Ley 2/2023: quién está obligado a tener canal de denuncias y qué exige

01Los datos, antes que nada

Todo lo que afirma esta guía se apoya en la tabla siguiente. Cada dato lleva su fuente primaria y la fecha en que lo comprobamos.

02¿Qué es la Ley 2/2023 y qué es el canal de denuncias?

La Ley 2/2023 tiene dos fines (art. 1): proteger frente a represalias a las personas físicas que informen sobre infracciones, y reforzar la cultura de la información y las infraestructuras de integridad de las organizaciones. Es la ley con la que España incorporó la Directiva (UE) 2019/1937, conocida como directiva whistleblowing, y entró en vigor el 13 de marzo de 2023.

Lo que en la calle se llama canal de denuncias la ley lo llama sistema interno de información, y la diferencia no es solo de nombre. El canal es la vía por la que llega la comunicación; el sistema es el conjunto: el canal o canales, el responsable que los gestiona, la política, el procedimiento, el libro-registro y las garantías para quien informa. La ley lo define como el cauce preferente para informar, siempre que la infracción pueda tratarse de manera efectiva y el informante no tema represalias (art. 4).

¿Qué se puede comunicar? Según el artículo 2, las infracciones del Derecho de la Unión dentro del ámbito de la directiva y, además, las acciones u omisiones que puedan ser infracción penal o administrativa grave o muy grave, incluidas siempre las que supongan quebranto económico para la Hacienda Pública y para la Seguridad Social. La protección alcanza a quien haya conocido la información en un contexto laboral o profesional: plantilla, autónomos, accionistas, administradores, personas que trabajan para contratistas y proveedores, antiguos empleados, becarios, voluntarios y candidatos (art. 3).

03¿Quién está obligado a tener canal de denuncias?

La pregunta que trae aquí a la mayoría de lectores es si el canal de denuncias es obligatorio en su empresa. La ley responde en tres grupos.

Tres matices que cambian el análisis:

• Grupos de sociedades. La sociedad dominante aprueba una política general para todo el grupo; el sistema y el responsable pueden ser únicos para el grupo o uno por sociedad (art. 11).
• Medios compartidos. Las empresas de 50 a 249 trabajadores pueden compartir el sistema y los recursos de gestión con otras, respetando todas las garantías (art. 12).
• Por debajo de 50 también se puede. Una empresa no obligada puede implantar su propio sistema, pero tiene que cumplir todos los requisitos de la ley (art. 10.2).

04¿Desde cuándo es obligatorio el canal de denuncias?

La ley se publicó en el BOE el 21 de febrero de 2023 y entró en vigor a los veinte días, el 13 de marzo de 2023. Desde ahí, la disposición transitoria segunda dio dos plazos:

• Tres meses, es decir, hasta el 13 de junio de 2023, como regla general: por ejemplo, las empresas de 250 trabajadores o más y la mayor parte del sector público.
• Hasta el 1 de diciembre de 2023 para las entidades del sector privado con 249 trabajadores o menos y para los municipios de menos de 10.000 habitantes.

Los dos plazos han vencido. La ley no prevé un plazo de adaptación específico para la empresa que alcanza los 50 trabajadores después de esas fechas, así que conviene preparar el sistema antes de llegar a ese umbral. Los canales que ya existían antes de la ley sirven si se ajustan a sus requisitos (disposición transitoria primera).

Hay un tercer plazo, menos conocido. La A.A.I. empezó a funcionar el 1 de septiembre de 2025 (Orden PJC/908/2025), y su Estatuto dio dos meses desde esa fecha para notificarle los nombramientos y ceses de responsables del sistema hechos desde la entrada en vigor de la ley (disposición transitoria única del Real Decreto 1101/2024). También ha vencido: si el tuyo no consta notificado, conviene regularizarlo cuanto antes.

05¿Qué requisitos debe cumplir el sistema interno de información?

El responsable de implantar el sistema es el órgano de administración, previa consulta con la representación legal de las personas trabajadoras, y es también el responsable del tratamiento de los datos (art. 5.1). Lo gestione la propia empresa o un tercero, el artículo 5.2 exige que el sistema cumpla diez condiciones:

• Abierto a todas las personas del artículo 3: plantilla, autónomos, accionistas, miembros del órgano de administración y quien trabaje para contratistas, subcontratistas y proveedores, además de antiguos empleados, becarios, voluntarios y candidatos.
• Seguro, de modo que se garantice la confidencialidad del informante, de cualquier tercero mencionado y de las actuaciones, y que impida el acceso de personal no autorizado.
• Por escrito, verbalmente o de las dos formas; y, si el informante lo pide, también en una reunión presencial en un plazo máximo de siete días (art. 7.2).
• Integrado: si la empresa tiene varios canales internos, todos forman parte del mismo sistema.
• Eficaz dentro de la organización, con el objetivo de que la primera en conocer la posible irregularidad sea la propia entidad.
• Independiente y diferenciado del de otras entidades, salvo los medios compartidos que la ley permite.
• Un responsable del sistema, con los requisitos del artículo 8.
• Una política o estrategia que enuncie los principios del sistema y de defensa del informante, publicitada dentro de la entidad.
• Un procedimiento de gestión de las informaciones, aprobado por el órgano de administración, con el contenido mínimo del artículo 9.
• Garantías de protección para los informantes dentro de la propia entidad.

El procedimiento de gestión (art. 9) tiene un contenido mínimo: identificar los canales, informar de forma clara de los canales externos, los plazos de acuse y respuesta, la posibilidad de pedir información adicional al informante, el derecho de la persona afectada a ser informada y oída, la presunción de inocencia, el respeto a la protección de datos y la remisión inmediata al Ministerio Fiscal cuando los hechos puedan ser delito —o a la Fiscalía Europea si afectan a los intereses financieros de la Unión—.

Dos obligaciones más que se olvidan a menudo: un libro-registro de las informaciones recibidas y de las investigaciones, que no es público (art. 26), y la información en la web: si la empresa tiene página web, el acceso al canal y los principios del procedimiento deben estar en la página de inicio, en una sección separada y fácilmente identificable (art. 25).

La gestión —que, según la ley, incluye la recepción de las informaciones— puede encargarse a un tercero externo, que debe ofrecer garantías de independencia, confidencialidad, protección de datos y secreto de las comunicaciones, y que actúa como encargado del tratamiento. Externalizar no rebaja las garantías ni traslada la responsabilidad, que sigue en el responsable del sistema (art. 6).

06¿Quién puede ser el responsable del sistema?

El órgano de administración designa al responsable del sistema y es el único que puede cesarlo (art. 8). Las reglas principales:

• Persona física u órgano colegiado. Si es un órgano colegiado, debe delegar en uno de sus miembros la gestión del sistema y la tramitación de expedientes.
• Un directivo, en el sector privado, que ejerza el cargo con independencia del órgano de administración. Si el tamaño de la empresa no lo justifica, puede compatibilizarlo con su puesto, evitando conflictos de interés.
• Independiente y con medios. No puede recibir instrucciones de ningún tipo y debe disponer de los medios personales y materiales necesarios.
• Puede ser quien ya lleve el cumplimiento: la persona responsable de cumplimiento normativo o de políticas de integridad, si reúne los requisitos.
• Se notifica. El nombramiento y el cese se comunican a la A.A.I. o a la autoridad autonómica competente en los diez días hábiles siguientes; en el cese, con sus razones. La AIPI tiene un formulario para hacerlo y explica en su web cuándo corresponde notificarle a ella y cuándo a la autoridad autonómica.

07Confidencialidad, anonimato, protección de datos y conservación

Es la parte donde más se juega una empresa: vulnerar la confidencialidad o el anonimato es infracción grave y, si hay dolo, muy grave (art. 63). La ley fija cuatro reglas:

• Confidencialidad. Quien informa tiene derecho a que su identidad no se revele a terceros. El sistema no debe obtener datos que permitan identificarlo y debe contar con medidas técnicas y organizativas para proteger su identidad y la de las personas afectadas. Solo puede comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente, en una investigación penal, disciplinaria o sancionadora (art. 33).
• Anonimato. Los canales internos deben permitir presentar y tramitar comunicaciones anónimas (art. 7.3). Quien informó de forma anónima y después es identificado conserva la protección si cumple las condiciones de la ley (art. 35.3).
• Acceso limitado. A los datos solo acceden el responsable del sistema y quien lo gestione, el responsable de recursos humanos cuando pueda proceder una medida disciplinaria, el de servicios jurídicos si procede una acción legal, los encargados del tratamiento y el delegado de protección de datos (art. 32.1).
• Conservación mínima. No se tratan datos innecesarios, y las categorías especiales de datos se suprimen de inmediato. Si en tres meses no se ha iniciado una investigación, los datos se suprimen, salvo lo necesario para dejar evidencia del funcionamiento del sistema, de forma anonimizada. Y los datos de las informaciones y de las investigaciones no pueden conservarse, en ningún caso, más de diez años (arts. 26.2 y 32).

Para quien diseña la herramienta, eso se traduce en controles concretos: cifrado, accesos nominales y registrados, ningún dato de conexión que delate al informante, comunicaciones verbales grabadas o transcritas con su consentimiento (art. 7.2) y un calendario de supresión que se cumpla de verdad. Son controles que se pueden revisar en una auditoría de ciberseguridad →

08¿Qué plazos hay para acusar recibo y responder?

El procedimiento interno debe recoger dos plazos (art. 9.2):

Si el informante pide una reunión presencial, debe celebrarse en un máximo de siete días (art. 7.2). Durante la tramitación, la persona afectada tiene derecho a la presunción de inocencia, a la defensa y a que se preserve su identidad (art. 39).

09La Autoridad Independiente de Protección del Informante y los canales externos

La ley crea la Autoridad Independiente de Protección del Informante, A.A.I., un ente de Derecho público de ámbito estatal con plena autonomía e independencia orgánica y funcional (art. 42); a efectos organizativos y presupuestarios está adscrita al Ministerio de la Presidencia, Justicia y Relaciones con las Cortes. En su web se presenta con las siglas AIPI. Su Estatuto lo aprobó el Real Decreto 1101/2024, de 29 de octubre; su primer presidente, Manuel Villoria Mendieta, fue nombrado por el Real Decreto 328/2025, de 15 de abril, y la Autoridad está en funcionamiento desde el 1 de septiembre de 2025 (Orden PJC/908/2025, de 8 de agosto). Sus funciones (art. 43): gestionar el canal externo, adoptar medidas de protección del informante, tramitar los procedimientos sancionadores e imponer sanciones, informar las normas de su ámbito y fomentar la cultura de la información.

Cualquier persona puede informar al canal externo directamente o después de usar el canal interno (art. 16). La AIPI es competente cuando la información afecta al sector público estatal o a los órganos constitucionales y, en el sector privado, cuando la infracción produce efectos en más de una comunidad autónoma (art. 24.1); por convenio, también puede actuar como canal externo de una comunidad. Si la infracción de una empresa se circunscribe a una sola comunidad, es competente la autoridad autonómica que exista (art. 24.2): algunas comunidades tienen la suya, como la Oficina Antifraude de Cataluña o la Oficina Andaluza contra el Fraude y la Corrupción, y la AIPI publica la relación.

El canal externo de la AIPI admite comunicaciones por escrito, mensajes de voz, reunión presencial y comunicaciones anónimas. Ante ese canal, el acuse de recibo se envía en un máximo de cinco días hábiles (art. 17.4), la admisión se decide en un máximo de diez días hábiles desde el registro (art. 18.2) y las actuaciones terminan en un máximo de tres meses (art. 20.3). Por eso el canal interno tiene que informar, también, de que existen los externos (art. 7.2).

10¿Qué sanciones prevé la Ley 2/2023?

Sanciona la A.A.I. en el sector público estatal y, en el privado, en todo el territorio salvo que la normativa autonómica haya atribuido esa competencia a su propio órgano; los órganos autonómicos sancionan en su sector público autonómico y local (art. 61). Responden personas físicas y jurídicas (art. 62). Las infracciones se clasifican en tres niveles (art. 63):

• Muy graves (acciones u omisiones dolosas): no disponer del sistema interno de información cuando es obligatorio; adoptar represalias; vulnerar la confidencialidad o el anonimato, o intentar revelar la identidad de un informante anónimo; quebrar el deber de secreto; limitar derechos por contrato u obstaculizar las comunicaciones o su seguimiento; comunicar a sabiendas información falsa; y la reincidencia en graves.
• Graves (sin necesidad de dolo): las mismas conductas de limitación, confidencialidad y secreto cuando no sean muy graves, no adoptar medidas para garantizar la confidencialidad y el secreto, y la reincidencia en leves.
• Leves: que el responsable del sistema remita a la autoridad información incompleta de forma deliberada o fuera de plazo, no colaborar con la investigación y cualquier otro incumplimiento de la ley que no sea grave o muy grave.

Cuantías del artículo 65.1 y prescripción de las infracciones del artículo 64. En las muy graves, la autoridad puede añadir amonestación pública, prohibición de obtener subvenciones u otros beneficios fiscales durante un máximo de cuatro años y prohibición de contratar con el sector público durante un máximo de tres (art. 65.2). Las sanciones muy graves de 600.001 euros o más a personas jurídicas pueden publicarse en el BOE (art. 65.3). Para graduarlas cuentan, entre otros criterios, la reincidencia, el daño, la intencionalidad, el resultado económico del ejercicio anterior, la subsanación por iniciativa propia y la colaboración con la autoridad (art. 66).

11¿Qué relación tiene la Ley 2/2023 con la Directiva (UE) 2019/1937?

La Directiva (UE) 2019/1937 fija normas mínimas comunes para proteger a quien informa de infracciones del Derecho de la Unión. Exige canales internos a las entidades jurídicas privadas de 50 o más trabajadores (art. 8.3), con acuse en siete días y respuesta en un plazo no superior a tres meses (art. 9.1). Los Estados debían transponerla antes del 17 de diciembre de 2021, y antes del 17 de diciembre de 2023 la obligación del canal para las entidades de 50 a 249 trabajadores (art. 26). España lo hizo con la Ley 2/2023, después del plazo general.

La ley española va más allá de la directiva en varios puntos, y en uno se aparta de ella:

• Más materias. Además del Derecho de la Unión, protege a quien informa de infracciones penales y administrativas graves o muy graves del Derecho español (art. 2.1.b).
• Anonimato obligatorio. La directiva deja a cada Estado decidir si se aceptan comunicaciones anónimas (art. 6.2); España obliga a admitirlas (art. 7.3).
• También personas físicas. La directiva habla de entidades jurídicas; la ley española obliga a las personas físicas o jurídicas con 50 o más trabajadores (art. 10.1.a).
• Ampliación del plazo de respuesta. Para los canales internos, la directiva fija un máximo de tres meses sin prórroga (art. 9.1.f); la ley española permite ampliarlo hasta tres meses más en casos de especial complejidad (art. 9.2.d). Un plazo de hasta seis meses, en casos debidamente justificados, la directiva solo lo admite para los canales externos (art. 11.2.d).

12Errores frecuentes al implantar el canal de denuncias

Fallos que conviene evitar, cada uno con el artículo que lo exige:

• Confundir el canal con el sistema. Un formulario o un buzón de correo no basta: la ley pide además responsable, política, procedimiento, libro-registro y garantías (arts. 5.2 y 26).
• Implantarlo sin consultar a la representación legal de los trabajadores. El artículo 5.1 obliga al órgano de administración a consultarla antes de implantarlo.
• No notificar al responsable del sistema, o hacerlo fuera de los diez días hábiles, ni su nombramiento ni su cese (art. 8.3).
• Esconder el acceso. Si la empresa tiene web, la información sobre el canal debe estar en la página de inicio, en una sección separada y fácilmente identificable (art. 25).
• No admitir comunicaciones anónimas, o pedir datos identificativos como requisito para enviar el formulario (art. 7.3).
• Dejar los mensajes al alcance de quien no debe leerlos: buzones compartidos, reenvíos internos o accesos sin registrar. El acceso a los datos está limitado a las personas del artículo 32.1, y quien recibe una comunicación por otra vía debe remitirla de inmediato al responsable del sistema (art. 9.2.g).
• Guardar de más. Conservar comunicaciones sin investigación pasados tres meses, datos innecesarios o categorías especiales de datos, que deben suprimirse de inmediato (art. 32).
• Creer que externalizar traslada la responsabilidad. El tercero gestiona, pero no asume la responsabilidad, que sigue en el responsable del sistema (art. 6.3).
• Mezclarlo todo. El canal puede recibir otras quejas, pero quedan fuera de la protección de la ley (art. 7.4), y las informaciones sobre conflictos interpersonales están excluidas expresamente (art. 35.2.b).

13¿Cómo se implanta el canal de denuncias, paso a paso?

Un orden de trabajo razonable, que puedes recorrer por tu cuenta:

1. 1Confirma si estás obligado y con qué alcance: plantilla, actividad, grupo de sociedades (art. 11) y posibilidad de compartir medios si tienes entre 50 y 249 trabajadores (art. 12).
2. 2Consulta a la representación legal de los trabajadores y decide si el sistema se gestiona dentro o con un tercero externo.
3. 3Designa al responsable del sistema y notifica su nombramiento en diez días hábiles.
4. 4Aprueba la política y el procedimiento de gestión de informaciones en el órgano de administración.
5. 5Pon en marcha el canal: por escrito, verbalmente o de las dos formas, que admita comunicaciones anónimas, con accesos restringidos, registro de actividad y supresión de datos en plazo.
6. 6Publícalo y forma a la plantilla: información en la página de inicio, protocolo para quien reciba una comunicación por otra vía y libro-registro desde el primer día.

En Minery lo abordamos dentro de nuestro servicio de cumplimiento normativo → con el mismo método que el resto de normas: diagnóstico de lo que ya tienes, plan con responsables y fechas, e implantación. Nuestra parte diferencial es la técnica: que el canal sea de verdad confidencial, que los accesos estén limitados y registrados y que los datos se supriman en plazo, porque una brecha de confidencialidad es infracción grave y, si hay dolo, muy grave. Si te llega una comunicación que hay que investigar con garantías, el análisis forense y pericial → preserva la evidencia. Para empezar, cuéntanos tu caso →