El canal de denuncias obligatorio para empresas —que la Ley 2/2023 llama sistema interno de información— dejó de ser una previsión de futuro hace tiempo. Los plazos vencieron en 2023, la Autoridad que vigila su cumplimiento lleva funcionando desde septiembre de 2025 y en abril de 2026 abrió su primer gran expediente sancionador. Esta guía reúne quién está obligado, qué exige exactamente la ley y qué se está haciendo mal.
En este artículo vamos a tratar...
Quién está obligado a tener canal de denuncias
El artículo 10 de la Ley 2/2023 obliga a implantar un sistema interno de información a:
- Las personas jurídicas privadas con 50 o más trabajadores.
- Con independencia del número de trabajadores, las entidades incluidas en el ámbito de los actos de la Unión Europea sobre servicios y productos financieros, prevención del blanqueo de capitales y de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente.
- Los partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.
Por su parte, el artículo 13 extiende la obligación a todas las entidades del sector público: Administraciones territoriales, organismos públicos, universidades públicas, corporaciones de Derecho público, sociedades mercantiles con participación pública mayoritaria y fundaciones del sector público.
Conviene fijarse en el segundo punto, porque es el que más veces se pasa por alto. Un sujeto obligado por la normativa de prevención del blanqueo tiene que tener canal aunque tenga cinco empleados. El umbral de los cincuenta trabajadores no le aplica.
Los plazos ya vencieron. Y hay uno que también
La ley dio tres meses desde su entrada en vigor, lo que situó el plazo general en el 13 de junio de 2023. Para las entidades privadas de menos de 250 trabajadores y para los municipios de menos de 10.000 habitantes lo amplió hasta el 1 de diciembre de 2023.
No queda ningún plazo de implantación abierto. Quien no lo tenga, lleva más de dos años y medio incumpliendo.
Hay además un plazo posterior que mucha gente no vio pasar: la Autoridad Independiente de Protección del Informante habilitó el 10 de febrero de 2026 el formulario para comunicar la designación del Responsable del Sistema, y fijó el 10 de abril de 2026 como fecha límite para los nombramientos pendientes. Tener el canal montado pero no haber comunicado quién lo dirige es hoy un incumplimiento en sí mismo.
Qué tiene que tener el sistema, artículo por artículo
Esta es la parte donde la mayoría de las implantaciones se quedan a medias. La ley no pide un buzón: pide un sistema.
- Artículo 5. La implantación corresponde al órgano de administración o de gobierno, previa consulta con la representación legal de los trabajadores. El sistema debe contar con una política del Sistema aprobada formalmente por ese órgano. No vale una decisión del departamento de recursos humanos.
- Artículo 7. Las comunicaciones deben poder presentarse por escrito, verbalmente o de ambas formas, incluida una reunión presencial a petición del informante; las verbales se documentan por grabación o transcripción. Y su apartado 3 es taxativo: los canales permitirán la presentación y tramitación de comunicaciones anónimas. El anonimato no es una opción del diseñador: es un requisito.
- Artículo 9. Acuse de recibo en siete días naturales desde la recepción. Plazo máximo de instrucción y respuesta de tres meses, ampliable en otros tres en casos de especial complejidad. Y remisión inmediata al Ministerio Fiscal si los hechos son indiciariamente delictivos.
- Artículo 26. Libro-registro de las informaciones recibidas, con datos de recepción, objeto y estado de tramitación. No es público, pero tiene que existir.
El Responsable del Sistema: donde se está fallando
El artículo 8 exige designar un Responsable del Sistema, que puede ser una persona física o un órgano colegiado, y que debe ejercer sus funciones de forma independiente y autónoma, sin recibir instrucciones. Su designación y su cese se comunican a la Autoridad en diez días hábiles.
Esa exigencia de independencia no es retórica. En el primer gran expediente abierto por la Autoridad, uno de los reproches es precisamente haber designado como Responsable a quien, por su cargo, no podía ejercer la función con autonomía.
Gestión externa del canal: qué se puede delegar y qué no
El artículo 6 permite encomendar la gestión del canal a un tercero, siempre que ofrezca garantías adecuadas de independencia, confidencialidad, protección de datos y secreto de las comunicaciones. Se formaliza en un acuerdo, y ese tercero actúa como encargado del tratamiento.
Dos cosas importan aquí. La primera: la responsabilidad sigue siendo de la entidad. Externalizar la gestión no externaliza el incumplimiento. La segunda, y es el criterio que ha marcado la Autoridad en su primer expediente: el tercero no puede asumir las funciones de investigación, que están reservadas al Responsable del Sistema. Un proveedor que le ofrezca «investigar por usted» le está vendiendo algo que la ley no permite comprar.
Compartir el sistema entre varias entidades
El artículo 12 permite compartir el sistema y sus recursos a las entidades privadas de entre cincuenta y doscientos cuarenta y nueve trabajadores. El artículo 14 lo permite a los municipios de menos de 10.000 habitantes con otras Administraciones de su ámbito autonómico. Y el artículo 11 regula el supuesto de los grupos de sociedades.
Es la vía razonable para una empresa mediana que no quiere montar una estructura entera para tres comunicaciones al año.
Cómo se cruza con el RGPD
El Título VI de la ley regula el tratamiento de datos, y conviene tenerlo claro porque aquí es donde entra la otra autoridad.
- Base jurídica: cumplimiento de una obligación legal cuando el sistema es obligatorio; misión de interés público cuando es voluntario. En ningún caso el consentimiento del informante.
- Conservación (artículo 32): los datos se conservan solo el tiempo imprescindible. Transcurridos tres meses desde la recepción sin haberse iniciado actuaciones de investigación, hay que suprimirlos, pudiendo mantenerse anonimizados para dejar constancia del funcionamiento del sistema. Es la regla que más se incumple, porque nadie borra nada.
- Confidencialidad del informante: su identidad es reservada y no se comunica a la persona afectada por los hechos. Solo cabe revelarla a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente.
- Persona denunciada: frente a su derecho de oposición se presume, salvo prueba en contrario, la existencia de motivos legítimos imperiosos para continuar el tratamiento.
- Categorías especiales: el tratamiento se ampara en el interés público esencial, y las que se reciban indebidamente deben suprimirse de inmediato.
Un detalle que descoloca a quien montó su canal antes de 2023: el artículo 24 de la LOPDGDD ya no es la norma de referencia. La disposición final de la Ley 2/2023 lo reconfiguró y remitió el régimen a la propia ley. Si su documentación cita el artículo 24 como fundamento, está desactualizada.
La Autoridad ya está funcionando
Durante casi tres años la ley existió sin vigilante. Eso se acabó. El Real Decreto 1101/2024 aprobó el Estatuto de la Autoridad Independiente de Protección del Informante, y una orden ministerial fijó su puesta en funcionamiento el 1 de septiembre de 2025. La preside Manuel Villoria Mendieta desde mayo de 2025.
En su comparecencia ante el Congreso en mayo de 2026, la Autoridad informó de más de 600 comunicaciones recibidas en nueve meses, 32 personas bajo protección y cinco actuaciones sancionadoras iniciadas. Ninguna sanción se había concretado todavía en esa fecha.
Su primer gran expediente se dirige contra la Autoridad Portuaria de Valencia: la fase de comprobación concluyó el 14 de abril de 2026 y el asunto pasó a procedimiento sancionador, con una exposición de entre 600.001 y un millón de euros. Los dos reproches son los que hemos señalado arriba: un Responsable del Sistema sin independencia real y la atribución de funciones de investigación al proveedor externo.
Cuánto cuesta hacerlo mal
El artículo 65 establece las siguientes multas:
- Infracciones leves: de 1.001 a 10.000 euros para personas físicas; hasta 100.000 euros para personas jurídicas.
- Infracciones graves: de 10.001 a 30.000 euros para personas físicas; de 100.001 a 600.000 euros para personas jurídicas.
- Infracciones muy graves: de 30.001 a 300.000 euros para personas físicas; de 600.001 a 1.000.000 de euros para personas jurídicas.
Son muy graves, entre otras conductas, adoptar represalias contra el informante, revelar su identidad vulnerando el deber de confidencialidad, destruir o alterar pruebas, obstaculizar deliberadamente la investigación y no disponer de sistema interno estando obligado.
A la multa pueden sumarse sanciones accesorias: amonestación pública, prohibición de obtener subvenciones o beneficios fiscales durante un máximo de cuatro años y prohibición de contratar con el sector público durante un máximo de tres. Para muchas empresas, esa segunda parte pesa más que la primera.
Los ocho errores que se repiten
De la Recomendación 1/2026 de la Autoridad sobre diseño e implantación del sistema, y de lo que se ve en la práctica, salen siempre los mismos:
- Canales que no admiten comunicaciones anónimas, pese al artículo 7.3.
- Un buzón de correo genérico en lugar de una plataforma segura con trazabilidad y cifrado.
- Ausencia de política del Sistema aprobada formalmente por el órgano de administración.
- Responsable del Sistema con conflicto de intereses o sin autonomía real.
- Delegar la investigación en el proveedor externo.
- Incumplir plazos: acuses de recibo fuera de los siete días, expedientes cerrados más allá de los tres meses.
- No llevar libro-registro.
- No comunicar a la Autoridad la designación del Responsable.
Los ocho tienen algo en común: ninguno se detecta mirando la web de la empresa. Se detectan cuando llega la primera comunicación y hay que tramitarla, o cuando la Autoridad pregunta.
Qué hacer si su empresa está obligada
El orden es este: comprobar si está obligada y por qué vía; aprobar la política del Sistema en el órgano de administración, previa consulta con la representación de los trabajadores; implantar un canal que admita anonimato y deje trazabilidad; designar al Responsable y comunicarlo a la Autoridad; abrir el libro-registro; y fijar por escrito el procedimiento de tramitación con sus plazos y su regla de supresión a los tres meses.
En Auratech Legal implantamos el sistema y asumimos su dirección como gestor externo del canal de denuncias, con la formación de experto en Sistema Interno de Información por la UNED y con el reparto de funciones que exige la ley: la gestión del canal fuera, la decisión sobre cada comunicación donde la ley la sitúa.