Desde 2023, muchas empresas en España tienen una obligación que quizás no conocían tan bien como el RGPD: contar con un canal de denuncias, también llamado Sistema Interno de Información. La norma que lo regula es la Ley 2/2023, de 20 de febrero, conocida popularmente como la «ley del whistleblower» o ley de protección del informante, que traspone al ordenamiento español la Directiva europea (UE) 2019/1937.
Si tu empresa todavía no cuenta con este canal y está obligada a tenerlo, es importante que sepas que el plazo ya venció y que la autoridad encargada de vigilar su cumplimiento ya está haciendo inspecciones. En este artículo te explicamos, de forma clara, quién debe tenerlo, qué requisitos tiene que cumplir y qué errores son los más habituales.
Qué empresas deben tener canal de denuncias
La ley establece distintos supuestos de obligatoriedad, y no todos dependen del tamaño de la empresa:
- Empresas privadas con 50 o más trabajadores, sea cual sea su actividad o facturación.
- Todas las entidades del sector público, sin importar el número de empleados.
- Partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculadas a ellos que reciban o gestionen fondos públicos, independientemente de su tamaño.
- Entidades de determinados sectores regulados (servicios financieros, prevención de blanqueo de capitales, seguridad del transporte o protección del medio ambiente), también sin umbral mínimo de empleados.
Es importante aclarar que, aunque tu empresa tenga menos de 50 empleados y no esté obligada por ley, nada te impide implantar un canal de denuncias de forma voluntaria. De hecho, cada vez más pymes lo hacen porque mejora la confianza de empleados, clientes y proveedores y refuerza la cultura ética de la organización.
Plazos y obligaciones que ya han vencido
Aquí es donde muchas empresas se llevan una sorpresa: los plazos para implantar el canal ya pasaron, así que si tu empresa está afectada y todavía no lo tiene, ya se encuentra en situación de incumplimiento. Los plazos que marcó la ley fueron:
- Empresas de 250 o más trabajadores: obligadas desde el 13 de junio de 2023, fecha de entrada en vigor de la ley.
- Empresas de entre 50 y 249 trabajadores: plazo hasta el 1 de diciembre de 2023.
Una ventaja poco conocida para las empresas más pequeñas dentro de este rango: la propia ley permite que las organizaciones de entre 50 y 249 trabajadores compartan un mismo Sistema Interno de Información, normalmente a través de un proveedor externo especializado. Esto reduce mucho el coste sin renunciar a las garantías legales de independencia y confidencialidad.
La autoridad encargada de supervisar el cumplimiento de esta ley es la Autoridad Independiente de Protección del Informante (A.A.I.), que lleva desde finales de 2025 realizando actuaciones de control, por lo que ya no se trata de un riesgo teórico.
Requisitos del sistema interno de información
No cualquier buzón de correo cumple con la ley. El canal de denuncias debe reunir una serie de requisitos técnicos y organizativos:
- Confidencialidad garantizada: debe proteger la identidad del informante y de las personas mencionadas en la denuncia, limitando el acceso solo al personal autorizado.
- Posibilidad de anonimato: aunque la ley no obliga a admitir siempre denuncias anónimas, sí exige que se garantice la confidencialidad de quien se identifica.
- Varios canales de entrada: por escrito, verbalmente (por ejemplo, por teléfono) o incluso mediante una reunión presencial si el informante lo solicita.
- Acuse de recibo en 7 días: desde que se recibe la comunicación.
- Resolución en un máximo de 3 meses, ampliable en casos especialmente complejos.
- Responsable independiente designado: una persona o un órgano que gestione el canal con autonomía respecto al resto de la organización.
- Prohibición expresa de represalias contra quien denuncia de buena fe.
- Registro documental de todas las comunicaciones, para poder acreditar ante una inspección que el sistema funciona correctamente.
Si quieres profundizar en cómo se diseña este sistema paso a paso, tenemos una guía específica sobre cómo implantar un canal de denuncias conforme a la normativa.
Protección de datos en el canal de denuncias
El canal de denuncias implica el tratamiento de datos personales especialmente sensibles: identidad del denunciante, de la persona denunciada y de los testigos, además de la propia naturaleza de los hechos investigados. Por eso, su gestión debe respetar en todo momento los principios del RGPD:
- Minimización de datos: solo se debe tratar la información estrictamente necesaria.
- Acceso restringido: únicamente el responsable del canal, y en su caso el Delegado de Protección de Datos, deben poder acceder a la información.
- Plazos de conservación limitados: los datos no pueden guardarse indefinidamente; deben eliminarse cuando ya no sean necesarios para la investigación.
- Coordinación con el DPD: si tu empresa tiene designado un Delegado de Protección de Datos, este debe supervisar que el canal cumple con la normativa de protección de datos, no solo con la Ley 2/2023.
Este cruce entre normativa de whistleblowing y RGPD es uno de los puntos más delicados de todo el proceso, y le dedicamos un análisis completo en Canal de denuncias y protección de datos: cómo gestionar investigaciones internas sin vulnerar el RGPD.
Errores frecuentes al implantar el canal de denuncias
En Acorán vemos con frecuencia los mismos fallos en empresas que intentan cumplir con la ley por su cuenta:
- Usar un simple correo electrónico genérico (tipo info@empresa.com) como canal, sin garantías reales de confidencialidad ni anonimato.
- No emitir el acuse de recibo en el plazo de 7 días, o dejar la investigación abierta indefinidamente sin resolver en el plazo legal.
- Confundir el canal de denuncias con un «buzón de quejas» general, mezclando reclamaciones de clientes con infracciones normativas graves.
- No designar a un responsable independiente, dejando la gestión en manos de alguien sin autonomía real dentro de la organización.
- No llevar un registro documental de las comunicaciones recibidas, lo que impide demostrar ante una inspección que el canal funciona correctamente.
- No informar a empleados y proveedores de que el canal existe y de cómo usarlo, lo que en la práctica lo deja inutilizado.
Estos errores no son menores: la ley contempla infracciones muy graves, con sanciones económicas que pueden ser especialmente elevadas para las empresas, además de responsabilidad personal para los directivos encargados de la gestión.
Cómo te ayudamos en Acorán
En Acorán diseñamos e implantamos tu canal de denuncias cumpliendo con todos los requisitos de la Ley 2/2023 y coordinándolo con tu política de protección de datos, para que no tengas que preocuparte de nada: desde definir el alcance y designar al responsable, hasta redactar el protocolo interno y formar a las personas que gestionarán las denuncias.
También trabajamos de la mano con otras áreas relacionadas, como la protección del secreto empresarial de tu compañía o la formación bonificada de tu equipo directivo.
👉 Si necesitas implantar o revisar tu canal de denuncias, consulta nuestro servicio de Canal de Denuncias o solicita información sin compromiso.
Preguntas frecuentes
¿Cuándo es obligatorio tener un canal de denuncias?
Es obligatorio para empresas privadas con 50 o más trabajadores, entidades públicas y algunos sectores regulados según la Ley 2/2023 de protección del informante.
¿Es obligatorio que las asesorías tengan un canal de denuncias?
Solo si cumplen los requisitos legales, como tener 50 o más empleados o pertenecer a actividades reguladas. Si no, pueden implantarlo de forma voluntaria.
¿Qué es el canal de denuncias en las empresas?
Es un sistema que permite comunicar infracciones o irregularidades de forma confidencial o anónima, garantizando la protección del informante.
¿Quién puede utilizar el canal de denuncias de una empresa?
Pueden utilizarlo empleados, proveedores, colaboradores, antiguos trabajadores o cualquier persona relacionada profesionalmente con la empresa.
Otros artículos:
https://www.acoran.es/blog/proteccion-de-datos-para-empresas-obligaciones-y-como-cumplir-el-rgpd/
Comentarios recientes