La Ley 2/2023, de protección de las personas que informen sobre infracciones, obliga a las empresas con 50 o más trabajadores a tener un sistema interno de información, conocido como canal de denuncias. Debe permitir comunicaciones anónimas, tener un responsable designado y cumplir plazos de respuesta. Las multas para empresas llegan a 1.000.000 €.
¿Qué es el sistema interno de información?
Es el cauce que una organización pone a disposición de sus trabajadores, y de otras personas relacionadas con ella (candidatos, proveedores, exempleados, becarios…), para que comuniquen infracciones del Derecho de la UE, infracciones penales o administrativas graves o muy graves, con garantías de confidencialidad y protección frente a represalias.
No es solo un buzón o un correo electrónico: la ley exige un sistema completo, con canal, procedimiento de gestión, responsable, política pública y libro-registro.
¿Qué empresas están obligadas?
- Empresas privadas con 50 o más trabajadores.
- Cualquier empresa, sea cual sea su plantilla, que entre en el ámbito de las normas europeas de servicios financieros, prevención del blanqueo de capitales, seguridad del transporte o protección del medio ambiente.
- Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, cuando reciban fondos públicos.
- Todo el sector público.
Las empresas de 50 a 249 trabajadores pueden compartir el sistema y los recursos para gestionarlo, por ejemplo dentro de un grupo o entre varias pymes.
Plazos de implantación
La obligación está en vigor desde el 13 de junio de 2023 con carácter general. Las empresas privadas de 50 a 249 trabajadores y los municipios de menos de 10.000 habitantes tuvieron de plazo hasta el 1 de diciembre de 2023. Hoy, por tanto, cualquier empresa obligada debería tenerlo ya en marcha.
Si tu empresa alcanza los 50 trabajadores ahora, la obligación es inmediata.
Requisitos que debe cumplir
- Canal escrito, verbal o ambos. Si se permite la vía verbal (teléfono, mensajería de voz o reunión presencial a petición del informante), hay que documentarla.
- Comunicaciones anónimas admitidas, con confidencialidad de la identidad del informante y de terceros.
- Responsable del sistema designado por el órgano de administración. Su nombramiento y cese deben comunicarse a la Autoridad Independiente de Protección del Informante (o a la autoridad autonómica) en 10 días hábiles.
- Acuse de recibo en 7 días naturales desde la comunicación.
- Respuesta en un máximo de 3 meses, ampliable otros 3 en casos especialmente complejos.
- Libro-registro de las comunicaciones recibidas y de las investigaciones internas.
- Política o estrategia del sistema aprobada y publicada, con información clara sobre los canales externos (la Autoridad Independiente).
- Protección de datos: tratamiento conforme al RGPD y supresión de datos en los plazos que marca la ley.
La gestión puede externalizarse en un tercero (un despacho o un proveedor especializado), pero la responsabilidad sigue siendo de la empresa.
Sanciones
El artículo 65 de la Ley 2/2023 fija estas multas para personas jurídicas:
| Infracción | Multa |
|---|---|
| Leve | Hasta 100.000 € |
| Grave | De 100.001 a 600.000 € |
| Muy grave | De 600.001 a 1.000.000 € |
No tener el sistema implantado es infracción muy grave. Las personas físicas responsables pueden ser multadas con entre 1.001 y 300.000 €, y en las infracciones muy graves caben sanciones accesorias como la amonestación pública o la prohibición de contratar con el sector público.
La Autoridad Independiente de Protección del Informante (A.A.I.) funciona desde septiembre de 2025 y ya ha empezado a supervisar y sancionar.
Cómo elegir proveedor
- Anonimato real con comunicación bidireccional: que el informante pueda seguir el caso sin identificarse.
- Alojamiento en la UE y certificaciones de seguridad (ISO 27001, ENS).
- Canal verbal si lo quieres ofrecer (grabación de voz con distorsión o línea telefónica).
- Control de plazos: avisos automáticos de los 7 días y los 3 meses.
- Libro-registro generado por la herramienta.
- Documentación incluida: política del sistema, procedimiento de gestión y cláusulas de protección de datos.
- Gestión externa opcional, si prefieres que un tercero reciba y tramite las comunicaciones.
Preguntas frecuentes
¿Una empresa de menos de 50 trabajadores necesita canal de denuncias?
En general no, salvo que opere en servicios financieros, prevención del blanqueo, seguridad del transporte o medio ambiente. Aun así, puede implantarlo voluntariamente, y las empresas con plan de igualdad o protocolo de acoso ya necesitan un cauce para denuncias de acoso.
¿Vale un correo electrónico como canal de denuncias?
Difícilmente. La ley exige garantizar la confidencialidad, permitir comunicaciones anónimas, llevar un libro-registro y controlar plazos. Un buzón de correo corriente no lo asegura.
¿Puede el responsable del sistema ser externo?
La gestión del sistema puede encargarse a un tercero, pero el responsable del sistema lo designa el órgano de administración de la empresa, que sigue siendo responsable del cumplimiento.
¿Cuánto cuesta un canal de denuncias?
En nuestra comparativa hay software desde 150 €/año para pequeñas empresas, soluciones de 79 a 149 €/mes para pymes y servicios a medida para grandes empresas. También existe software libre gratuito, que hay que instalar y mantener.
¿Pueden compartir canal varias empresas?
Sí, las empresas de 50 a 249 trabajadores pueden compartir el sistema interno de información y los recursos destinados a gestionar las comunicaciones.
Fuentes
- BOE – Ley 2/2023, de 20 de febrero
- Autoridad Independiente de Protección del Informante – Recomendación 1/2026
- Ministerio de Derechos Sociales – Cuestiones generales de la Ley 2/2023
- MAZ – Resumen legislativo de la Ley 2/2023
Esta guía es informativa y no constituye asesoramiento jurídico. Para casos concretos, consulta con un profesional.