Canal de denuncias obligatorio para empresas: qué dice la Ley 2/2023 y a quién aplica

La Ley 2/2023, de 20 de febrero, traspone en España la Directiva europea de protección del informante (Directiva Whistleblowing 2019/1937). Su consecuencia práctica es clara: cualquier empresa del sector privado con 50 o más trabajadores está obligada a implantar un canal de denuncias interno. Muchas organizaciones siguen sin tenerlo, exponiéndose a sanciones de hasta un millón de euros. Esta guía aclara quién está obligado, qué debe incluir el canal y cómo cumplir.

Si tu empresa todavía no tiene canal de denuncias, o tienes dudas sobre si el sistema actual cumple los requisitos técnicos y legales de la norma, este artículo te da las respuestas concretas que necesitas. Sin rodeos.

Qué es el canal de denuncias

Un canal de denuncias (también llamado whistleblowing channel o sistema de información interno) es un mecanismo confidencial mediante el cual empleados, proveedores, contratistas, accionistas o cualquier tercero relacionado con la empresa puede comunicar de forma segura posibles irregularidades: corrupción, fraude, discriminación, acoso, infracciones de normativa laboral, vulneraciones de datos personales o cualquier conducta contraria a la ley.

La clave diferencial respecto a un buzón de sugerencias o un formulario de contacto es la confidencialidad garantizada por diseño: el informante debe poder reportar sin temor a represalias, con la certeza de que su identidad queda protegida durante todo el proceso de investigación. La Ley 2/2023 regula exactamente cómo debe funcionar ese proceso en España.

Qué empresas están obligadas

El umbral es el número de trabajadores, no la facturación ni la forma jurídica. La Ley 2/2023 establece la obligación de la siguiente manera:

Un punto importante que genera confusión: no importa la facturación ni la estructura del grupo. Si una filial española tiene 55 empleados propios, está obligada aunque su matriz tenga 10. Y si un grupo tiene varias filiales de menos de 50 trabajadores cada una, cada filial no está individualmente obligada (aunque el grupo sí podría estarlo si comparte estructura de compliance).

Para el cómputo de la plantilla, la Ley considera los trabajadores en el momento de la implantación y no hace distinciones por tipo de jornada. Un trabajador a tiempo parcial suma igual que uno a tiempo completo.

Qué debe incluir el canal para ser conforme

No cualquier sistema vale. La Ley 2/2023 establece requisitos concretos que el canal debe cumplir. Estos son los obligatorios según el art. 5 y siguientes:

• Canal específico e independiente de los canales de atención al cliente o RRHH habituales. No puede ser un buzón de correo genérico.
• Garantía de confidencialidad del informante: la identidad del denunciante debe protegerse desde el momento de la recepción. Los datos solo pueden revelarse con consentimiento expreso o por orden judicial.
• Acuse de recibo en un plazo máximo de 7 días hábiles desde la recepción de la comunicación.
• Respuesta motivada al informante en un plazo máximo de 3 meses (prorrogable a 6 meses en casos complejos).
• Posibilidad de denuncia anónima: el canal debe admitir comunicaciones sin identificación del remitente.
• Prohibición expresa de represalias contra el informante, con medidas de protección activa.
• Responsable del sistema designado: persona física o unidad que gestione las denuncias con independencia funcional. Puede ser interna o externa.
• Registro de comunicaciones: todas las denuncias deben quedar registradas con las garantías de confidencialidad exigidas. El registro no puede conservarse más tiempo del necesario.
• Conformidad con el RGPD: el tratamiento de datos personales derivado de las denuncias debe tener base legal, finalidad determinada y medidas técnicas adecuadas.

Sanciones por no cumplir

Además de las sanciones económicas, la ley prevé la publicación de la resolución sancionadora en la web de la A2I cuando la infracción sea muy grave y la persona jurídica supere cierto umbral de facturación. El daño reputacional puede ser relevante para empresas con presencia pública.

Canal interno vs. canal externo

La Ley 2/2023 obliga a disponer de un canal interno: un sistema propio de la organización para recibir y gestionar denuncias. La empresa puede gestionarlo con medios propios o contratar a un proveedor externo especializado que opere la plataforma en su nombre, pero la responsabilidad legal sigue siendo de la organización.

Existe también un canal externo público: el de la propia Autoridad Independiente de Protección del Informante (A2I). Cualquier persona puede denunciar directamente ante la A2I, especialmente cuando el informante considera que el canal interno no ofrece garantías suficientes o cuando la irregularidad afecta a la propia dirección de la empresa. La existencia del canal externo público no exime a la empresa de tener el suyo.

En la práctica, la mayoría de empresas medianas opta por un proveedor externo de plataforma: un software SaaS especializado que cumple los requisitos técnicos de la ley (cifrado, registro inmutable, plazos automatizados, informes) y que permite que el responsable interno del sistema focalice su trabajo en investigar las denuncias, no en gestionar la infraestructura.

Software para implementar el canal

Existen plataformas especializadas de canal de denuncias que cubren por diseño los requisitos técnicos y legales de la Ley 2/2023: comunicaciones cifradas, posibilidad de denuncia anónima con chat cifrado, acuses de recibo automatizados dentro del plazo legal, registro inmutable de actuaciones y gestión del plazo de respuesta de 3 meses. Algunas ofrecen además certificaciones adicionales como ISO 27001 o ENS que añaden garantías documentadas.

Consulta el análisis completo de las opciones disponibles en España en nuestra comparativa de software de canal de denuncias, donde encontrarás precios, requisitos técnicos y para qué perfil de empresa es adecuada cada herramienta.

Preguntas frecuentes