La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone de forma definitiva la Directiva Europea (UE) 2019/1937 (Whistleblowing) al ordenamiento jurídico español. En virtud de esta normativa, toda organización pública o privada que cuente con 50 o más empleados tiene la obligación legal de implantar y gestionar un sistema interno de información (Canal de Denuncias) que garantice un entorno confidencial, seguro, independiente y totalmente accesible para sus trabajadores, colaboradores y terceros.
El incumplimiento de esta obligación no solo expone a las organizaciones a sanciones económicas graves que pueden alcanzar hasta 1.000.000 €, sino también a la prohibición de contratar con el sector público y a un severo daño en su reputación corporativa.
Para evitar cualquier riesgo, en Adapta RGPD ofrecemos un servicio integral mediante el cual implantamos tu canal interno en menos de 72 horas. Nuestra solución se integra directamente en la plataforma SIGNA360, proporcionándote un software intuitivo y conforme a la normativa, acompañado de toda la documentación legal personalizada, la política del sistema, los protocolos de gestión de denuncias y el asesoramiento experto de nuestro equipo técnico y legal para asegurar el cumplimiento continuo y la máxima tranquilidad para tu empresa.
La Ley 2/2023 obliga a todas las empresas privadas con 50 o más empleados. También están obligadas con independencia de su tamaño: todas las entidades del sector público, las entidades financieras (banca, seguros, valores, pensiones), los partidos políticos, sindicatos y fundaciones con financiación pública, y las empresas en sectores de riesgo de blanqueo de capitales.
Tres plazos clave: (1) 7 días hábiles para acusar recibo de la denuncia al informante, (2) 3 meses para comunicar las actuaciones adoptadas, ampliables a 6 meses en casos complejos, y (3) conservación de los datos durante un máximo de 3 años, conforme al principio de limitación del plazo de conservación del RGPD.
Sí. La Ley 2/2023 permite las denuncias anónimas y el canal debe garantizar la confidencialidad de la identidad del informante en todos los casos. Nuestro módulo implementa cifrado extremo a extremo, no registra direcciones IP y permite comunicación bidireccional anónima entre el informante y el responsable del canal, sin revelar la identidad del primero.
El régimen sancionador de la Ley 2/2023 tipifica como infracción muy grave no disponer del canal. Las multas llegan hasta 1.000.000 € para personas jurídicas (500.000 € para físicas). Además, adoptar represalias contra informantes u obstruir denuncias tiene sanciones específicas y acumulables. La autoridad supervisora es la A.A.I. (Autoridad de Protección del Informante).
El canal implica tratamiento de datos personales y debe cumplir RGPD y LOPDGDD. Nuestro módulo genera automáticamente la ficha RAT, define la base legal (obligación legal, art. 6.1.c RGPD), establece plazos de conservación y adopta las medidas técnicas de seguridad. Todo queda documentado en tu expediente de cumplimiento de SIGNA360.
Con nuestro módulo en SIGNA360, la puesta en marcha lleva entre 24 y 72 horas. Incluye la configuración del portal web anónimo, la designación del responsable, la elaboración de la política interna de denuncias y la actualización del RAT y la documentación RGPD. Sin infraestructura adicional, sin soporte de IT.
Sí. La Ley 2/2023 permite externalizar la gestión a un tercero de confianza, siempre que se garantice la confidencialidad e independencia del sistema. Adapta RGPD puede actuar como gestor externo del canal, recibiendo y tramitando las comunicaciones con total garantía legal y técnica.
La Ley 2/2023, de 20 de febrero, transpone al derecho español la Directiva (UE) 2019/1937 del Parlamento Europeo, relativa a la protección de las personas que reporten infracciones del Derecho de la Unión y del ordenamiento jurídico interno.
Los cinco pilares fundamentales de la ley:
* Canal interno obligatorio para empresas con 50 o más empleados y todo el sector público
* Confidencialidad y anonimato garantizados del informante en todas las fases
* Plazos estrictos: 7 días para acuse de recibo y 3 meses para resolución
* Prohibición expresa de represalias con sanciones específicas acumulables
* Autoridad supervisora independiente: A.A.I. con potestad sancionadora hasta 1.000.000 €
Hoy en día, sufrir un ciberataque o una brecha de seguridad ya no puede considerarse algo excepcional. En un entorno digital cada vez más conectado, cualquier organización puede verse afectada en algún momento. Pensar que las medidas de seguridad son suficientes para impedir cualquier incidente es, por tanto, un error estratégico. Por eso, el Esquema…
La respuesta directa: sí. Da igual si tu negocio es una asesoría de tres personas o una empresa con cien empleados. En cuanto usáis ChatGPT, Copilot, Gemini o cualquier otra herramienta con IA integrada, el Reglamento europeo de Inteligencia Artificial os alcanza. No es una cuestión reservada a los gigantes tecnológicos que fabrican los modelos.…
El 21 de julio de 2026, la Agencia Española de Protección de Datos (AEPD) dio un paso decisivo en la regulación práctica de las tecnologías emergentes al publicar una nota técnica pionera. En ella, la autoridad de control analiza en profundidad cómo deben proyectarse dos de los principios fundamentales del Reglamento General de Protección de…
La evolución de la inteligencia artificial ha dado un salto cualitativo. Hemos pasado de modelos que respondían a peticiones concretas a agentes de IA capaces de planificar tareas, conectar con herramientas externas y tomar decisiones encadenadas de forma autónoma. Esta capacidad de actuación independiente abre enormes oportunidades operativas, pero también plantea un reto crítico: ¿quién…
El informe del EDPB identifica tres áreas especialmente problemáticas: los plazos de conservación, las copias de seguridad y la aplicación de las excepciones previstas en el artículo 17 del RGPD. Uno de los problemas más frecuentes es la falta de criterios claros para determinar cuánto tiempo deben conservarse los datos. La ausencia de políticas de…
En 2026 la AEPD sancionó a un banco con 890.000 euros por su sistema de scoring crediticio con inteligencia artificial. No porque el sistema tomara decisiones equivocadas. Sino porque las tomaba sin que los afectados supieran que había un algoritmo de por medio, sin que pudieran impugnar el resultado, y sin que el banco hubiera…
