Ashio whistleblowing software

Oct 3, 2026

Canal de denuncias bajo la Ley 2/2023: qué obligaciones tiene una empresa de 50 a 249 empleados

Canal de denuncias bajo la Ley 2/2023: qué obligaciones tiene una empresa de 50 a 249 empleados

Si tu empresa tiene entre 50 y 249 empleados y aún trata el canal de denuncias como un buzón de sugerencias, estás expuesto. La Ley 2/2023, que transpone la Directiva UE 2019/1937, bajó el umbral desde los 250 trabajadores y activó obligaciones que antes solo afectaban a las grandes compañías: plazos de acuse de recibo de siete días, registro interno, prohibiciones expresas de represalia y carga invertida para quien tenga que demostrarlas. Este artículo recorre, en orden, todo lo que tu pyme mediana tiene que tener resuelto antes de la primera auditoría en materia de canal de denuncias ley 2/2023 para empresas de 50 trabajadores: el ámbito subjetivo, los plazos, los sujetos legitimados, las opciones de canal interno frente a externo, el contenido mínimo de la política, los errores más comunes al implantarlo y qué cambia en el día a día respecto a la Directiva europea.

Índice

Puntos clave

  • La Ley 2/2023 obliga a disponer de un canal de denuncias interno a todas las empresas españolas con 50 o más trabajadores, y también a las de menos si el sector está regulado o el riesgo es alto.
  • El acuse de recibo al denunciante debe emitirse en un plazo máximo de siete días naturales desde la recepción, y el seguimiento completo en tres meses, ampliable a seis solo de forma justificada.
  • Pueden denunciar empleados, becarios, autónomos, proveedores, accionistas y exempleados; la represalia, probada o no, se presume si concurren tres indicadores que la ley enumera.
  • El canal externo gestionado por la Autoridad Independiente de Protección del Informante convive con el interno: este sigue siendo obligatorio salvo en sectores expresamente exonerados, y debe acreditar requisitos de confidencialidad, plazos y trazabilidad documental.
  • La política interna de uso del canal debe aprobarse por el órgano de gobierno o comité competente, publicarse y revisarse periódicamente; su contenido mínimo está tasado por la ley y por la propia Directiva.

¿A quién obliga la Ley 2/2023 y desde cuándo?

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, obliga a todas las empresas privadas con 50 o más trabajadores a implantar un canal de denuncias interno, con independencia del sector en el que operen, según recoge el texto consolidado publicado por el BOE. Este umbral —no los 250 de la norma de origen— es la principal novedad práctica para la pyme mediana española: hasta su entrada en vigor, solo las compañías de mayor tamaño estaban llamadas a dotarse de un sistema interno con garantías reforzadas. Ahora bien, conviene matizar tres puntos que generan dudas en los departamentos de recursos humanos y de compliance.

En primer lugar, el cómputo incluye a toda la plantilla con contrato laboral, incluidos los fijos-discontinuos y los contratos de formación, y se refiere a la media de los doce meses anteriores, no al número de trabajadores en un día concreto. En segundo lugar, la ley también obliga a las empresas de menos de 50 si pertenecen a sectores expresamente regulados —servicios financieros, prevención de blanqueo de capitales, transporte, medio ambiente o seguridad nuclear— o si la autoridad competente considera que el riesgo lo justifica. En tercer lugar, la norma se aplica a las personas jurídicas privadas con ánimo de lucro, pero también a fundaciones, asociaciones y, en general, a cualquier organización con al menos dos asalariados que gestione fondos públicos o opere en uno de esos sectores.

La entrada en vigor fue escalonada. Las empresas con más de 250 empleados ya debían estar adaptadas desde el 13 de febrero de 2023. Las de 50 o más, desde el 1 de diciembre de 2023, según la disposición transitoria segunda de la ley. A partir de esa fecha, la ausencia de un sistema conforme no es solo un riesgo reputacional: es una infracción administrativa sancionable, con multas que la propia Ley 2/2023 tipifica como graves o muy graves en función de la gravedad del hecho o del número de afectados.

¿Qué pasa si la empresa forma parte de un grupo de sociedades?

Si varias empresas españolas forman parte de un grupo, cada una puede disponer de su propio canal o de uno común compartido, siempre que el sistema garantice la confidencialidad, permita la trazabilidad por filial y ofrezca a cada empleado un acceso claro a la denuncia. La ley no prohíbe la canalización agrupada, pero exige que la política interna especifique cuál es el canal de alcance compartido y que los canales de cada entidad respeten la separación de denunciantes y casos. Cuando el grupo opera en varias comunidades autónomas, conviene recordar que la autoridad competente para inspeccionar puede ser la autonómica, por lo que el diseño único del canal debe ser compatible con los distintos regímenes de infracciones y sanciones que convivan en el territorio.

¿Qué plazos concretos marca la ley: 7 días, 3 meses y dos años?

La Ley 2/2023 fija tres plazos con valor sustantivo y un cuarto plazo de conservación que suele olvidarse. Entenderlos bien es lo que separa un canal técnicamente implantado de uno que soportará una inspección sin observaciones.

El primero es el acuse de recibo al denunciante, que debe producirse en un plazo máximo de siete días naturales desde la recepción de la denuncia. Este plazo no es un objetivo de servicio: es un derecho del denunciante y un requisito de procedimiento, según el artículo 9 de la Ley 2/2023. El acuse debe ser automático y debe dejar constancia en el expediente, con sello de tiempo y fecha exacta. A efectos prácticos, esto significa que el sistema debe registrar de forma fiable el momento exacto en que la denuncia entra en el canal, ya que ese instante es el que marca el inicio del cómputo y, por tanto, la fecha límite del acuse.

El segundo es la respuesta al seguimiento: el responsable del sistema debe proporcionar al denunciante, en un plazo no superior a tres meses desde el acuse inicial, información sobre las medidas previstas o adoptadas para investigar los hechos denunciados y, en su caso, sobre la resolución del expediente. La ley permite ampliar este plazo hasta seis meses cuando la naturaleza de la investigación lo requiera, siempre que se justifique y se comunique al denunciante antes de que expire el tercero. La justificación debe quedar documentada en el propio expediente, con indicación de los motivos concretos —complejidad de los hechos, necesidad de peritajes, cooperación con autoridades— que impiden cerrar la investigación en el plazo ordinario.

El tercero es el plazo de conservación: las denuncias recibidas y los datos asociados a ellas deben conservarse durante el tiempo necesario para concluir la investigación y, en todo caso, durante un máximo de diez años, según el artículo 26 de la Ley 2/2023. Pasado ese plazo, los datos deben suprimirse salvo que sean necesarios para preservar el derecho a la defensa del investigado.

Y el cuarto, que muchas empresas olvidan, es la conservación del registro de infracciones y sanciones conexas: dos años para las sanciones muy graves, sin perjuicio de los plazos previstos en la normativa sectorial. Este registro enlaza la Ley 2/2023 con la Ley de Infracciones y Sanciones en el Orden Social y con la normativa de protección de datos, y suele ser el primer documento que la autoridad competente reclama en una inspección. Su llevanza suele atribuirse al responsable del sistema, en coordinación con recursos humanos cuando el expediente derive en sanción laboral.

¿Y si la empresa incumple estos plazos?

El incumplimiento del plazo de acuse de recibo de siete días es, por sí mismo, una infracción autónoma, sancionable como leve o grave según las consecuencias. La Autoridad Independiente de Protección del Informante, o en su defecto la autoridad laboral autonómica competente, puede incoar expediente sancionador, según el régimen de infracciones previsto en el artículo 63 de la Ley 2/2023. En la práctica, lo más caro no es la multa directa, sino la indefensión del denunciante: si la empresa no acredita el acuse, la presunción de represalia opera automáticamente y la carga de la prueba se invierte.

Quién puede denunciar: empleados, pero también proveedores y exempleados

El denunciante no es solo el empleado con nómina. La ley amplía de forma decidida el círculo de personas legitimadas para informar, una de las grandes diferencias con las políticas internas que las empresas venían aprobando hasta ahora. Cualquier persona que mantenga o haya mantenido una relación laboral, de prestación de servicios o de otro tipo con la empresa puede denunciar hechos que considere constitutivos de infracción.

En concreto, la ley reconoce legitimación a:

  • Empleados con contrato laboral en vigor, incluidos becarios, trabajadores en prácticas y personal de empresas de trabajo temporal cedido.
  • Trabajadores autónomos y colaboradores que presten servicios para la empresa, aunque su relación se articule a través de un contrato mercantil.
  • Accionistas, socios y miembros del órgano de administración.
  • Proveedores, subcontratistas y cualquier persona que trabaje por cuenta de estos para la empresa afectada.
  • Exempleados, voluntarios, becarios y personas que hayan finalizado su relación con la empresa, sin que la ley española fije un plazo cerrado y remitiendo, en la práctica, al alcance amplio de la Directiva (UE) 2019/1937.
  • Cualquier persona que tenga conocimiento de hechos constitutivos de infracción en un contexto laboral o de prestación de servicios, aunque no tenga relación formal con la organización.

Esta ampliación tiene una consecuencia operativa inmediata: la política interna, el formulario de denuncia, el aviso legal de la página de inicio del canal y el mensaje de acuse de recibo deben estar redactados en plural inclusivo, no en segunda persona del singular limitada a la plantilla interna. Si el formulario solo dice "trabajadores de la empresa", se está dejando fuera a una parte del perímetro legalmente protegido. La redacción debe cubrir expresamente a cada categoría —autónomos, proveedores, exempleados— para que ninguna persona legitimada dude de su derecho a informar.

¿Y el denunciante anónimo?

La ley distingue entre denuncia anónima y denuncia confidencial. La denuncia anónima es aquella en la que el denunciante no se identifica en ningún momento; la confidencial, aquella en la que se identifica pero sus datos solo son accesibles al responsable del sistema y, eventualmente, a las autoridades competentes. La Ley 2/2023 protege ambas modalidades y prohíbe que el sistema rechace denuncias anónimas por defecto, aunque la empresa puede decidir si las tramita de la misma forma o si les da un tratamiento diferenciado en la política interna. Esta distinción es importante porque muchos sistemas comerciales solo admiten denuncias identificadas y dejan a las anónimas sin acuse formal, exponiendo a la empresa a una sanción. Si necesitas profundizar en la configuración técnica de un Canal de denuncia interno que soporte ambas modalidades, conviene revisarlo antes de contratar la herramienta.

¿Puede ser un canal externo sin perder el control del caso?

Una pregunta recurrente en la pyme mediana es si, para cumplir la ley, basta con designar un canal externo gestionado por un proveedor o por la Autoridad Independiente de Protección del Informante, y olvidarse del interno. La respuesta corta es: no, salvo excepciones tasadas. La ley exige un canal interno en todos los casos, y solo permite modalidades distintas en sectores con regulación específica.

La regla general es clara: la empresa debe contar con un canal interno propio, gestionado por una persona o departamento identificado, y debe ser el cauce preferente para las denuncias que afecten al perímetro de la empresa. La existencia de un canal externo, ya sea el de la Autoridad Independiente o el de un proveedor que preste el servicio como tercero de confianza, no exime de tener el interno, según el artículo 10 de la Ley 2/2023.

Dicho esto, la ley sí permite dos figuras distintas. La primera es el canal interno compartido entre varias empresas del grupo o entre varias empresas independientes, siempre que se garantice la confidencialidad y la trazabilidad individual. La segunda es la posibilidad de que la empresa contrate la gestión técnica del canal con un proveedor externo —alojamiento, software, mantenimiento—, manteniendo la responsabilidad última en un responsable interno. Esta segunda figura es la que ha popularizado el modelo de software como servicio para canal de denuncias, y es legal siempre que se cumplan tres requisitos: el proveedor no conoce la identidad del denunciante si la denuncia es anónima, los datos se tratan conforme al RGPD y existe un contrato de encargo de tratamiento bien delimitado, conforme al artículo 28 del Reglamento (UE) 2016/679. En la práctica, el contrato de encargo debe detallar qué operaciones realiza el proveedor, dónde se almacenan los datos, qué medidas de seguridad aplica y cómo se gestionan los incidentes, para que la empresa pueda acreditar el cumplimiento ante la autoridad competente.

¿Y si la empresa prefiere externalizar toda la operativa?

La ley prohíbe externalizar la responsabilidad. Sí permite externalizar al tercero de confianza —la infraestructura técnica, la recepción, la custodia de datos—, pero el responsable del sistema, las decisiones de admitir y archivar la denuncia, la designación del instructor y la respuesta al seguimiento deben quedar dentro de la organización. Quien firma la política interna es el órgano de gobierno, no el proveedor. Si el proveedor decide por sí solo archivar una denuncia o no comunicar el seguimiento en plazo, la responsabilidad sigue siendo de la empresa. La función del proveedor es, como en cualquier encargo, ejecutar medios bajo las instrucciones del responsable, no sustituirlo.

Cómo diseñar la política interna de whistleblowing que tu comité debe aprobar

Cómo diseñar la política interna de whistleblowing que tu comité debe aprobar La política interna de uso del canal no es un documento decorativo. Es la pieza que el regulador leerá primero si abre un expediente, y es la prueba principal de que el sistema está diseñado conforme a la ley. La ley no obliga a un modelo cerrado, pero sí exige un contenido mínimo que se ha ido consolidando en la práctica y en las guías de la Autoridad Independiente de Protección del Informante.

El contenido mínimo de la política interna de whistleblowing incluye:

  • Objeto y normativa aplicable, con cita de la Ley 2/2023 y de la Directiva UE 2019/1937.
  • Ámbito material: qué hechos son denunciables, con la lista tasada de infracciones que la ley recoge en su artículo 2.
  • Ámbito subjetivo: quiénes pueden denunciar, con la lista completa descrita en el apartado anterior.
  • Responsable del sistema, con identificación de la persona física o departamento, sus competencias y sus incompatibilidades.
  • Procedimiento de recepción, incluyendo canales disponibles —formulario web, correo, presencial— y el derecho a denunciar de forma anónima.
  • Procedimiento de instrucción, con plazos, derechos del investigado y derechos del denunciante, así como las garantías de confidencialidad.
  • Régimen de protección del denunciante, con cita de la prohibición de represalias y de la inversión de la carga de la prueba.
  • Régimen disciplinario para infracciones internas, alineado con la normativa laboral aplicable.
  • Conservación de datos y plazos, alineado con el RGPD y con el artículo 26 de la ley.
  • Revisión periódica y canal de actualización, con un calendario concreto —revisión anual como mínimo, según las guías sectoriales.

La aprobación de la política corresponde al órgano de gobierno o, en la pyme mediana, al comité que ejerza competencias equivalentes. No es un documento que pueda aprobar el departamento de recursos humanos en solitario, aunque sea el redactor, porque afecta al régimen sancionador y a derechos fundamentales de los trabajadores. Conviene que el comité o el órgano de gobierno haga constar expresamente la aprobación y la fecha, y que esa decisión esté accesible en el repositorio corporativo. La práctica consolidada recomienda documentar el acto de aprobación con acta y fecha cierta, para acreditar la vigencia ante una inspección.

La política debe publicarse. Está disponible al menos en la intranet y, si la empresa tiene relación con terceros fuera de su perímetro interno, también en un lugar accesible para proveedores y colaboradores. Publicar la política en un cajón sin visibilidad equivale, a efectos prácticos, a no tenerla, porque un denunciante que no conoce el procedimiento tiene un argumento sólido para alegar indefensión.

¿Qué formato y extensión debe tener la política?

No hay un mínimo legal de páginas, pero la práctica consolidada y las guías de la autoridad recomiendan entre seis y doce páginas, con un lenguaje claro, sin jerga oscura, y adaptada al castellano y a las lenguas cooficiales que correspondan. Una política demasiado larga no se lee; una demasiado corta, incompleta. El objetivo es que un empleado, un proveedor o un exempleado pueda entender en cinco minutos qué puede denunciar, cómo, con qué protección y en qué plazos recibirá respuesta.

Errores típicos al montar el canal en una pyme mediana

La experiencia de los primeros años de aplicación ha permitido identificar un patrón claro de errores en empresas de 50 a 249 empleados. Conocerlos antes de empezar evita costes de reauditoria y sanciones directas. Los más repetidos son los siguientes.

Confundir canal interno con buzón de sugerencias

El error más común es denominar "canal de denuncias" a una dirección de correo genérica o a un formulario de sugerencias. La Ley 2/2023 exige un sistema con responsable identificado, plazos tasados, registro, trazabilidad y garantías de confidencialidad. Un buzón abierto a todas las direcciones, sin sello de tiempo, sin gestión de casos y sin política, no cumple la ley aunque se denomine de otra forma. La diferencia es sustantiva: el buzón se vacía periódicamente y no genera expediente; el canal, en cambio, asigna un número de caso, un responsable y un estado que evoluciona con cada actuación.

No distinguir denuncia anónima de denuncia confidencial

Otro error frecuente es rechazar denuncias anónimas por defecto, o tratarlas con menor rigor que las identificadas. La ley protege las dos modalidades y prohíbe el rechazo automático. Si el formulario obliga a identificarse, la empresa está dejando fuera a los denunciantes que más protección necesitan y exponiéndose a la inversión de la carga de la prueba.

Acuse de recibo fuera de plazo

El plazo de siete días se incumple con frecuencia porque las notificaciones se hacen manuales, en el correo personal del responsable, sin automatización. Sin automatización, basta una baja, una ausencia o un fin de semana para perder el plazo. El incumplimiento, por sí mismo, es una infracción.

Política interna no aprobada por el órgano competente

Otra equivocación habitual es aprobar la política por el departamento de recursos humanos o por el comité de dirección, sin que el órgano de gobierno —consejo de administración, junta de socios, patronato— haga constar formalmente la aprobación. Si la autoridad abre expediente, ese defecto formal se convierte en prueba de que el sistema no está engranado.

Confundir confidencialidad con cifrado

Por último, un error técnico habitual: pensar que tener un canal HTTPS cumple la ley. La confidencialidad de la ley es integral: incluye la separación entre denunciante y denunciado, la no revelación a testigos, el acceso limitado al expediente y la trazabilidad. El cifrado es una herramienta, no la garantía completa. La AEPD ha recordado en sus guías que la confidencialidad es una obligación organizativa, no solo técnica. En la práctica, esto se traduce en controles de acceso al expediente, perfiles limitados en el sistema y prohibición de que el instructor comparta la identidad del denunciante con el denunciado.

Qué cambia respecto a la Directiva UE 2019/1937 en la práctica diaria

La Ley 2/2023 transpone la Directiva UE 2019/1937 y, en general, mantiene el mismo esquema. Pero introduce cinco cambios prácticos que conviene tener claros al adaptar el día a día.

El primero es el umbral de obligado cumplimiento, ya descrito: la ley española lo baja a 50, mientras la directiva permite a los Estados miembros fijar un umbral mínimo de 50 para empresas medianas. España opta por el umbral mínimo, lo que amplía el perímetro afectado. Para consultar el detalle del marco europeo, la guía oficial de la eu whistleblowing directive recoge las obligaciones comunes.

El segundo es la Autoridad Independiente de Protección del Informante, que la directiva permite crear y que España ha creado como autoridad única competente para canal externo, con potestad sancionadora propia. En la práctica, cualquier denuncia que se presente ante ella se considera válida a efectos del cómputo de plazos.

El tercero es la inversión de la carga de la prueba en represalias. La directiva la prevé y la ley española la concreta con tres indicadores tasados: proximidad temporal entre denuncia y medida, contexto laboral de la medida adoptada y existencia de motivo único o principal vinculado a la denuncia. Si concurren dos de los tres, se presume la represalia y la empresa tiene que demostrar que su decisión obedecía a motivos distintos.

El cuarto es la protección del denunciante frente a la responsabilidad penal, civil y laboral. La directiva la prevé para los denunciantes que actúan de buena fe. La ley española la concreta: el denunciante que informe de buena fe sobre hechos que resulten ser infundados no puede ser sancionado por haber denunciado, ni siquiera si la denuncia afecta a la reputación del investigado. Esta es una pieza clave para incentivar la denuncia, y la propia Directiva UE sobre denunciantes lo recoge expresamente.

El quinto es la confidencialidad reforzada. La directiva exige confidencialidad, sin precisar el grado. La ley española concreta que la identidad del denunciante solo puede comunicarse a la autoridad judicial, al ministerio fiscal o a la autoridad competente, y nunca al denunciado, ni siquiera en el expediente sancionador. Esta regla endurece y da coherencia al régimen interno.

¿Y en la práctica diaria del responsable de RRHH?

En el día a día, los cambios prácticos más visibles son tres. El primero es el formato del acuse de recibo: ya no basta con una respuesta genérica en el correo; la ley exige un acuse específico, con sello de tiempo, firmado por el responsable del sistema y archivado en el expediente. El segundo es la trazabilidad de la represalia: cualquier decisión sobre un empleado que haya denunciado —cambio de funciones, despido, modificación de condiciones, evaluación negativa— debe contar con un expediente documentado que justifique la decisión por motivos objetivos y no por la denuncia. El tercero es el régimen disciplinario interno para el investigado: la empresa debe contar con un protocolo específico para casos de whistleblowing, no solo el régimen general. El responsable de RRHH debe coordinarse con el responsable del sistema para que las decisiones laborales sobre el denunciante o el investigado queden reflejadas en el expediente con motivación reforzada, especialmente si la decisión se adopta dentro de los seis meses posteriores a la denuncia.

Recursos y herramientas que ayudan al responsable de compliance

El responsable de compliance o de recursos humanos que lidere este proceso necesita apoyo en tres planos: normativo, técnico y operativo. El normativo se cubre con la propia ley, con las guías de la autoridad y con la doctrina de la AEPD. El técnico, con la elección de un canal que cumpla confidencialidad, plazos y trazabilidad, revisando el encaje del RGPD y denuncias en el diseño técnico del canal. El operativo, con un equipo con roles claros, formación y mecanismos de seguimiento. Esta estructura se construye sobre la base de los principios de protección del denunciante y de la confidencialidad, como se explica en la guía oficial de la autoridad competente y en los recursos específicos para perfiles sectoriales como los de for hr leaders y de for compliance officers, junto con la documentación técnica sobre cumplimiento del RGPD y denuncias y sobre las garantías que ofrece un Denuncias anónimas y confidenciales seguras en el canal de denuncias.

Preguntas frecuentes

¿Una empresa de 60 empleados puede tener un canal interno compartido con otra del grupo?

Sí, la ley permite el canal interno compartido entre empresas del grupo siempre que se garantice la confidencialidad y la trazabilidad por entidad. La política interna debe especificar cuál es el canal compartido, qué entidad es la responsable del sistema y cómo se separan los expedientes por filial. El denunciante debe tener acceso claro al canal y saber que su denuncia llega al responsable de su empresa, no a una unidad genérica sin competencia territorial.

¿Qué ocurre si la denuncia resulta ser falsa de mala fe?

La ley no sanciona al denunciante de buena fe, aunque la denuncia sea falsa. Si la denuncia se hizo de mala fe —con conocimiento de su falsedad o con ánimo de perjudicar—, el investigado puede ejercer acciones legales contra el denunciante, y la empresa puede sancionar la denuncia falsa como infracción laboral. Lo que la ley prohíbe expresamente es sancionar al denunciante por el hecho de haber denunciado, si actuó de buena fe. La carga de la mala fe corresponde a quien la alegue.

¿El canal interno debe estar disponible fuera de horario laboral?

La ley no exige disponibilidad 24/7 del canal, pero sí exige que el plazo de siete días se cumpla desde la recepción. Si la denuncia llega en un festivo o un fin de semana, el reloj empieza a correr. Por eso las mejores prácticas recomiendan un canal web con acuse automático generado por el sistema, no por una persona, para que el sello de tiempo se registre desde el primer momento.

¿La empresa debe publicar la política interna en la web?

Sí, al menos en la intranet y, si la empresa tiene relación con proveedores, clientes o colaboradores externos, también debe publicarse de forma accesible para terceros. La política no es un documento interno reservado: es la prueba pública de que el sistema está engranado. Sin publicación efectiva, un denunciante puede alegar indefensión y la autoridad competente puede considerar que el sistema no cumple la ley.

¿Una denuncia verbal o por teléfono debe admitirse?

Sí, la ley obliga a admitir denuncias por escrito, verbalmente o de ambas formas, a elección del denunciante. Si se admite la denuncia verbal, el sistema debe dejar constancia de ella mediante grabación, transcripción o acta detallada firmada por el denunciante. La omisión de esta vía es una infracción, porque deja fuera a colectivos con menor alfabetización digital.

Fuentes