 — De la Comisión Consultiva de Protección del Informante
La Comisión Consultiva, presidida por la Presidencia, asesora sin carácter vinculante. Se reúne semestralmente. Integra representantes de organismos como Tribunal de Cuentas, Banco de España y Hacienda.
Artículo 55 — Funciones de la Presidencia
La Presidencia representa legalmente a la Autoridad, dirige órganos, gestiona gastos, celebra contratos, nombra directivos y dicta resoluciones sancionadoras.
Artículo 56 — Funciones de la Comisión Consultiva de Protección del Informante
La Comisión Consultiva emite informes sobre cuestiones sometidas por la Presidencia y puede formular propuestas en materias de competencia de la Autoridad.
Artículo 57 — Organización interna
La organización de la Autoridad Independiente de Protección del Informante se rige por su Estatuto y Reglamento de funcionamiento interno.
Artículo 58 — Causas de cese de la Presidencia
La Presidencia cesa por expiración de mandato, petición propia o separación por Real Decreto del Consejo de Ministros por incumplimiento grave, incapacidad, incompatibilidad o condena firme por delito doloso. Los casos a, b y c requieren ratificación del Congreso.
Artículo 59 — Control parlamentario
La titular de la Presidencia de la Autoridad Independiente de Protección del Informante comparece anualmente ante las comisiones competentes del Congreso de los Diputados y el Senado para el control parlamentario.
Artículo 60 — Régimen jurídico aplicable
El régimen sancionador se aplica conforme a los principios y reglas de procedimiento de la Ley 40/2015 y la Ley 39/2015.
Artículo 61 — Autoridad sancionadora
La potestad sancionadora corresponde a la Autoridad Independiente (sector público estatal y privado general) y a las comunidades autónomas (sector público autonómico/local). La presidencia de la Autoridad impone las sanciones.
Artículo 62 — Sujetos responsables
Las personas físicas y jurídicas responden por infracciones. En órganos colegiados, no responden quienes no asistieron justificadamente o votaron en contra. La responsabilidad persiste tras cesar la actividad.
Artículo 63 — Infracciones
Infracciones muy graves: obstaculizar comunicaciones, represalias, revelar identidad, incumplir secreto o no tener sistema interno. Graves: limitación de derechos o vulnerar confidencialidad. Leves: información incompleta o falta de colaboración.
Artículo 64 — Prescripción de las infracciones
Las infracciones prescriben en 3 años (muy graves), 2 años (graves) y 6 meses (leves), desde la comisión. La prescripción se interrumpe al iniciar el procedimiento con conocimiento del interesado.
Artículo 65 — Sanciones
Multas: hasta 10.000€ (físicas) o 100.000€ (jurídicas) por leves; hasta 30.000€ o 600.000€ por graves; hasta 300.000€ o 1.000.000€ por muy graves. En muy graves, la A.A.I. puede prohibir subvenciones o contratación pública.
Artículo 66 — Graduación
Para graduar sanciones se considera reincidencia, daño, intencionalidad, resultado económico, subsanación, reparación y colaboración. Las sanciones se ajustan a la naturaleza de la infracción y circunstancias concurrentes.
Artículo 67 — Concurrencia
La potestad sancionadora es autónoma y puede concurrir con el régimen disciplinario aplicable al personal funcionario, estatutario o laboral.
Artículo 68 — Prescripción de las sanciones
Las sanciones prescriben en 3 años (muy graves), 2 años (graves) y 1 año (leves), desde que la resolución es ejecutable. La prescripción se interrumpe con el procedimiento de ejecución.
Disposición adicional primera — Revisión de los procedimientos de recepción y seguimiento
Las autoridades responsables de canales externos revisan sus procedimientos de recepción y seguimiento al menos cada tres años para mejorar su eficacia.
Disposición adicional segunda — Convenios
La A.A.I. actúa como canal externo si las comunidades autónomas suscriben un convenio que estipule el pago de gastos. Las ciudades con Estatuto de Autonomía pueden designar sus propios órganos o atribuir la competencia a la A.A.I. mediante convenio.
Disposición adicional tercera — Memoria anual y estadísticas
La A.A.I. elabora una memoria anual en los tres primeros meses con datos de comunicaciones, investigaciones y recomendaciones, sin datos personales identificables. Se traslada a las Cortes y se envían estadísticas agregadas a la Comisión Europea.
Disposición adicional cuarta — Administración de los Territorios Históricos del País Vasco
En el País Vasco, la tramitación a través del canal externo la ejercen las instituciones competentes según la normativa autonómica.
Disposición adicional quinta — Estrategia contra la corrupción
El Gobierno aprueba, en 18 meses, una Estrategia contra la corrupción con las Comunidades Autónomas, incluyendo evaluación de objetivos y medidas para paliar deficiencias.
Disposición adicional sexta — Extensión de las medidas de protección
Las medidas de protección se extienden a comunicaciones sobre infracciones del Derecho de la Unión ocurridas desde la entrada en vigor de la Directiva (UE) 2019/1937.
Disposición transitoria primera — Adaptación de los Sistemas y canales internos de información existentes
Los canales internos existentes pueden usarse si cumplen los requisitos de la ley al entrar en vigor.
Disposición transitoria segunda — Plazo máximo para el establecimiento de Sistemas internos de información y adaptación de los ya existentes
Plazo 3 meses para implantar sistemas. Prolongado al 1 dic 2023 para pymes (<249 trabajadores) y municipios (<10.000 hab). Adaptación externa en 6 meses.
Disposición transitoria tercera — Previsión presupuestaria de la Autoridad Independiente de Protección del Informante, A.A.I
Hasta tener presupuesto propio, la Autoridad Independiente de Protección del Informante se financia con créditos del Ministerio de Justicia.
Disposición final primera — Modificación de la Ley 1/1996, de 10 de enero, de asistencia jurídica gratuita
Se añade una letra k) al artículo 2 de la Ley 1/1996 de asistencia jurídica gratuita.
Disposición final segunda — Modificación de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa
Se modifican las letras m) y n) del artículo 10 y el apartado 5 de la disposición adicional cuarta de la Ley 29/1998 de Jurisdicción Contencioso-administrativa.
Disposición final tercera — Modificación de la Ley 15/2007, de 3 de julio, de Defensa de la Competencia
Se introduce una nueva disposición adicional duodécima en la Ley 15/2007 de Defensa de la Competencia.
Disposición final cuarta — Modificación de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo
Se da nueva redacción al apartado 5 del artículo 65 de la Ley 10/2010 de prevención del blanqueo de capitales y financiación del terrorismo.
Disposición final quinta — Modificación de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito
Se añade un nuevo apartado 3 al artículo 122 de la Ley 10/2014, de ordenación, supervisión y solvencia de entidades de crédito.
Disposición final sexta
Se modifica la letra b) del apartado 1 del artículo 71 de la Ley 9/2017, de Contratos del Sector Público.
Disposición final séptima — Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
Se modifica el artículo 24 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
Disposición final octava — Títulos competenciales
El título VIII se limita a la Administración General del Estado y entidades del sector público estatal.
Disposición final novena — Incorporación de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión
La ley incorpora la Directiva (UE) 2019/1937 relativa a la protección de denunciantes de infracciones del Derecho de la Unión.
Disposición final décima — Habilitación de desarrollo
Se habilita al Gobierno para dictar las disposiciones reglamentarias precisas para el desarrollo y ejecución de esta ley.
Disposición final undécima — Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I
En un año, el Consejo de Ministros aprueba el Estatuto de la Autoridad Independiente de Protección del Informante (A.A.I.), a propuesta de los Ministerios de Justicia y de Hacienda y Función Pública.
Disposición final duodécima — Entrada en vigor
La Ley 2/2023, de 20 de febrero, sobre protección de informantes y lucha contra la corrupción, entra en vigor a los veinte días de su publicación en el Boletín Oficial del Estado.
Información general
Temas
Leyes en las que se basa
- el art. 2 de la Ley 1/1996, de 10 de enero BOE-A-1996-750
- el art. 10.1 y la disposición adicional 4.5 de la Ley 29/1998, de 13 de julio BOE-A-1998-16718
- la disposición adicional 12 a la Ley 15/2007, de 3 de julio BOE-A-2007-12946
- el art. 65.5 de la Ley 10/2010, de 28 de abril BOE-A-2010-6737
- el art. 122 de la Ley 10/2014, de 26 de junio BOE-A-2014-6726
- el art. 71.1.b) de la Ley 9/2017, de 8 de noviembre BOE-A-2017-12902
- el art. 24 de la Ley Orgánica 3/2018, de 5 de diciembre BOE-A-2018-16673
- la Directiva (UE) 2019/1937, de 23 de octubre DOUE-L-2019-81812
Leyes que la modifican
- con la disposición final 11 y se aprueba el Estatuto de la Autoridad Independiente de Protección del Informante: Real Decreto 1101/2024, de 29 de octubre BOE-A-2024-22298
¿Quieres saber cuándo cambia esta ley?
Cada cambio queda registrado en nuestro repositorio público. Síguelo con cualquier lector de noticias, sin darnos ningún dato: canal de cambios de esta ley · historial en GitHub.