El canal de denuncias obligatorio ha pasado de ser algo que “había que mirar” a algo que ya tiene inspector activo y puede terminar en una sanción de hasta un millón de euros. Desde el 10 de febrero de 2026 la Autoridad Independiente de Protección del Informante opera con plena capacidad sancionadora. Y ya está actuando.
Si tu empresa tiene cincuenta o más trabajadores y todavía no tienes un sistema interno de información funcionando, estás incumpliendo la Ley 2/2023. Sin margen de interpretación.
Qué exige el canal de denuncias obligatorio por ley
El primer malentendido habitual es pensar que basta con un buzón de sugerencias o un correo electrónico. No basta. La ley es concreta: el sistema tiene que garantizar el anonimato real de quien denuncia, emitir acuse de recibo en siete días, gestionar y resolver la comunicación en tres meses, y mantener un registro de todo lo recibido y tramitado.
El segundo malentendido es creer que lo puede gestionar alguien interno. Puede, pero esa persona no puede tener dependencia jerárquica directa en las materias que se puedan denunciar. En una pyme de cincuenta personas eso es casi imposible de garantizar. La solución que la propia ley contempla es externalizar la gestión a un tercero independiente.
Y aquí viene el problema real para muchas empresas: tienen un formulario en la web que configuraron en 2023, nadie lo revisa, no hay protocolo de respuesta, no hay registro de comunicaciones. Eso no cumple la ley aunque técnicamente “exista un canal”.
A quién afecta y a quién no todavía
La obligación es clara para empresas de cincuenta o más trabajadores. También aplica, independientemente del tamaño, a empresas del sector financiero, de prevención del blanqueo de capitales y a otros sectores regulados específicamente en la ley.
Por debajo de diez trabajadores no hay obligación legal por ahora. Entre diez y cuarenta y nueve, depende del sector. Si tienes dudas sobre si te aplica, la respuesta prudente es consultarlo antes de que llegue la duda en forma de expediente.
Hay un factor adicional que muchas pymes ignoran: aunque no estés obligada por tamaño, si trabajas como proveedor de empresas grandes o de administraciones públicas, cada vez más te lo van a exigir contractualmente como condición para trabajar con ellas.
Lo que está detectando la Inspección en sus primeras actuaciones
El patrón que están encontrando es siempre el mismo. La empresa tiene algo que llama canal de denuncias, pero al revisarlo no cumple los requisitos técnicos ni procedimentales que exige la norma. No hay gestor designado formalmente, no hay plazos documentados, no hay garantía de anonimato real, nadie ha recibido formación sobre cómo tramitar una comunicación.
Eso es peor que no tener nada, porque implica que la empresa sabía de la obligación y no la cumplió correctamente.
Si quieres saber si lo que tienes ahora mismo cumple o no, lo más rápido es que lo revisemos. En Adapta RGPD gestionamos el canal de denuncias de forma externa, garantizando el anonimato real, los plazos legales y el registro completo de comunicaciones. Si estás en esa situación de tener algo pero no saber si es suficiente, ese es exactamente el problema que resolvemos.
