La Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo marcó un punto de inflexión al fijar estándares mínimos comunes de protección para las personas que comuniquen infracciones del Derecho de la Unión. España incorporó este mandato a través de la Ley 2/2023 tras superar el plazo ordinario fijado por las instituciones comunitarias, un retraso que derivó en la apertura de un procedimiento de infracción por parte de la Comisión Europea que quedó resuelto tras la publicación en el Boletín Oficial del Estado. La legislación española no se limitó a replicar el texto europeo, sino que amplió la protección a las infracciones del ordenamiento jurídico nacional.
El canal de denuncias es la infraestructura organizativa e informática que habilita la recepción, tramitación e investigación de comunicaciones relativas a posibles irregularidades cometidas en la organización. Permite a empleados, directivos, colaboradores externos, proveedores y clientes notificar conductas sospechosas de fraude, corrupción, vulneraciones de la normativa laboral o incumplimientos en materia de seguridad. No debe confundirse con un buzón ordinario de sugerencias ni con un cauce de reclamación sobre condiciones de trabajo o disputas comerciales cotidianas. Su finalidad esencial es la detección precoz del riesgo legal para corregir desviaciones antes de que deriven en procedimientos judiciales o inspecciones administrativas.
La distinción entre ambos instrumentos es clara en cuanto a su ámbito material y procedimental. El protocolo contra el acoso laboral o sexual evalúa dinámicas interpersonales dentro de la organización con la meta de frenar comportamientos no deseados y proteger la dignidad e integridad de las personas trabajadoras. Por el contrario, el canal interno de la Ley 2/2023 canaliza informaciones sobre infracciones normativas, ilícitos administrativos o delitos penales. Aunque una compañía puede integrar técnicamente el acceso a ambos cauces, debe estructurar los procedimientos de tramitación por separado para garantizar la independencia de los responsables y la confidencialidad específica de cada actuación. Puedes ampliar la información sobre la gestión de conflictos laborales en nuestro artículo sobre el protocolo de acoso laboral.
La obligación principal atañe a las personas jurídicas del sector privado que empleen a cincuenta o más trabajadores. Para determinar si se alcanza este umbral se calcula la plantilla media del ejercicio precedente, incluyendo contrataciones fijas, discontinuas y de duración determinada. Las sociedades que forman parte de un grupo mercantil pueden optar por implantar un sistema centralizado de gestión del canal siempre que se garanticen la autonomía de los responsables locales y los derechos de los informantes en cada una de las filiales.
El legislador no estableció distinciones por número de personal dentro del sector público. Todas las administraciones territoriales, organismos autónomos, universidades públicas, entidades públicas empresariales y fundaciones del sector público deben disponer de un canal interno. Las entidades locales de menor tamaño pueden recurrir a la gestión compartida o apoyarse en los servicios de las diputaciones provinciales o cabildos para dar cumplimiento a esta exigencia.
Ciertas organizaciones deben disponer del canal interno al margen de la cifra de su plantilla. Esta regla afecta a entidades que operan en los mercados de servicios financieros, crédito y seguros, así como a las entidades obligadas por la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo. Asimismo, quedan sujetas las empresas del sector del transporte, protección del medio ambiente, seguridad nuclear y aquellas adjudicatarias de contratos públicos cuando los importes licitados superen los límites fijados por la norma. El análisis del objeto social y de las actividades reguladas de la empresa resulta indispensable para corroborar si existe esta obligación imperativa.
Las pequeñas empresas que cuentan con una plantilla de entre diez y cuarenta y nueve trabajadores quedaron fuera de la obligación directa en la fecha de publicación de la ley. La Disposición Adicional Quinta de la Ley 2/2023 facultó al Gobierno para extender la obligación a estas organizaciones mediante desarrollo reglamentario previa evaluación de los riesgos del sector. Aunque en 2026 esta ampliación reglamentaria no se ha hecho efectiva para el tramo de diez a cuarenta y nueve empleados, el seguimiento de la actualidad legislativa es aconsejable por la posibilidad de modificaciones reglamentarias en el corto plazo.
La ausencia del canal interno cuando concurre la obligación legal constituye una infracción cualificada de carácter muy grave. La ley prevé sanciones económicas comprendidas entre 600.001 euros y 1.000.000 de euros para las personas jurídicas. Adicionalmente, las personas físicas que ostenten cargos directivos o de administración pueden ser sancionadas con multas de 30.001 euros a 300.000 euros. La potestad sancionadora recae sobre la Autoridad Independiente de Protección del Informante junto a los órganos competentes de las comunidades autónomas.
El diseño del canal debe impedir el acceso a la identidad del informante a cualquier persona que no esté expresamente autorizada para tramitar la comunicación. La confidencialidad rige en la fase de recepción, durante el proceso de investigación y tras la conclusión del expediente. Mantener la reserva sobre el nombre no imposibilita que la empresa conozca la filiación del declarante, pero limita de forma estricta la difusión de esta información. Junto al secreto de los datos, el sistema debe permitir formalizar denuncias de manera anónima si el usuario escoge esta vía, exigiendo cauces que posibiliten el seguimiento sin revelar la identidad.
La plataforma debe habilitar la entrega de información por escrito, de forma oral o mediante una combinación de ambas modalidades. La vía escrita puede configurarse a través de aplicaciones web protegidas con cifrado de datos, cuentas de correo habilitadas o buzones físicos en las dependencias corporativas. La vía oral se puede realizar mediante líneas telefónicas dedicated o sistemas de mensajería de voz. A petición del informante, el canal también debe permitir la concertación de una reunión presencial en un plazo máximo de siete días. Toda comunicación oral debe documentarse previo consentimiento mediante grabación magnética o acta literal supervisada por la persona informante.
El protocolo de tramitación impone el envío de un acuse de recibo al denunciante en los siete días hábiles siguientes a la entrada de la comunicación. A partir de ese momento, la investigación debe completarse sin dilaciones indebidas. El plazo para emitir un informe conclusivo y comunicar las medidas adoptadas no puede superar los tres meses a contar desde el acuse de recibo. Este periodo puede prorrogarse hasta tres meses adicionales en asuntos de especial complejidad técnica u organizativa, dejando constancia razonada de la prórroga en las actuaciones del expediente.
La dirección del sistema requiere la designación formal de un Responsable del Sistema. Esta función puede ser asumida por una persona física o por un órgano colegiado, pero exige disponer de independencia funcional respecto al órgano de administración de la sociedad. En las medianas empresas esta responsabilidad suele recaer en el Compliance Officer o en la persona responsable del área de asesoría jurídica. La norma prohíbe de forma taxativa que la tramitación del expediente sea encomendada a mandos con posibles conflictos de interés directos con los hechos investigados.
Las organizaciones pueden delegar la recepción y gestión inicial del canal en un tercero especializado. La externalización aporta neutralidad, garantiza el soporte técnico especializado de custodia de datos y libera de la carga operativa a las estructuras internas de la empresa. Esta opción resulta oportuna para entidades que carecen de un departamento de cumplimiento autónomo o para grupos corporativos que buscan unificar la infraestructura. Con todo, la externalización no traslada la responsabilidad legal última ni la toma de decisiones sancionadoras o correctoras, que continúan recayendo de manera exclusiva en el Responsable del Sistema y en la dirección corporativa.
La Ley 2/2023 proyecta su amparo sobre un conjunto extenso de personas vinculadas al entorno laboral o profesional de la entidad. Tienen la condición de potenciales informantes los trabajadores por cuenta ajena, los profesionales autónomos contratados, los miembros del consejo de administración, los accionistas y las personas en órganos de dirección. La protección alcanza asimismo a los voluntarios, becarios en formación, personal seleccionado cuyos contratos no hayan iniciado e informantes cuya relación contractual haya finalizado con anterioridad al reporte. La red de amparo se extiende a proveedores, contratistas y personal de la cadena de suministro.
El contenido del reporte comprende acciones u omisiones que constituyan infracciones del Derecho de la Unión Europea relativas a la contratación pública, mercados financieros, prevención del blanqueo de capitales, protección del medio ambiente, seguridad de los alimentos y protección del consumidor o de los datos personales. La norma española incluye también las infracciones penales y las infracciones administrativas graves o muy graves que impliquen un quebranto económico para la Hacienda Pública o para la Seguridad Social.
El sistema no se diseñó para absorber todas las incidencias de la empresa. Quedan excluidas las discrepancias laborales de índole individual relacionadas con nóminas, horarios o distribución de la jornada. Tampoco procede tramitar reclamaciones de clientes sobre deficiencias en productos o servicios, ni desavenencias operativas personales entre miembros de la plantilla que carezcan de trascendencia penal o administrativa grave. Estas comunicaciones deben reorientarse a los canales de atención al cliente, recursos humanos o a los cauces de representación sindical.
Queda prohibida cualquier acción directiva u omisión que constituya una reacción adversa frente a la comunicación realizada. La ley considera represalias el despido disciplinario, la suspensión de contrato, la modificación sustancial de condiciones de trabajo, la denegación de ascensos, el traslado forzoso, la degradación de funciones o la no renovación de contratos temporales. La prohibición se extiende a la imposición de sanciones disciplinarias, el trato discriminatorio, el acoso laboral, la inclusión en listas negras del sector o la cancelación injustificada de contratos comerciales.
Cuando un informante sufre una medida perjudicial tras haber formalizado una denuncia dentro del marco protegido, opera la presunción de que dicha medida constituye una represalia. En los eventuales litigios administrativos o judiciales corresponderá a la empresa demostrar que la decisión adoptada responde a motivos objetivos, justificados, proporcionados y ajenos al hecho de la denuncia. Esta inversión del gravamen probatorio exige a la empresa documentar de forma rigurosa las decisiones de personal relativas a empleados que hayan hecho uso del sistema. Si precisas asesoramiento en este punto, te sugerimos consultar nuestra guía sobre el despido disciplinario.
Quien comunique información protegida no incurre en responsabilidad por infracción de las cláusulas de confidencialidad contractuales ni por revelar secretos profesionales o comerciales, siempre que tuviera motivos razonables para considerar que la divulgación resultaba necesaria para revelar la infracción. Esta exención no cubre la obtención ilícita de documentación ni el acceso no autorizado a sistemas informáticos mediante delitos de intrusión o robo de datos.
El escudo protector se condiciona al cumplimiento de la buena fe. El informante debe contar con motivos razonables para creer que los datos transmitidos son veraces y corresponden al ámbito de aplicación de la norma. La comunicación a sabiendas de la falsedad de los hechos o con el único propósito de infligir un daño carece de protección. Las denuncias falsas pueden derivar en expedientes disciplinarios, acciones de responsabilidad civil por daños al honor e investigaciones penales por acusación o denuncia falsa.
La Autoridad Independiente de Protección del Informante (AIPI) se configura como un ente de derecho público con autonomía de gestión encaminado a garantizar la protección del denunciante a nivel estatal. La persona informante ostenta la facultad de acudir directamente a los canales externos gestionados por la AIPI o los organismos equivalentes de las comunidades autónomas sin necesidad de pasar previamente por el canal interno de su empresa. Aunque la norma prima el uso del cauce interno cuando la infracción pueda ser tratada con eficacia sin riesgo de represalias, la elección del canal externo es un derecho de la persona trabajadora.
El uso directo de la vía externa resulta razonable cuando exista un riesgo manifiesto de represalias o de destrucción de pruebas dentro de la organización. Ocurre con frecuencia en situaciones donde las personas denunciadas coinciden con los propios integrantes del órgano directivo o con los responsables designados para la gestión del canal. También procede cuando la comunicación interna no se haya tramitado dentro de los plazos reglamentarios o cuando la gravedad de los hechos denunciados exija la intervención inmediata de las autoridades o de la Fiscalía.
La organización debe definir si la gestión operativa se desarrollará con medios internos o si se encomendará a un proveedor externo. Se determinan las vías de entrada admisibles y se aprueba una política del sistema de información que fije los principios de actuación. Toda la arquitectura operativa debe plasmarse en un procedimiento detallado que regule el registro, la tramitación y la toma de decisiones.
La puesta en marcha del canal requiere la previa consulta con la representación legal de las personas trabajadoras. Este trámite exige trasladar la documentación del proyecto al comité de empresa o a los delegados de personal para recoger sus observaciones. Aunque no es vinculante la obtención de un acuerdo con la representación sindical, la consulta previa es un trámite formal exigido por la ley.
El sistema implantado debe ser objeto de difusión para garantizar su efectividad. La política del canal e instrucciones de acceso tienen que estar disponibles de manera clara en la Intranet, el portal del empleado y en la página web corporativa. Es necesario informar sobre los derechos del denunciante, el tratamiento confidencial de la información y la posibilidad de acudir a canales externos.
Las personas asignadas al tratamiento de las denuncias deben recibir capacitación en materia de protección de datos, investigación interna, valoración probatoria e imparcialidad. El personal designado debe dominar la gestión de los plazos de contestación, la preservación de evidencias y la formalización de informes con valor probatorio.
Cada comunicación remitida al sistema debe constar en un libro de registro interno cerrado y seguro. El registro incluirá el código asignado, la fecha de recepción, un resumen sintético de los hechos, el estado de tramitación, las medidas de investigación acordadas y la resolución motivada. Este registro no es público y el acceso a su contenido está limitado de forma estricta. Las informaciones asentadas deben conservarse durante el periodo necesario para la investigación y, al menos, durante los tres años posteriores.
El protocolo exige comprobaciones y auditorías periódicas para asegurar el correcto funcionamiento del modelo de prevención. De forma anual el Responsable del Sistema debe evaluar el cumplimiento de los plazos de contestación, la ausencia de represalias y la eficacia del procedimiento. La revisión permite corregir desviaciones y actualizar la plataforma ante eventuales cambios legislativos o jurisprudenciales.
El uso de un sistema de información para la tramitación de informaciones implica el tratamiento masivo de datos. La operativa debe alinearse con las exigencias del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica 3/2018 (LOPDGDD). La base de legitimación del tratamiento descansa en el cumplimiento de una obligación legal para las empresas obligadas y en el interés legítimo para las organizaciones que implantan el sistema de forma voluntaria. La empresa debe redactar las cláusulas informativas destinadas al denunciante, a las personas investigadas y a los testigos que intervengan.
Los datos de carácter personal objeto de tratamiento no pueden permanecer de manera indefinida en el sistema. La información debe suprimirse del canal en un plazo máximo de tres meses desde su recepción si no se han iniciado actuaciones de investigación. En caso de abrirse un procedimiento de comprobación, los datos pueden mantenerse en el entorno corporativo para el desarrollo de la investigación, debiendo ser anonimizados o bloqueados una vez concluidas las actuaciones. Los datos bloqueados solo permanecerán a disposición de los tribunales o de las autoridades competentes durante los plazos de prescripción de las infracciones.
En las entidades que tengan designado un Delegado de Protección de Datos (DPD), su intervención es preceptiva de forma previa al despliegue del canal. El DPD debe asesorar en la elaboración de la Evaluación de Impacto de Protección de Datos (EIPD), evaluar la seguridad de la herramienta informática escogida y validar las medidas técnicas y organizativas para evitar filtraciones o accesos no autorizados.
No está obligada por el criterio de plantilla de la Ley 2/2023, salvo que opere en sectores específicos como el financiero, la prevención del blanqueo o la seguridad del transporte. No obstante, debe vigilar el desarrollo reglamentario previsto por la norma.
La ley permite que el Director de Recursos Humanos sea designado Responsable del Sistema en medianas empresas siempre que goce de independencia y no existan conflictos de interés en las investigaciones que le corresponda dirigir.
Las denuncias efectuadas a sabiendas de su falsedad o con temerario desprecio a la verdad no gozan de protección legal. La empresa puede emprender medidas disciplinarias laborales y la persona afectada puede ejercitar acciones civiles o penales por calumnia o injuria.
Sí, la exigencia afecta a personas jurídicas del sector privado con cincuenta o más trabajadores, con independencia de su naturaleza lucrativa o asociativa, incluyendo fundaciones, ONG y sindicatos.
Sí, el círculo de personas protegidas por la norma abarca a los contratistas, subcontratistas, proveedores y su personal operativo que detecten irregularidades dentro de su relación profesional con la empresa.
Toda esta regulación sobre la implantación, tramitación e implicaciones laborales del sistema de información se analiza en detalle en el Software de Compliance CENTINELA de Lefebvre: un único software de gestión con el que identificar, controlar y prevenir cualquier riesgo penal de la empresa.
Permisos parentales en 2025
Ley de Vivienda
Desde Espacio Asesoría no disponemos de un servicio gratuito de asesoramiento, por lo que su comentario solo podrá ser respondido por otros lectores.
Si necesita una respuesta profesional, le recomendamos realice su pregunta desde el siguiente enlace, desde donde podrá establecer un contacto privado con un abogado.
Tu comentario ha sido enviado para ser revisado antes de ser publicado.