El canal de denuncias es el sistema interno que permite a una organización recibir avisos sobre irregularidades y proteger a quien los comunica. En España lo exige la Ley 2/2023 a las empresas de 50 o más trabajadores, a todas las administraciones públicas y a los sujetos obligados de sectores regulados. No tenerlo cuando estás obligado expone a sanciones de hasta un millón de euros. En esta guía te explicamos qué exige la norma, qué plazos corren y cómo implantar un canal que cumpla de verdad.
Lo esencial
- El canal de denuncias es el mecanismo del Sistema Interno de Información que obliga a implantar la Ley 2/2023.
- Están obligadas las empresas privadas con 50 o más trabajadores, todas las administraciones públicas y los sujetos obligados de sectores regulados, sin umbral.
- Debe permitir comunicaciones por varias vías, acuse de recibo en 7 días y respuesta en un máximo de 3 meses.
- Exige designar un Responsable del Sistema Interno de Información y comunicarlo a la autoridad competente.
- Las sanciones muy graves alcanzan 1.000.000€ para personas jurídicas, por ejemplo por represalias o por revelar la identidad del informante.
¿Qué es un canal de denuncias y para qué sirve?
Un canal de denuncias es la vía confidencial por la que empleados, colaboradores y terceros pueden comunicar infracciones cometidas dentro de una organización, con la garantía de que su identidad se protege y de que no habrá represalias. Es la pieza central del Sistema Interno de Información que regula la Ley 2/2023.
Sirve para tres cosas concretas: detectar a tiempo fraudes, corrupción, acoso o incumplimientos normativos antes de que escalen; cumplir una obligación legal cuya ausencia se sanciona; y demostrar una cultura de integridad ante clientes, administraciones y tribunales. Un canal bien gestionado convierte la información interna en una herramienta de control del riesgo, no en un buzón de quejas.
¿Qué dice la Ley 2/2023 sobre el canal de denuncias?
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas, traspone la Directiva (UE) 2019/1937 y está en vigor desde el 13 de marzo de 2023. Es la norma que fija quién debe tener canal, cómo debe funcionar y qué garantías protegen al informante.
Estos son los puntos que marca el texto legal:
| Aspecto | Qué establece la Ley 2/2023 |
|---|---|
| Quién puede informar | Empleados, ex empleados, candidatos, autónomos, accionistas, voluntarios, becarios, contratistas y proveedores. |
| Qué se puede comunicar | Infracciones del Derecho de la Unión y conductas penales o administrativas graves o muy graves del ordenamiento español. |
| Garantías | Confidencialidad de la identidad, prohibición de represalias e inversión de la carga de la prueba. |
| Canal externo | La Autoridad Independiente de Protección del Informante (AAI) recibe comunicaciones al margen del canal interno. |
La ley no obliga a admitir denuncias anónimas, pero la AEPD recomienda aceptarlas para dar efecto útil al canal. Si las admites, debes investigarlas con el mismo rigor que las nominativas.
Conviene distinguir dos niveles. El canal interno es el que implanta y gestiona la propia organización, y es la vía preferente para resolver los avisos dentro de casa. El canal externo lo gestiona la Autoridad Independiente de Protección del Informante y permite comunicar directamente, sin pasar antes por el interno, cuando existe riesgo de represalia o la irregularidad afecta a la dirección. Un canal interno bien diseñado reduce el número de comunicaciones que acaban en la vía externa, que es lo que interesa a la empresa.
¿Qué empresas están obligadas a tener canal de denuncias?
La obligación se activa por número de trabajadores y por pertenencia a sectores regulados. Si tu organización entra en cualquiera de estas categorías, el plazo de implantación ya venció y el canal debe estar operativo hoy.
| Tipo de organización | Umbral | Plazo |
|---|---|---|
| Empresas privadas | 250 o más trabajadores | Desde 13/06/2023 |
| Empresas privadas | 50 a 249 trabajadores | Desde 01/12/2023 |
| Administraciones públicas | Todas | Desde 13/06/2023 |
| Sujetos obligados de blanqueo (Ley 10/2010) | Todos, sin umbral | Desde 13/06/2023 |
| Sectores financiero, transporte, energía, salud y consumo | Según normativa sectorial | Desde 13/06/2023 |
| Empresas privadas de menos de 50 trabajadores | No obligadas, salvo sector regulado | No aplica |
El caso más habitual de duda es la pyme de sector regulado con menos de 50 empleados: si eres sujeto obligado en materia de prevención de blanqueo, la obligación se mantiene sin umbral de plantilla.
¿Cómo funciona un canal de denuncias que cumple la ley?
Un canal conforme a la Ley 2/2023 no es solo un correo electrónico. Debe ofrecer varias vías de comunicación, garantizar la confidencialidad y respetar plazos estrictos de respuesta. Estos son los requisitos de funcionamiento que exige la norma.
- Varias vías de recepción: por escrito, verbal, presencial o a través de plataforma digital. Una sola vía no cumple.
- Confidencialidad reforzada: acceso restringido a la identidad del informante, cifrado y control de accesos.
- Acuse de recibo en 7 días naturales desde la presentación de la comunicación.
- Instrucción por persona imparcial: nunca por el área afectada por la denuncia.
- Respuesta motivada en un máximo de 3 meses, prorrogable a 6 en casos complejos.
- Conservación del expediente durante 10 años con trazabilidad completa.
El tratamiento de los datos personales del informante, la persona afectada y los testigos se rige por el RGPD y la LOPDGDD. Conviene coordinarlo con el Delegado de Protección de Datos y revisar los principios de minimización y confidencialidad que detallamos en nuestra guía LOPD.
¿Qué plazos legales hay que cumplir?
Los plazos son uno de los puntos donde más empresas incumplen sin saberlo. La ley fija cuatro hitos temporales que no admiten interpretación flexible y cuyo incumplimiento es directamente sancionable.
| Acción | Plazo |
|---|---|
| Acuse de recibo de la comunicación | 7 días naturales |
| Respuesta motivada al informante | Máximo 3 meses (6 en casos complejos) |
| Conservación del expediente | 10 años |
| Designación y comunicación del responsable a la AAI | Antes de la puesta en marcha |
¿Qué sanciones prevé la Ley 2/2023?
La Autoridad Independiente de Protección del Informante impone las sanciones. Las cuantías varían según la gravedad y distinguen entre persona física y persona jurídica. Estas son las horquillas que fija el artículo 63.
| Categoría | Persona física | Persona jurídica |
|---|---|---|
| Leves | Hasta 10.000€ | Hasta 100.000€ |
| Graves | 10.001€ a 100.000€ | 100.001€ a 600.000€ |
| Muy graves | Hasta 300.000€ | Hasta 1.000.000€ |
Se consideran muy graves las represalias contra el informante, la revelación de su identidad y la obstrucción a la autoridad. Además de la multa, caben sanciones accesorias como la amonestación pública o la prohibición de contratar con el sector público durante un tiempo.
¿Cómo se implanta un canal de denuncias paso a paso?
Implantar un canal que cumpla no requiere una gran estructura, pero sí método y respaldo de la dirección. Una pyme puede tenerlo operativo en pocas semanas siguiendo estos cinco pasos.
- Designar al Responsable del Sistema Interno de Información, con autoridad e independencia, y comunicarlo a la autoridad competente.
- Elegir la plataforma técnica: preferiblemente una solución digital con cifrado, control de accesos y opción de anonimato.
- Redactar el procedimiento de gestión, aprobado por el órgano de gobierno, con criterios de admisión, flujo, plazos y custodia.
- Formar e informar: comunicación interna a toda la plantilla e información accesible a terceros.
- Documentar y reportar: registro de comunicaciones y memoria anual con tipologías y plazos cumplidos.
Una plataforma de canal de denuncias centraliza la recepción, controla los accesos y deja trazabilidad de cada actuación, que es justo lo que revisará la autoridad ante una inspección. El canal encaja además con otros sistemas de gestión, como el modelo de compliance penal y el sistema antisoborno de la ISO 37001, que exigen un mecanismo de reporte equivalente.
¿Qué errores sanciona con más frecuencia la autoridad?
La mayoría de las sanciones no llegan por ocultar información, sino por fallos de diseño y de gestión del canal. Estos son los descuidos más habituales que conviene evitar desde el principio.
- Ofrecer el canal solo por correo electrónico, sin vías alternativas.
- No emitir el acuse de recibo dentro de los 7 días.
- Instruir la denuncia desde el área afectada, con conflicto de interés.
- Compartir la identidad del informante con la persona denunciada.
- No documentar la formación ni conservar el expediente 10 años.
Preguntas frecuentes sobre el canal de denuncias
¿Es obligatorio el canal de denuncias para todas las empresas?
No para todas. Es obligatorio para empresas privadas de 50 o más trabajadores, todas las administraciones públicas y los sujetos obligados de sectores regulados sin umbral de plantilla. Las empresas de menos de 50 empleados quedan fuera, salvo que operen en un sector con obligación específica.
¿Se pueden hacer denuncias anónimas en el canal?
La Ley 2/2023 no obliga a admitirlas, pero la AEPD recomienda aceptarlas para garantizar el efecto útil del canal. Si la empresa las admite, debe investigarlas con el mismo rigor que las nominativas. Si decide no admitirlas, la decisión debe estar motivada.
¿Quién puede ser el Responsable del Sistema Interno de Información?
Una persona física o un órgano colegiado con autonomía e independencia respecto al órgano de administración. El DPO puede asumirlo solo si no genera conflicto con sus funciones de protección de datos, algo que la AEPD recomienda evitar cuando la organización tiene estructura suficiente.
¿Puede el informante acudir directamente a la autoridad sin usar el canal interno?
Sí. La ley permite dirigirse al canal externo de la Autoridad Independiente de Protección del Informante sin agotar antes el canal interno, especialmente si hay riesgo de represalia o la comunicación afecta a la cúpula directiva.
¿Cuánto tiempo hay que conservar las denuncias?
El expediente completo se conserva durante 10 años con trazabilidad de todas las actuaciones. Los datos personales solo se mantienen el tiempo necesario para decidir sobre la comunicación, tras lo cual se suprimen o se anonimizan conforme al RGPD.
¿Qué pasa si alguien denuncia con mala fe?
La Ley 2/2023 protege al informante de buena fe, no a quien actúa con dolo. Una comunicación deliberadamente falsa puede dar lugar a responsabilidad administrativa y, en casos graves, civil o penal.
Implanta tu canal de denuncias con garantías
Si tu organización está obligada por la Ley 2/2023 y todavía no tiene canal, o lo tiene pero dudas de que cumpla, el riesgo no es teórico: las sanciones llegan hasta el millón de euros. En Laworatory implantamos canales de denuncias llave en mano, con plataforma segura, procedimiento documentado, designación del responsable y formación a la plantilla. Si quieres saber por dónde empezar, habla con nuestro equipo.
