MINISTERIO

DE JUSTICIA

Proyecto de Ley reguladora de la protección de las personas que informen sobre infracciones
normativas y de lucha contra la corrupción.

ÍNDICE

EXPOSICIÓN DE MOTIVOS

TITULO I

Finalidad de la ley y ámbito de aplicación

Artículo 1. Finalidad de la ley.

Artículo 2. Ámbito material de aplicación.

Artículo 3. Ámbito personal de aplicación.

TÍTULO II

Sistema interno de información

CAPÍTULO I

Disposiciones generales

Artículo 4. Comunicación de infracciones a través del Sistema interno de información.

Artículo 5. Sistema interno de información.

Artículo 6. Gestión del Sistema de interno de información por tercero externo.

Artículo 7. Canal interno de información.

Artículo 8. Responsable del Sistema interno de información.

Artículo 9. Procedimiento de gestión de informaciones.

CAPÍTULO II

Sistema interno de información en el sector privado

Artículo 10. Entidades obligadas del sector privado.

Artículo 11. Grupos de sociedades.

Artículo 12. Medios compartidos en el sector privado.

CAPÍTULO III

Sistema interno de información en el sector público

Artículo 13. Entidades obligadas en el sector público.

Artículo 14. Medios compartidos en el sector público.

Artículo 15. Gestión del Sistema interno de información por tercero externo.

TÍTULO III
Canal externo de información de la Autoridad Independiente de Protección del Informante,
A.A.I.

Artículo 16. Comunicación a través del canal externo de información de la Autoridad Independiente
de Protección del Informante, A.A.I.

Artículo 17. Recepción de informaciones.

Artículo 18. Trámite de admisión.

Artículo 19. Instrucción.

Artículo 20. Terminación de las actuaciones.

2
Artículo 21. Derechos y garantías del informante ante la Autoridad Independiente de Protección del
Informante, A.A.I.

Artículo 22. Publicación y revisión del procedimiento de gestión de informaciones.

Artículo 23. Traslado de la comunicación por otras autoridades a la Autoridad Independiente de

Protección del Informante, A.A.I.

Artículo 24. Informaciones sujetas a la competencia de las Autoridades independientes de

protección a informantes.

TITULO IV

Publicidad de la información y Registro de las comunicaciones

Artículo 25. Información sobre los canales interno y externo de información.

Artículo 26. Registro de informaciones.

TITULO V

Revelación pública

Artículo 27. Concepto.

Artículo 28. Condiciones de protección.

TITULO VI

Protección de datos personales

Artículo 29. Régimen jurídico del tratamiento de datos personales.

Artículo 30. Licitud de los tratamientos de datos personales.

Artículo 31. Información sobre protección de datos personales y ejercicio de derechos.

Artículo 32. Tratamiento de datos personales en el Sistema interno de información.

Artículo 33. Preservación de la identidad del informante y de las personas afectadas.

Artículo 34. Delegado de protección de datos.

3
 TITULO VII

Medidas de protección

Artículo 35. Condiciones de protección.

Artículo 36. Prohibición de represalias.

Artículo 37. Medidas de apoyo.

Artículo 38. Medidas de protección frente a represalias.

Artículo 39. Medidas para la protección de las personas afectadas. Supuestos de exención y
atenuación de la sanción.

Artículo 40. Supuestos de exención y atenuación de la sanción.

Artículo 41. Autoridades competentes.

TÍTULO VIII

Autoridad Independiente de Protección del Informante, A.A.I.

CAPÍTULO I

Disposiciones Generales

Artículo 42. Naturaleza.

Artículo 43. Funciones.

CAPÍTULO II

Régimen Jurídico

Artículo 44. Régimen jurídico.

Artículo 45. Régimen de personal.

Artículo 46. Régimen de contratación.

Artículo 47. Régimen patrimonial.

Artículo 48. Régimen de asistencia jurídica.

Artículo 49. Régimen presupuestario, de contabilidad y control económico y financiero.

4
Artículo 50. Régimen de recursos.

Artículo 51. Circulares y recomendaciones.

Artículo 52. Potestad sancionadora.

CAPÍTULO III

Organización

Artículo 53. De la Presidencia.

Artículo 54. De la Comisión Consultiva de Protección del Informante.

Artículo 55. Funciones de la Presidencia.

Artículo 56. Funciones de la Comisión Consultiva de Protección del Informante.

Artículo 57. Organización interna.

Artículo 58. Causas de cese de la Presidencia.

Artículo 59. Control parlamentario.

TÍTULO IX

Régimen sancionador

Artículo 60. Régimen jurídico aplicable.

Artículo 61. Autoridad sancionadora.

Artículo 62. Sujetos responsables.

Artículo 63. Infracciones.

Artículo 64. Prescripción de las infracciones.

Artículo 65. Sanciones.

Artículo 66. Graduación.

Artículo 67. Concurrencia.

Artículo 68. Prescripción de las sanciones.

5
Disposición adicional primera. Revisión de los procedimientos de recepción y seguimiento.

Disposición adicional segunda. Convenios.

Disposición adicional tercera. Memoria anual y estadísticas.

Disposición transitoria primera. Adaptación de los Sistemas y canales internos de información

existentes.

Disposición transitoria segunda. Plazo máximo para el establecimiento de Sistemas internos de

información y adaptación de los ya existentes.

Disposición transitoria tercera. Previsión presupuestaria de la Autoridad Independiente de

Protección del Informante, A.A.I.

Disposición final primera. Modificación de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa.

Disposición final segunda. Modificación de la Ley 10/2010, de 28 de abril, de prevención del

blanqueo de capitales y de la financiación del terrorismo.

Disposición final tercera. Modificación de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector
Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento
Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.

Disposición final cuarta. Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de protección

de datos personales y garantía de los derechos digitales.

Disposición final quinta. Modificación de la Ley 10/2014, de 26 de junio, de ordenación, supervisión

y solvencia de entidades de crédito.

Disposición final sexta. Títulos competenciales.

Disposición final séptima. Incorporación de la Directiva (UE) 2019/1937 del Parlamento Europeo y
del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre
infracciones del Derecho de la Unión.

Disposición final octava. Habilitación de desarrollo.

Disposición final novena. Estatuto de la Autoridad Independiente de Protección del Informante,

A.A.I.

Disposición final décima. Entrada en vigor.

6
 EXPOSICIÓN DE MOTIVOS

La colaboración ciudadana resulta indispensable para la eficacia del Derecho. Tal colaboración no
sólo se manifiesta en el correcto cumplimiento personal de las obligaciones que a cada uno
corresponden, manifestación de la sujeción de todos los poderes públicos y de la ciudadanía a la
Constitución Española y al resto del ordenamiento jurídico (artículo 9.1 de la Constitución
Española), sino que también se extiende al compromiso colectivo con el buen funcionamiento de
las instituciones públicas y privadas.

Dicha colaboración ciudadana es un elemento clave en nuestro Estado de Derecho y, además, se

contempla en nuestro ordenamiento como un deber de todo ciudadano cuando presencie la
comisión de un delito, tal y como como recoge la Ley de Enjuiciamiento Criminal.

Asimismo, nuestro ordenamiento jurídico contempla la participación ciudadana en acciones

públicas con el fin de impulsar la investigación sobre actuaciones contrarias a la normativa
urbanística, sobre actividades que puedan perjudicar el ambiente, o para evitar daños en el
patrimonio histórico-artístico. Estos son otros ejemplos que cuentan con una larga tradición en la
legislación española.

En el mismo sentido y coincidiendo con el impulso del Derecho de la Unión Europea, algunas
regulaciones sectoriales, de manera especial en el ámbito financiero o de defensa de la
competencia, han incorporado instrumentos específicos para que, quienes conocen de actuaciones
irregulares o ilegales, puedan facilitar a los organismos supervisores datos e información útiles.
Además, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía
de los derechos digitales, contempla la creación y mantenimiento de sistemas de información a
través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso
anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen
con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial
que le fuera aplicable.

7
Por otra parte, son muchos los ejemplos de actuaciones cívicas que advirtieron de la existencia de
prácticas irregulares y de corrupción que han permitido impulsar investigaciones que, previa la
tramitación del procedimiento judicial legalmente establecido, han concluido con la imposición de
la correspondiente condena penal por tales comportamientos.

No obstante, también ha de advertirse que, en ocasiones, esos loables comportamientos cívicos

han generado consecuencias penosas para quienes han comunicado tales prácticas corruptas y
otras infracciones como son las presiones por parte de los denunciados, por lo que resulta
indispensable que el ordenamiento jurídico proteja a la ciudadanía cuando muestra una conducta
valiente de clara utilidad pública. Además, resulta importante asentar en la sociedad la conciencia
de que debe perseguirse a quienes quebrantan la ley y que no deben consentirse ni silenciarse los
incumplimientos. Esta es la principal finalidad de esta ley: proteger a los ciudadanos que informan
sobre vulneraciones del ordenamiento jurídico en el marco de una relación profesional.

También es preciso recordar que, en línea con la corriente existente en el mundo anglosajón, que
regula desde hace años la protección de los denominados “whistleblowers” –quien usa el silbato
para dar alerta- algunas comunidades autónomas ya han regulado instituciones que se ocupan de
recibir comunicaciones de ciudadanos informando de irregularidades. A título de ejemplo y sin
perjuicio de las autoridades creadas por algunas Entidades locales, cabe recordar que las
Comunidades Autónomas de Cataluña, Valencia, Islas Baleares, Navarra, Asturias o Andalucía han
abordado la cuestión de la protección de los denunciantes, si bien la regulación ha sido parcial y
centrada fundamentalmente en la creación de oficinas o agencias con la específica función de
prevenir e investigar casos de uso o destino fraudulentos de fondos públicos, aprovechamientos
ilícitos derivados de actuaciones que comporten conflictos de intereses o uso de información
privilegiada o, en general, conductas contrarias a la integridad, es decir, han circunscrito esta
legislación al ámbito público, con carácter previo, en algunos casos, a la Directiva.

La expresión “alertadores” ha sido acogida en algunos ordenamientos como el francés. En la

Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a
la protección de las personas que informen sobre infracciones del Derecho de la Unión, se emplea
el término “denunciantes”, y en esta ley se ha optado por la denominación “informante”.

Asimismo, se ha optado por emplear los términos “informaciones” y “comunicaciones”

indistintamente para, de acuerdo con una redacción gramatical y sintáctica adecuada, evitar
repeticiones.

8
 II

Con la aprobación de esta ley se incorpora al Derecho español la Directiva (UE) 2019/1937 del
Parlamento Europeo y del Consejo, de 23 de octubre de 2019. Las diferencias de tratamiento entre
los distintos regímenes jurídicos existentes de los Estados miembros han generado dificultades a
la hora de asegurar una aplicación coherente del Derecho europeo y perseguir sus infracciones.
Para ello, la citada Directiva regula aspectos mínimos que han de satisfacer los distintos cauces
de información a través de los cuales una persona física que sea conocedora en un contexto laboral
de una infracción del Derecho de la Unión Europea, pueda dar a conocer la existencia de la misma.
En concreto, obliga a contar con canales internos de información a muchas empresas y entidades
públicas porque se considera, y así también se ha recogido en informes y estadísticas recabados
durante la elaboración del texto europeo, que es preferible que la información sobre prácticas
irregulares se conozca por la propia organización para corregirlas o reparar lo antes posible los
daños. Además de tales canales internos, exige la Directiva la determinación de otros canales de
información, denominados “externos”, con el fin de ofrecer a los ciudadanos una comunicación con
una autoridad pública especializada, lo que les puede generar más confianza al disipar su temor a
sufrir alguna represalia en su entorno.

Estos dos claros objetivos de la Directiva, proteger a los informantes y establecer las normas
mínimas de los canales de información, se incorporan en el contenido de esta ley.

La ley se estructura en 68 artículos, tres disposiciones adicionales, tres disposiciones transitorias

y diez disposiciones finales.

Los criterios seguidos en la transposición se han basado en los principios de la buena regulación,
comprendiendo el principio de necesidad y eficacia al cumplir la obligación de transposición con
fidelidad al texto de la Directiva y con la normativa ya existente sobre este ámbito con carácter
parcial, de manera que se complete la regulación de esta materia para una mayor protección de
los informantes; así como en los principios de proporcionalidad, al contener la regulación
imprescindible para atender la necesidad a cubrir, y al hecho de que la nueva regulación excede
del ámbito de aplicación de la Directiva, al otorgársele un alcance mucho más general y amplio, y
de seguridad jurídica, ya que se realiza con el ánimo de crear ex novo un marco normativo
adecuado, integrado y concreto para la protección efectiva de aquellas personas que informan de
infracciones del Derecho de la Unión Europea que permite contribuir a la investigación y
consiguiente persecución de conductas ilegales.

9
En cuanto al principio de transparencia, el anteproyecto ha sido sometido al trámite de consulta
pública establecido en el artículo 26.2 de la Ley 50/1997, de 27 de noviembre, del Gobierno, y ha
sido sometido al trámite de audiencia e información pública del artículo 26.6 de la misma ley.
Asimismo, se ha sometido a audiencia de las comunidades autónomas en el Pleno de la
Conferencia Sectorial de Administración de Justicia, de 25 de marzo de 2022, y reunión por
videoconferencia con las autoridades independientes autonómicas y locales ya creadas de 23 de
marzo de 2022. Así, se ha posibilitado el acceso universal, sencillo y actualizado de la normativa
en vigor y a los documentos propios de su proceso de elaboración; se han definido los objetivos
generales de la ley y se ha posibilitado que los potenciales destinatarios hayan tenido una
participación activa en la elaboración de esta norma.

Respecto del principio de eficiencia, la iniciativa normativa no impone cargas administrativas

innecesarias o accesorias y racionaliza, en su aplicación, la gestión de los recursos públicos.

Han sido recabados todos los informes exigidos por la Ley 50/1997, de 27 de noviembre, en su
tramitación administrativa y sometido a dictamen del Consejo de Estado.

III

El título I precisa la finalidad y el ámbito de aplicación de la ley.

La finalidad de la norma es la de proteger a las personas que en un contexto laboral o profesional

detecten infracciones penales o administrativas graves o muy graves y las comuniquen mediante
los mecanismos regulados en la misma.

Por lo que se refiere a su ámbito de aplicación, además de proteger a quienes informen sobre las
infracciones de Derecho de la Unión previstas en la Directiva 2019/1937 del Parlamento Europeo
y del Consejo, de 23 de octubre de 2019 esta ley abarca también las infracciones penales y
administrativas graves y muy graves de nuestro ordenamiento jurídico.

Se ha considerado necesario, por tanto, ampliar el ámbito material de la Directiva a las infracciones
del ordenamiento nacional, pero limitado a las penales y a las administrativas graves o muy graves
para permitir que tanto los canales internos de información como los externos puedan concentrar
su actividad investigadora en las más vulneraciones que se consideran que afectan con mayor
impacto al conjunto de la sociedad.

10
Asimismo, se excluyen del ámbito de aplicación material los supuestos que se rigen por su
normativa específica, esto es aquella que regula los mecanismos para informar sobre infracciones
y proteger a los informantes previstas por leyes sectoriales o por los instrumentos de la Unión
Europea enumerados en la parte II del anexo de la Directiva (UE) 2019/1937 del Parlamento
Europeo y del Consejo, de 23 de octubre de 2019.

La buena fe, la conciencia honesta de que se han producido o pueden producirse hechos graves
perjudiciales constituye un requisito indispensable para la protección del informante. Esa buena fe
es la expresión de su comportamiento cívico y se contrapone a otras actuaciones que, por el
contrario, resulta indispensable excluir de la protección, tales como la remisión de informaciones
falsas, tergiversadas, así como aquellas que se han obtenido de manera ilícita.

Junto a la descripción del ámbito objetivo de aplicación, precisa la ley el ámbito subjetivo, esto es,
las personas están protegidas frente a posibles represalias. Así, se extiende la protección a todas
aquellas personas que tienen vínculos profesionales o laborales con entidades tanto del sector
público como del sector privado, aquellas que ya han finalizado su relación profesional, voluntarios,
trabajadores en prácticas o en período de formación, personas que participan en procesos de
selección. También se extiende el amparo de la ley a las personas que prestan asistencia a los
informantes, a las personas de su entorno que puedan sufrir represalias, así como las personas
jurídicas propiedad del informante, entre otras.

El título II de la ley contiene el régimen jurídico del Sistema interno de información que abarca tanto
el canal, entendido como buzón o cauce para recepción de la información, como el Responsable
del Sistema y el procedimiento. El Sistema interno de información debería utilizarse de manera
preferente para canalizar la información pues una actuación diligente y eficaz en el seno de la
propia organización podría paralizar las consecuencias perjudiciales de las actuaciones
investigadas. No obstante, declarada esta preferencia, el informante puede elegir el cauce a seguir,
interno o externo, según las circunstancias y los riesgos de represalias que considere.

En este título se dedica un primer capítulo a las disposiciones aplicables tanto en el sector público
como en el privado.

La configuración del Sistema interno de información debe reunir determinados requisitos, entre
otros, su uso asequible, las garantías de confidencialidad, las prácticas correctas de seguimiento,

11
investigación y protección del informante. Asimismo, resulta indispensable para la eficacia del
Sistema interno de información la designación del responsable de su correcto funcionamiento.

Se ha de destacar que se permite la comunicación anónima. Cuando se traslade una comunicación

en el marco del Sistema interno de información, que entre dentro del ámbito de aplicación de la ley,
se aplicará la regla específica contenida en esta ley en cuanto a la posibilidad de presentación y
tramitación de comunicaciones anónimas. La Directiva establece como principio el deber general
de mantener al informante en el anonimato. Ahora bien, este pilar esencial de la norma europea se
exceptúa cuando, bien una norma nacional prevé revelarlo o se solicite en el marco de un proceso
judicial, lo que ocurre en muchas ocasiones, argumentando el juzgador la necesidad de conocer la
identidad de quien denunció, para garantizar el derecho de defensa del denunciado. Así, en su
Considerando 34 se señala que: «sin perjuicio de las obligaciones vigentes de disponer la denuncia
anónima en virtud del Derecho de la Unión, debe ser posible para los Estados miembros decidir si
se requiere a las entidades jurídicas de los sectores privado y público y a las autoridades
competentes que acepten y sigan denuncias anónimas de infracciones que entren en el ámbito de
aplicación de la presente Directiva».

Y en el artículo 6.2 se establece que «Sin perjuicio de la obligación vigente de disponer de

mecanismos de denuncia anónima en virtud del Derecho de la Unión, la presente Directiva no
afectará a la facultad de los Estados miembros de decidir si se exige o no a las entidades jurídicas
de los sectores privado o público y a las autoridades competentes aceptar y seguir las denuncias
anónimas de infracciones».

Conforme al artículo 9.1.e) también se prevé «el seguimiento diligente cuando así lo establezca el
Derecho nacional en lo que respecta a las denuncias anónimas».

En este sentido, una opción de política legislativa, fruto de los modelos comparados a nivel
internacional y europeo, ha sido, al igual que en la normativa de protección de datos personales,
regular las informaciones anónimas y proteger a la persona que las comunica.

Un hito esencial en la admisión de la denuncia anónima lo constituye la Convención de las

Naciones Unidas contra la corrupción, hecha en Nueva York el 31 de octubre de 2003 que
establece en su artículo 13.2 que «cada Estado Parte adoptará medidas apropiadas para garantizar
que el público tenga conocimiento de los órganos pertinentes de lucha contra la corrupción
mencionados en la presente Convención y facilitará el acceso a dichos órganos; cuando proceda,

12
para la denuncia, incluso anónima, de cualesquiera incidentes que puedan considerarse
constitutivos de un delito tipificado con arreglo a la presente Convención».

El Consejo de la Unión Europea, en su Decisión de 25 de septiembre de 2008, en nombre de la

entonces Comunidad Europea, aprobó la Convención de las Naciones Unidas contra la Corrupción.

Asimismo, en ámbitos sectoriales de la UE hay que destacar el artículo 5.1 del Reglamento (UE,
EURATOM) nº 883/2013 del Parlamento Europeo y del Consejo, de 11 de septiembre de 2013
relativo a las investigaciones efectuadas por la Oficina Europea de Lucha contra el Fraude (OLAF)
y por el que se deroga el Reglamento (CE) nº 1073/1999 que dispone que «el director general
podrá iniciar una investigación cuando haya sospecha suficiente, que puede también basarse en
información proporcionada por una tercera parte o por información anónima, de que se ha incurrido
en fraude, corrupción u otra actividad ilegal en detrimento de los intereses financieros de la Unión».

Cabe destacar que el antiguo órgano asesor de la Comisión Europea en materia de protección de
datos, el GT29, en su Dictamen 1/2006 relativo a la «aplicación de las normas sobre protección de
datos de la UE a los sistemas internos de denuncia de irregularidades en los ámbitos de la
contabilidad, controles y cuestiones de auditoría, lucha contra la corrupción y delitos financieros y
bancarios», establecía como regla general que el denunciante debía identificarse, pero también
existía la posibilidad de recibir y tramitar denuncias anónimas en determinadas circunstancias.

Como se puede observar, desde las instituciones de la Unión Europea se ha apostado sin ambages
sobre la posibilidad de la aceptación y seguimiento de las denuncias anónimas. A tales efectos se
puede acceder a una herramienta de «denuncia anónima» de irregularidades para ayudar a la
Comisión Europea a descubrir cárteles y otras infracciones antimonopolio y sobre tales prácticas
anticompetitivas prohibidas por la ley de competencia de la UE, que causan daños considerables
a la economía europea.

En lo que se refiere a la normativa vigente en el ámbito nacional son diversos los ámbitos en los
que ya se ha regulado la posibilidad de denuncias anónimas. En septiembre de 2018, a través del
Real Decreto-Ley 11/2018, de 31 de agosto, se introdujo en la Ley 10/2010, de 28 de abril, de
prevención del blanqueo de capitales y de la financiación del terrorismo introduciendo el actual
artículo 26 bis en el que se regulan los procedimientos internos de comunicación de potenciales
incumplimientos (canales de denuncias internas) para que sus empleados, directivos o agentes
puedan comunicar, incluso anónimamente, información relevante sobre posibles incumplimientos

13
de esta ley, su normativa de desarrollo o las políticas y procedimientos implantados para darles
cumplimiento, cometidos en el seno del sujeto obligado.

En otro ámbito, la mencionada Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos

Personales y garantía de los derechos digitales, establece en su artículo 24.1 que “será lícita la
creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en
conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno
de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que
pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable”.

Con anterioridad y en ámbitos diversos se había reconocido la posibilidad de presentar

anónimamente denuncias: en la Ley Orgánica 12/2007, de 22 de octubre, del régimen disciplinario
de la Guardia Civil se contempla la posibilidad de que la denuncia anónima pueda dar lugar al
menos al inicio de una «información reservada». De otro lado, la Fiscalía General del Estado en su
Circular de 4/2013, de 30 de diciembre, sobre las Diligencias de Investigación, actualiza la
consideración sobre las denuncias anónimas. Señala que, aunque las denuncias deben en
principio cumplimentar los requisitos previstos en la Ley de Enjuiciamiento Criminal para ser tenidas
como tales, el incumplimiento de alguno de ellos no ha de llevar a su inadmisión si se están
poniendo de manifiesto hechos constitutivos de delito perseguibles de oficio con visos de
verosimilitud. La iniciación por puesta en conocimiento de otras autoridades u organismos públicos
es cada vez más frecuente.

El afianzamiento esencial, no obstante, se contiene en la Ley Orgánica 3/2018, de 5 de diciembre,

de Protección de Datos Personales y garantía de los derechos digitales, tal como se ha indicado
con anterioridad, en concreto en su artículo 24.1.

Estos canales de denuncias, mediante el anonimato, han colaborado a instituir un instrumento

esencial para la Compliance de una empresa y ha sido fundamental para poder recibir denuncias
graves que de otra manera las personas trabajadoras y los colaboradores no se atreverían a
señalar por temor a represalias en caso de ser identificados.

Algunas comunidades autónomas igualmente han extendido su protección a las denuncias

anónimas y han establecido canales para su recepción.

La ley diferencia la extensión de la obligación de configurar estos canales internos en el ámbito de

las organizaciones privadas de las que pertenecen al sector público.

14
En el ámbito privado, siguiendo la previsión de la Directiva, estarán obligadas a configurar un
Sistema interno de información todas aquellas empresas que tengan más de cincuenta
trabajadores. En los grupos de empresas será la sociedad dominante la que pueda implantar los
principios y políticas que inspiren la organización del Sistema para la adecuada organización y
coordinación de los canales en cada una de las entidades que forman parte de aquel.

Siendo conscientes del coste que esta nueva carga pueda generar en las empresas, la ley admite
que aquellas que, superando la cifra de 50 trabajadores cuenten con menos de 250 trabajadores,
puedan compartir medios y recursos para la gestión de las informaciones que reciban, quedando
siempre clara la existencia de canales propios en cada empresa.

No obstante, con independencia del número de empleados, se obliga a contar con un Sistema
interno de información a todos los partidos políticos, sindicatos, organizaciones empresariales, así
como a las fundaciones que de los mismos dependan, siempre que reciban fondos públicos para
su financiación. La razón de esta exigencia se ampara en el singular papel constitucional que tienen
estas organizaciones tal y como proclaman los artículos 6 y 7 de la Constitución Española, como
manifestación del pluralismo político y vehículo de defensa y protección de los intereses
económicos y sociales que les son propios, respectivamente. La existencia de casos de corrupción
que han afectado a algunas de estas organizaciones incrementa la preocupación entre la
ciudadanía por el recto funcionamiento de las instituciones, por lo que resulta indispensable exigir
a estas organizaciones una actitud ejemplar que asiente la confianza en ellos de la sociedad pues
de ello depende en buena medida el adecuado funcionamiento del sistema democrático. De ahí la
obligación de que se configure, con independencia del número de trabajadores, un sistema interno
de información para atajar con rapidez cualquier indicio de infracción penal o administrativa grave
o muy grave contra el interés general. La generalización de un Sistema interno de informaciones
facilitará la erradicación de cualquier sospecha de nepotismo, clientelismo, derroche de fondos
públicos, financiación irregular u otras prácticas corruptas.

Con relación al sector público la ley ha extendido en toda su amplitud la obligación de contar con
un Sistema interno de información. En consecuencia, han de configurar tal Sistema las
Administraciones públicas, ya sean territoriales o institucionales, las autoridades independientes u
otros organismos que gestionan los servicios de la Seguridad Social, las universidades, las
sociedades y fundaciones pertenecientes al sector público, así como las Corporaciones de Derecho
Público. En el mismo sentido, se impone también contar con un Sistema interno de información a

15
todos los órganos constitucionales y de relevancia constitucional, así como aquellos mencionados
en los Estatutos de Autonomía.

Como se advierte, preocupa que todas las instituciones, organismos y otras personificaciones que
ejercen funciones públicas tengan un sistema eficaz para detectar las prácticas irregulares
descritas en esta norma, sin que a estos efectos parezca relevante el tamaño de la entidad o el
ámbito territorial en el que ejerza sus competencias.

Así, si bien es cierto que la Directiva atribuye a los Estados miembros la decisión de dispensar de
algunas obligaciones a los municipios de menos de diez mil habitantes, esta ley no contempla esta
excepción. En consecuencia, atendiendo a la necesidad de ofrecer un marco común y general de
protección de los informantes, de no facilitar resquicios que puedan dañar gravemente el interés
general, se extiende a todos los municipios la obligación de contar con un Sistema interno de
informaciones. Ahora bien, tal obligación se acompaña de ciertas precisiones con el fin de facilitar
su cumplimiento a aquellos municipios cuya población no supere los diez mil habitantes. La ley
permite que estos municipios puedan compartir medios para la recepción de informaciones con
otras Administraciones que ejerzan sus competencias en la misma comunidad autónoma. Esta
posibilidad no exime de que cada administración local tenga un Responsable de su sistema interno
de informaciones.

En todo caso, hay que insistir en que se considera adecuado que cada municipio cuente con su
propio Sistema interno de información y de ahí que se destaque la asistencia que pueden prestar
otras Administraciones territoriales.

Por otra parte, se prevé que la gestión material del Sistema interno de información se realice
mediante modalidades de gestión indirecta, si bien la atribución por parte de las Administraciones
territoriales a un tercero de la gestión del Sistemas interno de información requerirá que acrediten
la insuficiencia de medios propios para poder realizar la función.

Conviene destacar que la Ley 39/2015, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPAC), aplicable con carácter básico a todos los procedimientos
administrativos, establece que toda comunicación de hechos que puedan constituir una infracción
ha de ser considerada como una denuncia (art. 62.1 LPAC).

El título III de la ley regula el canal externo de información. Reconoce acertadamente la Directiva
2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019 que uno de los

16
principales factores que desalienta a los potenciales informantes es la falta de confianza en la
eficacia de las comunicaciones. Por ello, la norma europea impone a los Estados miembros la
obligación de establecer canales de comunicación externa adecuados, de modo que su actuación
esté presidida por los principios de independencia y autonomía en la recepción y tratamiento de la
información sobre las infracciones.

Dotar de independencia y autonomía al canal o canales de comunicación externa pasa por

garantizar la exhaustividad, integridad y confidencialidad de la información, impedir el acceso a ella
por el personal no autorizado y permitir un almacenamiento duradero de la misma.

Con el fin de dar cumplimiento a los objetivos perseguidos por la Unión Europea y ahondar en la
protección del informante, esta ley procede a la implementación de un canal externo cuya llevanza
corresponde a la Autoridad Independiente de Protección del Informante, A.A.I. prevista en el título
VIII.

Se considera beneficioso que la habilitación de dicho canal, como medio complementario al canal
interno, se encauce a través de la Autoridad Independiente de Protección del Informante, A.A.I.
dotándolo, así, de las garantías de independencia y autonomía exigidas por la norma europea.

El título III aborda de manera sistemática la regulación específica del canal externo ante el que
podrá informar las personas físicas a las que se refiere el artículo 3 de la ley, ya sea directamente,
ya con posterioridad a la previa formulación de información ante el canal interno. Tras detallar el
procedimiento de recepción de las comunicaciones, que pueden llevarse a cabo de forma anónima
o con reserva de la identidad del informante, y de su forma, escrita o verbal, el articulado de la
norma aborda el trámite de admisión, en el que después de un análisis preliminar, se decide sobre
su admisión a trámite, inadmisión motivada si concurre alguna de las causas tasadas que a tal
efecto se prevén, comunicación inmediata al Ministerio Fiscal si la conducta pudiera ser constitutiva
de delito o remisión a otra Autoridad u Organismo que pudiera resultar competente para la
tramitación de la comunicación.

Admitida a trámite la comunicación, comienza la fase instructora que culminará mediante la emisión
de un informe por la Autoridad Independiente de Protección del Informante. Emitido el informe, la
Autoridad Independiente de Protección del Informante podrá acordar el archivo del expediente, el
inicio del procedimiento sancionador, sin perjuicio de poner los hechos en conocimiento del
Ministerio Fiscal si, pese a no apreciar inicialmente indicios de que los hechos pudieran revestir el

17
carácter de delito así resultase del curso de la instrucción, o de la Fiscalía Europea, cuando resulten
afectados los intereses financieros de la Unión Europea, en su caso; o la remisión de la información
a otra Autoridad u Organismo competente si así procede. En línea con la Directiva 2019/1937, se
ha considerado adecuado que el plazo para la realización de las investigaciones y para dar
respuesta al informante no se dilate más de lo estrictamente necesario, razón por la que el plazo
para finalizar esta fase de instrucción no puede ser superior a tres meses.

Finalmente, cabe destacar que la resolución que adopte la Autoridad Independiente de Protección
del Informante, A.A.I. no podrá ser objeto de recurso alguno, ni administrativo ni jurisdiccional, sin
perjuicio de la posible impugnación de la resolución que ponga fin al procedimiento sancionador
que se pudiera incoar a raíz de las investigaciones realizadas.

Debe tenerse en cuenta que el informante por el hecho de comunicar la existencia de una infracción
penal o administrativa no tiene la condición de interesado, sino de colaborador con la
Administración. De manera que tanto las investigaciones que lleve a cabo en el marco del Sistema
interno de información del sector público como en el marco del procedimiento que desarrolla la
Autoridad Independiente de Protección del Informante, A.A.I. se inician siempre de oficio y de
conformidad con el procedimiento establecido en la LPAC.

Asimismo, prevé el título III el conjunto de derechos y garantías que ostenta el informante en el
procedimiento de comunicación externa ante la Autoridad Independiente de Protección del
Informante, A.A.I. y la exigencia de revisión de los procedimientos de recepción y seguimiento de
informaciones, dando así cumplimiento al mandato de la Directiva.

Por último, conviene destacar la posible implantación de canales externos de información por parte
de las comunidades autónomas. La llevanza de dichos canales externos será asumida por
Autoridades independientes autonómicas análogas a la Autoridad Independiente de Protección del
Informante, A.A.I. cuya competencia podrá extenderse tanto a las informaciones sobre infracciones
que, comprendidas en el ámbito de aplicación de esta ley, sean cometidas en el ámbito de las
entidades del sector público autonómico y local del territorio de la correspondiente comunidad
autónoma, como a las relativas a incumplimientos imputables a entidades del sector privado que
produzcan efectos únicamente en el territorio de dicha comunidad autónoma.

El título IV contiene disposiciones comunes a las comunicaciones internas y externas, en línea con
el capítulo V de la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre

18
de 2019. Se regula la obligación de proporcionar información adecuada de forma clara y fácilmente
accesible sobre los canales de comunicación interna y externa, como medio y garantía para un
mejor conocimiento de los canales que establece esta ley.

El título V se ocupa de la revelación pública. Los informantes que utilizan los cauces internos y
externos cuentan con un régimen específico de protección frente a las represalias. La protección a
quien realiza una revelación pública, con condiciones, se asienta, entre otras causas, en las
garantías y protección que ofrece la opinión pública en su conjunto amparando a quien muestra
una actitud cívica a la hora de advertir ante posibles infracciones penales o administrativas graves
o vulneraciones del ordenamiento jurídico que dañan el interés general, así como la protección de
las fuentes que mantienen los periodistas.

Existen situaciones en que resulta conveniente proteger también a estas personas y la ley,
siguiendo las directrices europeas, precisa las condiciones que deben concurrir para extender el
régimen de protección; así, por ejemplo, dicha protección se contempla cuando los cauces internos
y externos no han funcionado o cuando se advierte una amenaza inminente para el interés general,
tales como un vertido muy tóxico u otros riesgos contaminantes.

En este sentido, se destaca que la propia Directiva, en sus considerandos 45 y 46 otorga especial
reconocimiento a los supuestos de protección relacionados con los derechos a la libertad de
información y al periodismo de investigación, que en nuestro ordenamiento se reconocen
constitucionalmente. Así, el Considerando 45 declara que “La protección frente a represalias como
medio de salvaguardar la libertad de expresión y la libertad y el pluralismo de los medios de
comunicación debe otorgarse tanto a las personas que comunican información sobre actos u
omisiones en una organización («denuncia interna») o a una autoridad externa («denuncia
externa») como a las personas que ponen dicha información a disposición del público, por ejemplo,
directamente a través de plataformas web o de redes sociales, o a medios de comunicación, cargos
electos, organizaciones de la sociedad civil, sindicatos u organizaciones profesionales y
empresariales”. Por su parte, el Considerando 46 alude a la importancia de los denunciantes como
fuentes importantes para los periodistas de investigación y crucial para salvaguardar la función de
guardián que el periodismo de investigación desempeña en las sociedades democráticas.

El título VI regula el régimen del tratamiento de datos personales que deriven de la aplicación de
esta ley.

19
El artículo 17 de la Directiva impone que todo tratamiento de datos personales realizado en
aplicación de la misma se realizará de conformidad con el Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas
físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos
y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). En este
mismo sentido esta ley dispone que los tratamientos de datos personales deberán regirse por lo
dispuesto en dicho Reglamento y en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales.

Hasta ahora el artículo 24 de la citada ley orgánica regulaba la creación y mantenimiento de

sistemas de información internos. El contenido de dicho precepto se ha incorporado a esta ley, pero
era necesario completar las previsiones hasta ahora incluidas en la ley orgánica al objeto de
extenderlas también a los tratamientos de datos que se lleven a cabo en los canales de
comunicación externos y en los supuestos de revelación pública. Asimismo, y de acuerdo con lo
que establece el artículo 6 del Reglamento general de protección de datos, procede indicar los
títulos que hacen lícito el tratamiento de datos personales. Los tratamientos se entenderán
necesarios para el cumplimiento de una obligación legal cuando deban llevarse a cabo en los
supuestos en que sea obligatorio disponer de un sistema interno de información y en los casos de
canales de comunicación externos, mientras que se presumirán válidos al amparo de lo que
establece el artículo 6.1.e) del Reglamento general de protección de datos cuando aquel sistema
no sea obligatorio o el tratamiento se lleve a cabo en el ámbito de la revelación pública que regula
título V . Se indica asimismo que en caso de que la persona investigada ejerza el derecho de
oposición al tratamiento de sus datos personales se entiende que existen motivos legítimos
imperiosos que legitiman continuar con dicho tratamiento, tal como permite el artículo 21.1 del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

La ley también regula determinadas condiciones especiales en relación con los tratamientos de
datos al objeto garantizar plenamente el derecho a la protección de datos y en particular la identidad
de los informantes y de las personas investigadas por la información suministrada. La preservación
de la identidad del informante es una de las premisas esenciales para garantizar la efectividad de
la protección que persigue esta ley. De ahí que se exija que en todo momento deba ser garantizada.
En esta línea se dispone que el dato de la identidad del informante nunca será objeto del derecho
de acceso a datos personales y se limita la posibilidad de comunicación de dicha identidad sólo a
la autoridad judicial, el Ministerio Fiscal o la autoridad administrativa competente exigiendo que en

20
todo caso se impida el acceso por terceros a la misma. Por otra parte, se exige que las entidades
obligadas a disponer de un Sistema interno de información, los terceros externos que en su caso
lo gestionen y la Autoridad Independiente de Protección de Datos, A.A.I. así como las que en su
caso se constituyan, cuenten con un Delegado de protección de datos.

El título VII constituye, como ya se ha anticipado, el eje de la ley, las medidas de protección para
amparar a aquellas personas que mantienen una actitud cívica y de respeto democrático al alertar
sobre infracciones graves que dañan el interés general. Ha de conseguirse que nadie esté
amedrentado ante futuros perjuicios. De ahí que la primera medida sea la contundente declaración
de prohibir y declarar nulas aquellas conductas que puedan calificarse de represalias y se adopten
dentro de los dos años siguientes a ultimar las investigaciones. En este sentido, la ley ofrece varios
supuestos, sin ningún ánimo exhaustivo, que muestran conductas intolerables hacia los
informantes: resolución de contratos, intimidaciones, trato desfavorable, daños reputacionales, etc.

La necesidad de garantizar la buena aplicación del ordenamiento hace que queden sin efecto
cualesquiera cláusulas o disposiciones contractuales que impidan o pretendan limitar el derecho o
la capacidad de informar, tales como cláusulas de confidencialidad o disposiciones que reflejan
renuncias expresas; así como que se exima de responsabilidad ante la obtención de información
relevante o que se invierta la carga de la prueba en aquellos procesos que inicie para exigir la
reparación de daños. En fin, los informantes contarán con el apoyo necesario de la Autoridad
Independiente de Protección del Informante, A.A.I. para que las medidas de protección
establecidas en esta ley resulten eficaces.

Pero las medidas de protección no se dirigen sólo a favor de los informantes. También aquellas
personas a las que se refieran los hechos relatados en la comunicación han de contar con una
singular protección ante el riesgo de que la información, aun con aparentes visos de veracidad,
haya sido manipulada, sea falsa o responda a motivaciones que el Derecho no puede amparar.
Estas personas mantienen todos sus derechos de tutela judicial y defensa, de acceso al
expediente, de confidencialidad y reserva de identidad y la presunción de inocencia; en fin, de los
mismos derechos que goza el informante.

Las ventajas y eficacia que han demostrado los programas de clemencia en ciertos ámbitos
sectoriales han llevado a incluir una regulación en la que se precisan las concretas condiciones
para su correcta aplicación.

21
El título VIII regula la Autoridad Independiente de Protección del Informante.

Una sociedad democráticamente avanzada ha de proteger adecuadamente a aquellas personas

que, comunicando las irregularidades de las que, en su entorno laboral o profesional, tenga
conocimiento, las publicite, permitiendo, de ese modo, a los poderes públicos actuar, pudiendo
poner fin a la actividad ilícita advertida cuando ésta afecte al interés general. Y es una cuestión de
liderazgo avanzar en esa línea, como hace la Directiva 2019/1937 del Parlamento Europeo y del
Consejo, de 23 de octubre de 2019 que es objeto de trasposición mediante esta ley.

Solo habrá una adecuada protección del denominado whistleblower si, en primer lugar, existe no
solo el deber de comunicar conductas ilícitas de las que tenga conocimiento, sino además un
sistema que permita canalizar las informaciones, lo que implica la implementación, por parte de las
entidades públicas y privadas, de canales que permitan al que entra en contacto con la
organización revelar la información de que dispone y que pueda constituir un ilícito susceptible de
afectar al interés general. Ese canal interno de información al que hemos hecho referencia en
párrafos anteriores debe garantizar, si queremos que salgan a la luz los comportamientos
reprobables, la confidencialidad del informante, en todo caso, siendo aconsejable prever, además,
el anonimato del mismo. No hay mejor forma de proteger al que informa que garantizando su
anonimato.

Dicho canal interno de información debe ser complementado con un canal externo, es decir, con la
posibilidad de que quien conozca el hecho susceptible de ser comunicado con arreglo a esta norma
pueda acudir a una autoridad pública que, con todas las garantías, tenga constancia del hecho
informado y proceda a investigarlo y, en su caso, y pueda colaborar con el Ministerio Fiscal cuando
aprecie que el hecho objeto de la comunicación es constitutivo de delito.

Garantizar una adecuada protección del informante exige, en cumplimiento de la Directiva

2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, que España disponga
de un completo marco normativo-institucional con el que dar respuesta eficaz a la necesidad de
protección de quienes informan sobre infracciones del ordenamiento jurídico que afectan o
menoscaban el interés general.

Una adecuada y eficaz respuesta normativa aconseja articular de manera conjunta y, por tanto,
mediante la utilización del mismo instrumento normativo, el nuevo régimen jurídico aplicable a la
protección del informante y el cauce institucional idóneo que garantice su plena operatividad.

22
El considerando 64 de la Directiva 2019/1937 del Parlamento Europeo y del Consejo, de 23 de
octubre de 2019 deja al prudente criterio de los Estados miembros determinar qué autoridades son
competentes para recibir la información sobre infracciones que entren en el ámbito de aplicación
de la misma y seguir adecuadamente las denuncias.

Entre las diferentes alternativas que ofrece nuestro ordenamiento interno se considera idóneo
acudir a la figura de la Autoridad Independiente de Protección del Informante, A.A.I. como pilar
básico del sistema institucional en materia de protección del informante. Su particular naturaleza y
encaje institucional en el sector público permitirá canalizar satisfactoriamente el conjunto de
funciones que la Directiva atribuye a las autoridades competentes de cada Estado miembro. Entre
las diversas posibilidades abiertas en el reto de afrontar eficazmente la trasposición de la Directiva,
el carácter independiente y la autonomía de que gozan este tipo de entes del sector público se
considera la mejor forma de instrumentar el engranaje institucional de la protección del informante,
excluyendo otras alternativas con menor independencia del poder ejecutivo y permitiendo, en
definitiva, que sea una entidad de nueva creación la que garantice la funcionalidad del sistema,
una entidad independiente de quien la nombra y de la Administración Pública, que atienda, en el
ejercicio de sus funciones, a criterios de naturaleza técnica.

De otro lado, el carácter específico de la materia hace igualmente aconsejable que las funciones
que la Directiva atribuye a las autoridades competentes sean ejercidas por una Autoridad de nueva
creación sin posibilidad de acudir a otras ya existentes dentro del sector público. Además, resulta
determinante a efectos de la creación de una nueva autoridad, la articulación, en cumplimiento de
la Directiva, de un canal externo de información que complementa los canales internos (tanto en el
sector privado como público). Resulta de especial interés que sea una entidad que bajo un especial
régimen de autonomía y con un marcado carácter técnico y especializado en la materia sea la
encargada de la llevanza y gestión del citado canal externo.

Lo hasta ahora expuesto, unido al conjunto de funciones que la Directiva obliga a asumir a las
Autoridades competentes en materia de protección al informante y junto a otras que van más allá
del contenido de la norma europea y cuya inclusión radica en una mayor garantía y extensión de
la protección del informante, aconsejan que sea una Autoridad Independiente específica la que
asuma este conjunto de competencias, y sirva, en definitiva, de pilar institucional esencial en la
lucha contra la corrupción.

23
Para ello el título VIII de la norma aborda, como se ha señalado, la autorización para la creación
de la Autoridad Independiente de Protección del Informante, A.A.I. como ente de derecho público
con personalidad jurídica propia dotado de autonomía e independencia orgánica y funcional
respecto del Ejecutivo y del sector público, así como de toda entidad cuya actividad pueda ser
sometida a su supervisión. Estructurado en tres capítulos, el primero de ellos recoge la naturaleza
y funciones de la Autoridad Independiente de Protección del Informante, A.A.I.: llevanza del canal
externo de comunicaciones, asunción de la condición de órgano consultivo y de asesoramiento del
Gobierno en materia de protección del informante, elaboración de modelos de prevención de delito
en el ámbito público, asunción de la competencia sancionadora en la materia, entre otros.

El capítulo II del título VIII desarrolla el régimen jurídico a que se somete la nueva Autoridad,
distinguiendo el régimen jurídico general a que somete su actividad y las singularidades que
presenta en materia de personal, contratación, patrimonial, de asistencia jurídica, presupuestario,
de contabilidad y control económico-financiero. Dentro de estas particularidades, se ha
considerado necesario dotar al ente de dos potestades menos frecuentes, pero totalmente
necesarias, en orden a la consecución de los objetivos a que obedece la trasposición de la
Directiva. De un lado, la posibilidad de que la propia Autoridad Independiente de Protección del
Informante, A.A.I. pueda elaborar circulares y recomendaciones que establezcan los criterios y
prácticas adecuadas para el cumplimiento de las disposiciones contenidas en esta ley y las normas
que la desarrollen. De otro lado, la ley atribuye el ejercicio de la potestad sancionadora (prevista
en el título IX de la norma), a la Autoridad Independiente de Protección del Informante, A.A.I., dando
así cumplimiento a la exigencia de atribución de potestad por norma legal (o reglamentaria)
contenida en la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector Público.

Finalmente, el capítulo III del título VIII recoge el régimen de organización interna de la entidad. Se
prevé la existencia de una Presidencia, órgano de gobierno de la Autoridad, que tendrá como
órgano de asesoramiento una Comisión Consultiva, de marcado carácter técnico por su
composición, muchos de cuyos vocales son natos, por razón del cargo, procedentes bien de la
Administración Pública, bien de organismos reguladores o supervisores.

La protección integral del informante exige no dejar espacios de impunidad. Este principio de
actuación, que conecta directamente con el liderazgo que ha de operar como eje mediador de
idoneidad del sistema que se propone, unido a la concepción de nuestro Estado como espacio
público compartido, obliga a permitir que se acuda al canal externo de informaciones a través de

24
la Autoridad Independiente de Protección del Informante, A.A.I. en aquellos territorios que no hayan
previsto la creación de Autoridades o la atribución a órganos propios de su comunidad autónoma
y dentro de sus competencias. De ese modo la Autoridad Independiente de Protección del
Informante, A.A.I. podrá tramitar las comunicaciones que se reciban a través de su canal externo
que afecten al ámbito competencial de aquellas comunidades autónomas que así lo decidan y
suscriban el correspondiente convenio, y aquellas otras que no prevean órganos propios que
canalicen, en su ámbito competencial, las comunicaciones externas. Posibilidad ésta que cumple
con la doctrina del Tribunal Constitucional, expuesta en la Sentencia 130/2013, al indicar que “en
casos como los que contemplamos, las disposiciones del Estado que establezcan reglas
destinadas a permitir la ejecución de los Reglamentos comunitarios en España y que no puedan
considerarse normas básicas o de coordinación, tienen un carácter supletorio de las que pueden
dictar las Comunidades Autónomas para los mismos fines de sus competencias. Sin olvidar que la
cláusula de supletoriedad del artículo 149.3 de la CE no constituye una cláusula universal atributiva
de competencias, en tales casos, la posibilidad de que el Estado dicte normas innovadoras de
carácter supletorio está plenamente justificada”.

El texto articulado se cierra con un título IX que establece el régimen sancionador, necesario para
combatir con eficacia aquellas actuaciones que impliquen represalias contra los informantes, así
como los incumplimientos en el establecimiento de las reglas de los canales de comunicación.

Concluye la ley con tres disposiciones adicionales relativas a la revisión periódica de los
procedimientos de recepción y seguimiento de las comunicaciones por las autoridades
responsables, a los convenios que puedan suscribir Estado y comunidades autónomas para atribuir
a la Autoridad Independiente de Protección del Informante, A.A.I. competencias de gestión del
canal externo de comunicaciones en el ámbito autonómico correspondiente, y la elaboración de
una memoria anual y de información estadística agregada; tres disposiciones transitorias para
regular los canales internos de información ya habilitados y la adaptación de los Sistemas internos
de información ya existentes y la implantación de dichos sistemas, con carácter general, por los
sujetos obligados en el plazo de tres meses, así como la previsión presupuestaria de la Autoridad
Independiente y, por último, diez disposiciones finales por las que se modifican, entre otras, la Ley
29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa para incluir a la
nueva Autoridad Independiente de Protección del Informante; la Ley 10/2010, de 28 de abril, de
prevención del blanqueo de capitales y de la financiación del terrorismo; la Ley 9/2017, de 8 de
noviembre, de Contratos del Sector Público, por la que se transponen al ordenamiento jurídico

25
español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de
febrero de 2014; la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de derechos digitales a los efectos del tratamiento de datos para la protección de las
personas que informen sobre infracciones normativas, los títulos competenciales en los que se
ampara la ley, la incorporación de la Directiva (EU) 2019/1937, del Parlamento Europeo y del
Consejo, de 23 de octubre de 2019 al ordenamiento jurídico interno; una cláusula de habilitación
normativa y su entrada en vigor.

TITULO I

Finalidad de la ley y ámbito de aplicación

Artículo 1. Finalidad de la ley.

La presente ley tiene por finalidad otorgar una protección adecuada frente a las represalias que
puedan sufrir las personas físicas que informen sobre alguna de las acciones u omisiones a que
se refiere el artículo 2, a través de los procedimientos previstos en la misma.

Artículo 2. Ámbito material de aplicación.

1. La presente ley protege a las personas físicas que informen, a través de alguno de los
procedimientos previstos en ella de:

a) Cualesquier acciones u omisiones que puedan constituir infracciones del Derecho de la Unión
Europea siempre que:

1º. Entren dentro del ámbito de aplicación de los actos de la Unión Europea enumerados en el
Anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de
2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la
Unión, con independencia de la calificación que de las mismas realice el ordenamiento jurídico
interno;

2º. Afecten a los intereses financieros de la Unión Europea tal y como se contemplan en el artículo
325 del Tratado de Funcionamiento de la Unión Europea (TFUE); o

26
3ª. Incidan en el mercado interior, tal y como se contemplan en el artículo 26, apartado 2 del TFUE,
incluidas las infracciones de las normas de la Unión Europea en materia de competencia y ayudas
otorgadas por los Estados, así como las infracciones relativas al mercado interior en relación con
los actos que infrinjan las normas del impuesto sobre sociedades o a prácticas cuya finalidad sea
obtener una ventaja fiscal que desvirtúe el objeto o la finalidad de la legislación aplicable al
impuesto sobre sociedades.

b) Acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o
muy grave. En todo caso, se entenderán comprendidas todas aquellas infracciones penales o
administrativas graves o muy graves que impliquen quebranto económico para la Hacienda
Pública.

2. Esta protección no excluirá la aplicación de las normas relativas al proceso penal, incluyendo las
diligencias de investigación.

3. La protección prevista en esta ley para las personas trabajadoras que informen sobre
infracciones del derecho laboral en materia de seguridad y salud en el trabajo, se entiende sin
perjuicio de la establecida en su normativa específica.

4. La protección prevista en esta ley no será de aplicación a las informaciones que afecten a la
información clasificada. Tampoco afectará a las obligaciones que resultan de la protección del
secreto profesional de los profesionales de la medicina y de la abogacía y de las Fuerzas y Cuerpos
de Seguridad del Estado, así como del secreto de las deliberaciones judiciales.

5. No se aplicarán las previsiones de esta ley a las informaciones relativas a infracciones en la

tramitación de procedimientos de contratación que contengan información clasificada o que hayan
sido declarados secretos o reservados, o aquellos cuya ejecución deba ir acompañada de medidas
de seguridad especiales conforme a la legislación vigente, o en los que lo exija la protección de
intereses esenciales para la seguridad del Estado.

6. En el supuesto de información o revelación pública de alguna de las infracciones a las que se

refiere la parte II del Anexo de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo,
de 23 de octubre de 2019, resultará de aplicación la normativa específica sobre comunicación de
infracciones en dichas materias.

27
Artículo 3. Ámbito personal de aplicación.

1. La presente ley se aplicará a los informantes que trabajen en el sector privado o público y que
hayan obtenido información sobre infracciones en un contexto laboral o profesional,
comprendiendo en todo caso:

a) las personas que tengan la condición de empleados públicos o trabajadores por cuenta ajena;

b) los autónomos;

c) los accionistas, partícipes y personas pertenecientes al órgano de administración, dirección o

supervisión de una empresa, incluidos los miembros no ejecutivos;

d) cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas,

subcontratistas y proveedores.

2. La presente ley también se aplicará a los informantes que comuniquen o revelen públicamente
información sobre infracciones obtenida en el marco de una relación laboral o estatutaria ya
finalizada, voluntarios, becarios, trabajadores en periodos de formación con independencia de que
perciban o no una remuneración, así como a aquellos cuya relación laboral todavía no haya
comenzado, en los casos en que la información sobre infracciones haya sido obtenida durante el
proceso de selección o de negociación precontractual.

3. Las medidas de protección del informante previstas en el título VII también se aplicarán, en su
caso, específicamente a los representantes legales de las personas trabajadoras en el ejercicio de
sus funciones de asesoramiento y apoyo al informante.

4. Las medidas de protección del informante previstas en el título VII también se aplicarán, en su
caso, a:

a) personas físicas que, en el marco de la organización en la que preste servicios el informante

asistan al mismo en el proceso,

b) personas físicas que estén relacionadas con el informante y que puedan sufrir represalias, como
compañeros de trabajo o familiares del informante, y

c) personas jurídicas, para las que trabaje o con las que mantenga cualquier otro tipo de relación
en un contexto laboral o en las que ostente una participación significativa. A estos efectos, se
entiende que la participación en el capital o en los derechos de voto correspondientes a acciones

28
o participaciones es significativa cuando, por su proporción, permite a la persona que la posea
tener capacidad de influencia en la persona jurídica participada.

TÍTULO II

Sistema interno de información

CAPÍTULO I
Disposiciones generales

Artículo 4. Comunicación de infracciones a través del Sistema interno de información.

1. El Sistema interno de información es el cauce preferente para informar sobre las acciones u
omisiones previstas en el artículo 2.

2. Las personas jurídicas obligadas por las disposiciones del presente título dispondrán de un
Sistema interno de información en los términos establecidos en esta ley.

Artículo 5. Sistema interno de información.

1. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado por

esta ley será el responsable de la implantación del Sistema interno de información, previa consulta
con la representación legal de las personas trabajadoras y tendrá la condición de responsable del
tratamiento de los datos personales de conformidad con lo dispuesto en la normativa sobre
protección de datos personales.

2. El Sistema interno de información, en cualquiera de sus fórmulas de gestión, deberá:

a) Permitir comunicar información sobre las infracciones previstas en el artículo 2 a todas las
personas referidas en el artículo 3.

b) Estar diseñado, establecido y gestionado de una forma segura, de modo que se garantice la
confidencialidad de la identidad del informante y de cualquier tercero mencionado en la
comunicación y de las actuaciones que se desarrollen en la gestión y tramitación de la misma, la
protección de datos, impidiendo el acceso de personal no autorizado.

29
c) Permitir la presentación de comunicaciones por escrito o verbalmente, o de ambos modos.

d) Integrar los distintos canales internos de información que pudieran establecerse dentro de la
entidad.

e) Garantizar que las comunicaciones presentadas puedan tratarse de manera efectiva dentro de
la correspondiente entidad u organismo con el objetivo de que el primero en conocer la posible
irregularidad sea la propia entidad u organismo.

f) Ser independientes y aparecer diferenciados respecto de los sistemas internos de información

de otras entidades u organismos, sin perjuicio de lo establecido en los artículos 12 y 13 siguientes.

g) Contar con un Responsable del sistema en los términos previstos en el artículo 9 de esta ley.

h) Contar con una política o estrategia que enuncie los principios generales en materia de Sistemas
interno de información y defensa del informante y que sea debidamente publicitada en el seno de
la entidad u organismo.

i) Contar con un procedimiento de gestión de las informaciones recibidas.

j) Establecer las garantías para la protección de los informantes en el ámbito de la propia entidad
u organismo, respetando, en todo caso, lo dispuesto en el artículo 8.

Artículo 6. Gestión del Sistema de interno de información por tercero externo.

1. La gestión del Sistema interno de información se podrá llevar a cabo dentro de la propia entidad
u organismo o acudiendo a un tercero externo, en los términos previstos en esta ley. A estos
efectos, se considera gestión del Sistema la recepción de informaciones.

2. La gestión del Sistema por un tercero externo exigirá en todo caso que este ofrezca garantías
adecuadas de respeto de la independencia, la confidencialidad, la protección de datos y el secreto
de las comunicaciones.

La existencia de corresponsables del tratamiento de datos personales requiere la previa

suscripción del acuerdo regulado en el artículo 26 del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en
lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el
que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos y la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

30
3. La gestión del Sistema interno de información por un tercero no podrá suponer un menoscabo
de las garantías y requisitos que para dicho sistema establece esta ley ni una atribución de la
responsabilidad sobre el mismo en persona distinta del Responsable del Sistema previsto en el
artículo 8.

4. El tercero externo que gestione el Sistema tendrá la consideración de encargado del tratamiento
a efectos de la legislación sobre protección de datos personales. El tratamiento se regirá por el
acto o contrato al que se refiere el artículo 28.3 del Reglamento (UE) 2016/679, del Parlamento
Europeo y del Consejo, de 27 de abril de 2016.

Artículo 7. Canal interno de información.

1. Todo canal interno de información de que disponga una entidad para posibilitar la presentación
de información respecto de las infracciones previstas en el artículo 2 estará integrado dentro del
Sistema interno de información a que se refiere el artículo 5.

2. El canal interno deberá permitir realizar comunicaciones por escrito o verbalmente, o de las dos
formas. La información se podrá realizar bien por escrito, a través de correo postal o a través de
cualquier medio electrónico habilitado al efecto, o verbalmente, por vía telefónica o a través de
sistema de mensajería de voz. A solicitud del informante, también podrá presentarse mediante una
reunión presencial dentro del plazo máximo de siete días.

En su caso, se advertirá al informante de que la comunicación será grabada y se le informará del

tratamiento de sus datos de acuerdo a lo que establecen el Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016.

Además, a quienes realicen la comunicación a través de canales internos se les informará, de

forma clara y accesible, sobre los canales externos de información ante las autoridades
competentes y, en su caso, ante las instituciones, órganos u organismos de la Unión Europea.

Al hacer la comunicación, el informante podrá indicar un domicilio, correo electrónico o lugar seguro
a efectos de recibir las notificaciones.

Las comunicaciones verbales, incluidas las realizadas a través de reunión presencial,

telefónicamente o mediante sistema de mensajería de voz, deberán documentarse de alguna de
las maneras siguientes:

a) mediante una grabación de la conversación en un formato seguro, duradero y accesible, o

31
b) a través de una transcripción completa y exacta de la conversación realizada por el personal
responsable de tratarla.

Sin perjuicio de los derechos que le corresponden de acuerdo a la normativa sobre protección de
datos, se ofrecerá al informante la oportunidad de comprobar, rectificar y aceptar mediante su
firma la transcripción del mensaje.

3. Los canales internos de información permitirán incluso la presentación y posterior tramitación de

comunicaciones anónimas.

4. Los canales internos de información podrán estar habilitados por la entidad que los gestione para
la recepción de cualesquiera otras comunicaciones o informaciones fuera del ámbito establecido
en el artículo 2, si bien dichas comunicaciones y sus remitentes quedarán fuera del ámbito de
protección dispensado por la misma.

Artículo 8. Responsable del Sistema interno de información.

1. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado por

esta ley será el competente para la designación de la persona física responsable de la gestión de
dicho sistema o “Responsable del Sistema”, y de su destitución o cese.

2. Si se optase por que el Responsable del Sistema fuese un órgano colegiado, este deberá delegar
en uno de sus miembros las facultades de gestión del Sistema interno de información y de
tramitación de expedientes de investigación.

3. Tanto el nombramiento como el cese de la persona física individualmente designada, así como
de las integrantes del órgano colegiado deberá ser notificado a la Autoridad Independiente de
Protección del Informante, A.A.I. regulada en el título VIII en el plazo de los diez días hábiles
siguientes, especificando, en el caso de su cese, las razones que han justificado el mismo.

4. El Responsable del Sistema deberá desarrollar sus funciones de forma independiente y

autónoma respecto del resto de los órganos de organización de la entidad u organismo.

5. En el caso del sector privado, el Responsable del Sistema persona física o la persona en quien
el órgano colegiado responsable haya delegado sus funciones, será un directivo de la entidad, que
asumirá exclusivamente dichas funciones y que ejercerá su cargo con independencia del órgano
de administración o de gobierno de la misma. Cuando la naturaleza o la dimensión de las
actividades de la entidad no justifiquen o permitan la existencia de un directivo Responsable del

32
Sistema, será posible el desempeño ordinario de las funciones del puesto o cargo con las de
Responsable del Sistema, tratando en todo caso de evitar posibles situaciones de conflicto de
interés.

6. En las entidades u organismos en las que ya existiera un responsable de la función de

cumplimiento normativo, cualquiera que fuese su denominación, podrá ser este la persona
designada como Responsable del Sistema, siempre que cumpla los requisitos establecidos en esta
ley.

Artículo 9. Procedimiento de gestión de informaciones.

1. El órgano de administración u órgano de gobierno de cada entidad u organismo obligado por

esta ley aprobará el procedimiento de gestión de informaciones. El Responsable del Sistema
responderá de su tramitación diligente.

2. El procedimiento establecerá las previsiones necesarias para que el Sistema interno de

información y los canales internos de información existentes cumplan con los requisitos
establecidos en esta ley. En particular, el procedimiento responderá al contenido mínimo y
principios siguientes:

a) Identificación del canal o canales internos de información a los que se asocian.

b) Inclusión de información clara y accesible sobre los canales externos de información ante las
autoridades competentes y, en su caso, ante las instituciones, órganos u organismos de la Unión
Europea.

c) Envío de acuse de recibo de la comunicación al informante, en el caso de que este se identifique,

en el plazo de siete días naturales siguientes a su recepción, salvo que ello pueda poner en peligro
la confidencialidad de la comunicación.

d) Determinación del plazo máximo para dar respuesta a las actuaciones de investigación, que no
podrá ser superior a tres meses a contar desde la recepción de la comunicación o, si no se remitió
un acuse de recibo al informante, a tres meses a partir del vencimiento del plazo de siete días
después de efectuarse la comunicación.

e) Previsión de la posibilidad de mantener la comunicación con el informante y, si se considera

necesario, de solicitar a la persona informante información adicional.

33
f) Establecimiento del derecho de la persona afectada a que se le informe de las acciones u
omisiones que se le atribuyen, y a ser oída en cualquier momento. Dicha comunicación tendrá lugar
en el tiempo y forma que se considere adecuado para garantizar el buen fin de la investigación.

g) Garantía de la confidencialidad cuando la comunicación sea remitida a personal no competente,

al que se habrá formado en esta materia y advertido de la tipificación como infracción muy grave
de su quebranto y, asimismo, el establecimiento de la obligación del receptor de la comunicación
de remitirla inmediatamente al Responsable del Sistema.

h) Exigencia del respeto a la presunción de inocencia y al honor de las personas afectadas.

i) Respeto de las disposiciones sobre protección de datos personales de acuerdo a lo previsto en

el título VI.

j) Remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos
pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los
intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea.

CAPÍTULO II

Sistema interno de información en el sector privado

Artículo 10. Entidades obligadas del sector privado.

1. Estarán obligadas a disponer un Sistema interno de información en los términos previstos en

esta ley:

a) Las personas físicas o jurídicas del sector privado que tengan contratados 50 o más
trabajadores.

b) Las personas jurídicas del sector privado que entren en el ámbito de aplicación de los actos de
la Unión Europea en materia de servicios, productos y mercados financieros, prevención del
blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del
medio ambiente a que se refieren las partes I.B y II del anexo de la Directiva (UE) 2019/1937, del
Parlamento Europeo y del Consejo, de 23 de octubre de 2019, deberán disponer de un Sistema
interno de información que se regulará por su normativa específica con independencia del número

34
de trabajadores con que cuenten. En estos casos, esta ley será de aplicación en lo no regulado por
su normativa específica.

Se considerarán incluidas en el párrafo anterior las personas jurídicas que, pese a no tener su
domicilio en territorio nacional, desarrollen en España actividades a través de sucursales o agentes
o mediante prestación de servicios sin establecimiento permanente.

c) Los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones
creadas por unos y otros, siempre que reciban o gestionen fondos públicos.

2. Las personas jurídicas del sector privado que no estén vinculadas por la obligación impuesta en
el apartado 1 de este artículo podrán establecer su propio Sistema interno de información, que
deberá cumplir, en todo caso, los requisitos previstos en esta ley.

Artículo 11. Grupos de sociedades.

1. En el caso de un grupo de empresas conforme al artículo 42 del Código de Comercio, la sociedad

dominante aprobará una política general relativa al Sistema interno de información a que se refiere
el artículo 6 y a la defensa del informante, y asegurará la aplicación de sus principios en todas las
entidades que lo integran, sin perjuicio de la autonomía e independencia de cada sociedad,
subgrupo o conjunto de sociedades integrantes que, en su caso, pueda establecer el respectivo
sistema de gobierno corporativo o de gobernanza del Grupo, y de las modificaciones o
adaptaciones que resulten necesarias para el cumplimiento de la normativa aplicable en cada caso.

2. El Responsable del Sistema podrá ser uno para todo el grupo, o bien uno para cada sociedad
integrante del mismo, subgrupo o conjunto de sociedades, en los términos que se establezcan por
la citada política. Por su parte, Sistema interno de información podrá ser uno para todo el grupo.

3. Será admisible el intercambio de información entre los diferentes Responsables del Sistema del
grupo, si los hubiera, para la adecuada coordinación y el mejor desempeño de sus funciones.

Artículo 12. Medios compartidos en el sector privado.

Las personas jurídicas del sector privado que tengan entre 50 y 249 trabajadores y que así lo
decidan, podrán compartir entre sí el Sistema interno de información y los recursos destinados a la
gestión y tramitación de las comunicaciones, tanto si la gestión del Sistema se lleva a cabo por la
propia entidad como si se ha externalizado, respetándose en todo caso las garantías previstas en
esta ley.

35
 CAPÍTULO III

Sistema interno de información en el sector público

Artículo 13. Entidades obligadas en el sector público.

1. Todas las entidades que integran el sector público estarán obligadas a disponer de un Sistema
interno de información en los términos previstos en esta ley.

A los efectos de esta ley se entienden comprendidos en el sector público:

a) La Administración General del Estado, las Administraciones de las comunidades autónomas y

Ciudades con Estatuto de Autonomía y las Entidades que integran la Administración Local.

b) Los Organismos y Entidades públicas vinculadas o dependientes de alguna Administración

pública, así como aquellas otras asociaciones y corporaciones en las que participen
Administraciones y organismos públicos.

c) Las Autoridades Administrativas Independientes, el Banco de España y las Entidades gestoras

y Servicios comunes de la Seguridad Social.

d) Las Universidades públicas.

e) Las Corporaciones de Derecho público.

f) Las fundaciones del sector público. A efectos de esta ley, se entenderá por fundaciones del sector
público aquellas que reúnan alguno de los siguientes requisitos:

1.º Que se constituyan de forma inicial, con una aportación mayoritaria, directa o indirecta, de una
o varias entidades integradas en el sector público, o bien reciban dicha aportación con posterioridad
a su constitución.

2.º Que el patrimonio de la fundación esté integrado en más de un 50 por ciento por bienes o
derechos aportados o cedidos por sujetos integrantes del sector público con carácter permanente.

3.º Que la mayoría de derechos de voto en su patronato corresponda a representantes del sector
público.

36
g) Las sociedades mercantiles en cuyo capital social la participación, directa o indirecta, de
entidades de las mencionadas en las letras a), b), c), d) y g) del presente apartado sea superior al
50 por 100, o en los casos en que, sin superar ese porcentaje, se encuentre respecto de las
referidas entidades en el supuesto previsto en el artículo 5 del texto refundido de la Ley del Mercado
de Valores, aprobado por Real Decreto Legislativo 4/2015, de 23 de octubre.

2. También deberán dotarse de un sistema interno de información, en los mismos términos

requeridos para las entidades del sector público enunciados en el apartado anterior, los órganos
constitucionales, los de relevancia constitucional e instituciones autonómicas análogas a los
anteriores.

3. En caso de organismos públicos con funciones de comprobación o investigación de

incumplimientos sujetos a esta norma, se distinguirá, al menos, entre un canal interno referente a
los propios incumplimientos del organismo o su personal, y el canal externo referente a las
comunicaciones que reciba de los incumplimientos de terceros cuya investigación corresponda a
sus competencias.

4. En caso de que un organismo público con competencias en materia de investigación reciba

informaciones referentes a los incumplimientos de terceros en el plazo de duración establecido en
la letra c)) del artículo 9.2, se resolverá si procede o no iniciar una comprobación o investigación
del sujeto afectado dando traslado de ello al informante.

Una vez ultimado el procedimiento de comprobación o investigación, se comunicará al informante

el resultado de la comprobación. Si los datos e informes que figuran en el expediente tienen
carácter reservado o confidencial de acuerdo con alguna disposición con rango de ley, el contenido
de del resultado que se traslade al informante tendrá carácter genérico.

5. Las decisiones adoptadas por los organismos públicos con funciones de comprobación o
investigación en relación con las informaciones no serán recurribles en vía administrativa ni en vía
contencioso-administrativa.

Artículo 14. Medios compartidos en el sector público.

1. Los municipios de menos de 10.000 habitantes, entre sí o con cualesquiera otras

Administraciones públicas que se ubiquen dentro del territorio de la comunidad autónoma, podrán
compartir el Sistema interno de información y los recursos destinados a las investigaciones y las
tramitaciones.

37
2. Asimismo, las entidades pertenecientes al sector público con personalidad jurídica propia
vinculadas o dependientes de órganos de las Administraciones territoriales, y que cuenten con
menos de 50 trabajadores, podrán compartir con la Administración de adscripción el Sistema
interno de información y los recursos destinados a las investigaciones y las tramitaciones.

3. En todo caso, deberá garantizarse que los sistemas resulten independientes entre sí y los
canales aparezcan diferenciados respecto del resto de entidades u organismos, de modo que no
se genere confusión a los ciudadanos.

Artículo 15. Gestión del Sistema interno de información por tercero externo.

La gestión del Sistema interno de información por un tercero externo en el ámbito de la

Administración del Estado, las Administraciones autonómicas y ciudades con Estatuto de
Autonomía y las Entidades que integran la Administración Local solo podrá acordarse en aquellos
casos en que se acredite una insuficiencia de medios propios, conforme a lo dispuesto en el artículo
116 apartado cuarto letra f) de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público,
por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo
y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014. Esta gestión comprenderá
únicamente el procedimiento para la recepción de las informaciones sobre infracciones y, en todo
caso, tendrá carácter exclusivamente instrumental.

TÍTULO III

Canal externo de información

Artículo 16. Comunicación a través del canal externo de información de la Autoridad Independiente
de Protección del Informante, A.A.I.

Toda persona física podrá informar ante la Autoridad Independiente de Protección del Informante,
A.A.I. regulada en el título VIII, la comisión de cualesquiera acciones u omisiones incluidas en el
ámbito de aplicación de esta ley, ya sea directamente o previa comunicación a través del
correspondiente canal interno.

38
Artículo 17. Recepción de informaciones.

1. La información puede llevarse a cabo de forma anónima. En otro caso, se reservará la identidad
del informante en los términos del artículo 33, debiendo adoptarse las medidas en él previstas.

2. La información se podrá realizar por escrito, a través de correo postal o a través de cualquier
medio electrónico habilitado al efecto dirigido al canal externo de informaciones de la Autoridad
Independiente de Protección del Informante, A.A.I., o verbalmente, por vía telefónica o a través de
sistema de mensajería de voz. A solicitud del informante, también podrá presentarse mediante una
reunión presencial, dentro del plazo máximo de siete días. En los casos de comunicación verbal se
advertirá al informante de que la comunicación será grabada y se le informará del tratamiento de
sus datos de acuerdo con lo que establecen el Reglamento (UE) 2016/679 del Parlamento Europeo
y del Consejo, de 27 de abril de 2016, y la Ley Orgánica 3/2018, de 5 de diciembre.

Al presentar la información, el informante podrá indicar un domicilio, correo electrónico o lugar

seguro a efectos de recibir las notificaciones, pudiendo asimismo renunciar expresamente a la
recepción de cualquier comunicación de actuaciones llevadas a cabo por la Autoridad
Independiente de Protección del Informante, A.A.I. como consecuencia de la información.

En caso de comunicación verbal, incluidas las realizadas a través de reunión presencial,

telefónicamente o mediante sistema de mensajería de voz, la Autoridad Independiente de
Protección del Informante, A.A.I. deberá documentarla de alguna de las maneras siguientes:

a) mediante una grabación de la conversación en un formato seguro, duradero y accesible, o

b) a través de una transcripción completa y exacta de la conversación realizada por el personal

responsable de tratarla.

Sin perjuicio de los derechos que le corresponden de acuerdo a la normativa sobre protección de
datos, se ofrecerá al informante la oportunidad de comprobar, rectificar y aceptar mediante su firma
la transcripción del mensaje.

3. Presentada la información, se procederá a su registro en el Sistema de Gestión de Información,

siéndole asignado un código de identificación. El Sistema de Gestión de Información estará
contenido en una base de datos segura y de acceso restringido exclusivamente al personal de la
Autoridad Independiente de Protección del Informante, A.A.I. convenientemente autorizado, en la
que se registrarán todas las comunicaciones recibidas, cumplimentando los siguientes datos:

39
a) Fecha de recepción.

b) Código de identificación.

c) Actuaciones desarrolladas.

d) Medidas adoptadas.

e) Fecha de cierre.

4. Recibida la información, en un plazo no superior a cinco días hábiles desde dicha recepción, se
procederá a acusar recibo de la misma, a menos que aquella sea anónima, que el informante
expresamente haya renunciado a recibir comunicaciones relativas a la investigación o, que la
Autoridad Independiente de Protección del Informante, A.A.I. considere razonablemente que el
acuse de recibo de la información comprometería la protección de la identidad del informante.

Artículo 18. Trámite de admisión.

1. Registrada la información, la Autoridad Independiente de Protección del Informante, A.A.I.,

deberá comprobar si aquella expone hechos o conductas que se encuentran dentro del ámbito de
aplicación recogido en el artículo 2.

2. Realizado este análisis preliminar, la Autoridad Independiente de Protección del Informante,

A.A.I., decidirá, en un plazo que no podrá ser superior a diez días hábiles desde la fecha de entrada
en el registro de la información:

a) Inadmitir la comunicación, en alguno de los siguientes casos:

1.º Cuando los hechos relatados carezcan de toda verosimilitud.

2.º Cuando los hechos relatados no sean constitutivos de infracción del ordenamiento jurídico
incluida en el ámbito de aplicación de esta ley.

3.º Cuando la comunicación carezca manifiestamente de fundamento o existan, a juicio de la

Autoridad Independiente de Protección del Informante, A.A.I., indicios racionales de haberse
obtenido mediante la comisión de un delito. En este último caso, además de la inadmisión, se
remitirá al Ministerio Fiscal relación circunstanciada de los hechos que se estimen constitutivos de
delito.

40
4.º Cuando la comunicación no contenga información nueva y significativa sobre infracciones en
comparación con una comunicación anterior respecto de la cual han concluido los correspondientes
procedimientos, a menos que se den nuevas circunstancias de hecho o de Derecho que justifiquen
un seguimiento distinto. En estos casos, la Autoridad Independiente de Protección del Informante,
A.A.I., notificará la resolución de manera motivada.

La inadmisión se comunicará al informante dentro de los cinco días hábiles siguientes, salvo que
la comunicación fuera anónima o el informante hubiera renunciado a recibir comunicaciones de la
Autoridad Independiente de Protección del Informante, A.A.I.

b) Admitir a trámite la comunicación.

La admisión a trámite se comunicará al informante dentro de los cinco días hábiles siguientes, salvo
que la comunicación fuera anónima o el informante hubiera renunciado a recibir comunicaciones
de la Autoridad Independiente de Protección del Informante, A.A.I.

c) Remitir con carácter inmediato la información al Ministerio Fiscal cuando los hechos pudieran
ser indiciariamente constitutivos de delito o a la Fiscalía Europea en el caso de que los hechos
afecten a los intereses financieros de la Unión Europea.

d) Remitir la comunicación a la autoridad, entidad u organismo que se considere competente para

su tramitación.

Artículo 19. Instrucción.

1. La instrucción comprenderá todas aquellas actuaciones encaminadas a comprobar la

verosimilitud de los hechos relatados.

2. Se garantizará que la persona afectada por la información tenga noticia de la misma, así como
de los hechos relatados de manera sucinta. Adicionalmente se le informará del derecho que tiene
a presentar alegaciones por escrito y del tratamiento de sus datos personales. No obstante, esta
información podrá efectuarse en el trámite de audiencia si se considerara que su aportación con
anterioridad pudiera facilitar la ocultación, destrucción o alteración de las pruebas.

En ningún caso se comunicará a los sujetos afectados la identidad del informante ni se dará acceso
a la comunicación. Durante la instrucción se dará noticia de la comunicación con sucinta relación
de hechos al investigado. Esta información podrá efectuarse en el trámite de audiencia si se

41
considera que su aportación con anterioridad pudiera facilitar la ocultación, destrucción o alteración
de las pruebas.

3. Sin perjuicio del derecho a formular alegaciones por escrito, la instrucción comprenderá, siempre
que sea posible, una entrevista con la persona afectada en la que, siempre con absoluto respeto a
la presunción de inocencia, se le invitará a exponer su versión de los hechos y a aportar aquellos
medios de prueba que considere adecuados y pertinentes.

A fin de garantizar el derecho de defensa de la persona afectada, la misma tendrá acceso al

expediente sin revelar información que pudiera identificar a la persona informante, pudiendo ser
oída en cualquier momento y se le advertirá de la posibilidad de comparecer asistida de abogado.

4. Los funcionarios de la Autoridad Independiente de Protección de Informante, A.A.I. que

desarrollen actividades de investigación tendrán la consideración de agentes de la autoridad en el
ejercicio de sus funciones y estarán obligados a guardar secreto sobre las informaciones que
conozcan con ocasión de dicho ejercicio.

5. Todas las personas naturales o jurídicas, privadas o públicas, deberán colaborar con las
autoridades competentes y estarán obligadas a atender los requerimientos que se les dirijan para
aportar documentación, datos o cualquier información relacionada con los procedimientos que se
estén tramitando, incluso los datos personales que le fueran requeridos.

Artículo 20. Terminación de las actuaciones.

1. Concluidas todas las actuaciones, la Autoridad Independiente de Protección del Informante,

A.A.I. emitirá un informe que contendrá al menos:

a) Una exposición de los hechos relatados junto con el código de identificación de la comunicación
y la fecha de registro.

b) La clasificación de la comunicación a efectos de conocer su prioridad o no en su tramitación.

c) Las actuaciones realizadas con el fin de comprobar la verosimilitud de los hechos.

d) Las conclusiones alcanzadas en la instrucción y la valoración de las diligencias y de los indicios

que las sustentan.

2. Emitido el informe, la Autoridad Independiente de Protección del Informante, A.A.I., adoptará

alguna de las siguientes decisiones:

42
a) Archivo del expediente, que será notificado al informante y, en su caso, a la persona afectada.
En estos supuestos, el informante tendrá derecho a la protección prevista en esta ley, salvo que,
como consecuencia de las actuaciones llevadas a cabo en fase de instrucción, se concluyera que
la información a la vista de la información recabada, debía haber sido inadmitida por concurrir las
causas previstas en el artículo 18.2.a).

b) Remisión al Ministerio Fiscal si, pese a no apreciar inicialmente indicios de que los hechos
pudieran revestir el carácter de delito, así resultase del curso de la instrucción. Si el delito afectase
a los intereses financieros de la Unión Europea, lo remitirá a la Fiscalía Europea.

c) Traslado de todo lo actuado a la autoridad competente, de conformidad con lo dispuesto en el

artículo 18.2.c).

d) Adopción de acuerdo de inicio de un procedimiento sancionador en los términos previstos en el

título IX.

3. El plazo para finalizar las actuaciones y dar respuesta al informante, en su caso, no podrá ser
superior a tres meses desde la entrada en registro de la información. Cualquiera que sea la
decisión, se comunicará al informante, salvo que haya renunciado a ello o que la comunicación sea
anónima.

4. Las decisiones adoptadas por la Autoridad Independiente de Protección del Informante, A.A.I.,
en las presentes actuaciones no serán recurribles en vía administrativa ni en vía contencioso
administrativa, sin perjuicio del recurso administrativo o contencioso administrativo que pudiera
interponerse frente a la eventual resolución que ponga fin al procedimiento sancionador que
pudiera incoarse con ocasión de los hechos relatados.

5. La presentación de una comunicación por el informante no le confiere, por si sola, la condición

de interesado.

Artículo 21. Derechos y garantías del informante ante la Autoridad Independiente de Protección del
Informante, A.A.I.

El informante tendrá las siguientes garantías en sus actuaciones ante la Autoridad Independiente
de Protección del Informante, A.A.I.:

43
1.º Decidir si desea formular la comunicación de forma anónima o no anónima; en este segundo
caso se garantizará la reserva de identidad del informante, de modo que esta no sea revelada a
terceras personas.

2.º Formular la comunicación verbalmente o por escrito.

3.º Indicar un domicilio, correo electrónico o lugar seguro donde recibir las comunicaciones que
realice la Autoridad Independiente de Protección del Informante, A.A.I. a propósito de la
investigación.

4.º Renunciar, en su caso, a recibir comunicaciones de la Autoridad Independiente de Protección

del Informante, A.A.I.

5.º Comparecer ante la Autoridad Independiente de Protección del Informante, A.A.I., por propia
iniciativa o cuando sea requerido por esta, siendo asistido, en su caso y si lo considera oportuno,
por abogado.

6.º Solicitar a la Autoridad Independiente de Protección del Informante, A.A.I. que la comparecencia
ante la misma sea realizada por videoconferencia u otros medios telemáticos seguros que
garanticen la identidad del informante, y la seguridad y fidelidad de la comunicación.

7.º Ejercer los derechos que le confiere la legislación de protección de datos de carácter personal.

Artículo 22. Publicación y revisión del procedimiento de gestión de informaciones.

La Autoridad Independiente de Protección del Informante, A.A.I. deberá publicar su procedimiento

de gestión de informaciones.

Cada tres años revisará, y en su caso, modificará dicho procedimiento teniendo en cuenta su
experiencia y la de otras autoridades competentes. La modificación será asimismo objeto de
publicación.

Artículo 23. Traslado de la comunicación por otras autoridades a la Autoridad Independiente de

Protección del Informante, A.A.I.

Cualquier autoridad que reciba una comunicación y no tenga competencias para investigar los
hechos relatados por tratarse de alguna de las infracciones previstas en el título IX, deberá remitirla
a la Autoridad Independiente de Protección del Informante, A.A.I. dentro de los diez días siguientes

44
a aquel en el que la hubiera recibido. La remisión se comunicará al informante dentro de dicho
plazo.

Artículo 24. Informaciones sujetas a la competencia de las Autoridades independientes de

protección a informantes.

1. La Autoridad Independiente de Protección del Informante, A.A.I. regulada en el título VIII es la

autoridad competente para la tramitación, a través del canal externo, de las informaciones que
afecten a los siguientes sujetos:

a) La Administración General del Estado y entidades que integran el sector público estatal.

b) Las Administraciones de las comunidades autónomas, las entidades que integran la

Administración y el sector público institucional autonómico o local, cuando se atribuya la
competencia a la Autoridad Independiente de Protección del Informante, A.A.I. en virtud de un
convenio.

c) Resto de entidades del sector público, los órganos constitucionales y los órganos de relevancia
constitucional a que se refiere el artículo 13.

d) Entidades que integran el sector privado, cuando la infracción o el incumplimiento informado

afecte o produzca sus efectos en el ámbito territorial de más de una comunidad autónoma.

2. La Autoridad Independiente u órgano que pueda señalarse en cada comunidad autónoma, lo

será respecto de las informaciones que afecten al sector público autonómico y local de su
respectivo territorio, sin perjuicio de lo indicado en el apartado anterior, y a las entidades que formen
parte del sector privado, cuando el incumplimiento comunicado se circunscriba al ámbito territorial
de la correspondiente comunidad autónoma.

3. Cuando se reciba una comunicación por un canal que no sea el competente o por los miembros
del personal que no sean los responsables de su tratamiento, las autoridades competentes
garantizarán mediante el procedimiento de gestión del Sistema establecido que el personal que lo
haya recibido no pueda revelar cualquier información que pudiera permitir identificar al informante
o a la persona afectada y que remitan con prontitud la comunicación, sin modificarla, al
Responsable del Sistema de información.

45
 TÍTULO IV

Publicidad de la información y Registro de informaciones

Artículo 25. Información sobre los canales interno y externo de información.

Los sujetos comprendidos dentro del ámbito de aplicación de esta ley proporcionarán la información
adecuada de forma clara y fácilmente accesible, sobre el uso de todo canal interno de información
que hayan implantado, así como sobre los principios esenciales del procedimiento de gestión. En
caso de contar con una página web, dicha información deberá constar en la página de inicio, en
una sección separada y fácilmente identificable.

De igual modo, las autoridades competentes a las que se refiere el artículo 24 publicarán, en una
sección separada, fácilmente identificable y accesible de su sede electrónica, como mínimo, la
información siguiente:

a) las condiciones para poder acogerse a la protección en virtud de esta ley;

b) los datos de contacto para los canales externos de información previstos en el título III, en
particular, las direcciones electrónica y postal y los números de teléfono asociados a dichos
canales, indicando si se graban las conversaciones telefónicas;

c) los procedimientos de gestión, incluida la manera en que la autoridad competente puede solicitar
al informante aclaraciones sobre la información comunicada o que proporcione información
adicional, el plazo para dar respuesta al informante, en su caso, y el tipo y contenido de dicha
respuesta;

d) el régimen de confidencialidad aplicable a las comunicaciones, y en particular, la información

sobre el tratamiento de los datos personales de conformidad con lo dispuesto en el Reglamento
(UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, en la Ley Orgánica
3/2018, de 5 de diciembre, y en el título VI;

e) las vías de recurso y los procedimientos para la protección frente a represalias, y la disponibilidad
de asesoramiento confidencial. En particular, se contemplarán las condiciones de exención de
responsabilidad y los programas de clemencia a los que se refieren los artículos 40 y 41; y

46
f) los datos de contacto de la Autoridad Independiente de Protección del Informante, A.A.I. prevista
en el título VIII o de la autoridad u organismo competente de que se trate.

Artículo 26. Registro de informaciones

1. Todos los sujetos obligados, de acuerdo con lo dispuesto en esta ley, a disponer de un canal
interno de informaciones, con independencia de que formen parte del sector público o del sector
privado, deberán contar con un libro-registro de las informaciones recibidas y de las investigaciones
internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad
previstos en esta ley.

Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente,
mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá
accederse total o parcialmente al contenido del referido registro.

2. Los datos personales relativos a las informaciones recibidas y a las investigaciones internas a
que se refiere el párrafo anterior solo se conservarán durante el período que sea necesario y
proporcionado a efectos de cumplir con esta ley. En particular, se tendrá en cuenta lo previsto en
los apartados tercero y cuarto del artículo 32. En ningún caso podrán conservarse los datos por un
período superior a 10 años.

TITULO V

Revelación pública

Artículo 27. Concepto.

1. Se entenderá por revelación pública la puesta a disposición del público de información sobre
acciones u omisiones en los términos previstos en esta ley.

2. A las personas que hagan una revelación pública de las acciones u omisiones previstas en el
artículo 2 les será aplicable el régimen de protección establecido en su título VII cuando se cumpla
alguna de las condiciones establecidas en el artículo siguiente.

47
Artículo 28. Condiciones de protección.

1. La persona que haga una revelación pública podrá acogerse a protección en virtud de esta ley
si se cumple con las condiciones de protección reguladas en el título VII y alguna de las condiciones
siguientes:

a) Que haya realizado la comunicación primero por canales internos y externos, o directamente por
canales externos, de conformidad con los títulos II y III, sin que se hayan tomado medidas
apropiadas al respecto en el plazo establecido.

b) Que tenga motivos razonables para pensar que:

i) la infracción puede constituir un peligro inminente o manifiesto para el interés público, en

particular cuando se da una situación de emergencia, o existe un riesgo de daños irreversibles,
incluido un peligro para la integridad física de una persona, o

ii) en caso de comunicación a través de canal externo de información, exista un elevado riesgo de
represalias o haya pocas probabilidades de que se dé un tratamiento efectivo a la información
debido a las circunstancias particulares del caso, tales como la ocultación o destrucción de pruebas
o la connivencia de una autoridad con el autor de la infracción o esté implicada en la infracción.

2. La condiciones para acogerse a protección previstas en el apartado anterior no serán exigibles

cuando la persona haya revelado información directamente a la prensa con arreglo al ejercicio de
la libertad de expresión y de información veraz previstas constitucionalmente y en su legislación de
desarrollo.

TITULO VI

Protección de datos personales

Artículo 29. Régimen jurídico del tratamiento de datos personales.

Los tratamientos de datos personales que deriven de la aplicación de esta ley se regirán por lo
dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril
de 2016, en la Ley Orgánica 3/2018, de 5 de diciembre, en la Ley Orgánica 7/2021, de 26 de mayo,

48
de protección de datos personales tratados para fines de prevención, detección, investigación y
enjuiciamiento de infracciones penales y de ejecución de sanciones penales, y en el presente título.

No se recopilarán datos personales cuya pertinencia no resulte manifiesta para tratar una
información específica o, si se recopilan por accidente, se eliminarán sin dilación indebida.

Artículo 30. Licitud de los tratamientos de datos personales.

1. Se considerarán lícitos los tratamientos de datos personales necesarios para la aplicación de

esta ley.

2. El tratamiento de datos personales, en los supuestos de comunicación internos, se entenderá

lícito en base a lo que disponen los artículos 6.1.c) del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo, de 27 de abril de 2016, 8 de la Ley Orgánica 3/2018, de 5 de diciembre, y
11 de la Ley Orgánica 7/2021, de 26 de mayo, cuando, de acuerdo a lo establecido en los artículos
11 y 14, sea obligatorio disponer de un sistema interno de información.

Si no fuese obligatorio, el tratamiento se presumirá amparado en el artículo 6.1.e) del citado

Reglamento.

3. El tratamiento de datos personales en los supuestos de canales de comunicación externos se

entenderá lícito en base a lo que disponen los artículos 6.1.c) del Reglamento (UE) 2016/679, 8 de
la Ley Orgánica 3/2018, de 5 de diciembre, y 11 de la Ley Orgánica 7/2021, de 26 de mayo.

4. El tratamiento de datos personales derivado de una revelación pública se presumirá amparado

en lo dispuesto en los artículos 6.1.e) del Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo, de 27 de abril de 2016, y 11 de la Ley Orgánica 7/2021, de 26 de mayo.

5. El tratamiento de las categorías especiales de datos personales por razones de un interés

público esencial se podrá realizar conforme a lo previsto en el artículo 9.2.g) del Reglamento
general de protección de datos.

Artículo 31. Información sobre protección de datos personales y ejercicio de derechos.

1. Cuando se obtengan directamente de los interesados sus datos personales se les facilitará la
información a que se refieren los artículos 13 del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo, de 27 de abril de 2016 y 11 de la Ley Orgánica 3/2018, de 5 de diciembre.

49
A los informantes y a quienes lleven a cabo una revelación pública se les informará, además, de
forma expresa, de que su identidad será en todo caso reservada, que no se comunicará a las
personas a las que se refieren los hechos relatados ni a terceros.

2. La persona a la que se refieran los hechos relatados no será en ningún caso informada de la
identidad del informante o de quien haya llevado a cabo la revelación pública.

3. Los interesados podrán ejercer los derechos a que se refieren los artículos 15 a 22 del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016.

4. En caso de que la persona a la que se refieran los hechos relatados en la comunicación o a la

que se refiera la revelación pública ejerciese el derecho de oposición se presumirá que, salvo
prueba en contrario, existen motivos legítimos imperiosos que legitiman el tratamiento de sus datos
personales.

Artículo 32. Tratamiento de datos personales en el Sistema interno de información.

1. El acceso a los datos personales contenidos en el Sistema interno de información quedará

limitado, dentro del ámbito de sus competencias y funciones, exclusivamente a:

a) El Responsable del Sistema y a quien lo gestione directamente.

b) El responsable de recursos humanos, solo cuando pudiera proceder la adopción de medidas

disciplinarias contra un trabajador. En el caso de los empleados públicos, el órgano competente
para la tramitación del mismo.

c) El responsable de los servicios jurídicos de la entidad u organismo, si procediera la adopción de

medidas legales en relación con los hechos relatados en la comunicación.

d) Los encargados del tratamiento que eventualmente se designen.

e) El Delegado de Protección de Datos.

2. Será lícito el tratamiento de los datos por otras personas, o incluso su comunicación a terceros,
cuando resulte necesario para la tramitación de los procedimientos sancionadores o penales que,
en su caso, procedan.

En ningún caso serán objeto de tratamiento los datos personales que no sean necesarios para el
conocimiento e investigación de las acciones u omisiones a las que se refiere el artículo 2,

50
procediéndose, en su caso, a su inmediata supresión. Asimismo, se suprimirán todos aquellos
datos personales que se puedan haber comunicado y que se refieran a conductas que no estén
incluidas en el ámbito de aplicación de la ley.

Si la información recibida contuviera datos personales incluidos dentro de las categorías especiales
de datos, se procederá a su inmediata supresión, sin que se proceda al registro y tratamiento de
los mismos.

3. Los datos que sean objeto de tratamiento podrán conservarse en el sistema de informaciones
únicamente durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una
investigación sobre los hechos informados.

Si se acreditara que la información facilitada o parte de ella no es veraz, deberá procederse a su

inmediata supresión desde el momento en que se tenga constancia de dicha circunstancia.

4. En todo caso, transcurridos tres meses desde la recepción de la comunicación sin que se
hubiesen iniciado actuaciones de investigación, deberá procederse a su supresión, salvo que la
finalidad de la conservación sea dejar evidencia del funcionamiento del sistema. Las
comunicaciones a las que no se haya dado curso solamente podrán constar de forma anonimizada,
sin que sea de aplicación la obligación de bloqueo prevista en el artículo 32 de la Ley Orgánica
3/2018, de 5 de diciembre.

5. Los empleados y terceros deberán ser informados acerca del tratamiento de datos personales
en el marco de los Sistemas de información a que se refiere el presente artículo.

Artículo 33. Preservación de la identidad del informante y de las personas afectadas.

1. Quien presente una comunicación o lleve a cabo una revelación pública tiene derecho a que su
identidad no sea revelada a terceras personas.

2. Los sistemas internos de información, los canales externos y quienes reciban revelaciones
públicas no obtendrán datos que permitan la identificación del informante y deberán contar con
medidas técnicas y organizativas adecuadas para preservar la identidad y garantizar la
confidencialidad de los datos correspondientes a las personas afectadas y a cualquier tercero que
se mencione en la información suministrada, especialmente la identidad del informante en caso de
que se hubiera identificado.

51
3. La identidad del informante solo podrá ser comunicada a la Autoridad judicial, al Ministerio Fiscal
o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o
sancionadora.

Las revelaciones hechas en virtud de este apartado estarán sujetas a salvaguardas establecidas
en la normativa aplicable. En particular, se trasladará al informante antes de revelar su identidad,
salvo que dicha información pudiera comprometer la investigación o el procedimiento judicial.
Cuando la autoridad competente lo comunique al informante, le remitirá un escrito explicando los
motivos de la revelación de los datos confidenciales en cuestión.

Artículo 34. Delegado de protección de datos.

1. Las entidades obligadas a disponer de un sistema interno de información, así como los terceros
externos que en su caso lo gestionen, cuando, conforme al Reglamento (UE) 2016/679del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, no tuvieran la obligación previa de su
designación, deberán nombrar un Delegado de protección de datos competente para todos los
tratamientos llevados a cabo incluido dicho Sistema interno de información.

2. Asimismo, de acuerdo a lo que dispone el artículo 37.1.a) del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de abril de 2016, deberán nombrarlo la Autoridad
Independiente de Protección del Informante, A.A.I. y las autoridades independientes que en su
caso se constituyan.

TITULO VII

Medidas de protección

Artículo 35. Condiciones de protección.

1. Las personas que comuniquen o revelen infracciones previstas en el artículo 2, tendrán derecho
a protección siempre que:

a) tengan motivos razonables para pensar que la información referida es veraz en el momento de
la comunicación o revelación, aun cuando no aporten pruebas concluyentes, y que la citada
información entra dentro del ámbito de aplicación de esta ley, y

52
b) la comunicación o revelación se haya realizado conforme a los requerimientos previstos en esta
ley.

2. Quedan expresamente excluidos de la protección prevista en esta ley aquellas personas que
comuniquen o revelen:

a) Informaciones contenidas en comunicaciones que hayan sido inadmitidas por algún canal interno
de información o por alguna de las causas previstas en el artículo 18.2.a).

b) Informaciones vinculadas a reclamaciones sobre conflictos interpersonales o que afecten

únicamente al informante y a las personas a las que se refiera la comunicación o revelación.

c) Informaciones que ya estén completamente disponibles para el público, o que constituyan meros
rumores;

d) Informaciones que se refieran a acciones u omisiones no comprendidas en el artículo 2.

3. Las personas que hayan comunicado o revelado públicamente información sobre acciones u
omisiones a que se refiere el artículo 2 de forma anónima pero que posteriormente hayan sido
identificadas y cumplan las condiciones previstas en esta ley, tendrán derecho a la protección que
la misma contiene.

4. Las personas que informen ante las instituciones, órganos u organismos pertinentes de la Unión
Europea infracciones que entren en el ámbito de aplicación de la Directiva (UE) 2019/1937 del
Parlamento Europeo y del Consejo, de 23 de octubre de 2019, tendrán derecho a protección con
arreglo a lo dispuesto en esta ley en las mismas condiciones que una persona que haya informado
por canales externos.

Artículo 36. Prohibición de represalias.

1. Se prohíben expresamente los actos constitutivos de represalia, incluidas las amenazas de

represalia y las tentativas de represalia contra las personas que presenten una comunicación
conforme a lo previsto en esta ley.

2. Se entiende por represalia cualesquiera actos u omisiones que estén prohibidos por la ley, o que,
de forma directa o indirecta, supongan un trato desfavorable que sitúe a las personas que las sufren
en desventaja particular con respecto a otra en el contexto laboral o profesional, solo por su
condición de informantes, o por haber realizado una revelación pública. Se exceptúa el supuesto

53
en que dicha acción u omisión pueda justificarse objetivamente en atención a una finalidad legítima
y que los medios para alcanzar dicha finalidad sean necesarios y adecuados.

3. A los efectos de lo previsto en esta ley, y a título enunciativo, se consideran represalias las que
se adopten en forma de:

a) Suspensión del contrato de trabajo, despido o extinción de la relación laboral o estatutaria,

incluyendo la no renovación o la terminación anticipada de un contrato de trabajo temporal una vez
superado el período de prueba, o terminación anticipada o anulación de contratos de bienes o
servicios, imposición de cualquier medida disciplinaria, degradación o denegación de ascensos y
cualquier otra modificación sustancial de las condiciones de trabajo y la no conversión de un
contrato de trabajo temporal en uno indefinido, en caso de que el trabajador tuviera expectativas
legítimas de que se le ofrecería un trabajo indefinido; salvo que estas medidas se llevaran a cabo
dentro del ejercicio regular del poder de dirección al amparo de la legislación laboral o reguladora
del estatuto del empleado público correspondiente, por circunstancias, hechos o infracciones
acreditadas, y ajenas a la presentación de la comunicación.

b) Daños, incluidos los de carácter reputacional, o pérdidas económicas, coacciones,

intimidaciones, acoso u ostracismo.

c) Evaluación o referencias negativas respecto al desempeño laboral o profesional.

d) Inclusión en listas negras o difusión de información en un determinado ámbito sectorial, que

dificulten o impidan el acceso al empleo o la contratación de obras o servicios.

e) Anulación de una licencia o permiso.

h) Denegación de formación.

i) Discriminación, o trato desfavorable o injusto.

4. La persona que viera lesionados sus derechos por causa de su comunicación o revelación una
vez transcurrido el plazo de dos años, podrá solicitar la protección de la autoridad competente que,
excepcionalmente y de forma justificada, podrá extender el periodo de protección, previa audiencia
de las personas u órganos que pudieran verse afectados.

5. Los actos administrativos que tengan por objeto impedir o dificultar la presentación de
comunicaciones y revelaciones, así como los que constituyan represalia o causen discriminación

54
tras la presentación de aquellas al amparo de esta ley, serán nulos de pleno derecho y darán lugar,
en su caso, a medidas correctoras disciplinarias o de responsabilidad, pudiendo incluir la
correspondiente indemnización de daños y perjuicios al perjudicado.

Artículo 37. Medidas de apoyo.

1. Las personas que comuniquen o revelen infracciones previstas en el artículo 2 a través de los
procedimientos previstos en esta ley podrán acceder a las medidas de apoyo siguientes:

a) información y asesoramiento completos e independientes, que sean fácilmente accesibles para

el público y gratuitos, sobre los procedimientos y recursos disponibles, protección frente a
represalias y derechos de la persona afectada;

b) asistencia efectiva por parte de las autoridades competentes ante cualquier autoridad pertinente
implicada en su protección frente a represalias, incluida, cuando así se contemple en el Derecho
nacional, la certificación de que pueden acogerse a protección al amparo de la presente ley,

c) apoyo financiero y psicológico, de forma excepcional, si así lo decidiese la Autoridad

Independiente de Protección del Informante, A.A.I. tras la valoración de las circunstancias
derivadas de la presentación de la comunicación.

2. Todo ello, con independencia de la asistencia que pudiera corresponder al amparo de la Ley
1/1996, de 10 de enero, de asistencia jurídica gratuita, para la representación y defensa en
procedimientos judiciales derivados de la presentación de la comunicación o revelación pública.

Artículo 38. Medidas de protección frente a represalias.

1. No se considerará que las personas que comuniquen información sobre las acciones u omisiones
recogidas en esta ley o que hagan una revelación pública de conformidad con esta ley hayan
infringido ninguna restricción de revelación de información, y estas no incurrirán en responsabilidad
de ningún tipo en relación con dicha comunicación o revelación pública, siempre que tuvieran
motivos razonables para pensar que la comunicación o revelación pública de dicha información era
necesaria para revelar una acción u omisión en virtud de esta ley, todo ello sin perjuicio de lo
dispuesto en el artículo 2.3. Esta medida no afectará a las responsabilidades de carácter penal.

Lo previsto en el párrafo anterior se extiende a la comunicación de informaciones realizadas por

los representantes de las personas trabajadoras, aunque se encuentren sometidas a obligaciones

55
legales de sigilo o de no revelar información reservada. Todo ello sin perjuicio de las normas
específicas de protección aplicables conforme a la normativa laboral.

2. Los informantes no incurrirán en responsabilidad respecto de la adquisición o el acceso a la

información que es comunicada o revelada públicamente, siempre que dicha adquisición o acceso
no constituya un delito o una falta muy grave.

3. Cualquier otra posible responsabilidad de los informantes derivada de actos u omisiones que no
estén relacionados con la comunicación o la revelación pública o que no sean necesarios para
revelar una infracción en virtud de esta ley serán exigibles conforme a la normativa aplicable.

4. En los procedimientos laborales ante un órgano jurisdiccional relativos a los perjuicios sufridos
por los informantes, una vez que el informante haya demostrado razonablemente que ha
comunicado o ha hecho una revelación pública de conformidad con esta ley y que ha sufrido un
perjuicio, se presumirá que el perjuicio se produjo como represalia por informar o por hacer una
revelación pública. En tales casos, corresponderá a la persona que haya tomado la medida
perjudicial probar que esa medida se basó en motivos debidamente justificados no vinculadas a la
comunicación o revelación pública.

5. En los procesos judiciales civiles o laborales, incluidos los relativos a difamación, violación de
derechos de autor, vulneración de secreto, infracción de las normas de protección de datos,
revelación de secretos empresariales, o a solicitudes de indemnización basadas en el derecho
laboral o estatutario, las personas a que se refiere esta ley no incurrirán en responsabilidad de
ningún tipo como consecuencia de comunicaciones o de revelaciones públicas protegidas por la
misma. Dichas personas tendrán derecho a alegar en su descargo el haber comunicado o haber
hecho una revelación pública, siempre que tuvieran motivos razonables para pensar que la
comunicación o revelación pública era necesaria para poner de manifiesto una infracción en virtud
de esta ley.

Artículo 39. Medidas para la protección de las personas afectadas.

Durante la tramitación del expediente las personas afectadas por la comunicación tendrán derecho
a la presunción de inocencia, al derecho de defensa y al derecho de acceso al expediente en los
términos regulados en esta ley, así como a la misma protección establecida para los informantes,
preservándose su identidad y garantizándose la confidencialidad de los hechos y datos del
procedimiento.

56
Artículo 40. Supuestos de exención y atenuación de la sanción.

1. Cuando una persona que hubiera participado en la comisión de la infracción administrativa objeto
de la información sea la que informe de su existencia mediante la presentación de la información y
siempre que la misma hubiera sido presentada con anterioridad a que hubiera sido notificada la
incoación del procedimiento de investigación o sancionador, el órgano competente para resolver el
procedimiento, mediante resolución motivada, podrá eximirle del cumplimiento de la sanción
administrativa que le correspondiera siempre que resulten acreditados en el expediente los
siguientes extremos:

a) Haber cesado en la comisión de la infracción en el momento de presentación de la comunicación

o revelación e identificado, en su caso, al resto de las personas que hayan participado o favorecido
aquella.

b) Haber cooperado plena, continua y diligentemente a lo largo de todo el procedimiento de

investigación.

c) Haber facilitado información veraz y relevante, medios de prueba o datos significativos para la
acreditación de los hechos investigados, sin que haya procedido a la destrucción de estos o a su
ocultación, ni haya revelado a terceros, directa o indirectamente su contenido.

d) Haber procedido a la reparación del daño causado que le sea imputable.

2. Cuando estos requisitos no se cumplan en su totalidad, incluida la reparación parcial del daño,
quedará a criterio de la autoridad competente, previa valoración del grado de contribución a la
resolución del expediente, la posibilidad de atenuar la sanción que habría correspondido a la
infracción cometida, siempre que el informante o autor de la revelación no haya sido sancionado
anteriormente por hechos de la misma naturaleza que dieron origen al inicio del procedimiento.

3. La atenuación de la sanción podrá extenderse al resto de los participantes en la comisión de la

infracción, en función del grado de colaboración activa en el esclarecimiento de los hechos,
identificación de otros participantes y reparación o minoración del daño causado, apreciado por el
órgano encargado de la resolución.

4. Lo dispuesto en este artículo no será de aplicación a las infracciones establecidas en la Ley

15/2007, de 3 de julio, de Defensa de la Competencia.

57
Artículo 41. Autoridades competentes.

Las medidas de apoyo previstas en el presente título serán prestadas por la Autoridad
Independiente de Protección del Informante, A.A.I. regulada en el título VIII, cuando se trate de
infracciones cometidas en el ámbito del sector privado y en el sector público estatal, y, en su caso,
por los órganos competentes de las comunidades autónomas, respecto de las infracciones en el
ámbito del sector público autonómico y local del territorio de la respectiva comunidad autónoma.

Lo anterior debe entenderse sin perjuicio de las medidas de apoyo y asistencia específicas que
puedan articularse por las entidades del sector público y privado.

TÍTULO VIII
Autoridad Independiente de Protección del Informante, A.A.I.

CAPÍTULO I
Disposiciones Generales

Artículo 42. Naturaleza.

1. Se autoriza la creación de la Autoridad Independiente de Protección del Informante, autoridad

administrativa independiente, como ente de derecho público de ámbito estatal, de las previstas en
la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, con personalidad jurídica
propia y plena capacidad pública y privada, que actuará en el desarrollo de su actividad y para el
cumplimiento de sus fines con plena autonomía e independencia orgánica y funcional respecto del
Gobierno, de las entidades integrantes del sector público y de los poderes públicos en el ejercicio
de sus funciones.

Su denominación oficial, de conformidad con lo establecido en el artículo 109.3 de la Ley 40/2015,

de 1 de octubre, será «Autoridad Independiente de Protección del Informante, A.A.I.».

2. La Autoridad Independiente de Protección del Informante, A.A.I., se relaciona con el Gobierno a

través del Ministerio de Justicia, al que está vinculada.

58
3. La Presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. convocará,
por iniciativa propia o cuando lo solicite otra autoridad, a las autoridades autonómicas de protección
del informante para contribuir a la aplicación coherente de la normativa en materia de protección
del informante. En todo caso, se celebrarán reuniones semestrales de cooperación.

La Presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. y las autoridades

autonómicas de protección del informante podrán solicitar y facilitarán el intercambio muto de la
información necesaria para el cumplimiento de sus funciones. Asimismo, podrán constituir grupos
de trabajo para tratar asuntos específicos de interés común.

4. En el desempeño de las funciones que le asigna la legislación, y sin perjuicio de la colaboración

con otros órganos y de las facultades de dirección de la política general del Gobierno ejercidas a
través de su capacidad normativa, ni el personal ni los miembros de los órganos de la Autoridad
Independiente de Protección del Informante, A.A.I. podrán solicitar o aceptar instrucciones de
ninguna entidad pública o privada.

Artículo 43. Funciones.

Para el cumplimiento de sus fines, la Autoridad Independiente de Protección del Informante, A.A.I.
tendrá las siguientes funciones:

1. Gestión del canal externo de comunicaciones regulado en el título III.

2. Adopción de las medidas de protección al informante previstas en esta ley.

3. Informar preceptivamente los anteproyectos y proyectos de disposiciones generales que afecten

a su ámbito de competencias y a las funciones que desarrolla.

4. Tramitación de los procedimientos sancionadores e imposición de sanciones por las infracciones

previstas en el título IX.

5. Elaboración de circulares y recomendaciones que establezcan los criterios y prácticas

adecuados para el cumplimiento de las disposiciones contenidas en esta ley.

59
 CAPÍTULO II

Régimen Jurídico

Artículo 44. Régimen jurídico.

1. La Autoridad Independiente de Protección del Informante, A.A.I. se rige por lo dispuesto en esta
ley y en su Estatuto.

Supletoriamente, en cuanto sea compatible con su plena independencia se regirá por las normas
citadas en el artículo 110.1 de la Ley 40/2015, de 1 de octubre.

2. El Consejo de Ministros aprobará, mediante real decreto, el Estatuto de la Autoridad

Independiente de Protección del Informante, A.A.I., por el que se desarrollará su estructura,
organización y funcionamiento interno.

Artículo 45. Régimen de personal.

1. El personal al servicio de la Autoridad Independiente de Protección del Informante, A.A.I. será

funcionario o laboral y se regirá por lo previsto en el texto refundido de la Ley del Estatuto Básico
del Empleado Público, aprobado por el Real Decreto Legislativo 5/2015, de 30 de octubre, y demás
normativa reguladora de los funcionarios públicos y, en su caso, por la normativa laboral.

2. La selección del personal directivo se ajustará a principios de competencia y aptitud profesional,

mérito y capacidad y a criterios de idoneidad, y se llevará a cabo mediante procedimientos que
garanticen la publicidad y concurrencia.

3. El personal al servicio de la Autoridad Independiente de Protección del Informante, A.A.I, recibirá

formación específica a los efectos de tratar las comunicaciones.

Artículo 46. Régimen de contratación.

1. Los contratos que celebre la Autoridad Independiente de Protección del Informante, A.A.I. se
ajustarán a lo dispuesto en la legislación sobre contratación del sector público.

60
2. La persona titular de la Presidencia de la Autoridad Independiente de Protección del Informante,
A.A.I., tendrá la consideración de órgano de contratación sin perjuicio de la posibilidad de delegar
sus funciones en la forma prevista en el Estatuto.

Artículo 47. Régimen patrimonial.

1. La Autoridad Independiente de Protección del Informante, A.A.I. tendrá patrimonio propio e

independiente del patrimonio de la Administración General del Estado.

2. La Autoridad Independiente de Protección del Informante, A.A.I. contará, para el cumplimiento

de sus fines, con los siguientes bienes y medios económicos:

a) Las asignaciones que se establezcan anualmente con cargo a los Presupuestos Generales del
Estado.

b) Los bienes y derechos que constituyan su patrimonio, así como los productos y rentas del mismo.

c) El porcentaje que se determine en la Ley de Presupuestos Generales del Estado sobre las
cantidades correspondientes a sanciones pecuniarias impuestas por la propia Autoridad en el
ejercicio de su potestad sancionadora.

d) Cualesquiera otros que legal o reglamentariamente puedan serle atribuidos.

Artículo 48. Régimen de asistencia jurídica.

La asistencia jurídica, consistente en el asesoramiento, representación y defensa en juicio de la

Autoridad Independiente de Protección del Informante, A.A.I., corresponderá a la Abogacía
General del Estado-Servicio Jurídico del Estado, mediante la formalización del oportuno convenio
en los términos previstos en la Ley 52/1997, de 27 de noviembre, de Asistencia Jurídica del
Estado e Instituciones Públicas y su normativa de desarrollo.

Artículo 49. Régimen presupuestario, de contabilidad y control económico y financiero.

1. La Autoridad Independiente de Protección del Informante, A.A.I., elaborará y aprobará

anualmente un anteproyecto de presupuesto, cuyos créditos tendrán carácter limitativo, y lo remitirá
al Ministerio de Hacienda y Función Pública para su posterior integración en los Presupuestos
Generales del Estado, de acuerdo con lo previsto en la Ley 47/2003, de 26 de noviembre, General
Presupuestaria.

61
2. El régimen de modificaciones y de especificación de los créditos de dicho presupuesto será el
establecido en la Ley 47/2003, de 26 de noviembre, General Presupuestaria, para los presupuestos
de los Organismos Autónomos.

3. Corresponde a la persona titular de la Presidencia de la Autoridad Independiente de Protección

del Informante, A.A.I. aprobar los gastos y ordenar los pagos, salvo los casos reservados a la
competencia del Gobierno, y efectuar la rendición de cuentas del organismo.

4. Sin perjuicio de las competencias atribuidas al Tribunal de Cuentas por su Ley Orgánica, la
gestión económico financiera de la Autoridad Independiente de Protección del Informante, A.A.I.
estará sometida al control de la Intervención General de la Administración del Estado en los
términos que establece la Ley 47/2003, de 26 de noviembre.

5. De conformidad con lo previsto en la Ley 40/2015, de 1 de octubre, la Autoridad Independiente

de Protección del Informante, A.A.I., estará sometida al control de eficacia y supervisión continua.

Artículo 50. Régimen de recursos.

1. Los actos y resoluciones de la persona titular de la Presidencia de la Autoridad Independiente

de Protección del Informante, A.A.I., pondrán fin a la vía administrativa, siendo únicamente
recurribles ante la jurisdicción contencioso-administrativa, sin perjuicio del recurso potestativo de
reposición y de lo establecido en el artículo 20.

2. Los actos y decisiones de los órganos de la Autoridad Independiente de Protección del

Informante, A.A.I., distintos de la persona titular de la Presidencia no agotan la vía administrativa,
pudiendo ser objeto de recurso administrativo conforme a lo dispuesto en la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

Artículo 51. Circulares y recomendaciones.

1. La persona titular de la Presidencia de la Autoridad Independiente de Protección del Informante,

A.A.I., podrá elaborar circulares y recomendaciones que establezcan los criterios y prácticas
adecuados para el correcto funcionamiento de la Autoridad.

2. Las circulares serán aprobadas de acuerdo con el procedimiento establecido para la elaboración
de disposiciones de carácter general y serán obligatorias una vez que estén publicadas en el
Boletín Oficial del Estado.

62
Artículo 52. Potestad sancionadora.

La Autoridad Independiente de Protección del Informante, A.A.I., ejercerá la potestad sancionadora

por la comisión de infracciones recogidas en el título IX conforme al procedimiento establecido en
el mismo.

CAPÍTULO III

Organización

Artículo 53. De la Presidencia.

1. La persona titular de la Presidencia de la Autoridad Independiente de Protección del Informante,

A.A.I., es el máximo órgano de representación y gobierno de la Autoridad Independiente de
Protección del Informante, A.A.I.

2. La persona titular de la Presidencia, que tendrá rango de Subsecretario, será nombrada, por real
decreto, a propuesta del titular del Ministerio Justicia, por un período de cinco años no renovable,
entre personas de reconocido prestigio y competencia profesional en el ámbito de las materias
competencia de la Autoridad, previa comparecencia ante la Comisión correspondiente del
Congreso de los Diputados. El Congreso, a través de la Comisión correspondiente y por acuerdo
adoptado por mayoría absoluta, deberá ratificar el nombramiento en el plazo de un mes desde la
recepción de la correspondiente comunicación. En ningún caso podrá ser objeto de prórroga su
mandato.

Artículo 54. De la Comisión Consultiva de Protección del Informante.

1. La persona titular de la Presidencia de la Autoridad Independiente de Protección del Informante,

A.A.I. estará asesorada por una Comisión Consultiva que será presidida por aquella.

2. La Comisión Consultiva se integrará por los siguientes miembros, con rango al menos de Director
general o asimilado:

a) Un representante del Consejo de Transparencia y Buen Gobierno.

b) Un representante de la Oficina Independiente de Regulación y Supervisión de la Contratación.

c) Un representante de la Autoridad Independiente de Responsabilidad Fiscal.

63
d) Un representante del Banco de España.

e) Un representante de la CNMV.

f) Un representante de la CNMC.

g) Un representante de la Abogacía General del Estado-Dirección del Servicio Jurídico del Estado.

h) Un representante de la Oficina Nacional de Auditoría de la Intervención General de la

Administración del Estado.

i) Un representante del Ministerio de Hacienda y Función Pública perteneciente a la Agencia Estatal

de Administración Tributaria.

j) Dos representantes designados por el Ministerio de Justicia por un período de cinco años entre
juristas de reconocida competencia con más de diez años de ejercicio profesional.

k) Un representante de las personas informantes a nivel nacional de la asociación o asociaciones

más representativas.

2. Los miembros de la Comisión Consultiva de Protección del Informante serán nombrados por
orden del titular del Ministerio de Justicia, publicada en el Boletín Oficial del Estado.

3. La Comisión Consultiva de Protección del Informante se reunirá cuando así lo disponga la

Presidencia de la Autoridad Independiente de Protección del Informante, A.A.I. y, en todo caso, una
vez al semestre.

4. Las decisiones tomadas por la Comisión Consultiva de Protección del Informante no tendrán en
ningún caso carácter vinculante.

5. En todo lo no previsto por esta ley, el régimen, competencias y funcionamiento de la Comisión

Consultiva de Protección del Informante serán los establecidos en el Estatuto Orgánico de la
Autoridad Independiente de Protección del Informante, A.A.I.

Artículo 55. Funciones de la Presidencia.

Corresponde a la persona titular de la Presidencia de la Autoridad Independiente de Protección del

Informante, A.A.I. el ejercicio de las siguientes funciones:

a) Ostentar la representación legal de la Autoridad Independiente.

64
b) Acordar la convocatoria de las sesiones ordinarias y extraordinarias de la Comisión Consultiva
de Protección del Informante.

c) Dirigir y coordinar las actividades de todos los órganos directivos de la Autoridad Independiente
de Protección del Informante, A.A.I.

d) Disponer los gastos y ordenar los pagos de la Autoridad Independiente de Protección del
Informante, A.A.I.

e) Celebrar los contratos y convenios.

f) Desempeñar la jefatura superior de todo el personal de la Autoridad Independiente de Protección

del Informante, A.A.I.

g) Nombrar a las personas titulares de los órganos directivos de la Autoridad Independiente de

Protección del Informante, A.A.I.

h) Dictar resolución en los procedimientos en materia sancionadora en los términos previstos en el

título IX.

i) Ejercer las demás funciones que le atribuyen esta ley, su Estatuto y el resto del ordenamiento
jurídico vigente.

Artículo 56. Funciones de la Comisión Consultiva de Protección del Informante.

1. La Comisión Consultiva de Protección del Informante es un órgano colegiado de asesoramiento

de la persona titular de la Presidencia de la Autoridad Independiente de Protección del Informante,
A.A.I.

2. La Comisión Consultiva de Protección del Informante emitirá informe en todas las cuestiones
que le someta la persona titular de la Presidencia de la Autoridad Independiente de Protección del
Informante, A.A.I. y podrá formular propuestas en temas relacionados con las materias de
competencia de esta.

Artículo 57. Organización interna.

El régimen organización y funcionamiento interno de la Autoridad Independiente de Protección del

Informante, A.A.I. se regirá por lo dispuesto en su Estatuto y en el Reglamento de funcionamiento
interno.

65
Artículo 58. Causas de cese de la Presidencia.

La persona titular de la Presidencia cesará por expiración de su mandato, a petición propia o por
separación acordada por el Consejo de Ministros, mediante real decreto, en los siguientes casos:

a) Incumplimiento grave de sus obligaciones.

b) Incapacidad sobrevenida para el ejercicio de su función.

c) Incompatibilidad.

d) Condena firme por delito doloso.

En los supuestos previstos en las letras a), b) y c) será necesaria la ratificación de la separación
por la mayoría absoluta de la Comisión competente del Congreso de los Diputados.

Artículo 59. Control parlamentario

La persona titular de la Presidencia de la Autoridad Independiente de Protección del Informante,

A.A.I., comparecerá anualmente ante las comisiones que en materia de protección de los
informantes se formen en el Congreso de los Diputados y el Senado.

TÍTULO IX

Régimen sancionador

Artículo 60. Régimen jurídico aplicable.

El ejercicio de la potestad sancionadora en el ámbito de esta ley se llevará cabo conforme a los
principios y con sujeción a las reglas de procedimiento previstas en la Ley 40/2015, de 1 de octubre,
y la Ley 39/2015, de 1 de octubre.

Artículo 61. Autoridad sancionadora.

1. El ejercicio de la potestad sancionadora prevista en esta ley corresponde a la Autoridad

Independiente de Protección del Informante, A.A.I., y a los órganos competentes de las
comunidades autónomas, sin perjuicio de las facultades disciplinarias que en el ámbito interno de
cada organización pudieran tener los órganos competentes.

66
2. La Autoridad Independiente de Protección del Informante, A.A.I. será competente respecto de
las infracciones cometidas en el ámbito del sector público estatal cuando la infracción o el
incumplimiento informado afecte o produzca sus efectos en el ámbito territorial de más de una
comunidad autónoma. También será competente respecto a las infracciones cometidas en el
ámbito del sector privado en todo el territorio, sin perjuicio de lo dispuesto en el apartado siguiente.
La competencia para la imposición de sanciones corresponderá a la persona titular de la
Presidencia de la Autoridad Independiente de Protección del Informante, A.A.I.

3. Los órganos competentes de las comunidades autónomas lo serán exclusivamente respecto de

las infracciones cometidas en el ámbito del sector público autonómico y local del territorio de la
correspondiente comunidad autónoma. Dichos órganos podrán ser competentes respecto de las
infracciones cometidas en el ámbito del sector privado cuando afecte en su ámbito territorial y así
lo disponga la normativa autonómica.

Artículo 62. Sujetos responsables.

1. Estarán sujetos al régimen sancionador establecido en esta ley las personas físicas y jurídicas
que realicen cualquiera de las actuaciones descritas como infracciones en el artículo 63.

2. Cuando la comisión de la infracción se atribuya a un órgano colegiado la responsabilidad será

exigible en los términos que señale la resolución sancionadora. Quedarán exentos de
responsabilidad aquellos miembros que no hayan asistido por causa justificada o que hayan votado
en contra del acuerdo.

3. La exigencia de responsabilidades derivada de las infracciones tipificadas en esta ley se

extenderá a los responsables incluso aunque haya desaparecido su relación o cesado en su
actividad en o con la entidad respectiva.

Artículo 63. Infracciones.

1. Tendrán la consideración de infracciones muy graves las siguientes acciones u omisiones

dolosas:

a) Cualquier actuación que suponga una efectiva limitación de los derechos y garantías previstos
en esta ley introducida a través de contratos o acuerdos a nivel individual o colectivo y en general
cualquier intento o acción efectiva de obstaculizar la presentación de comunicaciones o de impedir,

67
frustrar o ralentizar su seguimiento, incluida la aportación de información o documentación falsa
por parte de los requeridos para ello.

b) La adopción de cualquier represalia derivada de la comunicación frente a los informantes o las

demás personas incluidas en el ámbito de protección establecido en el artículo 3 de esta ley.

c) Vulnerar las garantías de confidencialidad y anonimato previstas en esta ley, y de forma particular
cualquier acción u omisión tendente a revelar la identidad del informante cuando este haya optado
por el anonimato, aunque no se llegue a producir la efectiva revelación de la misma.

d) Vulnerar el deber de mantener secreto sobre cualquier aspecto relacionado sobre la información.

e) La comisión de una infracción grave cuando el autor hubiera sido sancionado mediante
resolución firme por dos infracciones graves o muy graves en los dos años anteriores a la comisión
de la infracción, contados desde la firmeza de las sanciones.

f) Comunicar o revelar públicamente información a sabiendas de su falsedad.

g) Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos

exigidos en esta ley.

2. Tendrán la consideración de infracciones graves las siguientes acciones u omisiones:

a) Cualquier actuación que suponga limitación de los derechos y garantías previstos en esta ley o
cualquier intento o acción efectiva de obstaculizar la presentación de informaciones o de impedir,
frustrar o ralentizar su seguimiento que no tenga la consideración de infracción muy grave conforme
al apartado 1 anterior.

b) Vulnerar las garantías de confidencialidad y anonimato previstas en esta ley cuando no tenga la
consideración de infracción muy grave.

c) Vulnerar el deber de secreto en los supuestos en que no tenga la consideración de infracción

muy grave.

d) Incumplimiento de la obligación de adoptar las medidas para garantizar la confidencialidad y

secreto de las informaciones.

68
e) La comisión de una infracción leve cuando el autor hubiera sido sancionado por dos infracciones
leves o graves o muy graves en los dos años anteriores a la comisión de la infracción, contados
desde la firmeza de las sanciones.

3. Tendrán la consideración de infracciones leves las siguientes acciones u omisiones:

a) Remisión de información de forma incompleta, de manera deliberada por parte del Responsable
del Sistema a la Autoridad, o fuera del plazo concedido para ello.

b) Incumplimiento de la obligación de colaboración con la investigación de informaciones.

c) Cualquier incumplimiento de las obligaciones previstas en esta ley que no esté tipificado como
infracción muy grave o grave.

Artículo 64. Prescripción de las infracciones.

1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves a
los seis meses.

2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la

infracción hubiera sido cometida. En las infracciones derivadas de una actividad continuada, la
fecha inicial del cómputo será la de finalización de la actividad o la del último acto con el que la
infracción se consume.

3. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del

procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador
permaneciera paralizado durante tres meses por causa no imputable a aquellos contra quienes se
dirija.

Artículo 65. Sanciones.

1. La comisión de infracciones previstas en esta ley llevará aparejada la imposición de las

siguientes multas:

a) Si son personas físicas las responsables de las infracciones, serán multadas con una cuantía
de 1.001 hasta 10.000 euros por la comisión de infracciones leves; de 10.001 hasta 30.000 euros
por la comisión de infracciones graves y de 30.001 hasta 300.000 euros por la comisión de
infracciones muy graves.

69
b) Si son personas jurídicas serán multadas con una cuantía hasta 100.000 euros en caso de
infracciones leves, entre 100.001 y 600.000 euros en caso de infracciones graves y entre 600.001
y 1.000.000 euros en caso de infracciones muy graves.

2. Adicionalmente, en el caso de infracciones muy graves, la Autoridad Independiente de Protección

del Informante, A.A.I., podrá acordar:

a) La amonestación pública.

b) La prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de

cuatro años.

c) La prohibición de contratar con el sector público durante un plazo máximo de tres años de
conformidad con lo previsto en la Ley 9/2017, de 8 de noviembre.

3. Las sanciones por infracciones muy graves de cuantía igual o superior a 600.001 euros
impuestas a entidades jurídicas podrán ser publicadas en el Boletín Oficial del Estado, tras la
firmeza de la resolución en vía administrativa. La publicación deberá contener, al menos,
información sobre el tipo y naturaleza de la infracción y, en su caso, la identidad de las personas
responsables de las mismas de acuerdo con la normativa en materia de protección de datos.

Artículo 66. Graduación.

1. Para la graduación de las infracciones se podrán tener en cuenta los criterios siguientes:

a) La reincidencia, siempre que no hubiera sido tenido en cuenta en los supuestos del articulo 63.1
e) y 2 e).

b) La entidad y persistencia temporal del daño o perjuicio causado.

c) La intencionalidad y culpabilidad del autor.

d) El resultado económico del ejercicio anterior del infractor.

e) La circunstancia de haber procedido a la subsanación del incumplimiento que dio lugar a la

infracción por propia iniciativa.

f) La reparación de los daños o perjuicios causados.

70
g) La colaboración con la Autoridad Independiente de Protección del Informante, A.A.I., u otras
autoridades administrativas.

2. Las sanciones a imponer como consecuencia de la comisión de infracciones tipificadas en esta

ley se graduarán teniendo en cuenta la naturaleza de la infracción y las circunstancias concurrentes
en cada caso. De modo especial, y siempre que no se hubieran tenido en cuenta para la graduación
de la infracción, la ponderación de las sanciones atenderá a los criterios del apartado anterior.

Artículo 67. Concurrencia.

El ejercicio de la potestad sancionadora previsto en este título es autónomo y podrá concurrir con
el régimen disciplinario del personal funcionario, estatutario o laboral que resulte de aplicación en
cada caso.

Artículo 68. Prescripción de las sanciones.

Las sanciones impuestas por infracciones muy graves prescribirán a los tres años, las impuestas
por infracciones graves a los dos años y las impuestas por infracciones leves al año.

El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en
que sea ejecutable la resolución por la que se impone la sanción.

Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento de

ejecución, volviendo a transcurrir el plazo si aquel está paralizado durante más de un mes por
causa no imputable al infractor.

Disposición adicional primera. Revisión de los procedimientos de recepción y seguimiento.

Las autoridades responsables de los canales externos de información revisarán sus

procedimientos de recepción y seguimiento de informaciones al menos una vez cada tres años,
incorporando actuaciones y buenas prácticas con la finalidad de que sirvan con la mayor eficacia
a los fines para los que fueron creados.

Disposición adicional segunda. Convenios.

La Autoridad Independiente de Protección del Informante, A.A.I., podrá actuar como canal externo
de informaciones y como una autoridad independiente de protección de informantes para aquellas
comunidades autónomas y ciudades con Estatuto de Autonomía que así lo decidan y previa

71
suscripción del correspondiente convenio en el que se estipulen las condiciones en los que la
comunidad autónoma sufragará los gastos derivados de esta asunción de competencias.

Las ciudades con Estatuto de Autonomía podrán designar sus propios órganos independientes o
bien atribuir la competencia a la Autoridad Independiente de Protección del Informante, A.A.I,
celebrando al efecto un convenio en los términos previstos en el apartado anterior.

Disposición adicional tercera. Memoria anual y estadísticas.

1. La Autoridad Independiente de Protección del Informante, A.A.I. elaborará en los tres primeros
meses del año una Memoria anual en la que dará cuenta de las actuaciones desarrolladas durante
el año anterior en el ámbito de sus funciones.

Esta memoria incluirá, al menos, el número y naturaleza de las comunicaciones presentadas y

también las que fueron objeto de investigación y su resultado, especificándose las sugerencias o
recomendaciones formuladas a la Autoridad Independiente de Protección del Informante, A.A.I. y
el número de procedimientos abiertos.

2. En la memoria no constarán datos y referencias personales que permitan la identificación de las

personas informantes ni de las afectadas, excepto cuando ya sean públicas como consecuencia
de una sentencia penal o administrativa firme.

3. De la Memoria anual se dará traslado al Congreso de los Diputados previa comparecencia del
de la persona titular de la Presidencia de la Autoridad Independiente de Protección del Informante,
A.A.I. ante la Comisión correspondiente. La Memoria anual será pública.

4. La Autoridad Independiente de Protección del Informante, A.A.I., de acuerdo con la obligación

impuesta por el artículo 27 de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo,
de 23 de octubre de 2019, sobre presentación anual a la Comisión Europea de estadísticas sobre
las informaciones mencionadas en el capítulo III, preferiblemente de forma agregada, deberá
disponer de los siguientes datos estadísticos:

a) número de comunicaciones recibidas por las autoridades competentes;

b) número de investigaciones y actuaciones judiciales iniciadas a raíz de dichas comunicaciones,

y su resultado, y

72
c) estimación del perjuicio económico y los importes recuperados tras las investigaciones y
actuaciones judiciales relacionadas con las infracciones, si se hubieran podido obtener.

Disposición transitoria primera. Adaptación de los Sistemas y canales internos de información

existentes.

Los Sistemas internos de comunicación y sus correspondientes canales que, a la entrada en vigor
de esta ley, tengan habilitados las entidades u organismos obligados, podrán servir para dar
cumplimiento a las previsiones de esta norma siempre y cuando se ajusten a los requisitos
establecidos en la misma.

Disposición transitoria segunda. Plazo máximo para el establecimiento de Sistemas internos de

información y adaptación de los ya existentes.

1. Las Administraciones, organismos, empresas y demás entidades obligadas a contar con un

Sistema interno de información deberán implantarlo en el plazo máximo de tres meses a partir de
su entrada en vigor.

2. Como excepción, en el caso de las entidades jurídicas del sector privado con menos de 249
trabajadores, así como de los municipios de menos de 10.000 habitantes, el plazo previsto en el
párrafo anterior se extenderá hasta el 1 de diciembre de 2023.

3. Los canales y procedimientos de información externa se regirán por su normativa específica

resultando de aplicación las disposiciones de esta ley en aquellos aspectos en los que no se
adecúen a la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre
de 2019. Dicha adaptación deberá producirse en el plazo de seis meses desde su entrada en vigor.

En estos supuestos, el informante gozará de la protección establecida en esta ley siempre que la
relación laboral o profesional tal y como se define en el artículo siguiente, en cuyo contexto se
produzca la infracción, se rija por la ley española y, en su caso, adicionalmente de la protección
establecida en la normativa específica.

Disposición transitoria tercera. Previsión presupuestaria de la Autoridad Independiente de

Protección del Informante, A.A.I.

Hasta que la Autoridad Independiente de Protección del Informante, A.A.I., cuente con un
presupuesto propio, su actividad se financiará con cargo a los créditos presupuestarios del
Ministerio de Justicia.

73
Disposición final primera. Modificación de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa.

Se modifica el apartado 5 de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio,

reguladora de la Jurisdicción Contencioso-administrativa, que queda redactado como sigue:

«5. Los actos y disposiciones dictados por la Agencia Española de Protección de Datos, Comisión
Nacional de los Mercados y la Competencia, Consejo Económico y Social, Instituto Cervantes,
Consejo de Seguridad Nuclear, Consejo de Universidades, Autoridad Independiente de Protección
del Informante, A.A.I. y Sección Segunda de la Comisión de Propiedad Intelectual, directamente,
ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional.»

Disposición final segunda. Modificación de la Ley 10/2010, de 28 de abril, de prevención del

blanqueo de capitales y de la financiación del terrorismo.

Se da nueva redacción al apartado 5 artículo 65 de la Ley 10/2010, de 28 de abril, de prevención

del blanqueo de capitales y de la financiación del terrorismo, que queda redactado como sigue:

«5. Las personas expuestas a amenazas, acciones hostiles o medidas laborales adversas por
comunicar por vía interna o al Servicio Ejecutivo de la Comisión comunicaciones sobre actividades
relacionadas con el blanqueo de capitales o la financiación del terrorismo podrán presentar una
reclamación ante la Autoridad Independiente de Protección del Informante, A.A.I. en los términos
previstos en la Ley xx/2022 reguladora de la protección de las personas que informen sobre
infracciones normativas y de lucha contra la corrupción.

En los casos en los que el sujeto obligado no haya adoptado las medidas adecuadas para mantener
la confidencialidad sobre la identidad de los empleados, directivos o agentes que hayan realizado
una comunicación a los órganos de control interno, en los términos del artículo 30.1, será de
aplicación el artículo 52.1.s).»

Disposición final tercera. Modificación de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector
Público, por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento
Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.

Se modifica la letra b) del apartado 1 del artículo 71 de la Ley 9/2017, de 8 de noviembre, de

Contratos del Sector Público, por la que se transponen al ordenamiento jurídico español las

74
Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de
2014, que queda redactado como sigue:

«b) Haber sido sancionadas con carácter firme por infracción grave en materia profesional que
ponga en entredicho su integridad, de disciplina de mercado, de falseamiento de la competencia,
de integración laboral y de igualdad de oportunidades y no discriminación de las personas con
discapacidad, o de extranjería, de conformidad con lo establecido en la normativa vigente; o por
infracción muy grave en materia medioambiental de conformidad con lo establecido en la normativa
vigente, o por infracción muy grave en materia laboral o social, de acuerdo con lo dispuesto en el
texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social, aprobado por el Real
Decreto Legislativo 5/2000, de 4 de agosto, así como por la infracción grave prevista en el
artículo 22.2 del citado texto, o de las infracciones muy graves previstas en la Ley reguladora de la
protección de las personas que informen sobre infracciones normativas y de lucha contra la
corrupción por la que se transpone la Directiva (UE) 2019/1937 del Parlamento Europeo y del
Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre
infracciones del Derecho de la Unión.»

Disposición final cuarta. Modificación de la Ley Orgánica 3/2018, de 5 de diciembre, de protección

de datos personales y garantía de los derechos digitales.

Se modifica el artículo 24 de Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos

personales y garantía de los derechos digitales, que queda redactado como sigue:

«Artículo 24. Tratamiento de datos para la protección de las personas que informen sobre
infracciones normativas.

Serán lícitos los tratamientos de datos personales necesarios para garantizar la protección de las
personas que informen sobre infracciones normativas.

Dichos tratamientos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, del Parlamento
Europeo y del Consejo, de 27 de abril de 2016, en esta ley orgánica y en la Ley ….. …/…. de ….
…., reguladora de la protección de las personas que informen sobre infracciones normativas y por
la que se traspone la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de
octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del
Derecho de la Unión.»

75
Disposición final quinta. Modificación de la Ley 10/2014, de 26 de junio, de ordenación, supervisión
y solvencia de entidades de crédito.

Se da nueva redacción al apartado 2 artículo 122 de la Ley 10/2014, de 26 de junio, de ordenación,

supervisión y solvencia de entidades de crédito, que queda redactado como sigue:

«2. Cuando la persona comunicante quede sujeta al ámbito de aplicación personal de la Ley
xx/2022 reguladora de la protección de las personas que informen sobre infracciones normativas y
de lucha contra la corrupción, será la Autoridad Independiente de Protección del Informante quien
adoptará las medidas de protección al informante previstas en la referida ley.»

Disposición final sexta. Títulos competenciales.

Esta ley se dicta al amparo de lo dispuesto en el artículo 149.1 apartados 1ª, 6ª, 7ª, 13ª, 18ª, 23ª
de la Constitución Española que atribuye al Estado las competencias exclusivas sobre la regulación
de las condiciones básicas que garanticen la igualdad de todos los españoles en el ejercicio de los
derechos y en el cumplimiento de los deberes constitucionales; la legislación mercantil; la
legislación laboral; las bases y coordinación de la planificación general de la actividad económica;
las bases del régimen jurídico de las Administraciones públicas y del régimen estatutario de sus
funcionarios; el procedimiento administrativo común; la legislación básica sobre contratos y
concesiones administrativas y el sistema de responsabilidad de todas las Administraciones
Públicas; y, la legislación básica sobre protección del medio ambiente.

El ámbito de aplicación del título VIII de esta ley se limita a la Administración General del Estado y
resto de entidades del sector público estatal.

Disposición final séptima. Incorporación de la Directiva (UE) 2019/1937 del Parlamento Europeo y
del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre
infracciones del Derecho de la Unión.

La presente ley incorpora al ordenamiento jurídico interno la Directiva (UE) 2019/1937 del
Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las
personas que informen sobre infracciones del Derecho de la Unión.

Disposición final octava. Habilitación de desarrollo.

Se habilita al Gobierno para dictar cuantas disposiciones reglamentarias sean precisas para el
desarrollo y ejecución.

76
Disposición final novena. Estatuto de la Autoridad Independiente de Protección del Informante,
A.A.I.

En el plazo de un año desde la entrada en vigor de esta ley, el Consejo de Ministros aprobará
mediante real decreto, a propuesta conjunta de los ministerios de Justicia y de Hacienda y Función
Pública, el Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I., en el que
se establecerán las disposiciones oportunas sobre organización, estructura, funcionamiento, así
como todos los aspectos que sean necesarios para el cumplimiento de las funciones asignadas
mediante esta ley.

Disposición final décima. Entrada en vigor.

La presente ley entrará en vigor a los veinte días de su publicación en el «Boletín Oficial del
Estado».

ELÉVESE AL CONSEJO DE MINISTROS

Madrid, a de de 2022
LA MINISTRA DE JUSTICIA

María Pilar Llop Cuenca

77