Ashio whistleblowing software

Oct 2, 2026

Ley 2/2023 canal de denuncias: guía completa para empresas

Ley 2/2023 canal de denuncias: guía completa para empresas

Si tu empresa tiene 50 o más empleados, la Ley 2/2023 canal de denuncias ya te obliga a tener un canal interno operativo, y la multa por no tenerlo puede llegar al millón de euros. Esta guía explica, paso a paso, qué dice la norma, a quién obliga, qué plazos marca, qué requisitos técnicos y legales exige y cómo implantarlo sin errores en una pyme española.

Índice

Puntos clave

  • La Ley 2/2023 transpuso la Directiva UE 2019/1937 y obliga a las empresas españolas con 50 o más trabajadores a disponer de un canal interno de denuncias antes del 13 de junio de 2023.
  • El sistema debe permitir denuncias anónimas, acuse de recibo en un máximo de 7 días naturales y respuesta de seguimiento en 3 meses, con un registro íntegro y confidencial.
  • El responsable del sistema interno de información debe ser designado formalmente y no puede tener conflictos de interés; suele recaer en compliance, RRHH o una persona jurídica externa.
  • Las sanciones se dividen en leves (hasta 20.000 €), graves (hasta 400.000 €) y muy graves (hasta 1.000.000 € o 1.000.000.000 € según el sujeto obligado).
  • En la práctica, cumplir exige combinar un canal seguro, una política interna, formación y un registro inmutable listo para auditoría.

Qué es la Ley 2/2023 y por qué obliga a tener un canal de denuncias interno

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpuso al ordenamiento español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo y creó la obligación de contar con un sistema interno de información en empresas y entidades públicas. Su objetivo es doble: proteger a los denunciantes frente a represalias y garantizar que las organizaciones detecten y corrijan incumplimientos graves de forma temprana. El texto está alineado con estándares internacionales de whistleblowing como ISO 37002:2021, que ofrece directrices para establecer, gestionar y evaluar canales de denuncia.

La norma se publicó en el BOE el 21 de febrero de 2023 y entró en vigor el 13 de marzo de 2023, con plazos de adaptación escalonados según el tamaño de la organización. En esencia, obliga a disponer de un canal interno que permita a empleados, contratistas, proveedores, clientes y, en algunos casos, exempleados y accionistas, comunicar infracciones en un entorno seguro y, por lo general, anónimo. Todo el sistema debe apoyarse en tres pilares: confidencialidad por diseño, trazabilidad y no represalia. La autoridad competente para supervisar el cumplimiento en el sector privado es la Autoridad Independiente de Protección del Informante (A.A.I.), mientras que la AEPD y los organismos autonómicos intervienen cuando el canal trata datos personales sensibles, como en el tratamiento de datos personales de los denunciantes, competencia de la AEPD..

¿Quién está obligado por la Ley 2/2023 en España? Umbrales de empleados y excepciones

Están obligados los partidos políticos, los sindicatos, las asociaciones empresariales, las fundaciones y, en el sector privado, las empresas con 50 o más trabajadores, así como las de menos de 50 que operen en sectores especialmente regulados (servicios financieros, blanqueo de capitales, seguridad nuclear, transporte, medio ambiente o salud pública). También lo están las empresas que, con independencia de su plantilla, gestionen fondos públicos o sean contratistas del sector público con importes relevantes.

La ley 2/2023 España recoge, además, dos matices importantes: las empresas de entre 50 y 249 empleados podían compartir el canal entre varias compañías del mismo grupo, siempre que la responsabilidad fuera identificable y el acceso estuviera segmentado; las de 250 o más trabajadores deben contar obligatoriamente con un sistema propio, con su propio responsable y sus propios registros. En el sector público, la obligación es prácticamente universal: administraciones, entidades dependientes, universidades públicas, hospitales y cualquier organismo con personal a su cargo.

¿Una pyme de 40 empleados puede quedarse fuera?

Una pyme de 40 empleados no está obligada por el umbral general de la ley 2/2023, pero sí lo estará si pertenece a un sector regulado (por ejemplo, entidades que deban comunicar operaciones sospechosas de blanqueo de capitales) o si gestiona fondos públicos por encima de los umbrales fijados en la Ley de Contratos del Sector Público. En esos casos, la obligación nace con independencia de la plantilla.

¿Qué plazos tiene una empresa para adaptarse a la Ley 2/2023?

Los plazos ley 2/2023 se aplicaron de forma escalonada y ya han vencido para la mayoría de los sujetos obligados, por lo que la prioridad actual es operar conforme a la norma y mantener la documentación al día. Las empresas con 250 o más empleados y los partidos políticos, sindicatos y fundaciones debían tener el sistema en marcha desde el 13 de junio de 2023. Las empresas con 50 a 249 trabajadores disponían hasta el 1 de diciembre de 2023. Las Administraciones Públicas contaban con un plazo que venció el 1 de julio de 2023, y el resto de entidades del sector público, hasta el 13 de junio de 2024.

A partir de esas fechas, el sistema debe cumplir los plazos operativos de gestión de cada denuncia: acuse de recibo en un máximo de 7 días naturales desde la entrada de la comunicación, y respuesta de seguimiento en un plazo no superior a 3 meses, salvo en casos de especial complejidad. Estos plazos se aplican a cada expediente individual, lo que significa que el software debe medir fechas, enviar alertas automáticas y dejar constancia de cualquier excepción justificada. Un sistema operativo permite descargar informes con la métrica de cumplimiento de plazos para aportarlos ante una eventual inspección.

Requisitos técnicos y legales del canal según la Ley 2/2023

El artículo 5 de la Ley 2/2023 enumera los requisitos que debe cumplir cualquier canal de denuncias interno empresas para considerarse conforme. La ley exige que el sistema permita presentar comunicaciones por escrito o verbalmente, incluso mediante mecanismos de voz a texto; que asegure la confidencialidad de la identidad del denunciante, del denunciado y de cualquier tercero mencionado; que ofrezca acceso restringido solo al personal autorizado, normalmente el responsable del sistema; y que garantice la trazabilidad del expediente desde la entrada hasta su resolución. Para empresas europeas, los eu whistleblowing directive además obligan a que el canal pueda ser operado por una persona física del propio ente o por una persona jurídica externa, pero no por un empleado sin formación específica.

A nivel técnico, la implementación segura exige, como mínimo, los siguientes elementos:

  • Cifrado de extremo a extremo: las comunicaciones deben viajar cifradas entre el denunciante y el gestor autorizado, de modo que ni el proveedor tecnológico ni un atacante con acceso al servidor pueda leerlas.
  • Registro inmutable: cualquier cambio de estado (recepción, clasificación, asignación, resolución) debe quedar fechado y firmado, sin posibilidad de edición retroactiva silenciosa.
  • Anonimato real: el canal no debe registrar direcciones IP, cookies ni huella digital del navegador, y no debe requerir correo electrónico ni autenticación previa.
  • Arquitectura de mínimo privilegio: solo acceden a los datos identificativos el responsable del sistema y, en su caso, las personas expresamente autorizadas.
  • Alojamiento en la Unión Europea: la ubicación física de los servidores debe estar en territorio UE o en país con decisión de adecuación, para evitar transferencias internacionales no amparadas.
  • Exportación de evidencias: la herramienta debe permitir generar informes en formatos estándar (PDF, CSV) listos para una auditoría o un procedimiento judicial.
  • Política de conservación: la ley prohíbe conservar los datos más allá del tiempo necesario para investigar, con plazos orientativos de hasta 10 años para infracciones muy graves y 5 años para graves, tras los cuales debe procederse a su supresión o anonimización.

Cuando se combinan estos requisitos con la necesidad de cumplir el RGPD, lo prudente es apoyarse en plataformas que integren la protección de datos por diseño y por defecto, como las que ofrecen los proveedores europeos especializados en protección de datos por diseño y por defecto..

Cómo nombrar al responsable del canal de denuncias sin infringir la ley

La figura del responsable sistema interno información es el corazón del modelo de cumplimiento. El artículo 8 de la ley 2/2023 exige que sea una persona con independencia funcional dentro de la organización, sin conflictos de interés y con capacidad de acceder a la alta dirección. La norma permite que el cargo lo asuma una persona física concreta o una persona jurídica externa (por ejemplo, un despacho de abogados o un proveedor de compliance), siempre que la identidad del responsable esté claramente identificada y que pueda rendir cuentas de su gestión.

En la práctica, las empresas pequeñas suelen optar por una de estas tres configuraciones:

  1. Responsable interno único: un directivo de compliance, de RRHH o de legal, con dedicación parcial o total. Funciona bien cuando la plantilla es reducida, pero exige que la persona esté capacitada y que no participe en decisiones que puedan generar conflicto (por ejemplo, no puede investigar denuncias que le afecten).
  2. Responsable interno con apoyo externo: una persona del staff asume la responsabilidad formal, mientras que un tercero (despacho, consultora, plataforma tecnológica) se encarga de la gestión operativa del canal y de las investigaciones. Es la opción más habitual en empresas de 50 a 250 empleados.
  3. Responsable externo: la responsabilidad recae en una persona jurídica externa, normalmente cuando se quiere reforzar la independencia o cuando la organización no dispone de personal cualificado. En este caso, la ley obliga a formalizar el encargo mediante un contrato que detalle alcance, confidencialidad y reporte al órgano de gobierno.

¿Qué formación mínima debe tener el responsable del canal?

La ley no exige una titulación concreta, pero sí que el responsable conozca la normativa de protección de datos, la ley 2/2023 y la política interna de la empresa, y que acredite formación específica en gestión de investigaciones internas. En la práctica, esto se traduce en haber cursado formación en whistleblowing, compliance penal y RGPD, contar con protocolos escritos y recibir actualización periódica, preferiblemente anual, sobre cambios normativos y jurisprudencia.

Sanciones por no cumplir la Ley 2/2023: multas de hasta 1 millón de euros

El régimen de sanciones ley 2/2023, recogido en los artículos 63 a 69, distingue entre tres niveles. Las infracciones muy graves pueden alcanzar hasta 1.000.000 € para empresas y hasta 1.000.000.000 € cuando el infractor sea una persona jurídica del sector financiero o de seguros, o una empresa con facturación superior a 500 millones. Las infracciones graves pueden llegar hasta 400.000 €. Las leves se sancionan con hasta 20.000 €.

Las conductas tipificadas como muy graves incluyen, entre otras, adoptar represalias contra el denunciante, no contar con un sistema interno de información cuando sea obligatorio, no tramitar las denuncias en los plazos previstos o vulnerar de forma reiterada las garantías de confidencialidad. Son infracciones graves, por ejemplo, obstaculizar la presentación de denuncias, no facilitar al denunciante información sobre el estado de su expediente o no conservar los registros en condiciones de integridad. La Autoridad Independiente de Protección del Informante, así como las autoridades sectoriales competentes (AEPD, Banco de España, CNMV, Sepblac, entre otras), pueden imponer estas sanciones tras un procedimiento con garantías de contradicción y, en su caso, publicidad de la resolución.

¿Puede sancionarse a la empresa aunque no haya habido represalia?

Sí. La ley 2/2023 tipifica como infracción autónoma la mera ausencia de canal cuando es obligatorio, así como su mal funcionamiento (por ejemplo, que no permita la comunicación anónima, que no acuse recibo en plazo o que carezca de registro). No es necesario que llegue a producirse una represalia para que la Administración abra expediente: basta con que la inspección detecte el incumplimiento técnico u organizativo.

Checklist paso a paso para implantar el canal de denuncias en tu empresa

Checklist paso a paso para implantar el canal de denuncias en tu empresa Implantar un canal conforme no es solo contratar una herramienta: es un proyecto de cumplimiento que combina tecnología, política interna, formación y reporte. El siguiente recorrido sigue el orden lógico que recomiendan los expertos en compliance y se apoya en marcos como ISO 37002 y las directrices de la Autoridad Independiente de Protección del Informante.

1. Análisis de aplicabilidad y gobernanza

Identifica si tu empresa está obligada por la ley 2/2023 España (umbral de plantilla, sector regulado o gestión de fondos públicos), define quién será el responsable del sistema, redacta la política de whistleblowing y apruebala por el órgano de gobierno. Documenta el alcance subjetivo: empleados, contratistas, proveedores, clientes, exempleados y cualquier otra persona legitimada para denunciar.

2. Elección del canal y del proveedor

Selecciona un canal que cumpla los requisitos técnicos (cifrado, anonimato, registro inmutable, exportación) y un proveedor que opere en la UE, con garantías RGPD demostradas. Comprueba la trazabilidad, la posibilidad de gestionar casos múltiples, los roles de acceso, la integración con tu identidad corporativa y la disponibilidad de un modelo de despliegue adecuado al tamaño de tu organización. Los responsables de compliance suelen apoyarse en páginas específicas de evaluación como for compliance officers para comparar lo que ofrece cada solución.

3. Diseño del flujo de gestión de casos

Define categorías de denuncia, plantillas de respuesta, criterios de admisibilidad, plazos internos de gestión y reglas de escalado (quién investiga, quién decide, quién revisa). Configura alertas automáticas de plazos (7 días y 3 meses) y un cuadro de mando con KPIs: número de denuncias, tiempo medio de cierre, índice de represalias detectadas y porcentaje de casos anónimos.

4. Política interna, comunicación y formación

Redacta la política de whistleblowing con lenguaje claro, publícala en la intranet y dala a conocer a toda la plantilla. Imparte formación específica al responsable del sistema, a la alta dirección y a los mandos intermedios que recibirán denuncias. Prevé un canal de comunicación externa para proveedores y clientes, y una versión pública del aviso legal que explique cómo se pueden presentar denuncias anónimas.

5. Prueba, auditoría y mejora continua

Antes de la apertura definitiva, realiza una prueba de carga, un test de intrusión y un simulacro de investigación. Verifica que los plazos se cumplen, que el registro es inalterable y que las exportaciones son legibles. Documenta la autoevaluación y, si tu empresa lo requiere, sométela a una auditoría interna o externa. Tras la puesta en marcha, revisa trimestralmente los indicadores y, al menos una vez al año, la política y el funcionamiento del canal. Quienes gestionan este tipo de proyectos suelen apoyarse en un proveedor externo que ofrezca un canal listo para usar, mantenimiento y soporte en castellano; en ese punto del proceso, conviene revisar la página de Canal de denuncia interno para evaluar el ajuste entre lo que la herramienta ofrece y los requisitos de tu organización.

6. Riesgos habituales que conviene evitar

Los errores más comunes al implantar un canal de denuncias obligatorio son: confundir confidencialidad con anonimato y permitir que el proveedor pueda leer las comunicaciones; no acotar quién accede al registro; olvidar la formación, dejando a los gestores sin criterios claros; usar canales genéricos (correo electrónico, formularios web sin cifrado) y confiar en que "ya está"; y no documentar la trazabilidad, lo que inutiliza el canal ante una inspección. Una vez detectados, estos puntos deben corregirse de forma inmediata, con un plan de remediación aprobado por el órgano de gobierno.

Preguntas frecuentes

¿Qué empresas están obligadas a tener un canal de denuncias en España?

Están obligadas las empresas privadas con 50 o más empleados, las entidades sin ánimo de lucro, los partidos políticos, los sindicatos, las asociaciones empresariales y, con independencia de su tamaño, las entidades que operen en sectores regulados (financiero, seguros, blanqueo, seguridad, salud pública, medio ambiente) o que gestionen fondos públicos por encima de ciertos umbrales.

¿Es obligatorio que el canal permita denuncias anónimas?

Sí. La ley 2/2023 exige que el sistema interno de información permita la presentación de comunicaciones anónimas, o al menos confidenciales, y que la identidad del denunciante no sea revelada a terceros sin su consentimiento expreso, salvo obligación legal o resolución judicial.

¿Qué plazos tiene el responsable del canal para responder al denunciante?

El responsable del sistema debe acusar recibo de la denuncia en un plazo máximo de 7 días naturales y facilitar una respuesta de seguimiento en un plazo no superior a 3 meses, ampliable cuando la complejidad del caso lo justifique y siempre de forma motivada.

¿La AEPD supervisa los canales de denuncias?

La AEPD no es la autoridad competente en materia de whistleblowing, pero sí lo es cuando el canal trata datos personales: por ejemplo, si se recaban categorías especiales de datos, si se producen accesos indebidos o si se exceden los plazos de conservación. La supervisión específica del sistema corresponde a la Autoridad Independiente de Protección del Informante y a las autoridades sectoriales.

¿Qué ocurre si un empleado denuncia de mala fe?

La ley protege al denunciante que actúa de buena fe, aunque la denuncia resulte infundada. En cambio, si se acredita que el denunciante conocía la falsedad de los hechos y actuó con ánimo de perjudicar, la conducta puede constituir una infracción laboral o incluso penal, sin que por ello el resto del sistema quede desprotegido.

Fuentes