El canal de denuncias es la obligación que más pymes descubren tarde, y la que más cara sale. Las sanciones de la Ley 2/2023 llegan al millón de euros para personas jurídicas, muy por encima de las de registro horario. Este playbook es el orden en el que se monta.
No es una guía de qué dice la ley, sino de qué hay que hacer y en qué orden. Si lo que buscas es entender la norma, están las 18 preguntas frecuentes.
Lo esencial en cinco datos
- A quién obliga: a las empresas de 50 personas o más, y a determinados sectores regulados sin importar el tamaño.
- Desde cuándo: la ley está en vigor desde el 13 de marzo de 2023. El plazo general para tenerlo implantado venció el 13 de junio de 2023, y el 1 de diciembre de 2023 para las entidades privadas de 249 trabajadores o menos.
- Plazos de gestión: acuse de recibo en un máximo de 7 días naturales y respuesta al informante en un máximo de 3 meses.
- Quién sanciona: la Autoridad Independiente de Protección del Informante.
- Cuánto: para personas jurídicas, hasta 100.000 € las infracciones leves, de 100.001 a 600.000 € las graves y de 600.001 a 1.000.000 € las muy graves.
Lo que se deduce de esas fechas es que, si tienes 50 personas o más, tu plazo ya venció. Estar fuera de plazo no cambia lo que hay que hacer, pero sí la prioridad: la exposición a sanción se mantiene mientras el sistema no exista, así que implantarlo es lo único que la corta.
Fase 1 · Decidir el modelo
Tres decisiones antes de tocar nada
- Propio o compartido. La ley permite a las entidades del sector privado de 50 a 249 trabajadores compartir entre sí los medios y recursos destinados al sistema interno. Para un grupo de empresas pequeñas es la vía más razonable.
- Quién será el responsable del sistema. Tiene que ser una persona u órgano designado formalmente, con independencia para gestionar las comunicaciones. En una pyme suele recaer en dirección, cumplimiento o una asesoría externa. Evita que sea quien más probablemente aparezca en una denuncia.
- Con qué herramienta. El requisito no es tecnológico sino funcional: anonimato posible, confidencialidad, trazabilidad y control de plazos.
Un buzón de correo no sirve. Es el atajo más frecuente y no cumple: no garantiza el anonimato, no controla los plazos, no deja registro de la gestión y quien recibe los correos ve la dirección del remitente.
Fase 2 · Aprobar y documentar
El papeleo que da validez al canal
- Política del sistema interno de información, aprobada por el órgano de administración previa consulta con la representación legal de las personas trabajadoras. Es el documento que define el sistema, no una declaración de intenciones.
- Procedimiento de gestión: quién recibe, cómo se investiga, cómo se archiva, cómo se comunican los plazos y qué garantías tiene la persona afectada por una denuncia, que también tiene derechos.
- Designación formal del responsable, con la notificación que corresponda a la autoridad competente.
- Registro de informaciones recibidas, con las condiciones de confidencialidad y conservación que exige la ley.
- Análisis de protección de datos: el sistema trata datos sensibles por definición. Hay que revisar la base jurídica, los plazos de conservación y el papel del delegado de protección de datos si existe.
Fase 3 · Publicar y comunicar
Un canal que nadie conoce no existe
- Información clara y accesible sobre el canal interno y sobre la existencia del canal externo ante la Autoridad. Es una obligación, no una cortesía.
- Publicación en un sitio visible: intranet, tablón, la propia web. La ley exige que la información sea fácilmente accesible.
- Comunicación a la plantilla explicando qué se puede comunicar, que se puede hacer de forma anónima y que las represalias están prohibidas. Este último punto es el que determina si el canal se usa o no.
- Extensión a terceros: el canal debe estar disponible también para personas ajenas a la plantilla que se relacionan con la empresa, como proveedores o colaboradores.
Fase 4 · Sostenerlo
Lo que hay que vigilar cada mes
- Plazos: ninguna comunicación sin acuse en 7 días naturales, ninguna sin respuesta en 3 meses.
- Cero comunicaciones no es necesariamente buena señal. Puede significar que nadie confía en el canal. Si llevas un año a cero, revisa la comunicación.
- Revisión anual del procedimiento y de la política.
- Cambios de plantilla: si cruzas los 50 empleados, la obligación nace ahí. Y si tienes 249 y creces, cambia el marco de plazos.
Preguntas frecuentes
¿Cómo se implanta un canal de denuncias en una pyme?
En cuatro fases: decidir el modelo y el responsable, aprobar la política y el procedimiento de gestión por el órgano de administración, previa consulta con la representación legal de las personas trabajadoras, publicar e informar a la plantilla y a terceros, y sostenerlo controlando los plazos de 7 días y 3 meses.
¿Quién debe ser el responsable del canal de denuncias?
Una persona u órgano designado formalmente por la empresa, con independencia para gestionar las comunicaciones y con la notificación que corresponda a la autoridad competente. Conviene que no sea alguien que pueda ser objeto de las denuncias.
¿Pueden varias empresas compartir el canal de denuncias?
Sí. La Ley 2/2023 permite a las entidades del sector privado de 50 a 249 trabajadores compartir entre sí los medios y recursos destinados al sistema interno de información.
¿Vale un correo electrónico como canal de denuncias?
No es recomendable: un buzón de correo no garantiza el anonimato, la confidencialidad, la trazabilidad ni el control de los plazos que exige la ley.
¿Qué pasa si mi empresa está fuera de plazo?
La obligación sigue viva y la exposición a sanción se mantiene mientras no exista el sistema. Implantarlo es lo que corta esa exposición, con independencia de que el plazo original ya haya vencido.
¿Es mala señal que el canal no reciba ninguna denuncia?
No necesariamente, pero conviene revisarlo. Un canal sin uso durante mucho tiempo puede indicar que la plantilla no lo conoce o no confía en la protección frente a represalias.
Fuentes
- Ley 2/2023, de 20 de febrero, de protección de las personas que informen sobre infracciones normativas: artículo 5 (política del sistema y su aprobación), artículo 7 (comunicaciones anónimas), artículo 8 (responsable del sistema), artículo 9 (procedimiento de gestión, acuse en 7 días naturales y respuesta en 3 meses), artículo 10 (obligación para entidades de 50 o más trabajadores), artículo 12 (medios compartidos en entidades privadas de 50 a 249 trabajadores), artículo 25 (información sobre los canales interno y externo), artículo 26 (registro de informaciones), artículo 36 (prohibición de represalias) y artículo 65.1 (sanciones: personas jurídicas hasta 100.000 € por leves, de 100.001 a 600.000 € por graves y de 600.001 a 1.000.000 € por muy graves). En vigor desde el 13 de marzo de 2023. BOE-A-2023-4513.
- Ley 2/2023, disposición transitoria segunda: plazo general de tres meses desde la entrada en vigor y extensión hasta el 1 de diciembre de 2023 para las entidades jurídicas del sector privado con 249 trabajadores o menos y los municipios de menos de 10.000 habitantes.
- Directiva (UE) 2019/1937, que la Ley 2/2023 traspone al ordenamiento español.
- RGPD y LOPDGDD, aplicables al tratamiento de datos del sistema interno de información.
Recursos relacionados
El canal de denuncias de Nucleo360 cubre la parte funcional de este playbook: comunicaciones anónimas o identificadas, identificador de seguimiento para el informante, gestión de cada caso con su estado y control de los plazos de 7 días y 3 meses.
Última actualización: septiembre de 2026. Datos contrastados con el texto consolidado de la Ley 2/2023 publicado en el BOE.