Toda empresa con 50 o más trabajadores está obligada a tener un canal de denuncias interno (Sistema interno de información) desde la Ley 2/2023, de 20 de febrero, que protege a quien informa de infracciones frente a represalias. El plazo para acusar recibo de una denuncia es de 7 días naturales y la investigación debe resolverse en un máximo de 3 meses. Esta guía explica quién debe implantarlo, cómo funciona y qué protección recibe el informante.
En resumen
- Quién está obligado: empresas privadas con 50 o más trabajadores y todo el sector público (art. 10 y 13 de la Ley 2/2023).
- Qué es: un Sistema interno de información (canal de denuncias) confidencial que permite comunicar infracciones de Derecho de la UE o del ordenamiento español.
- Plazos clave: acuse de recibo en 7 días naturales y respuesta a la investigación en un máximo de 3 meses, ampliable otros 3 (art. 9).
- Protección del informante: prohibición de represalias durante los 2 años siguientes a cerrar la investigación (art. 36) e inversión de la carga de la prueba (art. 38.4).
- Sanciones: hasta 1.000.000 € para personas jurídicas por infracciones muy graves (art. 65, Título IX).
Qué es la Ley 2/2023 y el canal de denuncias
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE-A-2023-4513) transpone al ordenamiento español la Directiva (UE) 2019/1937, conocida como Directiva whistleblowing (la palabra inglesa que designa el aviso de un trabajador sobre irregularidades dentro de su organización). Entró en vigor el 13 de marzo de 2023.
Su objetivo es proteger a quien, en un contexto laboral o profesional, comunica o revela información sobre infracciones del Derecho de la Unión Europea o sobre acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave. El instrumento central es el canal de denuncias, que la ley denomina Sistema interno de información: la vía interna y confidencial por la que cualquier persona vinculada a la empresa puede comunicar esas infracciones.
Términos relacionados: acoso laboral y otras infracciones cubiertas
El canal no se limita a la corrupción. Sirve para comunicar, entre otras conductas, fraude, infracciones en contratación pública, blanqueo, vulneraciones de protección de datos, riesgos para la salud pública o el medio ambiente y situaciones de acoso laboral, sexual o por razón de sexo cuando sean constitutivas de infracción grave o muy grave. Es habitual integrar el canal de denuncias con el protocolo de acoso de la empresa, aunque conviene mantener vías específicas para garantizar la confidencialidad de la víctima.
Qué empresas están obligadas a implantar un canal de denuncias
El artículo 10 de la Ley 2/2023 fija el ámbito de aplicación obligatorio en el sector privado:
- Personas físicas o jurídicas del sector privado con 50 o más trabajadores (art. 10.1).
- Partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban o gestionen fondos públicos, sin umbral de plantilla.
- Entidades que operen en ámbitos como servicios financieros, prevención de blanqueo, seguridad del transporte o medio ambiente, con independencia del número de trabajadores.
En el sector público, el artículo 13 obliga a todas las entidades sin umbral de plantilla, si bien los municipios de menos de 10.000 habitantes pueden compartir medios (art. 14).
¿Y las empresas de 50 a 249 trabajadores?
Las entidades del sector privado de entre 50 y 249 trabajadores también están obligadas, pero el artículo 12 les permite compartir recursos destinados a la gestión de las informaciones, lo que reduce el coste de implantación para pymes que pertenecen a un mismo grupo o sector.
| Plantilla | ¿Obligada? | Plazo de implantación |
|---|---|---|
| Más de 249 trabajadores | Sí | 13 de junio de 2023 |
| De 50 a 249 trabajadores | Sí (puede compartir recursos) | 1 de diciembre de 2023 |
| Menos de 50 trabajadores | No, salvo sectores específicos | — |
| Sector público | Sí (todas) | 13 de junio de 2023 |
Los plazos derivan de la disposición transitoria segunda de la ley: el plazo general (tres meses desde la entrada en vigor) venció el 13 de junio de 2023 y se extendió hasta el 1 de diciembre de 2023 para las entidades del sector privado con 249 trabajadores o menos y los municipios de menos de 10.000 habitantes.
El umbral de 50 trabajadores coincide con otras obligaciones que se activan en ese mismo tamaño de plantilla, como la del plan de igualdad obligatorio.
El Sistema interno de información: cómo funciona
El canal de denuncias debe cumplir requisitos estrictos de la ley:
- Permitir comunicaciones por escrito, verbalmente o de ambos modos, y ofrecer la posibilidad de presentarlas de forma anónima.
- Garantizar la confidencialidad de la identidad del informante, de los terceros mencionados y de la información.
- Designar a un Responsable del Sistema (un directivo o un órgano colegiado) con autonomía e independencia.
- Contar con un procedimiento de gestión aprobado por el órgano de administración y una política de denuncias.
- Llevar un libro-registro de las informaciones recibidas, sujeto al RGPD y a la LOPDGDD.
Plazos del procedimiento (artículo 9)
El artículo 9 de la Ley 2/2023 marca los plazos del procedimiento de gestión:
- Acuse de recibo: en el plazo de siete días naturales siguientes a la recepción de la comunicación.
- Respuesta a la investigación: plazo máximo de tres meses desde el acuse de recibo, ampliable hasta otros tres meses en casos de especial complejidad.
Conviene no confundir el procedimiento interno (art. 9) con el del canal externo de la Autoridad Independiente: el plazo de admisión de diez días hábiles que a veces se cita corresponde al trámite de admisión del canal externo (art. 18), no al sistema interno de la empresa.
La protección del informante frente a represalias
El núcleo de la ley es blindar a quien informa de buena fe. El artículo 36 prohíbe expresamente todo acto de represalia, incluidas amenazas y tentativas, como la suspensión del contrato, el despido, la denegación de ascensos, las modificaciones sustanciales perjudiciales de las condiciones de trabajo, la denegación de formación, las evaluaciones negativas, las medidas disciplinarias, la coacción, los daños reputacionales o económicos o el ostracismo. Esta prohibición alcanza a las represalias que se adopten dentro de los dos años siguientes a ultimar las investigaciones.
El artículo 38 desarrolla las medidas de protección, que se extienden a quienes asisten al informante, a sus compañeros o familiares y a las personas jurídicas vinculadas (en los términos del art. 3). Además, el artículo 38.4 establece una inversión de la carga de la prueba: una vez que el informante demuestra razonablemente que comunicó conforme a la ley y que sufrió un perjuicio, se presume que ese perjuicio fue una represalia, y corresponde a la empresa probar que la medida se basó en motivos debidamente justificados ajenos a la denuncia.
Para acceder a la protección, el informante debe tener motivos razonables para pensar que la información era veraz al comunicarla y hacerlo por los cauces previstos en la ley (art. 35). Quedan fuera de protección los rumores, los conflictos meramente interpersonales y las comunicaciones que no entren en el ámbito de la ley.
La Autoridad Independiente de Protección del Informante
El artículo 42 de la Ley 2/2023 crea la Autoridad Independiente de Protección del Informante, A.A.I., un ente de derecho público con personalidad jurídica propia y plena independencia orgánica y funcional. Su Estatuto se aprobó por el Real Decreto 1101/2024, de 29 de octubre (BOE-A-2024-22298).
Sus funciones principales son:
- Gestionar el canal externo de información, al que puede acudir cualquier persona que no confíe en el canal interno o que no haya recibido respuesta en plazo.
- Tramitar el procedimiento sancionador por incumplimientos de la ley.
- Dictar directrices y guías sobre la implantación de los sistemas internos.
Régimen sancionador
El Título IX clasifica las infracciones en leves, graves y muy graves. Conforme al artículo 65, para las personas jurídicas las infracciones muy graves (como adoptar represalias o impedir la presentación de comunicaciones) se sancionan con multa de 600.001 a 1.000.000 de euros. Para las personas físicas, las multas por infracciones muy graves van de 30.001 a 300.000 euros. En las infracciones muy graves pueden añadirse sanciones accesorias como la amonestación pública, la prohibición de obtener subvenciones durante un máximo de cuatro años o la prohibición de contratar con el sector público durante un máximo de tres años.
Ejemplo práctico
Una empresa de logística con 180 trabajadores recibe a través de su canal interno una comunicación anónima: un mando intermedio estaría falseando los partes de descanso de los conductores. El Responsable del Sistema envía el acuse de recibo el quinto día natural (dentro de los 7 que exige el art. 9) y abre una investigación interna.
Dos meses después, antes de cerrarse el expediente, el informante —cuya identidad acabó conociéndose— es excluido de un ascenso ya previsto. Aunque la empresa alega motivos de rendimiento, la medida se adopta dentro de los dos años de protección del art. 36 y opera la inversión de la carga de la prueba del art. 38.4: será la empresa quien deba acreditar que la denegación del ascenso obedeció a causas objetivas ajenas a la denuncia. Si no lo logra, la represalia puede declararse nula y derivar en responsabilidad sancionadora ante la Autoridad Independiente. El caso muestra por qué el procedimiento debe documentarse paso a paso desde el primer día.
🧮 Calcula tu caso: Calculadora de indemnización por despido.
Guías relacionadas
- Acoso laboral (mobbing): qué es y cómo actuar
- Plan de igualdad obligatorio en empresas de 50 trabajadores
- LOPDGDD 2026: cambios y obligaciones en tu web
Fuentes oficiales
- Ley 2/2023 (texto consolidado) — BOE-A-2023-4513
- Ley 2/2023, art. 9 — Procedimiento de gestión (acuse 7 días, respuesta 3 meses)
- Ley 2/2023, art. 10 — Ámbito sector privado (50 o más trabajadores)
- Ley 2/2023, art. 12 — Recursos compartidos (50 a 249 trabajadores)
- Ley 2/2023, art. 13 — Sector público
- Ley 2/2023, art. 14 — Municipios de menos de 10.000 habitantes
- Ley 2/2023, art. 18 — Trámite de admisión (canal externo, A.A.I., 10 días hábiles)
- Ley 2/2023, art. 35 — Condiciones de protección (motivos razonables)
- Ley 2/2023, art. 36 — Prohibición de represalias (dos años)
- Ley 2/2023, art. 38 — Medidas de protección (38.4 inversión carga de la prueba)
- Ley 2/2023, art. 42 — Autoridad Independiente de Protección del Informante, A.A.I.
- Ley 2/2023, art. 65 — Sanciones (jurídicas 600.001-1.000.000 €; físicas 30.001-300.000 €)
- Ley 2/2023, disposición transitoria segunda — Plazos (13/06/2023 y 01/12/2023)
- Real Decreto 1101/2024 — Estatuto de la A.A.I. (BOE-A-2024-22298)
Esta guía tiene carácter informativo y no constituye asesoramiento jurídico. Para implantar o auditar tu canal de denuncias conforme a la Ley 2/2023, consulta con un abogado especializado. Si tu duda afecta a sociedades mercantiles o cuestiones societarias relacionadas, puedes ampliar información en openmercantil.es.
Información orientativa; no sustituye el asesoramiento de un abogado. Verifica tu caso concreto. Consulta tu caso.