Desde el 1 de diciembre de 2023 las empresas con 50 o más trabajadores tienen la obligación legal de disponer de un canal interno de informaciones. No es una recomendación ni una buena práctica: es un requisito establecido por la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
De qué trata la Ley 2/2023
La norma traspone la Directiva europea de whistleblowing (2019/1937) y obliga a crear un sistema que permita a trabajadores, colaboradores y terceros informar de forma confidencial sobre posibles vulneraciones de la normativa europea o nacional. No se limita al ámbito laboral: el canal debe poder recibir denuncias sobre fraude fiscal, corrupción, infracciones medioambientales, delitos contra la seguridad de la información o incumplimientos del RGPD, entre otros.
Quién tiene que tener canal de denuncias
El umbral es de 50 trabajadores. La ley computa la plantilla media del año anterior, incluyendo contratos a tiempo parcial de forma proporcional. Los grupos de empresas pueden optar por un canal centralizado, pero deben garantizar que esté disponible para todas las entidades del grupo.
Las entidades del sector financiero (bancos, aseguradoras, fondos de inversión) y los partidos políticos, sindicatos y fundaciones que reciban fondos públicos tienen la obligación con independencia de su tamaño.
Cómo debe funcionar el canal
La Ley 2/2023 establece un protocolo de gestión con plazos concretos. Cuando se recibe una denuncia, el responsable del sistema debe enviar un acuse de recibo en el plazo máximo de 7 días. A partir de ahí, tiene 3 meses para investigar y dar respuesta al denunciante, plazo que puede ampliarse a 6 meses en casos complejos.
La confidencialidad del denunciante es un elemento nuclear de la norma. El canal debe garantizarla de forma técnica y organizativa, y el responsable del sistema no puede revelar la identidad sin el consentimiento expreso del informante, salvo que exista obligación legal.
El canal puede ser gestionado internamente o externalizado a un tercero, siempre que se mantengan las garantías de independencia y confidencialidad.
La conexión con el RGPD
Aquí es donde la gestión se complica. El canal de denuncias implica tratamiento de datos personales: del denunciante, del denunciado y de terceros que puedan aparecer en la información. Eso exige incluir el tratamiento en el Registro de Actividades de Tratamiento, designar una base legal adecuada (el cumplimiento de una obligación legal, en este caso), garantizar los derechos de los interesados y establecer un plazo de conservación.
La AEPD publicó en 2023 una guía específica sobre protección de datos en los sistemas de información de denuncias, que aclara que el denunciado tiene derecho de información, pero ese derecho puede limitarse temporalmente para no obstaculizar la investigación.
Sanciones por no tener canal
La Ley 2/2023 tipifica como infracción muy grave la no implantación del sistema de información. Las multas van de 1.001.001 euros para las empresas privadas. La autoridad competente para sancionar en el ámbito privado es la Autoridad Independiente de Protección al Informante (A-ISP), operativa desde 2024.
A eso hay que sumar el riesgo adicional de que una denuncia no gestionada correctamente derive en una infracción del RGPD, con las sanciones adicionales que ello comporta.
Qué necesitas para cumplir
El canal de denuncias no es solo una herramienta técnica. Requiere una política interna documentada, un protocolo de gestión aprobado, formación para los responsables, cláusulas en el Registro de Actividades y una actualización de la política de privacidad de la empresa.
En Adaptación RGPD integramos la implantación del canal de denuncias dentro del proceso de adecuación al RGPD, de modo que no genera trabajo duplicado. Si todavía no tienes el canal operativo o no estás seguro de si estás obligado, consúltanos.
