Desde diciembre de 2023, todas las empresas con más de 50 trabajadores están obligadas a tener un canal de denuncias interno. La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas, transpuso la Directiva europea 2019/1937 e impuso esta obligación con sanciones que pueden alcanzar el millón de euros. En esta guía explico quién está obligado, qué requisitos debe cumplir el canal, cómo implantarlo y qué sanciones prevé la ley.
¿Quién está obligado a tener un canal de denuncias?
Sector privado: todas las personas jurídicas con más de 50 trabajadores. También las que, con independencia del número de empleados, entren en el ámbito de aplicación de la normativa de servicios, productos y mercados financieros, prevención de blanqueo de capitales, seguridad del transporte o protección del medio ambiente.
Sector público: todas las entidades del sector público, incluidos municipios de más de 10.000 habitantes, organismos autónomos, entidades públicas empresariales, fundaciones del sector público y sociedades mercantiles públicas.
Partidos políticos, sindicatos y organizaciones empresariales están igualmente obligados.
Plazos de implantación
Los plazos previstos en la Ley 2/2023 ya han vencido:
Empresas con más de 249 trabajadores: desde el 13 de junio de 2023 (3 meses desde la entrada en vigor de la ley).
Empresas de 50 a 249 trabajadores: desde el 1 de diciembre de 2023.
Las empresas que aún no hayan implantado el canal están en situación de incumplimiento y expuestas a sanciones.
Requisitos del canal de denuncias
La Ley 2/2023 establece requisitos detallados que el sistema interno de información debe cumplir:
Accesibilidad: debe permitir la presentación de informaciones por escrito (formulario en línea, correo postal) y verbalmente (línea telefónica, sistema de mensajería de voz o reunión presencial). Debe ser accesible a trabajadores, exempleados, becarios, voluntarios, contratistas y cualquier persona que tenga relación laboral o profesional con la entidad.
Confidencialidad: la identidad del informante debe protegerse en todo momento. Solo pueden acceder a ella las personas expresamente autorizadas para la gestión del canal. La confidencialidad se extiende también a las personas afectadas por la información y a cualquier tercero mencionado.
Acuse de recibo: el canal debe acusar recibo de la información en un plazo máximo de 7 días naturales desde su recepción.
Plazo de respuesta: la investigación debe concluirse y comunicarse al informante el resultado en un plazo máximo de 3 meses desde el acuse de recibo. En casos de especial complejidad, el plazo puede ampliarse 3 meses más, comunicándolo al informante.
Responsable del sistema: la entidad debe designar un responsable del sistema de información, que puede ser una persona física (directivo, compliance officer) o un órgano colegiado. En empresas de hasta 249 trabajadores, la gestión del canal puede externalizarse a un tercero, que actuará como encargado del tratamiento.
Registro de informaciones: todas las comunicaciones recibidas deben registrarse en un libro-registro, que se conservará durante un mínimo de 10 años.
¿Se puede externalizar la gestión del canal?
Sí, con matices. Las empresas de hasta 249 trabajadores pueden externalizar completamente la gestión del canal a un tercero autorizado. Las empresas de mayor tamaño pueden externalizar la gestión operativa (recepción, tramitación) pero deben mantener internamente la decisión final sobre las actuaciones a adoptar.
La externalización no exime a la empresa de su responsabilidad como titular del sistema. El proveedor externo actúa como encargado del tratamiento a efectos de protección de datos.
Protección del informante
La Ley 2/2023 establece un régimen reforzado de protección para las personas que informen de buena fe:
Prohibición de represalias: está prohibido cualquier acto de represalia contra el informante, incluyendo despido, suspensión, degradación, cambio de funciones, evaluación negativa o cualquier otra medida perjudicial. La prohibición se extiende a personas vinculadas al informante (familiares, compañeros).
Inversión de la carga de la prueba: si el informante sufre una represalia, se presume que la medida está vinculada a la denuncia y corresponde al empleador demostrar que obedece a razones objetivas y ajenas a la información comunicada.
Medidas de apoyo: el informante tiene derecho a asistencia jurídica, apoyo financiero y medidas de protección frente a represalias, incluyendo medidas cautelares.
Régimen sancionador
La Ley 2/2023 prevé un régimen sancionador escalonado:
Infracciones muy graves (sanción de 600.001 a 1.000.000 de euros): represalias contra el informante, obstaculización o intento de impedir la presentación de informaciones, vulneración del deber de confidencialidad.
Infracciones graves (sanción de 100.001 a 600.000 euros): no disponer de sistema interno de información siendo obligatorio, no dar respuesta en plazo, incumplir la obligación de registro.
Infracciones leves (sanción de hasta 100.000 euros): no remitir la información a la Autoridad Independiente de Protección del Informante cuando proceda, falta de diligencia en la tramitación.
Para personas físicas responsables, las sanciones se reducen: hasta 300.000 euros para infracciones muy graves.
Relación con el compliance penal
El canal de denuncias es uno de los elementos esenciales del programa de compliance penal previsto en el artículo 31 bis del Código Penal. El Tribunal Supremo ha establecido que la responsabilidad penal de la persona jurídica exige un «defecto organizativo», es decir, la ausencia o ineficacia de los mecanismos de prevención (STS 966/2016). Un canal de denuncias operativo y eficaz fortalece significativamente el programa de compliance de la empresa.
¿Quieres saber si tu empresa cumple con la obligación del canal de denuncias? Haz el test gratuito de canal de denuncias o el test de compliance. Para más información, consulta la página de compliance para empresas.
