Resumen en 30 segundos
- Si tu empresa tiene 50 o más trabajadores, debe contar con un sistema interno de información (el “canal de denuncias”) desde el 1 de diciembre de 2023 (13 de junio de 2023 si tiene 250 o más). Lo exige la Ley 2/2023, de 20 de febrero, que traspone la Directiva (UE) 2019/1937.
- También están obligadas, con cualquier plantilla, las entidades financieras, de blanqueo, seguridad del transporte y medio ambiente, los partidos, sindicatos y patronales con fondos públicos y todo el sector público.
- El canal debe admitir comunicaciones por escrito y verbales, incluso anónimas, enviar acuse en 7 días y responder en 3 meses (ampliables a 6). Necesita un Responsable del Sistema notificado a la Autoridad Independiente de Protección del Informante (AIPI) o a la autoridad autonómica, una política, un procedimiento y un libro-registro.
- No tenerlo es infracción muy grave: multa de 600.001 a 1.000.000 € para personas jurídicas (arts. 63.1.g y 65). Las represalias contra quien informa también lo son.
- Las pymes de 50 a 249 trabajadores pueden externalizar la gestión o compartir el canal con otras empresas.
¿Qué es el sistema interno de información?
Es el conjunto de canales, procedimientos y garantías que una organización pone para que sus trabajadores y colaboradores avisen, de forma segura, de infracciones graves conocidas en el trabajo. La ley no dice “canal de denuncias” ni “canal ético”: llama sistema interno de información al conjunto y canal interno de información a la vía concreta (buzón web, teléfono, correo postal) por la que entra el aviso (arts. 5 y 7 de la Ley 2/2023). Quien avisa es la persona informante; a quien se señala, la persona afectada.
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción entró en vigor el 13 de marzo de 2023 (disp. final 12.ª) y traspone la Directiva (UE) 2019/1937. El sistema interno es el cauce preferente (art. 4): la empresa debe ser la primera en enterarse y corregir. Pero el informante puede acudir directamente al canal externo de la AIPI o de su comunidad autónoma (art. 16).
¿Qué empresas están obligadas?
El art. 10 de la Ley 2/2023 fija tres grupos en el sector privado y el art. 13 añade todo el sector público.
| Quién | ¿Obligado? | Base legal |
|---|---|---|
| Personas físicas o jurídicas privadas con 50 o más trabajadores | Sí | Art. 10.1.a |
| Entidades de servicios, productos y mercados financieros, prevención del blanqueo, seguridad del transporte y protección del medio ambiente sujetas a normativa de la UE | Sí, con cualquier plantilla | Art. 10.1.b (rige su normativa sectorial y, en lo no previsto, la Ley 2/2023) |
| Sucursales o agentes en España de empresas extranjeras de esos sectores | Sí | Art. 10.1.b, párrafo segundo |
| Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, si reciben o gestionan fondos públicos | Sí, con cualquier plantilla | Art. 10.1.c |
| Administraciones, organismos públicos, universidades públicas, corporaciones de Derecho público, fundaciones y sociedades del sector público | Sí | Art. 13 |
| Empresas privadas con menos de 50 trabajadores fuera de los sectores anteriores | No, pero pueden crearlo | Art. 10.2: si lo crean voluntariamente, deben cumplir todos los requisitos de la ley |
La ley no dice cómo contar los 50 trabajadores ni distingue por tipo de contrato de trabajo: la lectura prudente es contar a toda la plantilla, también temporales y a tiempo parcial. El umbral se aplica por cada persona jurídica: una sociedad limitada de 40 trabajadores no está obligada aunque pertenezca a un grupo de 300, pero el grupo puede montar un único sistema para todas (art. 11). La AIPI añade que alcanza a quienes tienen “presencia organizativa o establecimiento efectivo en España” (AIPI, Sistema Interno de Información).
¿Tu entidad tiene 50 o más trabajadores?
- SíObligada desde el 1-12-2023 (13-6-2023 si son 250 o más)Art. 10.1.a y disp. trans. 2.ª. Entre 50 y 249 puedes compartir o externalizar el canal (arts. 6 y 12).
- No, pero es financiera, de blanqueo, transporte o medio ambienteObligada con cualquier plantillaArt. 10.1.b. Se aplica primero su normativa sectorial (p. ej. art. 26 bis de la Ley 10/2010).
- No, pero es partido, sindicato, patronal o fundación suya con fondos públicosObligada con cualquier plantillaArt. 10.1.c.
- No, y es una empresa privada corrienteNo obligadaPuedes crearlo voluntariamente (art. 10.2), pero entonces con todos los requisitos legales.
Fuente: arts. 10 a 13 y disp. trans. 2.ª de la Ley 2/2023.
¿Qué plazo había y qué pasa si aún no lo tengo?
Los plazos de la disposición transitoria 2.ª están todos vencidos:
| Entidad | Fecha límite |
|---|---|
| Empresas de 250 o más trabajadores y sector público en general | 13 de junio de 2023 (tres meses desde la entrada en vigor) |
| Empresas de 50 a 249 trabajadores y municipios de menos de 10.000 habitantes | 1 de diciembre de 2023 |
Quien todavía no tiene el sistema incurre en la infracción muy grave del art. 63.1.g. La infracción es continuada: la prescripción de tres años (art. 64) no empieza hasta que dejas de incumplir. En 2023 y 2024 la sanción era casi teórica porque no existía quien la impusiera. Ya no: la AIPI funciona desde el 1 de septiembre de 2025 (Orden PJC/908/2025) con departamento sancionador propio.
¿Qué debe tener el canal?
Los requisitos están en los arts. 5 a 9 (sistema, tercero externo, canal, responsable, procedimiento) y en el art. 26 (registro):
| Requisito | Qué exige la ley | Artículo |
|---|---|---|
| Aprobación por el órgano de administración | El administrador o consejo implanta el sistema, previa consulta con los representantes de los trabajadores, y es responsable del tratamiento de datos | 5.1 |
| Forma de comunicar | Por escrito (correo postal o medio electrónico) y/o verbalmente (teléfono o buzón de voz). Reunión presencial si la pide el informante, en un máximo de 7 días | 7.2 |
| Anonimato | El canal debe permitir presentar y tramitar comunicaciones anónimas | 7.3 |
| Confidencialidad | Identidad del informante y de terceros protegida; acceso solo a personal autorizado | 5.2.b y 33 |
| Información sobre canales externos | Al informante se le explica que puede acudir a la AIPI o a la autoridad autonómica | 7.2 y 9.2.b |
| Responsable del Sistema | Persona física (o un miembro de un órgano colegiado) designada por el órgano de administración; directivo independiente; nombramiento y cese notificados en 10 días hábiles a la AIPI o autonómica | 8 |
| Política o estrategia | Documento con los principios del sistema y de defensa del informante, publicitado dentro de la entidad | 5.2.h |
| Procedimiento de gestión | Aprobado por el órgano de administración: acuse, plazos, audiencia a la persona afectada, remisión a la Fiscalía si hay indicios de delito | 9 |
| Acuse de recibo | En 7 días naturales desde la recepción, salvo riesgo para la confidencialidad | 9.2.c |
| Plazo de respuesta | 3 meses desde la recepción; en casos de especial complejidad, 3 meses más | 9.2.d |
| Derechos de la persona afectada | Ser informada de los hechos que se le atribuyen y ser oída; presunción de inocencia y honor | 9.2.f y h |
| Libro-registro | Registro no público de las informaciones recibidas y de las investigaciones; datos personales como máximo 10 años | 26 |
| Integración de canales | Si tienes varios canales (ético, blanqueo, acoso…), todos se integran en el sistema | 5.2.d y 7.1 |
La ley no impone una tecnología: vale un buzón web cifrado, un teléfono con buzón de voz o una dirección postal, si se cumplen las garantías. No vale un correo genérico que leen varias personas: rompe el acceso restringido del art. 32.
El Responsable del Sistema
Lo nombra el órgano de administración, actúa con independencia y no recibe instrucciones (art. 8.4). En el sector privado debe ser un directivo; si el tamaño de la empresa no lo permite, una persona puede compatibilizarlo con su puesto, evitando conflictos de interés (art. 8.5). Si ya tienes un compliance officer, puede ser él (art. 8.6).
Su nombramiento y cese se notifican en 10 días hábiles (art. 8.3). Según la propia AIPI, a la AIPI (formulario en su sede electrónica) si la empresa tiene establecimientos en más de una comunidad autónoma o solo en una sin autoridad autonómica; y a la autoridad autonómica si opera solo en una comunidad que la tiene (tabla más abajo). Cataluña, la Comunitat Valenciana y Andalucía tienen registros propios (Antifrau, AVAF, OAAF). Los responsables nombrados antes de que la AIPI echara a andar debían notificarse antes del 1 de noviembre de 2025 (disp. trans. única del RD 1101/2024). Si no lo hiciste, hazlo ahora.
¿Qué se puede comunicar por el canal?
No sirve para cualquier queja. El art. 2 protege a quien informa de:
- Infracciones del Derecho de la Unión Europea en las materias del anexo de la Directiva (contratación pública, servicios financieros, blanqueo, seguridad de productos y transporte, medio ambiente, protección de datos, consumidores…), las que afectan a los intereses financieros de la UE y las del mercado interior, incluidas competencia, ayudas de Estado e Impuesto sobre Sociedades.
- Infracciones penales y administrativas graves o muy graves, siempre incluidas las que perjudican a la Hacienda Pública o a la Seguridad Social.
Quedan fuera los conflictos interpersonales, las quejas que solo afectan al informante, los rumores y lo ya público (art. 35.2). Pueden informar trabajadores, autónomos que colaboran con la empresa, socios y administradores, personal de contratistas y proveedores, becarios, extrabajadores y hasta candidatos que conocieron los hechos en la selección (art. 3).
¿Cómo se tramita una comunicación? Plazos
- Día 0RecepciónEntra por escrito o verbalmente (grabación o transcripción con consentimiento). Se anota en el libro-registro. Arts. 7 y 26.
- Hasta 7 días naturalesAcuse de reciboSalvo que ponga en peligro la confidencialidad. Art. 9.2.c.
- Hasta 7 díasReunión presencialSolo si la pide el informante. Art. 7.2.
- Hasta 3 mesesInvestigación y respuestaCon audiencia a la persona afectada y presunción de inocencia. Si hay indicios de delito, remisión inmediata a la Fiscalía. Art. 9.2.d, f y j.
- Hasta 3 meses másAmpliación excepcionalSolo en casos de especial complejidad. Art. 9.2.d.
- A los 3 meses sin investigarSupresión de datosSi no se abren actuaciones, los datos personales se borran; las comunicaciones no tramitadas solo constan anonimizadas. Art. 32.4.
- Máximo 10 añosLibro-registroConservación máxima de los datos personales del registro de informaciones e investigaciones. Art. 26.2.
Fuente: arts. 7, 9, 26 y 32 de la Ley 2/2023.
Si los hechos parecen delito, el procedimiento debe prever la remisión inmediata al Ministerio Fiscal (o a la Fiscalía Europea si afectan a fondos de la UE) (art. 9.2.j). La investigación interna no sustituye a la penal.
Protección de datos en el canal
El canal trata datos muy sensibles: quién denuncia, a quién y por qué. El título VI (arts. 29 a 34) añade reglas propias al RGPD y a la normativa de protección de datos:
- Base jurídica: obligación legal cuando el canal es obligatorio (art. 30.2). No hace falta consentimiento.
- Acceso limitado (art. 32.1) al Responsable del Sistema y quien lo gestione, a recursos humanos solo si procede sancionar, a los servicios jurídicos, a los encargados del tratamiento y al delegado de protección de datos.
- Datos innecesarios: se suprimen; los de categorías especiales (salud, ideología…) ni siquiera se registran (art. 32.2).
- Conservación: a los tres meses sin actuaciones, supresión (art. 32.4). El libro-registro nunca supera los diez años (art. 26.2).
- Identidad del informante: la persona afectada nunca la conoce (arts. 31.2 y 33). Solo se comunica a un juez, al fiscal o a la autoridad administrativa en una investigación.
El art. 24 de la LOPDGDD, que regulaba estos sistemas desde 2018, fue reescrito por la disp. final 7.ª de la Ley 2/2023 y ahora remite a ella. La guía de la AEPD La protección de datos en las relaciones laborales (2021, apartado 4.7) sigue siendo útil para las medidas concretas: limitar usuarios, registrar accesos y firmar compromisos reforzados de confidencialidad. Si externalizas la gestión, el proveedor es encargado del tratamiento y necesitas el contrato del art. 28.3 del RGPD (art. 6.4).
¿Qué protección tiene quien informa?
La ley protege a quien tenga motivos razonables para creer que la información es cierta y la comunique por los cauces previstos, aunque no aporte pruebas concluyentes (art. 35):
- Prohibición de represalias (art. 36), incluidas amenazas y tentativas: despido, suspensión, no renovación de un contrato temporal, sanciones, degradaciones, modificaciones sustanciales, acoso, referencias negativas, listas negras o denegación de formación. Solo se salva la medida que responda al poder de dirección ordinario por causas acreditadas y ajenas a la comunicación.
- Duración: al menos dos años; después, el informante puede pedir a la autoridad que la extienda (art. 36.4).
- Inversión de la carga de la prueba (art. 38.4): acreditados la comunicación y el perjuicio, se presume represalia y la empresa debe probar el motivo ajeno.
- Exención de responsabilidad por revelar la información o por haber accedido a ella, salvo que el acceso sea delito (art. 38.1 y 2).
- Medidas de apoyo (art. 37): asesoramiento gratuito, certificado de persona protegida y, excepcionalmente, apoyo financiero y psicológico.
También están protegidos compañeros o familiares que puedan sufrir represalias, quien ayuda al informante y los representantes de los trabajadores que le asesoran (art. 3.3 y 3.4).
El canal externo: la AIPI y las autoridades autonómicas
Cualquier persona puede informar directamente a la Autoridad Independiente de Protección del Informante, A.A.I. (ella misma se llama AIPI) o a la autoridad de su comunidad (art. 16). Funciona desde el 1 de septiembre de 2025 (Orden PJC/908/2025), con estatuto del Real Decreto 1101/2024 y web en proteccioninformante.gob.es. Su canal externo admite escritos, mensajes de voz y reunión presencial (AIPI, Cómo informar), con acuse en 5 días hábiles (art. 17.4) y admisión en 10 días hábiles (art. 18.2).
La AIPI es competente para el sector público estatal y para las empresas privadas cuando la infracción afecta a más de una comunidad autónoma; las autoridades autonómicas, para su sector público y para las empresas cuyo incumplimiento se limita a su territorio (art. 24). A 24 de septiembre de 2026, la tabla oficial de la AIPI recoge estas autoridades:
| Comunidad autónoma | Autoridad | Estado según la AIPI |
|---|---|---|
| Cataluña | Oficina Antifraude de Cataluña (OAC), Ley 14/2008 | Operativa; registro propio de responsables |
| Comunitat Valenciana | Agencia Valenciana Antifraude (AVAF), Ley 11/2016 | Operativa; registro propio (Resolución 406/2025) |
| Andalucía | Oficina Andaluza contra el Fraude y la Corrupción (OAAF), Ley 2/2021 | Operativa; registro propio de responsables |
| Galicia | Autoridad Gallega de Protección de la Persona Informante (AGPI), Ley 1/2016 | Operativa |
| Castilla-La Mancha | Consejo Regional de Transparencia y Buen Gobierno (CRT), Ley 4/2016 | Operativa |
| Navarra | Oficina de Buenas Prácticas y Anticorrupción (OANA), Ley Foral 7/2018 | Operativa |
| Comunidad de Madrid | Consejo de Transparencia y Protección de Datos (CTPD), Ley 10/2019 | Operativa |
| Castilla y León | Autoridad Independiente en materia de corrupción de Castilla y León (AICCyL), Ley 4/2024 | Operativa |
| País Vasco | Autoridad Vasca de Transparencia (Gardena), Ley 3/2026 | Designada, aún no en funcionamiento |
| Asturias | Consejo de Transparencia y Buen Gobierno del Principado | Designado, aún no ejerce estas competencias |
Aragón, Baleares, Canarias, Cantabria, Extremadura, Región de Murcia, La Rioja, Ceuta y Melilla no tienen autoridad operativa: sus empresas se relacionan con la AIPI (AIPI, Notificación del RSII). Todas las autoridades se reúnen periódicamente para coordinar criterios (OAAF, 23-9-2026).
¿Qué sanciones hay?
El título IX (arts. 60 a 68) regula infracciones y multas. Las impone la AIPI o la autoridad autonómica en su ámbito.
| Gravedad | Ejemplos de infracción (art. 63) | Multa a persona física (art. 65.1.a) | Multa a persona jurídica (art. 65.1.b) | Prescripción (art. 64) |
|---|---|---|---|---|
| Muy grave | No tener sistema interno; represalias; revelar la identidad de un informante anónimo; obstaculizar dolosamente una comunicación; comunicar hechos a sabiendas de su falsedad | 30.001 a 300.000 € | 600.001 a 1.000.000 € | 3 años |
| Grave | Limitar derechos u obstaculizar sin dolo; vulnerar confidencialidad o secreto cuando no es muy grave; no adoptar medidas de confidencialidad; reincidencia en leves | 10.001 a 30.000 € | 100.001 a 600.000 € | 2 años |
| Leve | Enviar información incompleta o tardía a la autoridad; no colaborar con la investigación; cualquier otro incumplimiento de la ley | 1.001 a 10.000 € | Hasta 100.000 € | 6 meses |
En las muy graves la autoridad puede añadir (art. 65.2) amonestación pública, prohibición de subvenciones y beneficios fiscales hasta cuatro años y prohibición de contratar con el sector público hasta tres años. Las multas a personas jurídicas de 600.001 € o más pueden publicarse en el BOE (art. 65.3).
Relación con el compliance penal, el blanqueo y la protección de datos
El canal encaja con tres obligaciones que quizá ya tengas:
- Compliance penal (art. 31 bis del Código Penal). Para que una empresa quede exenta de responsabilidad penal por delitos de sus empleados, su modelo de prevención debe imponer “la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar” el modelo (art. 31 bis.5.4.º). El canal de la Ley 2/2023 cumple ese requisito si lo integras en el modelo.
- Prevención del blanqueo (art. 26 bis de la Ley 10/2010). Los sujetos obligados (bancos, inmobiliarias, asesores fiscales, notarios, joyeros…) deben tener un procedimiento interno para comunicar, incluso anónimamente, incumplimientos de esa ley. Puede integrarse en el canal general.
- Protección de datos: un fallo de seguridad en el canal es a la vez infracción de la Ley 2/2023 y posible brecha de datos ante la AEPD.
El mismo sistema puede servir para las tres cosas (art. 5.2.d), siempre que el procedimiento distinga qué comunicaciones entran en el ámbito protegido del art. 2.
Cómo implantarlo en una pyme
- Decide y consultaAcuerdo del órgano de administración; consulta previa a los representantes de los trabajadores (art. 5.1)
- Elige el modeloGestión interna, externalizada (art. 6) o compartida con otras empresas de 50 a 249 (art. 12)
- Nombra al responsableDirectivo independiente o persona que compatibiliza (art. 8.5). Notifícalo en 10 días hábiles a la AIPI o autoridad autonómica
- Aprueba política y procedimientoPrincipios, canales, plazos de 7 días y 3 meses, audiencia, remisión a Fiscalía (arts. 5.2.h y 9)
- Habilita el canalEscrito y/o verbal, anónimo, con acceso restringido; información sobre canales externos (art. 7)
- Protección de datosRegistro de actividades, contrato de encargado si externalizas, información a la plantilla (arts. 6.4 y 32.5)
- Publica y formaPolítica visible en intranet o web; formación a quien pueda recibir comunicaciones (art. 9.2.g)
- Registra y revisaLibro-registro (art. 26); revisión periódica del funcionamiento
Fuente: arts. 5 a 9, 12, 26 y 32 de la Ley 2/2023.
¿Externalizar o gestionarlo dentro? La ley permite ambas fórmulas y no fija precios: lo que cuesta depende de lo que contrates, así que compara ofertas y desconfía de cualquier cifra “media”. Si estás a punto de pasar de 49 a 50 empleados, súmalo al coste de contratar.
| Aspecto | Gestión interna | Gestión externalizada (art. 6) |
|---|---|---|
| Qué pagas | Horas del responsable y de quien tramita, herramienta de buzón seguro, asesoría para la política | Cuota periódica de la plataforma o despacho que recibe las comunicaciones, herramienta incluida |
| Independencia | Más difícil de demostrar en una pyme donde todos se conocen | Más fácil: el primer receptor está fuera de la empresa |
| Protección de datos | Responsable del tratamiento eres tú; acceso restringido que debes garantizar | El proveedor es encargado del tratamiento: contrato del art. 28.3 RGPD obligatorio |
| Qué no cambia | Responsable del Sistema, política, procedimiento, registro y responsabilidad ante la autoridad | Lo mismo: externalizar la recepción no externaliza la responsabilidad (art. 6.3) |
Ojo con esto
- “Somos 48, no nos afecta.” La ley no excluye a temporales ni a tiempo parcial. Si superas los 50 con la temporada, nace la obligación. Y en sectores financieros o de blanqueo da igual la plantilla.
- Canal sin anonimato. Un formulario que exige nombre y DNI incumple el art. 7.3.
- Correo genérico de RR. HH. Rompe el acceso restringido del art. 32.1. El primer receptor debe ser el responsable o quien él designe.
- Responsable nombrado y no notificado. El art. 8.3 da 10 días hábiles; los anteriores a septiembre de 2025 debían notificarse antes del 1 de noviembre de 2025.
- Callar los canales externos. Hay que informar al informante de que puede acudir a la AIPI o a su autoridad autonómica (arts. 7.2 y 9.2.b).
- Conservar todo para siempre. A los tres meses sin actuaciones, los datos se borran; el registro no pasa de diez años.
- Confundir Inspección de Trabajo con AIPI. La Inspección de Trabajo vigila el registro de jornada o los contratos, no el canal: la falta de canal la sancionan la AIPI o la autoridad autonómica. Pero un despido como represalia sí acaba en el juzgado de lo social.
Ejemplo práctico
Caso 1: pyme valenciana de 60 trabajadores. Una sociedad limitada de Alicante con 60 empleados contrata en 2026 una plataforma externa. El administrador único aprueba en acta el sistema, la política y el procedimiento, y nombra Responsable del Sistema a la directora financiera, que compatibiliza el cargo (art. 8.5). Como solo tiene centro de trabajo en la Comunitat Valenciana, notifica el nombramiento a la AVAF en 10 días hábiles. El 10 de marzo de 2026 entra una comunicación anónima sobre facturas duplicadas a un cliente público; la plataforma acusa recibo el 12 de marzo. La directora investiga, oye al jefe de ventas afectado y cierra el expediente el 28 de mayo, antes del 10 de junio (3 meses). Como aprecia indicios de delito, lo remite a la Fiscalía (art. 9.2.j) y lo anota en el libro-registro.
Caso 2: empresa de 80 trabajadores sin canal. Una empresa de logística de Zaragoza nunca implantó el canal. Un trabajador informa en 2026 a la AIPI (Aragón no tiene autoridad operativa) de vertidos ilegales y de la falta de canal. La AIPI abre expediente por infracción muy grave del art. 63.1.g: multa de 600.001 a 1.000.000 € y posible prohibición de contratar con el sector público hasta tres años. Si además la empresa despide al trabajador, suma otra infracción muy grave (art. 63.1.b) y el despido se presume represalia.
Caso 3: grupo de tres sociedades. Matriz de 30 trabajadores y filiales de 45 y 120. Solo la de 120 supera el umbral, pero la matriz aprueba una política de grupo y un único sistema con un solo Responsable del Sistema para las tres (art. 11): una herramienta y cobertura también para las dos pequeñas.
Fuentes oficiales
- Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE, texto consolidado) (consultado el 24 de septiembre de 2026)
- Real Decreto 1101/2024, de 29 de octubre, Estatuto de la Autoridad Independiente de Protección del Informante, A.A.I. (BOE, texto consolidado) (consultado el 24 de septiembre de 2026)
- Orden PJC/908/2025, de 8 de agosto, fecha de puesta en funcionamiento de la A.A.I. (BOE) (consultado el 24 de septiembre de 2026)
- Ley Orgánica 3/2018 (LOPDGDD), art. 24 (BOE) (consultado el 24 de septiembre de 2026)
- Ley Orgánica 10/1995, del Código Penal, art. 31 bis (BOE) (consultado el 24 de septiembre de 2026)
- Ley 10/2010, de prevención del blanqueo de capitales, art. 26 bis (BOE) (consultado el 24 de septiembre de 2026)
- Directiva (UE) 2019/1937 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (EUR-Lex) (consultado el 24 de septiembre de 2026)
- AIPI: Cuándo actuamos (competencias y autoridades autonómicas), Notificación del RSII y Cómo informar (consultados el 24 de septiembre de 2026)
- Oficina Antifraude de Cataluña: Registro de responsables del sistema interno de información (consultado el 24 de septiembre de 2026)
- Agencia Valenciana Antifraude: Registro de responsables del sistema interno de información (julio de 2025) (consultado el 24 de septiembre de 2026)
- Oficina Andaluza contra el Fraude y la Corrupción: reunión de cooperación entre autoridades de protección del informante (23-9-2026) (consultado el 24 de septiembre de 2026)
- AEPD: La protección de datos en las relaciones laborales (2021), apartado 4.7 (consultado el 24 de septiembre de 2026)
Preguntas frecuentes
¿Qué empresas están obligadas a tener canal de denuncias en 2026?
Las personas físicas o jurídicas del sector privado con 50 o más trabajadores (art. 10.1.a de la Ley 2/2023). Con independencia de la plantilla, también las entidades de servicios financieros, prevención del blanqueo, seguridad del transporte y medio ambiente sujetas a normativa europea específica; los partidos, sindicatos, organizaciones empresariales y sus fundaciones si reciben o gestionan fondos públicos; y todo el sector público. Las demás pueden crearlo voluntariamente, pero entonces deben cumplir los mismos requisitos.
¿Cuál es el plazo para implantar el canal? ¿Ya ha vencido?
Sí, todos los plazos han vencido. Las empresas de 250 o más trabajadores y el sector público tenían hasta el 13 de junio de 2023 (tres meses desde la entrada en vigor). Las de 50 a 249 trabajadores y los municipios de menos de 10.000 habitantes, hasta el 1 de diciembre de 2023 (disp. trans. 2.ª). Quien todavía no lo tiene está cometiendo una infracción muy grave desde esas fechas.
¿Cuánto cuesta la multa por no tener canal de denuncias?
No disponer del sistema interno de información es infracción muy grave (art. 63.1.g). Para una persona jurídica la multa va de 600.001 a 1.000.000 de euros; para una persona física, de 30.001 a 300.000 euros (art. 65.1). Además pueden añadirse amonestación pública, prohibición de recibir subvenciones o beneficios fiscales hasta cuatro años y prohibición de contratar con el sector público hasta tres años.
¿Puede una pyme externalizar el canal de denuncias?
Sí. El art. 6 permite que un tercero externo gestione el sistema (la recepción de las comunicaciones), siempre que garantice independencia, confidencialidad, protección de datos y secreto. El tercero es encargado del tratamiento y hace falta un contrato del art. 28.3 del RGPD. Lo que no se puede externalizar es la responsabilidad: el Responsable del Sistema sigue siendo una persona de la empresa designada por el órgano de administración.
¿Las empresas de 50 a 249 trabajadores pueden compartir el canal?
Sí. El art. 12 permite a las personas jurídicas privadas de entre 50 y 249 trabajadores compartir el sistema interno de información y los medios de gestión, tanto si lo lleva una de ellas como si está externalizado, respetando todas las garantías de la ley. Los grupos de sociedades pueden tener un único sistema para todo el grupo (art. 11).
¿El canal de denuncias tiene que admitir denuncias anónimas?
Sí. El art. 7.3 obliga a que los canales internos permitan presentar y tramitar comunicaciones anónimas. Además, si el informante se identifica, su identidad es confidencial: solo puede comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa en una investigación penal, disciplinaria o sancionadora (art. 33.3). Revelarla es infracción muy grave.
¿A quién hay que comunicar el nombramiento del Responsable del Sistema?
A la Autoridad Independiente de Protección del Informante (AIPI) o a la autoridad autonómica competente, en los diez días hábiles siguientes al nombramiento o al cese (art. 8.3). Según la AIPI, las empresas con establecimientos en más de una comunidad autónoma, o en una comunidad sin autoridad propia, notifican a la AIPI; las que operan solo en Cataluña, Comunitat Valenciana, Andalucía, Galicia, Castilla-La Mancha, Navarra, Madrid o Castilla y León notifican a su autoridad autonómica.
¿Qué protección tiene el trabajador que denuncia?
Prohibición expresa de represalias (despido, no renovación, sanciones, degradación, acoso, listas negras, evaluaciones negativas...) mientras informe con motivos razonables de que los hechos son ciertos (arts. 35 y 36). Si sufre un perjuicio, se presume que es represalia y es la empresa quien debe probar lo contrario (art. 38.4). La protección se prolonga al menos dos años, ampliables por la autoridad, e incluye asesoramiento gratuito y, excepcionalmente, apoyo financiero y psicológico (art. 37).
Historial de cambios
- 2026-09-24: publicación inicial. Normas de referencia: Ley 2/2023 (sin modificaciones en su texto desde su publicación), RD 1101/2024 (modificado por el RD 102/2025), Orden PJC/908/2025 (AIPI operativa desde el 1-9-2025), LOPDGDD art. 24, Código Penal art. 31 bis, Ley 10/2010 art. 26 bis. Tabla de autoridades autonómicas según la web de la AIPI a esta fecha.