Un año después de la entrada en vigor de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción —que transpone la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo—, el panorama de implementación en España muestra avances desiguales. Muchas grandes empresas tienen ya su canal operativo, pero la implementación efectiva en el segmento de 50 a 249 trabajadores —el más numeroso— presenta tasas de cumplimiento insuficientes, con un riesgo sancionador creciente a medida que la Autoridad Independiente de Protección del Informante (A-IPI) consolida sus capacidades supervisoras.
El marco normativo: Ley 2/2023 y Directiva Whistleblowing
La Directiva (UE) 2019/1937, de 23 de octubre de 2019, estableció un estándar mínimo europeo de protección de los informantes de infracciones del derecho de la Unión Europea. España transpuso la Directiva con retraso —el plazo era el 17 de diciembre de 2021— mediante la Ley 2/2023, publicada en el BOE el 21 de febrero de 2023. La ley española va más allá del mínimo de la Directiva en varios aspectos: extiende la protección a informantes de infracciones del derecho nacional (no solo de la UE) y crea una autoridad administrativa independiente específica (la A-IPI) para la supervisión y el apoyo a los informantes.
El ámbito subjetivo de obligación de disponer de canal interno comprende las entidades del sector privado con 50 o más trabajadores, los partidos políticos, los sindicatos y las organizaciones empresariales que reciban financiación pública, y las fundaciones del sector privado. Los ayuntamientos con menos de 10.000 habitantes pueden compartir canal con la diputación provincial.
Requisitos del canal interno: lo que exige la Ley 2/2023
El artículo 5 de la Ley 2/2023 establece los requisitos mínimos del canal de información interno:
Accesibilidad y canales de comunicación. El canal debe permitir presentar informaciones tanto por escrito como verbalmente, y en este último caso el informante puede solicitar una reunión presencial con el responsable del sistema. El canal puede ser gestionado internamente (por el responsable de compliance, la función de auditoría interna o un órgano ad hoc) o externalizado a un tercero de confianza, siempre que se garantice la confidencialidad del informante.
Confidencialidad e identidad del informante. La identidad del informante es estrictamente confidencial. Los datos que puedan identificar al informante solo pueden comunicarse a la autoridad judicial o al Ministerio Fiscal previa solicitud. Las denuncias anónimas deben ser admitidas y tramitadas (aunque la ley no obliga a ello, la A-IPI ha indicado que la no tramitación de denuncias anónimas puede ser indicativa de un sistema de denuncias deficiente).
Acuse de recibo y seguimiento. El responsable del sistema debe remitir acuse de recibo en el plazo de siete días hábiles desde la recepción de la información. En el plazo de tres meses desde el acuse de recibo, debe informar al informante sobre las actuaciones previstas o realizadas como seguimiento de la información.
Responsable del sistema. La ley exige designar a una persona física o unidad como responsable del sistema de información interno. Esta persona debe actuar con independencia funcional, debe poder acceder a toda la información necesaria para gestionar la denuncia y no puede ser sancionada ni perjudicada por el desempeño de sus funciones.
Protección de los informantes. Los informantes que cumplan los requisitos de buena fe y razonabilidad no pueden sufrir represalias de ningún tipo: despido, degradación, modificación de condiciones de trabajo, acoso, exclusión de promociones o cualquier otra medida adversa. La ley establece una presunción de represalia a favor del informante: si en el año siguiente a la presentación de la denuncia el informante sufre una medida adversa, se presume que es una represalia salvo que el empresario acredite lo contrario.
El régimen sancionador: la A-IPI
La Autoridad Independiente de Protección del Informante (A-IPI), prevista en el artículo 25 de la Ley 2/2023, es el organismo encargado de la supervisión del cumplimiento de la ley, la atención a los informantes y la instrucción de los procedimientos sancionadores. Su organización y funcionamiento se regulan en el Real Decreto 1101/2023.
El régimen sancionador de la Ley 2/2023 (artículos 61 a 70) distingue entre infracciones muy graves, graves y leves:
Infracciones muy graves: Vulnerar la confidencialidad del informante, adoptar represalias, obstaculizar la investigación o revelar la identidad del informante. Multa de 601.001 a 1.000.000 de euros para personas jurídicas (300.001 a 600.000 euros para personas físicas).
Infracciones graves: No disponer de canal de información cuando sea obligatorio, no gestionar adecuadamente el canal, no tramitar las informaciones recibidas o no adoptar medidas de seguimiento. Multa de 100.001 a 600.000 euros para personas jurídicas (50.001 a 300.000 euros para personas físicas).
Infracciones leves: Incumplimientos formales del procedimiento de tramitación. Multa de hasta 100.000 euros para personas jurídicas (hasta 50.000 euros para personas físicas).
Balance del primer año: errores frecuentes de implementación
El análisis de los sistemas de canal de denuncias implementados en el primer año revela una serie de errores recurrentes que comprometen tanto la eficacia del canal como su solidez frente a un eventual procedimiento sancionador:
Canal sin acuse de recibo automatizado. El requisito de remitir acuse de recibo en siete días hábiles es uno de los más incumplidos. Los sistemas que no generan automáticamente el acuse de recibo dejan al informante sin confirmación y a la empresa expuesta a la sanción por defecto de procedimiento.
Responsable del sistema sin independencia real. Designar al director de recursos humanos o al responsable legal como gestor del canal plantea un conflicto de interés evidente cuando la denuncia afecta a la dirección. La independencia del responsable debe ser funcional y percibible, no solo formal.
Canal limitado a infracciones del derecho de la UE. Algunos sistemas han sido diseñados exclusivamente para las infracciones del derecho europeo cubiertas por la Directiva, ignorando que la Ley 2/2023 extiende la protección a infracciones del derecho español en materias como contratación pública, prevención del blanqueo de capitales, seguridad laboral, medio ambiente y protección de datos.
Ausencia de política de gestión de las informaciones. La Ley no exige formalmente una política documentada, pero la A-IPI la considera un elemento esencial del sistema. Sin política aprobada por el órgano de gobierno, resulta difícil demostrar en un procedimiento sancionador que el canal funciona con los estándares exigidos.
Falta de formación a los trabajadores. La ley exige que los trabajadores sean informados de la existencia y el funcionamiento del canal. La mera publicación en la intranet no es suficiente; se requiere formación documentada sobre el canal, los derechos del informante y las prohibiciones de represalia.
En BMC nuestro equipo legal puede asesorarle. Conozca nuestros servicios legales.
Marco regulador específico: obligaciones concretas de la Ley 2/2023
La Ley de protección de informantes establece obligaciones detalladas que van más allá de la mera habilitación de un buzón de denuncias.
Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE 21 febrero 2023): El art. 7 establece el ámbito subjetivo de obligación de crear canal interno: empresas del sector privado con 50 o más trabajadores; partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban financiación pública. Para empresas de 50-249 trabajadores, pueden compartir canal con otras empresas del mismo grupo. El art. 8 define el contenido mínimo del canal: recepción de información sobre infracciones, gestión de conflictos de interés, prohibición de represalias. El art. 9 establece la obligación de designar un responsable del sistema con plenas garantías de independencia. El art. 10 regula los plazos: acuse de recibo en 7 días hábiles; resolución en máximo 3 meses (prorrogable a 6 en casos complejos). El art. 36 regula el régimen sancionador: infracciones muy graves (represalias contra informantes, obstaculización de la investigación): multa de 1 M EUR a personas jurídicas; infracciones graves (incumplimiento de la obligación de establecer el canal): multa de hasta 300.000 EUR.
Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (DOUE 26 noviembre 2019): La Ley 2/2023 transpone esta Directiva con ampliaciones al ámbito nacional español. El art. 5 de la Directiva establece los canales y procedimientos mínimos. El art. 9 regula los plazos de respuesta. El art. 10 garantiza la confidencialidad de la identidad del informante. España es uno de los pocos Estados miembros que ha ido más allá del mínimo de la Directiva al extender la protección a informantes de infracciones del Derecho español (no solo del derecho de la UE).
Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) — Interacción con el canal de denuncias: El art. 6 RGPD exige base legitimadora para el tratamiento de datos personales de los informantes y de los denunciados. La base legitimadora más apropiada para el tratamiento de datos en el canal de denuncias es el cumplimiento de una obligación legal (art. 6.1.c) para las empresas obligadas, o el interés legítimo (art. 6.1.f) para las empresas que implementan el canal voluntariamente. El art. 13 RGPD exige informar a los interesados (informantes, denunciados e investigados) sobre el tratamiento de sus datos, con las excepciones previstas para no comprometer la investigación. El art. 5 RGPD (principio de minimización) impone conservar solo los datos necesarios para la investigación.
Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales (BOE 27 mayo 2021): Cuando el canal de denuncias recibe información sobre presuntas infracciones penales (corrupción, blanqueo de capitales, delitos fiscales), los datos tratados en la investigación pueden quedar bajo este régimen especial, que establece mayores garantías para el investigado.
Ejemplo práctico: implementación del canal de denuncias en empresa industrial con 180 trabajadores
Empresa: Metálicas del Ebro, S.A. — fabricación de componentes metálicos, 180 trabajadores, obligada a tener canal de denuncias desde el 1 de diciembre de 2023 (plazo para empresas de 50-249 trabajadores).
Solución implementada con BMC:
| Elemento | Solución adoptada | Coste |
|---|---|---|
| Canal digital | Plataforma SaaS (KPMG Integritas, anonimizada) | 3.600 EUR/año |
| Canal telefónico | Número de atención de la propia empresa + buzón | 0 EUR adicional |
| Responsable del sistema | Director de Cumplimiento (externo, BMC) | Incluido en servicio |
| Política del sistema | Redactada + aprobada por Consejo Administración | 1.200 EUR (único) |
| Protocolo de investigación | Elaborado por BMC + aprobado internamente | 800 EUR (único) |
| Formación a trabajadores | Sesión de 2 horas + píldora formativa online | 600 EUR (único) |
| Registro de actividades (RGPD) | Cláusula canal denuncias añadida al RAT | Incluido |
| Total implantación | 6.200 EUR (año 1) |
Tipología de denuncias recibidas en 12 meses de funcionamiento:
- 4 denuncias sobre incumplimientos laborales (registro de jornada, horas extra no pagadas)
- 2 denuncias sobre posible apropiación de materiales por parte de empleados
- 1 denuncia sobre irregularidades en el proceso de licitación de un proveedor
- 3 consultas (no denuncias formales) sobre conflictos interpersonales
De las 7 denuncias formales, 5 se investigaron y 4 resultaron en acciones correctivas. La empresa evitó una sanción potencial por incumplimiento de registro de jornada (LISOS art. 7.5) al detectarlo internamente antes de una inspección.
Errores comunes en la implementación del canal de denuncias
Error 1 — Implementar el canal sin aprobar la política del sistema por el órgano de gobierno: La Autoridad Independiente de Protección del Informante (A-IPI) ha establecido que el canal de denuncias debe estar respaldado por una política formal aprobada por el Consejo de Administración o el órgano de gobierno equivalente. Sin esta aprobación formal, el canal no tiene la legitimidad interna necesaria para que los empleados confíen en él.
Error 2 — No garantizar la confidencialidad de la identidad del informante: El art. 10 Ley 2/2023 garantiza que la identidad del informante no se revelará a personas distintas del responsable del sistema autorizado a recibir denuncias, salvo que el informante consientan expresamente o sea estrictamente necesario para la investigación judicial. Las plataformas que revelan la identidad del informante al departamento investigado o a la dirección de la empresa violan la norma y exponen a la empresa a sanción.
Error 3 — Designar al Responsable del Sistema sin independencia efectiva: El art. 9 Ley 2/2023 exige que el responsable del sistema actúe con plena independencia. Designar al director de RRHH o al director legal sin mecanismos de escalada independientes cuando la denuncia afecta a la dirección o a los departamentos que supervisan al responsable del sistema es un error estructural frecuente. La externalización del responsable del sistema a un tercero independiente (como BMC) resuelve este conflicto.
Error 4 — No informar a los trabajadores sobre el canal y sus garantías: El art. 7.5 Ley 2/2023 exige que la empresa informe a los trabajadores, en condiciones accesibles y comprensibles, sobre el canal de denuncias, el procedimiento de investigación y las garantías de no represalia. La publicación en la intranet es necesaria pero no suficiente; la formación activa y documentada garantiza que los trabajadores conocen y confían en el sistema.
Error 5 — No establecer el plazo máximo de resolución: El art. 10 Ley 2/2023 establece un plazo máximo de 3 meses (prorrogable a 6 en casos complejos) para comunicar al informante el resultado de la investigación. Muchas empresas investigan sin comunicar el resultado al informante, lo que incumple la obligación de retroalimentación y genera desconfianza en el sistema.
Próximos pasos para implementar el canal de denuncias conforme a la Ley 2/2023
- Verificar la obligatoriedad y el plazo: comprobar si la empresa supera los 50 trabajadores; las empresas de 50-249 trabajadores podían agruparse en un canal compartido hasta el 1 de diciembre de 2023; si aún no tienen canal, están incurriendo en infracción grave (multa hasta 300.000 EUR, Ley 2/2023 art. 36).
- Seleccionar la plataforma tecnológica: evaluar plataformas SaaS certificadas que garanticen el anonimato del informante (protocolo de anonimización técnica, no solo confidencialidad política), con canal web + canal telefónico opcional para trabajadores sin acceso a internet.
- Redactar y aprobar la política del sistema: elaborar el documento de política del canal de denuncias con: ámbito, tipología de infracciones cubiertas (derecho de la UE + derecho español según art. 2 Ley 2/2023), garantías al informante, procedimiento de investigación y consecuencias del uso malicioso del canal.
- Designar al responsable del sistema con independencia real: si no hay persona interna con la independencia necesaria, externalizar la función a un tercero; el responsable debe tener acceso directo al órgano de gobierno sin depender de la dirección ejecutiva.
- Formar a toda la plantilla y documentar la formación: realizar al menos una sesión anual de formación sobre el canal, con registro de asistencia; incluir información sobre el canal en el proceso de onboarding de nuevos empleados.
En BMC ofrecemos servicios integrales de implementación del canal de denuncias: plataforma tecnológica, responsable del sistema externo, formación a trabajadores y gestión de las investigaciones. Consulte nuestros servicios de compliance y canal de denuncias.
