Canal de Denuncias Obligatorio: Guía para Empresas 2026

La Ley 2/2023 obliga a empresas de más de 50 trabajadores y todo el sector público a implantar un canal de denuncias. Te explicamos qué debe incluir, cómo gestionar los datos y qué multas arriesgas si no lo tienes.

Desde diciembre de 2023, miles de empresas españolas tienen una nueva obligación legal que muchos empresarios todavía desconocen: implantar un canal de denuncias interno. La Ley 2/2023, de 20 de febrero, que transpone la Directiva Europea 2019/1937 (conocida como Directiva Whistleblowing), ha convertido este mecanismo en un requisito legal exigible, con sanciones que pueden superar el millón de euros.

Si tienes una empresa con más de 50 trabajadores, gestionas una entidad pública o desarrollas ciertas actividades reguladas, este artículo es para ti. Te explicamos de forma clara qué es un canal de denuncias, a quién le aplica la ley, qué debe contener, cómo hay que gestionar los datos personales involucrados y qué consecuencias tiene no cumplir.

Dato clave: La Ley 2/2023 entró en vigor el 13 de marzo de 2023, pero concedió plazos escalonados. Las empresas con más de 249 trabajadores debían tener el canal operativo desde el 13 de junio de 2023. Las empresas de entre 50 y 249 trabajadores tuvieron hasta el 1 de diciembre de 2023. Hoy, cualquier empresa en ese umbral sin canal de denuncias está incumpliendo la ley.

¿Qué es exactamente un canal de denuncias?

Un canal de denuncias es un sistema que permite a cualquier persona —empleados, proveedores, clientes, accionistas o cualquier persona relacionada con la organización— comunicar de forma confidencial posibles infracciones legales, irregularidades éticas o conductas contrarias a las normas internas de la empresa.

No es un buzón de sugerencias ni un sistema de quejas laborales genéricas. Su función específica es detectar y gestionar denuncias sobre incumplimientos del Derecho de la Unión Europea en áreas como contratación pública, servicios financieros, prevención del blanqueo de capitales, seguridad de productos, protección del medio ambiente, seguridad alimentaria, salud pública, privacidad y protección de datos, entre otras.

El canal puede ser interno (gestionado por la propia empresa) o externo (externalizado a un proveedor especializado), y debe garantizar la confidencialidad del denunciante en todo momento.

¿A quién obliga la Ley 2/2023?

Esta es la primera pregunta que se hace cualquier empresario: ¿me afecta a mí? La respuesta depende de varios factores:

Por número de trabajadores

1. Empresas con 50 o más trabajadores: obligación de contar con canal de denuncias interno. El umbral se calcula sobre la plantilla media del año anterior.
2. Empresas con menos de 50 trabajadores: no están obligadas por la ley, aunque pueden implantarlo voluntariamente. En muchos casos es recomendable como buena práctica de cumplimiento.
3. Grupos de empresas: cada entidad jurídica del grupo debe cumplir individualmente si supera el umbral, aunque pueden compartir un mismo canal si así lo establecen.

Por tipo de entidad

1. Todo el sector público: administraciones públicas, organismos autónomos, entidades públicas empresariales, universidades públicas, entes locales y cualquier otra entidad del sector público, independientemente de su tamaño.
2. Partidos políticos, sindicatos y organizaciones empresariales que reciban financiación pública.
3. Fundaciones creadas por partidos políticos.

Por actividad regulada

Con independencia del número de trabajadores, ciertas empresas están obligadas por la naturaleza de su actividad:

1. Entidades del sector financiero (bancos, aseguradoras, gestoras de fondos, empresas de inversión).
2. Empresas que operan en mercados de valores.
3. Entidades sujetas a normativa de prevención de blanqueo de capitales.
4. Empresas de transporte de aviación civil y marítimo.

⚠ Atención si tienes entre 50 y 249 trabajadores: La ley prevé que empresas de este tramo puedan compartir recursos para gestionar el canal (por ejemplo, dentro de un mismo grupo empresarial), pero no exime de la obligación. Si no tienes el canal operativo desde el 1 de diciembre de 2023, llevas más de un año en situación de incumplimiento.

¿Qué debe incluir el canal de denuncias?

La ley no exige un formato concreto (puede ser un correo electrónico, un formulario web, una aplicación, una línea telefónica o una combinación de varios), pero sí establece unos requisitos mínimos de contenido y funcionamiento que no son negociables.

Requisitos técnicos y organizativos mínimos

1. Confidencialidad garantizada: el sistema debe proteger la identidad del denunciante y de cualquier tercero mencionado en la denuncia. El acceso debe estar restringido a las personas designadas para gestionar el canal.
2. Posibilidad de denuncia anónima: aunque la ley no obliga a aceptar denuncias anónimas, recomienda que el canal lo permita. En la práctica, la mayoría de las implantaciones bien diseñadas sí aceptan el anonimato.
3. Acuse de recibo en 7 días hábiles: la empresa debe confirmar la recepción de la denuncia al denunciante en un plazo máximo de 7 días hábiles desde que la recibe.
4. Respuesta en 3 meses: el denunciante debe recibir información sobre las actuaciones previstas o adoptadas para dar seguimiento a la denuncia en un plazo máximo de tres meses desde el acuse de recibo. Este plazo puede ampliarse hasta 6 meses en casos complejos.
5. Responsable del Sistema: debe nombrarse una persona responsable de la gestión del canal (puede ser interno o externo). Esta figura es independiente del Delegado de Protección de Datos, aunque ambas deben coordinarse.
6. Política de no represalias: la ley prohíbe expresamente cualquier tipo de represalia contra el denunciante. Esto debe reflejarse en la política del canal y en los procedimientos internos.
7. Información accesible: los trabajadores y terceros relacionados con la empresa deben conocer la existencia del canal, cómo acceder a él y qué protecciones tienen. Esto suele canalizarse a través del código ético, el reglamento interno o comunicaciones específicas.

¿Puede el canal ser externo?

Sí. La ley permite externalizar la gestión del canal a un proveedor especializado. De hecho, esta opción tiene varias ventajas: mayor percepción de independencia por parte de los denunciantes, garantías técnicas de confidencialidad y descarga de responsabilidad operativa para la empresa. Si optas por esta vía, el proveedor actuará como encargado del tratamiento de datos, lo que exige firmar el correspondiente contrato de encargo de tratamiento previsto en el artículo 28 del RGPD.

Canal de denuncias y protección de datos: una relación obligatoria

Aquí es donde la Ley 2/2023 y el RGPD se cruzan de forma directa. El canal de denuncias implica el tratamiento de datos personales —del denunciante, del denunciado y de terceros que puedan mencionarse—, lo que activa todas las obligaciones del Reglamento General de Protección de Datos.

Base jurídica del tratamiento

El tratamiento de los datos en el contexto del canal de denuncias se sustenta en el cumplimiento de una obligación legal (artículo 6.1.c del RGPD) cuando la empresa está obligada por la Ley 2/2023. Para aquellas empresas que lo implanten voluntariamente, la base puede ser el interés legítimo (artículo 6.1.f del RGPD), siempre que se realice el correspondiente test de proporcionalidad.

Categorías especiales de datos

Las denuncias pueden contener —y con frecuencia contienen— datos especialmente sensibles: información sobre la salud de las personas, orientación sexual, ideología política, creencias religiosas o antecedentes penales. Cuando esto ocurra, es necesario identificar la base de legitimación específica del artículo 9 del RGPD y adoptar medidas de seguridad reforzadas.

Datos del denunciado: garantías esenciales

La Ley 2/2023 reconoce expresamente los derechos de la persona denunciada. Esta merece las mismas garantías de protección de datos que cualquier otro interesado, con algunas particularidades:

1. El derecho de información puede limitarse inicialmente para no comprometer la investigación. Esta limitación debe documentarse y justificarse.
2. El derecho de acceso también puede restringirse temporalmente por el mismo motivo.
3. El denunciado debe ser informado en cuanto dicha información no ponga en riesgo la investigación.
4. Si la denuncia resulta ser infundada o maliciosa, los datos del denunciado deben eliminarse de forma prioritaria.

Plazos de conservación de datos

La ley establece que los datos del canal de denuncias no pueden conservarse más de lo necesario:

1. Denuncias que no dan lugar a investigación: máximo 3 meses desde la recepción. Pueden conservarse anonimizadas en registros estadísticos.
2. Denuncias en investigación activa: durante toda la duración del procedimiento.
3. Denuncias que derivan en procedimiento disciplinario, judicial o administrativo: mientras el procedimiento esté activo y durante los plazos de prescripción aplicables.

Obligación adicional: Si tu empresa ya tiene un Registro de Actividades de Tratamiento (RAT), debes incluir el canal de denuncias como una actividad específica, detallando finalidades, categorías de datos, destinatarios, plazos de conservación y medidas de seguridad. Si aún no tienes el RAT, el canal de denuncias es un motivo más para regularizar esta documentación cuanto antes.

Análisis de Riesgos y posible EIPD

Dado que el canal de denuncias trata datos potencialmente sensibles a gran escala y puede incluir categorías especiales de datos, es muy recomendable realizar al menos un análisis de riesgos del tratamiento. En algunos casos —especialmente en organizaciones grandes o cuando se traten datos de categorías especiales de forma sistemática— puede ser obligatorio realizar una Evaluación de Impacto en la Protección de Datos (EIPD) conforme al artículo 35 del RGPD.

El anonimato en el canal de denuncias

Uno de los debates más frecuentes cuando se implanta un canal de denuncias es si debe aceptarse el anonimato. La Ley 2/2023 no obliga a ello, pero tampoco lo prohíbe, y la Autoridad Independiente de Protección del Informante (A-I) recomienda que los canales estén diseñados para aceptar comunicaciones anónimas.

Desde el punto de vista práctico, permitir el anonimato aumenta significativamente el uso del canal: los empleados y terceros son más propensos a denunciar si saben que nadie va a conocer su identidad. Sin embargo, gestionar una denuncia anónima es más complejo: no se puede pedir información adicional al denunciante si es necesario, lo que puede limitar la capacidad de investigación.

Una solución intermedia muy habitual es utilizar plataformas que permiten comunicación bidireccional anónima: el denunciante deja su denuncia sin identificarse, pero a través de un código o buzón cifrado puede mantener conversación con el responsable del canal sin revelar su identidad en ningún momento.

Sanciones por no tener canal de denuncias

La Ley 2/2023 establece un régimen sancionador propio, independiente del régimen sancionador del RGPD, gestionado por la Autoridad Independiente de Protección del Informante (A-I), el nuevo organismo creado por la propia ley.

1. ⚠ Régimen de sanciones de la Ley 2/2023:Infracciones muy graves (represalias contra el denunciante, vulneración de la confidencialidad, obstrucción): multas de hasta 1.000.000 € para personas jurídicas y hasta 200.000 € para personas físicas.
2. Infracciones graves (no implantar el canal estando obligado, no gestionar las denuncias en plazo): multas de hasta 600.000 € para personas jurídicas y hasta 120.000 € para personas físicas.
3. Infracciones leves: multas de hasta 100.000 € para personas jurídicas y hasta 10.000 € para personas físicas.

Además, las personas físicas responsables (directivos, administradores) pueden ser sancionadas individualmente. No implantar el canal cuando es obligatorio se clasifica directamente como infracción grave.

A estas sanciones hay que sumar el riesgo reputacional. Una empresa sancionada por no tener canal de denuncias, o por tomar represalias contra un empleado que denunció, sufre un daño de imagen difícil de reparar, especialmente en entornos B2B donde la reputación de cumplimiento importa cada vez más en procesos de licitación y due diligence.

Cómo implantar el canal de denuncias paso a paso

Si tu empresa está dentro del ámbito de aplicación de la ley y todavía no tienes el canal operativo, estos son los pasos que debes seguir:

1. Decide si el canal será interno o externo. Valora el tamaño de tu organización, los recursos disponibles y la sensación de independencia que quieres transmitir a los potenciales denunciantes.
2. Nombra al responsable del sistema. Puede ser una persona interna (director jurídico, compliance officer, responsable de RR.HH.) o un servicio externo especializado. Debe tener independencia real en su función.
3. Diseña el procedimiento de gestión. Define cómo se reciben las denuncias, quién tiene acceso, en qué plazo se acusa recibo, cómo se investiga, qué medidas se adoptan y cómo se comunica el resultado al denunciante.
4. Adapta tu documentación de protección de datos. Actualiza el RAT, elabora o revisa la política de privacidad del canal, redacta la cláusula informativa para denunciantes y denunciados, y si procede, firma el contrato de encargo con el proveedor.
5. Aprueba una política de no represalias. Documenta expresamente la prohibición de represalias y las consecuencias disciplinarias para quien las ejerza.
6. Comunica la existencia del canal. Informa a todos los trabajadores, proveedores y terceros relevantes de la existencia del canal, cómo acceder a él y qué garantías tienen.
7. Forma a las personas implicadas. El responsable del canal y cualquier persona que intervenga en la gestión de denuncias debe recibir formación específica sobre la ley, confidencialidad y protección de datos.

Canal de denuncias y código ético: ¿son lo mismo?

No, aunque están muy relacionados. El código ético (o código de conducta) es el documento que establece los valores y principios de comportamiento de la organización. El canal de denuncias es el mecanismo para reportar incumplimientos de ese código y de la normativa legal aplicable.

Muchas empresas aprovechan la implantación del canal de denuncias para revisar o crear su código ético, integrando ambos en un sistema de compliance más amplio. Esta es, sin duda, la mejor práctica: un canal de denuncias desconectado de una cultura corporativa de cumplimiento suele tener escasa utilidad real.

¿Y si tengo menos de 50 trabajadores?

La ley no te obliga, pero no significa que debas ignorar el tema. Hay razones de peso para considerar implantar un canal de denuncias de forma voluntaria:

1. Requisito de clientes o contratistas: si trabajas con grandes empresas o con el sector público, cada vez más pliegos de contratación exigen que los proveedores acrediten mecanismos de cumplimiento, incluido el canal de denuncias.
2. Prevención de riesgos internos: detectar fraudes, irregularidades contables o problemas de cumplimiento de forma temprana evita daños mucho mayores.
3. Cultura de cumplimiento: tener un canal de denuncias transmite un mensaje claro a tu equipo sobre los valores de la empresa.
4. Crecimiento futuro: si tu empresa está en proceso de expansión y puede superar próximamente el umbral de 50 trabajadores, implantar el canal ahora te permite hacerlo con calma y no bajo presión legal.

Preguntas frecuentes sobre el canal de denuncias

¿El canal de denuncias puede ser solo un correo electrónico?

Técnicamente sí, pero es la opción menos recomendable. Un correo electrónico no garantiza la confidencialidad real (puede estar accesible para el responsable de IT, por ejemplo), no permite el anonimato y no registra automáticamente los plazos de respuesta. Para empresas obligadas, lo más prudente es utilizar una plataforma específica o al menos un buzón con acceso muy restringido y procedimientos documentados.

¿El DPD debe gestionar el canal de denuncias?

No necesariamente. La ley crea la figura del responsable del sistema de información, que es distinta del Delegado de Protección de Datos. Sin embargo, ambas figuras deben coordinarse estrechamente, ya que el canal implica tratamiento de datos personales. En empresas pequeñas, puede ser la misma persona o proveedor quien asuma ambas funciones, siempre que no exista conflicto de interés.

¿Qué pasa con las denuncias falsas o maliciosas?

La ley protege al denunciante que actúa de buena fe, incluso si la denuncia resulta ser incorrecta. Sin embargo, no protege a quien denuncia con mala fe o de forma deliberadamente falsa. En estos casos, el denunciante puede enfrentarse a consecuencias disciplinarias e incluso legales. Los datos del denunciado deben eliminarse con carácter prioritario si se acredita la mala fe del denunciante.

¿La Autoridad de Protección del Informante ya está operativa?

La Autoridad Independiente de Protección del Informante (A-I) fue creada por la Ley 2/2023 y está actualmente en proceso de consolidación. Mientras tanto, las comunidades autónomas que dispongan de organismos equivalentes pueden ejercer competencias en su ámbito territorial. La AEPD, por su parte, puede intervenir en los aspectos relativos a la protección de datos del canal, de forma paralela a la A-I.

¿Tu empresa necesita implantar el canal de denuncias y no sabes por dónde empezar?

En ConfidencialyDat llevamos años ayudando a empresas y autónomos de Murcia a cumplir con el RGPD de forma sencilla y sin tecnicismos. Solicita tu presupuesto personalizado sin ningún compromiso.

📞 633 705 235 · ✉ confidencialydat@veltaris.es

→ Pide tu presupuesto gratis ahora