¿Tiene 50 o más trabajadores?
- Sí, 50 o másObligado: directo (250+) o desde el 1 de diciembre de 2023 (50–249).
- No, menos de 50Pase a la siguiente pregunta.
🇪🇸 Ley 2/2023 — España
Ley 2/2023: ¿está obligado a tener un canal de denuncias?
La Ley 2/2023 obliga a empresas con 50+ trabajadores, a todo el sector público y a partidos, sindicatos y fundaciones a disponer de un Sistema Interno de Información. Descubra si está obligado, qué exige la ley y qué sanciones puede imponerle la A.A.I.
¿Está obligado?
¿Su organización debe tener canal de denuncias?
Tres supuestos: si responde sí a al menos uno, está obligado por la Ley 2/2023.
¿Es parte del sector público?
Administraciones, universidades, sociedades y fundaciones públicas: obligadas en su totalidad. Municipios de más de 10.000 habitantes también.
¿Es partido, sindicato u organización empresarial con financiación pública?
Partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculados a estos también deben cumplir si reciben fondos públicos.
Si cumple alguno de estos supuestos, está obligado.
Necesita un Sistema Interno de Información gestionado por un responsable independiente, con acuse de recibo en 7 días y respuesta en 3 meses. Y debe conservarlo al menos 10 años en registros conformes al RGPD y la LOPDGDD.
Ámbito de aplicación
Quién está obligado por la Ley 2/2023.
La ley aplica a tres grandes colectivos. La forma jurídica (S.L., S.A., fundación, asociación) es indiferente — la obligación se mide en trabajadores, sector y tipo de entidad.
Empresas con 50+ trabajadores
Calculados como media de trabajadores en el último año. Incluye S.L. y S.A. privadas, asociaciones, fundaciones privadas y otras entidades con empleados por cuenta ajena.
Todo el sector público
Administraciones generales, universidades, sociedades y fundaciones públicas. Los municipios de más de 10.000 habitantes deben contar con su propio canal; los menores pueden compartir recursos.
Partidos, sindicatos y ONG con fondos públicos
Partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculadas a ellos: obligados cuando reciben financiación pública o gestionan servicios de interés colectivo.
Ejemplos concretos
Cuatro situaciones típicas para decidir en 30 segundos.
Nombres y sectores inventados, escenarios reales de quien duda si debe cumplir.
S.L. de diseño gráfico, 28 empleados
No obligada. Por debajo del umbral y fuera de sectores regulados. La ley recomienda igualmente dotarse de un canal.
S.L. comercializadora, 62 empleados
Obligada. Bounea el umbral de 50 trabajadores, independientemente del sector.
Ayuntamiento de 12.000 habitantes
Obligado. Todos los municipios de más de 10.000 habitantes deben tener su propio canal; los menores pueden compartirlo entre varios.
Comunidad de propietarios
No obligada en general. Salvo que tenga personal contratado de forma habitual y supere los 50 trabajadores — situación excepcional.
Obligaciones
Lo que exige el Sistema Interno de Información.
La ley concreta seis piezas obligatorias. No basta con un email o un formulario en la intranet: el SII debe ser un sistema formal, independiente y trazable.
Sistema Interno de Información (SII)
Un canal formal que permita recibir denuncias por escrito, verbalmente (incluso por vía telefónica) y presencialmente. Puede ser interno o prestado por un tercero externo independiente como Ashio.
Responsable del Sistema
Una persona física, un órgano colegiado o un tercero externo con autonomía e independencia. Solo este responsable puede acceder al contenido de las denuncias. La ley prohíbe que los directivos lo sean.
Acuse de recibo en 7 días naturales
Plazo tasado: desde la recepción, el informante debe recibir confirmación en un máximo de 7 días naturales, incluso aunque no se le dé traslado del contenido.
Investigación y respuesta en 3 meses
La instrucción debe finalizar en 3 meses desde el acuse (prorrogable por la complejidad del caso, con motivación). Al cierre, se comunica al informante el resultado o el estado.
Protección amplia contra represalias
No solo el informante: la ley protege también a facilitadores, representantes sindicales, familiares, compañeros de trabajo y personas jurídicas vinculadas. La inversión de la carga de la prueba es total.
Anonimato y conservación de datos
La ley obliga a admitir denuncias anónimas. Los datos personales del informante y de los investigados se conservan el tiempo necesario, con un máximo general de 10 años, conforme al RGPD y la LOPDGDD.
Los tres canales
Cómo se estructura el whistleblowing en España.
La Ley 2/2023 establece una arquitectura en cascada: primero el canal interno, después el externo de la A.A.I., y por último la divulgación pública en supuestos tasados.
1. Canal interno (SII)
La primera vía y la principal para la mayoría de las infracciones. Debe estar operativa antes de que el informante pueda plantear una denuncia externa. Aquí encaja Ashio.
2. Canal externo ante la A.A.I.
Cuando el canal interno no existe, no funciona, o la denuncia ya fue ignorada. La Autoridad Independiente de Protección del Informante es el cauce externo a nivel estatal.
3. Divulgación pública
Sólo en casos tasados: riesgo inminente para el interés público, represalias o inacción del canal externo. Permite denunciar a prensa, parlamento, organizaciones sindicales o sociales.
La A.A.I.
La Autoridad Independiente de Protección del Informante.
Creada por la propia Ley 2/2023, la A.A.I. es el organismo estatal que vigila, investiga y sanciona. Su sede está en Madrid y es independiente del Gobierno.
Dependencia y control
Adscrita al Ministerio de Justicia como autoridad administrativa independiente. Rinde cuentas ante las Cortes Generales a través de una memoria anual.
Poder sancionador propio
Puede imponer multas de hasta 1 millón de euros a personas jurídicas y de hasta 300.000 euros a personas físicas. También puede acordar la prohibición de contratar con el sector público.
Gestión del canal externo
Recibe y tramita denuncias externas, especialmente cuando el canal interno no funciona o la persona informante no quiere usarlo. Puede ordenar a la entidad que corrija el mal funcionamiento.
Operativa desde 2024
Tras la designación del presidente y consejeros en 2024, la A.A.I. ejerce plenamente sus competencias de supervisión, instrucción y sanción.
Comunidades Autónomas
Las autoridades de las comunidades autónomas.
Varias comunidades disponen de oficinas antifraude propias, creadas antes de la A.A.I. para luchar contra la corrupción. Siguen activas y complementan (o compiten con) el canal estatal.
Cataluña — Oficina Antifrau
Creada en 2009, es la más antigua. Recepción de denuncias ciudadanas, investigación, formación. Protege también a alertadores en el ámbito catalán.
Comunidad Valenciana — Agència Antifrau
La AVAF actúa en la Comunidad Valenciana con un canal de denuncias propio, independientemente del canal interno de cada entidad.
Andalucía, Canarias, Baleares, Aragón y otras
Otras comunidades han creado o están creando oficinas autonómicas. Cada una tiene su propio canal; en muchas ocasiones la denuncia puede presentarse indistintamente.
¿A quién denunciar primero?
La ley permite presentar la denuncia indistintamente ante la A.A.I. estatal o ante la autoridad autonómica competente. La protección del informante es la misma en ambos casos.
Calendario
Fechas clave de la Ley 2/2023.
13 de marzo de 2023: entrada en vigor de la Ley 2/2023. 13 de junio de 2023: fecha límite para empresas de 250+ trabajadores y entidades del sector público. 1 de diciembre de 2023: fecha límite para empresas de 50 a 249 trabajadores y municipios de más de 10.000 habitantes.
Régimen sancionador
Las sanciones de la Ley 2/2023 y la LOPDGDD.
La A.A.I. tiene potestad propia. Pero hay otra vía sancionadora: la Agencia Española de Protección de Datos (AEPD) puede multar vía LOPDGDD si la gestión del canal falla en materia de privacidad.
Multas de hasta 1 millón de euros
A personas jurídicas. La A.A.I. tipifica las sanciones en muy graves, graves y leves según el impacto y la voluntad de cumplimiento.
Personas físicas: hasta 300.000 €
Directivos, administradores o responsables del SII que incumplan sus obligaciones responden personalmente con multas que pueden superar los 300.000 euros.
Prohibición de contratar con la Administración
A las empresas sancionadas por infracciones muy graves: prohibición de contratar con el sector público y de obtener subvenciones, ayudas o avales públicos.
Multas de la AEPD vía LOPDGDD
Si los datos personales no se tratan correctamente, la Agencia Española de Protección de Datos puede abrir un expediente y multar conforme a la LOPDGDD — hasta 20 millones de euros o el 4% del volumen de negocio.
Fuentes oficiales
Donde verificar la ley y su cumplimiento.
Para quien quiera consultar el texto oficial o hablar directamente con la autoridad competente.
A.A.I.
La Autoridad Independiente de Protección del Informante: canal externo estatal, régimen sancionador y supervisión.
aai.gob.es →BOE — Ley 2/2023
El texto íntegro de la Ley 2/2023 en el Boletín Oficial del Estado. La fuente oficial para cualquier referencia legal.
boe.es →AEPD
La Agencia Española de Protección de Datos: autoridad independiente para los temas de la LOPDGDD y la protección de datos personales en el canal.
aepd.es →Si busca un canal listo para usar
Ashio es un Sistema Interno de Información conforme a la Ley 2/2023.
Si no quiere construir un sistema internamente, Ashio le ofrece un SII que cumple con todos los requisitos de la Ley 2/2023: responsable independiente, acuse de recibo en 7 días, instrucción con plazos trazados, denuncias anónimas sin registros de IP, cookies ni huella digital. Alojado en Suiza (certificación ISO 27001). 14 días de prueba gratuita sin tarjeta.
Relacionado
Sigue informándote sobre cómo aplicar la ley en tu organización.
FAQ
Preguntas frecuentes sobre la Ley 2/2023.
¿Una S.L. pequeña de 30 trabajadores está obligada?+
No, si opera en un sector no regulado. La Ley 2/2023 fija el umbral en 50 trabajadores, y sólo cuenta la media anual. Para empresas justo por debajo, es recomendable tener un canal para proteger a la propia empresa y a las personas.
¿Puedo usar el mismo email corporativo como canal de denuncias?+
No, y es uno de los errores más comunes. La ley exige un canal formal, independiente, trazable, gestionado por un responsable con autonomía real. Una cuenta de email compartida no cumple ni los requisitos de confidencialidad ni los de gestión.
¿Qué puede hacer la A.A.I. si no cumplo?+
La A.A.I. puede iniciar un expediente, requerirle que corrija el funcionamiento del canal, y si la infracción es muy grave, grave o leve: imponerle multas de hasta 1 millón de euros (personas jurídicas) o 300.000 euros (personas físicas), o la prohibición de contratar con el sector público.
¿Denuncio a la A.A.I. o a la comunidad autónoma?+
Puede usar indistintamente el canal externo estatal (A.A.I.) o el canal de la autoridad autonómica competente (Oficina Antifrau, AVAF, etc.). La ley garantiza la misma protección del informante ante cualquier autoridad competente en función de la materia o territorio.
¿Hay sanciones también por la vía de protección de datos?+
Sí. Si el SII gestiona mal los datos personales del informante o del investigado, la AEPD puede actuar conforme a la LOPDGDD con multas de hasta 20 millones de euros o el 4% del volumen de negocio. La A.A.I. y la AEPD pueden actuar en paralelo sobre la misma situación.
¿Los partidos políticos y sindicatos están obligados?+
Sí, cuando reciben financiación pública o gestionan servicios de interés colectivo. La Ley 2/2023 los incluye expresamente, y deben adaptar su estructura interna para gestionar las denuncias con las mismas garantías que cualquier empresa obligada.
¿Cuánto cuesta cumplir con la Ley 2/2023?+
Cumplir con la Ley 2/2023 no tiene por qué ser caro. Ashio cuesta 30 €/mes facturado mensualmente o 20 €/mes facturado anualmente (240 €/año), e incluye todas las funcionalidades requeridas: anonimato, plazos de 7 días y 3 meses, registro de auditoría, comunicación con el informante y multilingüe. La prueba es gratuita durante 14 días sin tarjeta de crédito.
¿Qué pasa si un informante sufre represalias?+
La Ley 2/2023 prohíbe cualquier represalia contra el informante: despido, descenso de categoría, discriminación, acoso, daño reputacional. El empleador debe demostrar que cualquier medida negativa contra el empleado no está relacionada con la denuncia. Las represalias son infracciones muy graves, sancionables con multas de hasta 1.000.000 € y responsabilidad penal en casos graves. Ashio reduce el riesgo de represalias a cero porque el anonimato es real por defecto: sin IP, sin cookies, sin rastreo del informante.
¿Aún tiene dudas sobre su situación?
Escríbanos: le ayudamos a determinar si su organización está obligada, qué necesita para cumplir y qué decisiones tiene que tomar. Sin compromiso, respondemos en el día.
Ashio proporciona una herramienta software para la gestión de denuncias. La información de esta página es divulgativa y no constituye asesoramiento jurídico. Compruebe sus obligaciones con un abogado especializado en derecho administrativo o compliance.