Muchas empresas ya tienen un buzón o una plataforma de denuncias. Lo que no siempre tienen claro es quién está detrás. La Ley 2/2023 no se conforma con un formulario: exige que alguien concreto responda de cada comunicación. Esa figura es el Responsable del Sistema interno de información, y elegirla mal es uno de los errores más frecuentes al implantar el canal.
En este artículo explicamos quién puede ser, qué requisitos le pide la ley, qué plazos tiene que cumplir y cómo encaja la ayuda de un gestor externo sin que la empresa pierda el control.
En este artículo vamos a tratar...
Qué es el Responsable del Sistema interno de información
El Responsable del Sistema es la persona (o el órgano) que gestiona el canal de denuncias y responde de que cada comunicación se tramite con diligencia. Así lo establece el artículo 9 de la Ley 2/2023, que hace a esta figura responsable de la tramitación de los expedientes.
No es un cargo decorativo. Recibe las comunicaciones, decide si se admiten, coordina la investigación y vela por que se respeten los derechos del informante y de la persona afectada. Por eso la ley le pide independencia, medios y un perfil concreto.
Quién lo designa y a quién hay que comunicarlo
Al responsable del sistema interno de información lo nombra (y lo cesa) el órgano de administración o de gobierno de la entidad, según el artículo 8.1. En una sociedad, eso significa el consejo de administración o el administrador único.
El nombramiento no queda en casa. El artículo 8.3 obliga a comunicarlo a la Autoridad Independiente de Protección del Informante, A.A.I., o a la autoridad autonómica competente, en un plazo de diez días hábiles. El cese también se comunica, y en ese caso hay que explicar los motivos.
Es un detalle que se olvida con facilidad, sobre todo cuando el responsable original deja la empresa y el relevo se hace de forma informal.
Requisitos del Responsable del Sistema interno de información en una empresa privada
Debe ser un directivo
En el sector privado, el artículo 8.5 exige que el Responsable del Sistema sea un directivo de la entidad. Además, debe ejercer el cargo con independencia del órgano de administración.
Esta exigencia sorprende a muchas pymes. Suelen pensar en alguien de recursos humanos o en el asesor de confianza, y no siempre encaja con el requisito legal.
Independencia y medios
El artículo 8.4 añade que el Responsable del Sistema no puede recibir instrucciones de ningún tipo en el ejercicio de su función. También debe disponer de los medios personales y materiales necesarios.
En la práctica, la independencia se pone a prueba cuando la denuncia afecta a un socio, a un familiar del gerente o al propio superior del responsable. Si el diseño del sistema no prevé esos casos, el canal pierde credibilidad justo cuando más falta hace.
Compatibilidad con otras funciones
En entidades pequeñas, el cargo se puede compatibilizar con el puesto habitual, siempre que no haya conflicto de interés. La ley también permite designar al responsable de cumplimiento normativo que ya exista, si reúne los requisitos (artículo 8.6).
¿Persona física u órgano colegiado?
La ley admite dos fórmulas. La primera es nombrar a una persona física. La segunda es nombrar un órgano colegiado, por ejemplo un comité.
Si se elige el órgano colegiado, el artículo 8.2 pide que el comité delegue en uno de sus miembros las facultades de gestión del sistema y de tramitación de expedientes. La composición del comité permite combinar el perfil directivo que exige la ley con la experiencia de un especialista en la gestión de denuncias.
El comité tiene una ventaja clara: reparte el peso de decisiones delicadas y facilita que, si una denuncia afecta a uno de sus miembros, los demás puedan apartarlo del expediente. Por eso es la fórmula que solemos recomendar en empresas con cierta estructura.
El problema real: un directivo no es un especialista
Aquí está la parte que casi nunca se explica. La ley exige un directivo, pero no le da formación ni tiempo. Ese directivo tiene que acusar recibo en siete días, organizar una investigación, proteger datos personales, respetar la presunción de inocencia y responder en plazo.
Además, cualquier error deja rastro. Una investigación mal documentada o una filtración de la identidad del informante pueden acabar en sanción o en un conflicto laboral.
Por eso la propia ley ofrece una salida, que veremos a continuación.
Gestor externo: qué puede delegarse y qué no
El artículo 6 de la Ley 2/2023 permite que la gestión del sistema la lleve un tercero externo, y precisa que la recepción de las comunicaciones también es gestión. El tercero debe ofrecer garantías de independencia, confidencialidad, protección de datos y secreto de las comunicaciones.
Hay un límite importante. La externalización no puede rebajar las garantías de la ley ni trasladar la responsabilidad del sistema fuera de la empresa. El tercero actúa, además, como encargado del tratamiento a efectos de protección de datos, así que hace falta un contrato que lo regule.
En resumen, la empresa mantiene el control del sistema y el especialista se ocupa del día a día. Es la forma de cumplir la ley sin cargar a un directivo con una tarea para la que no está formado.
Cómo lo organizamos en Auratech
Nuestro modelo combina las dos piezas que permite la ley. La empresa constituye un Comité de Ética y Cumplimiento como Responsable del Sistema. En él se integran un directivo de la empresa, que cubre el requisito legal, y un profesional de Auratech, que actúa como gestor de las comunicaciones dentro del comité: recibe y tramita todas las comunicaciones con criterio jurídico.
Así, el directivo no tiene que convertirse en experto, y la empresa conserva la última palabra sobre las medidas que adopta. Puedes ver el detalle en nuestro servicio de canal de denuncias.
Plazos que el Responsable del Sistema debe controlar
El procedimiento que fija el artículo 9.2 incluye varios plazos que conviene tener a mano:
- Acuse de recibo: siete días naturales desde la recepción, salvo que ponga en peligro la confidencialidad.
- Respuesta: un máximo de tres meses, ampliable otros tres en casos de especial complejidad.
- Comunicación del nombramiento o cese: diez días hábiles (artículo 8.3).
- Remisión al Ministerio Fiscal: de inmediato si los hechos pueden ser delito, o a la Fiscalía Europea si afectan a intereses financieros de la Unión.
A estos plazos se suman los de conservación de datos personales, que obligan a suprimir la información que no sea necesaria. Por eso el registro de comunicaciones debe revisarse con regularidad.
Errores frecuentes al designar al Responsable del Sistema interno de información
- Nombrar en solitario a alguien que no es directivo, como un técnico de recursos humanos.
- No comunicar el nombramiento, o no comunicar el cambio cuando el responsable deja la empresa.
- Elegir a una persona que depende jerárquicamente de quien puede ser denunciado.
- Contratar una plataforma de denuncias sin nadie con criterio jurídico que tramite las comunicaciones.
- No firmar el contrato de encargo del tratamiento con el gestor externo.
- No dejar por escrito, en el acta del órgano de administración, la delegación en el miembro del comité.
Qué pasa si el sistema no funciona
La Ley 2/2023 prevé un régimen sancionador propio. Incumplir la obligación de disponer de un sistema interno de información se considera infracción muy grave, y para las personas jurídicas las multas por este tipo de infracciones pueden llegar al millón de euros.
Más allá de la multa, un canal sin responsable eficaz tiene otro coste: si la empresa no se entera primero de la irregularidad, el informante puede acudir directamente al canal externo de la autoridad. Si quieres repasar quién está obligado y desde cuándo, lo explicamos en nuestro artículo sobre el canal de denuncias obligatorio para las empresas.
Preguntas frecuentes
¿Puede ser el Responsable del Sistema el delegado de protección de datos?
La ley no lo prohíbe, pero en el sector privado el Responsable del Sistema debe ser un directivo, y el DPO externo no lo es. Lo habitual es que el DPO colabore en la parte de protección de datos sin asumir el cargo. Si tu empresa necesita DPO, lo explicamos en nuestro servicio de delegado de protección de datos.
¿Puede un especialista externo formar parte del sistema?
Sí. La ley permite que un tercero externo gestione el sistema y reciba las comunicaciones (artículo 6). La designación la hace el órgano de administración, y la fórmula del comité permite integrar a ese especialista como gestor de las comunicaciones junto a un directivo de la empresa.
¿Qué ocurre si el Responsable del Sistema es el denunciado?
El procedimiento debe prever cómo apartarlo del expediente. Con un órgano colegiado es más sencillo, porque el resto del comité puede asumir la tramitación.
¿Hay que volver a comunicar el nombramiento si cambia el responsable?
Sí. Tanto el nombramiento como el cese se comunican a la autoridad competente en diez días hábiles, y el cese debe ir motivado.
¿Necesitas revisar quién responde de tu canal?
Si tu empresa ya tiene canal pero no sabe si el responsable cumple los requisitos, o quiere quitarle esa carga a un directivo sin perder el control, podemos ayudarte. Revisamos la designación, el procedimiento y la comunicación a la autoridad, y te proponemos la fórmula que mejor encaja con tu estructura. Pide información sobre nuestro servicio de canal de denuncias.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.
Equipo jurídico de Auratech Legal Solutions
Abogados especializados en protección de datos, compliance y derecho de las nuevas tecnologías. Delegados de protección de datos externos de empresas y centros educativos, gestores de canales de denuncias (Experto Universitario en Sistema Interno de Información, UNED) e implantación de ISO 27001 e ISO 27701. Contacta con nosotros.
