Resumen rápido
La Ley 2/2023 obliga a tener un canal interno de denuncias a las empresas con 50 o más trabajadores y a determinados sectores con independencia del tamaño (servicios financieros, blanqueo de capitales, contratación pública). No tenerlo es sanción de hasta 1.000.000 €. Tenerlo mal hecho, también.
Haz el test en 30 segundos para saber si tu empresa está obligada →
Qué es la Ley 2/2023
La Ley 2/2023, de 20 de febrero, regula la protección de las personas que informan sobre infracciones normativas y la lucha contra la corrupción. Es la transposición española de la Directiva (UE) 2019/1937, conocida como “Directiva Whistleblower”.
En lenguaje plano: obliga a las empresas y administraciones públicas a tener un canal interno seguro para que cualquier persona (empleado, ex empleado, candidato, proveedor, becario, voluntario, accionista) pueda denunciar infracciones legales sin temor a represalias.
Quién está obligado a tener canal interno
Por número de trabajadores
- Empresas con 50 o más trabajadores. Plazo cumplido (la obligación entró en vigor el 13 de junio de 2023 para empresas de más de 250 trabajadores y el 1 de diciembre de 2023 para las de 50 a 249).
Por sector (con independencia del tamaño)
- Empresas de servicios financieros, productos y mercados financieros.
- Empresas obligadas por la normativa de prevención del blanqueo de capitales y financiación del terrorismo.
- Empresas con actividad relacionada con la seguridad del transporte y la protección del medio ambiente en determinados ámbitos.
Administraciones públicas
- Todas las administraciones públicas (estatal, autonómica, local), agencias estatales, fundaciones del sector público, universidades públicas, corporaciones de derecho público (colegios profesionales, cámaras de comercio).
Excepciones
- Municipios con menos de 10.000 habitantes pueden compartir un canal entre varios.
Qué tiene que cumplir el canal
No basta con un email genérico. La ley exige:
- Garantías de confidencialidad del denunciante y de las personas mencionadas.
- Múltiples vías de comunicación: escrita (formulario, email), verbal (teléfono, mensaje de voz), reunión presencial si lo solicita el denunciante.
- Posibilidad de denuncia anónima (la ley dice que el sistema debe permitirla, aunque no es obligatorio que el denunciante se identifique).
- Acuse de recibo en 7 días naturales.
- Resolución en un plazo máximo de 3 meses (prorrogable a 6 en casos complejos justificados).
- Designación de un Responsable del Sistema con autonomía e independencia.
- Procedimiento documentado públicamente accesible.
- Registro y trazabilidad de las comunicaciones, con conservación segura.
- Protección efectiva contra represalias al denunciante.
Tipos de canal: interno vs externo vs externo público
Canal interno
El que la empresa monta para sus propios miembros y entorno. Puede ser:
- Propio: software/plataforma de la empresa, gestionada internamente.
- Compartido: entre empresas del mismo grupo, o entre municipios pequeños.
- Externalizado: contratado a un proveedor especializado que actúa como gestor externo del canal.
Canal externo de la AAI (Autoridad Independiente de Protección del Informante)
Cualquier persona puede denunciar también ante la AAI, organismo creado por la propia ley. Esta vía es complementaria, no sustitutiva del canal interno.
Revelación pública
La ley protege también al denunciante que opta por hacer la revelación pública (medios, redes sociales) en determinadas circunstancias: si los canales internos y externos no funcionaron, si hay riesgo inminente para el interés público, etc.
Las represalias prohibidas
Una empresa NO puede:
- Despedir al denunciante.
- Suspenderlo de empleo.
- Denegarle ascensos o formación.
- Cambiarle de funciones, lugar o condiciones de trabajo de forma punitiva.
- Iniciar acciones legales abusivas contra él.
- Crearle un entorno hostil (acoso).
Cualquier acto en estos sentidos contra el denunciante en los dos años siguientes a la denuncia se presume represalia, salvo prueba en contrario por la empresa.
Sanciones por incumplimiento
Las sanciones se gradúan en tres niveles:
Infracciones leves (multas hasta 100.000 €)
- Defectos formales en el canal sin afectación grave.
- Incumplimientos del deber de información a la plantilla.
Infracciones graves (multas de 100.001 € a 600.000 €)
- No designar el Responsable del Sistema.
- No tener canal pese a estar obligado.
- Vulneración de la confidencialidad sin causar perjuicio grave.
Infracciones muy graves (multas de 600.001 € a 1.000.000 €)
- Adoptar represalias contra el denunciante.
- Vulneración de confidencialidad con perjuicio grave.
- Obstaculización del trabajo de la AAI.
Para personas físicas (administradores, directivos), las sanciones máximas son menores pero pueden incluir inhabilitación.
Lo que las empresas suelen hacer mal
- Solo tienen un email tipo “denuncias@empresa.com”. Insuficiente: no garantiza confidencialidad ni trazabilidad.
- No designan formalmente el Responsable del Sistema o lo designan sin autonomía real (un mando intermedio que reporta al CEO denunciado, por ejemplo).
- No publican el procedimiento en intranet o en la web pública.
- No informan a la plantilla de la existencia del canal y su funcionamiento.
- No conservan registro de las denuncias recibidas y las actuaciones realizadas.
- No respetan los plazos de acuse y resolución.
Cualquiera de estos defectos puede convertirse en sanción si la AAI o la inspección lo detectan.
Beneficio para la empresa: programa de cumplimiento
Tener un canal de denuncias bien implementado es uno de los pilares de un programa de cumplimiento penal eficaz (artículo 31 bis del Código Penal). En caso de un delito cometido por un empleado en interés de la empresa, el canal bien gestionado puede ser eximente o atenuante de la responsabilidad penal de la persona jurídica.
Es decir, no es solo una obligación: bien hecho, es una protección legal sustantiva.
¿Tu empresa está obligada? Hazte el test
Haz el test gratuito en 30 segundos →
7 preguntas: número de trabajadores, sector, naturaleza pública o privada, etc. Te dice si estás obligada y, si lo estás, qué pasos tienes que dar.
¿Necesitas implantar un canal de denuncias?
En asesoraya.es implantamos canal de denuncias completo y le hacemos seguimiento. Está incluido dentro del plan Plus para sociedades desde 119,95 €/mes (con consulta jurídica, RGPD y demás).