Canal de Denuncias Obligatorio: Desde 50 Empleados (Ley 2/2023)

Qué es la Ley 2/2023 y por qué afecta a tu empresa

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone al ordenamiento español la Directiva (UE) 2019/1937, conocida como Directiva Whistleblowing.

Su objetivo es proteger a cualquier persona —trabajador, proveedor, colaborador— que, de buena fe, comunique irregularidades cometidas en el seno de una organización: infracciones penales o administrativas graves o muy graves (fraudes, sobornos, infracciones medioambientales o laborales) e infracciones del Derecho de la Unión Europea en los ámbitos que delimita su artículo 2.

Para las empresas, esta ley supone una obligación concreta y con plazos ya vencidos: implantar un sistema interno de información (el denominado canal de denuncias).

---

¿Quién está obligado y desde cuándo?

La obligación se desplegó en dos fases:

• Desde el 13 de junio de 2023 (tres meses después de la entrada en vigor de la ley): sector público y empresas del sector privado con 250 o más trabajadores.
• Desde el 1 de diciembre de 2023: empresas privadas con entre 50 y 249 trabajadores y municipios de menos de 10.000 habitantes (disposición transitoria segunda).

También están obligados con independencia del tamaño: los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos, así como las entidades sujetas a la normativa europea de servicios financieros, prevención del blanqueo de capitales, seguridad del transporte y medio ambiente (art. 10.1.b y c). Los municipios con menos de 10.000 habitantes pueden compartir canal con otros ayuntamientos (art. 14.1).

Si tu empresa tiene 50 o más empleados y todavía no tiene implantado el canal, estás incumpliendo la ley desde hace más de dos años.

---

Qué debe incluir el canal de denuncias

La Ley 2/2023 establece requisitos precisos que el sistema interno de información debe cumplir:

Garantías de confidencialidad y anonimato

El canal debe garantizar la confidencialidad y permitir también la presentación y tramitación de comunicaciones anónimas (art. 7.3). La identidad del informante solo puede comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora (art. 33.3).

Acuse de recibo y plazos de resolución

• 7 días naturales para enviar el acuse de recibo de la denuncia al informante (art. 9.2.c).
• 3 meses como máximo para dar respuesta a las actuaciones de investigación, ampliables hasta otros 3 meses en casos de especial complejidad (art. 9.2.d).

Responsable del sistema

El órgano de administración debe designar un responsable del sistema de información —en el sector privado, un directivo de la entidad—, con suficiente autonomía, que gestione las comunicaciones y garantice la independencia del proceso (art. 8). Su nombramiento y su cese se notifican en diez días hábiles a la Autoridad Independiente de Protección del Informante o a la autoridad autonómica competente (art. 8.3).

Prohibición absoluta de represalias

El artículo 36 de la Ley 2/2023 prohíbe expresamente cualquier represalia contra el informante: despidos, sanciones, cambios de condiciones de trabajo, presiones o actos discriminatorios. Adoptarlas es infracción muy grave (art. 63.1.b) y, en caso de pleito, es quien tomó la medida perjudicial quien debe probar que no guarda relación con la comunicación (art. 38.4).

---

Sanciones por incumplimiento

El régimen sancionador de la Ley 2/2023 (arts. 63 y 65) es severo y distingue entre personas jurídicas y físicas:

• Infracciones muy graves (no disponer del sistema interno de información, adoptar represalias, vulnerar la confidencialidad o el anonimato, obstaculizar las comunicaciones): multas de 600.001 a 1.000.000 € para personas jurídicas y de 30.001 a 300.000 € para personas físicas.
• Infracciones graves (limitar los derechos y garantías del informante o vulnerar la confidencialidad o el deber de secreto cuando no llegue a ser muy grave, no adoptar las medidas que garantizan la confidencialidad): de 100.001 a 600.000 € para personas jurídicas y de 10.001 a 30.000 € para personas físicas.
• Infracciones leves (por ejemplo, no colaborar con la investigación o cualquier otro incumplimiento de la ley no tipificado como grave o muy grave): hasta 100.000 € para personas jurídicas y de 1.001 a 10.000 € para personas físicas.

Además, las sanciones por infracciones muy graves de 600.001 € o más impuestas a personas jurídicas pueden publicarse en el BOE una vez firmes en vía administrativa (art. 65.3), con el consiguiente daño reputacional para la empresa, y las infracciones muy graves pueden acarrear también la prohibición de obtener subvenciones hasta cuatro años y de contratar con el sector público hasta tres (art. 65.2).

---

Canal interno o externo: ¿qué conviene a tu empresa?

La ley permite gestionar el canal interno de dos formas (art. 6):

Canal interno propio: implantado y gestionado por la propia empresa, bien a través de software específico, bien mediante un procedimiento documentado con un buzón seguro. Es adecuado para empresas con departamento de compliance o recursos humanos estructurado.

Canal interno gestionado por un tercero externo: un proveedor independiente gestiona la recepción de comunicaciones, sin que ello traslade la responsabilidad del sistema, que sigue siendo del responsable designado por la empresa (art. 6.3). Aporta mayor confianza para el informante, especialmente en empresas familiares o de tamaño medio donde el empleado teme que la denuncia llegue directamente a la dirección.

No debe confundirse con el «canal externo» que regula la ley, que es el de la Autoridad Independiente de Protección del Informante y las autoridades autonómicas (art. 16), y sobre el que el canal interno debe informar (art. 9.2.b).

En cualquier caso, el canal debe estar documentado en un reglamento de funcionamiento accesible a todos los trabajadores, y su existencia debe comunicarse internamente.

---

Pasos para implantar el canal correctamente

1. Diseñar el procedimiento: definir quién puede comunicar, qué irregularidades están cubiertas y cuál es el flujo de tramitación.
2. Designar al responsable: debe ser un directivo de la entidad (por ejemplo, quien ya se ocupe del cumplimiento normativo, art. 8.5 y 8.6); un tercero externo puede recibir las comunicaciones, pero no asumir la responsabilidad del sistema (art. 6).
3. Establecer el canal técnico: correo seguro, plataforma web, buzón físico o proveedor externo.
4. Redactar el reglamento de funcionamiento y comunicarlo a toda la plantilla.
5. Formar a los responsables sobre la gestión confidencial de las comunicaciones.
6. Revisar y actualizar el sistema anualmente o cuando se produzcan cambios normativos relevantes.

---

ALY Abogados: compliance laboral en Las Palmas

Implantar un canal de denuncias que realmente cumpla con la Ley 2/2023 requiere algo más que instalar un buzón de correo. Necesitas un procedimiento jurídicamente sólido, un reglamento adaptado a tu sector y asesoramiento jurídico continuo desde 99 €/mes para gestionar las comunicaciones que lleguen.

En ALY Abogados asesoramos a empresas de Gran Canaria y Canarias en el diseño e implantación de sistemas de compliance laboral. Nuestro despacho está liderado por Lázaro Héctor Amable Méndez, abogado colegiado n.º 5.231 del ICALPA.

Si necesitas regularizar la situación de tu empresa o implantar el canal desde cero, consulta con el despacho sin compromiso. Puedes llamarnos al 633 572 607 o escribirnos a través del formulario de contacto.