El fundamento principal está en el artículo 48 de la Ley Orgánica 3/2007, para la igualdad efectiva de mujeres y hombres, que obliga a las empresas a promover condiciones de trabajo que eviten el acoso sexual y el acoso por razón de sexo, incluidos los cometidos en el ámbito digital. Desde su reforma por la Ley Orgánica 10/2022, de garantía integral de la libertad sexual, el mandato de arbitrar procedimientos específicos de prevención y denuncia figura expresamente en el artículo 12 de esta última, que puede consultarse en el texto consolidado de la Ley Orgánica 10/2022 publicado en el BOE. Ese mismo artículo añade dos deberes que se pasan por alto con frecuencia: formar a todo el personal y incluir la violencia sexual en la evaluación de riesgos de los puestos ocupados por trabajadoras.
Con el Real Decreto 901/2020 desaparece cualquier duda sobre el tamaño. Su artículo 2.1 confirma que la obligación alcanza a todas las empresas con independencia del número de personas en plantilla, y el apartado 7 de su anexo fija el contenido mínimo del procedimiento, desde la declaración de principios hasta el régimen disciplinario. Las definiciones legales están en el artículo 7 de la Ley Orgánica 3/2007, que el artículo 8 completa con el trato desfavorable por embarazo o maternidad, y la causa de despido en el artículo 54.2.g) del Estatuto de los Trabajadores, que permite el despido disciplinario por acoso.
No tenerlo puede sancionarse como infracción grave en materia de igualdad (artículo 7.13 de la Ley sobre Infracciones y Sanciones en el Orden Social). El acoso sexual producido dentro del ámbito de dirección de la empresa es infracción muy grave (artículo 8.13), y también lo es el acoso por razón de sexo cuando la empresa, conociéndolo, no adopta medidas para impedirlo (artículo 8.13 bis). Para las empresas de más de 50 personas, la Ley 4/2023 y el Real Decreto 1026/2024 exigen además un protocolo negociado frente al acoso a personas LGTBI, que este documento no sustituye.