¿Me obliga la ley a tener un canal de denuncias?
La Ley 2/2023 lo llama «sistema interno de información», y sus plazos no son cosa del futuro: vencieron el 13 de junio y el 1 de diciembre de 2023. Desde el 1 de septiembre de 2025, además, la autoridad que sanciona —la A.A.I.— está en funcionamiento, y no tener sistema es infracción muy grave. Responde 6 preguntas y sabrás si estás obligado, desde cuándo y qué debe tener exactamente tu canal.
Quién está obligado y desde cuándo, en una tabla.
| Quién está obligado | Desde cuándo | Sanción por no tenerlo |
|---|---|---|
| Empresas y entidades privadas con 250 o más trabajadores contratados (art. 10.1.a) | Vencido 13 de junio de 2023 | Muy grave (art. 63.1.g): 600.001 – 1.000.000 € para personas jurídicas; 30.001 – 300.000 € para personas físicas (art. 65.1) |
| Entidades privadas de 50 a 249 trabajadores (art. 10.1.a + disp. transitoria 2ª) | Vencido 1 de diciembre de 2023 | Igual: infracción muy grave del art. 63.1.g, tramos del art. 65.1 |
| Sectores de servicios financieros, prevención del blanqueo o de la financiación del terrorismo, seguridad del transporte y medio ambiente (art. 10.1.b) | Sin mínimo de plantilla — mismos plazos generales, ya vencidos (13-jun-2023, o 1-dic-2023 con 249 trabajadores o menos) | Igual: infracción muy grave del art. 63.1.g, tramos del art. 65.1 |
| Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, si reciben o gestionan fondos públicos (art. 10.1.c) | Vencido 13-jun-2023, o 1-dic-2023 con 249 trabajadores o menos | Igual: infracción muy grave del art. 63.1.g, tramos del art. 65.1 |
| Todo el sector público (art. 13): AGE, CCAA, entidades locales, organismos dependientes, universidades públicas, sociedades con participación pública >50 %… | Vencido 13-jun-2023 (municipios de menos de 10.000 habitantes: 1-dic-2023) | Infracción muy grave del art. 63.1.g; los municipios pequeños pueden compartir medios (art. 14), pero no están exentos |
| La A.A.I. está operativa desde el 1 de septiembre de 2025 (Orden PJC/908/2025): no tener sistema interno de información es infracción MUY GRAVE (art. 63.1.g) — hasta 1.000.000 € para personas jurídicas, más accesorias como la prohibición de subvenciones hasta 4 años o de contratar con el sector público hasta 3 años (art. 65.2). | ||
Fuentes oficiales: Ley 2/2023, texto consolidado (BOE-A-2023-4513) · Real Decreto 1101/2024, estatuto de la A.A.I. (BOE-A-2024-22298) · Orden PJC/908/2025, puesta en funcionamiento de la A.A.I. (BOE-A-2025-16764).
Última verificación: 24 de julio de 2026
Seis preguntas, ningún dato enviado.
Respondes 6 preguntas
Sector público o privado, plantilla, sector regulado, fondos públicos y grupo de empresas. Todo ocurre en tu navegador: nada se envía ni se guarda.
Aplicamos los arts. 10 a 14 de la Ley 2/2023
El ámbito de aplicación literal de la ley, más la disposición transitoria segunda con sus dos fechas de implantación — el 13 de junio y el 1 de diciembre de 2023, ambas ya vencidas.
Obtienes veredicto, checklist y riesgo
Un badge inequívoco con tu situación y tu fecha, la checklist de requisitos del sistema (arts. 5-9 y 26) y el tramo sancionador que te aplica. Imprimible para tu expediente interno.
¿Tu entidad pertenece al sector público?
El artículo 13 obliga a todas las entidades que integran el sector público: Administración General del Estado, comunidades autónomas, entidades locales, organismos y entidades vinculadas o dependientes, universidades públicas, corporaciones de Derecho público, fundaciones del sector público y sociedades mercantiles con participación pública directa o indirecta superior al 50 %.
¿Es un municipio de menos de 10.000 habitantes?
Los municipios de menos de 10.000 habitantes tuvieron plazo ampliado hasta el 1 de diciembre de 2023 y pueden compartir el sistema y los recursos con otros municipios o con otras Administraciones de su comunidad autónoma (art. 14). Es una facilidad de gestión, no una exención.
¿Cuántos trabajadores contratados tiene tu entidad?
El umbral del artículo 10.1.a) es tener contratados cincuenta o más trabajadores. La ley no detalla un método de cómputo, así que ante la duda cuenta todos los contratados y remítete al texto legal.
¿Operas en alguno de estos sectores regulados?
Las personas jurídicas del ámbito de los actos de la UE en estas materias (partes I.B y II del anexo de la Directiva (UE) 2019/1937) están obligadas con independencia del número de trabajadores (art. 10.1.b) — incluidas las entidades sin domicilio en España que operen aquí mediante sucursal, agente o prestación de servicios.
¿Es un partido político, sindicato, organización empresarial o una fundación creada por ellos?
El artículo 10.1.c) obliga a estas entidades siempre que reciban o gestionen fondos públicos, con independencia de su plantilla.
¿Forma parte de un grupo de empresas?
Grupo en el sentido del artículo 42 del Código de Comercio. El artículo 11 permite una política general de grupo y un Responsable del Sistema y un sistema únicos; la obligación de cada entidad se evalúa individualmente según el artículo 10.
Tu situación con la Ley 2/2023
Una obligación de 2023 con sancionador desde 2025.
Última verificación de fechas, artículos y sanciones: 24 de julio de 2026 (fuentes oficiales al final).
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone la Directiva (UE) 2019/1937. Se publicó en el BOE el 21 de febrero de 2023 y entró en vigor el 13 de marzo de 2023. Lo que todo el mundo llama «canal de denuncias» es, en la ley, el sistema interno de información: no un buzón, sino un conjunto de piezas —responsable, política, procedimiento, canal y registro— con requisitos concretos. Si aún no tienes claro qué otras normas afectan a tu empresa, empieza por la herramienta ¿qué normativa me aplica?.
¿Quién está obligado a tener canal de denuncias?
En el sector privado (art. 10.1), tres puertas de entrada: a) personas físicas o jurídicas con cincuenta o más trabajadores contratados — la ley dice literalmente «que tengan contratados cincuenta o más trabajadores» y no detalla un método de cómputo, así que ante plantillas fluctuantes conviene atenerse al tenor literal y no jugar con promedios; b) personas jurídicas del ámbito de los actos de la UE en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente, obligadas con independencia del número de trabajadores (incluidas las que operan en España mediante sucursal o agente sin domicilio aquí); y c) partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por unos y otros, siempre que reciban o gestionen fondos públicos.
En el sector público (art. 13), la regla es total: «todas las entidades que integran el sector público» — Administración General del Estado, comunidades autónomas, entidades locales, organismos y entidades vinculadas o dependientes, autoridades administrativas independientes, universidades públicas, corporaciones de Derecho público, fundaciones del sector público y sociedades mercantiles con participación pública superior al 50 %. Los municipios de menos de 10.000 habitantes pueden compartir el sistema y sus recursos entre sí o con otras Administraciones de su comunidad autónoma (art. 14) — es una facilidad de gestión, no una exención. En los grupos de sociedades (art. 42 del Código de Comercio), la dominante aprueba una política general y el Responsable del Sistema y el propio sistema pueden ser únicos para todo el grupo (art. 11); la obligación de cada entidad, en cambio, se evalúa una a una según el art. 10. Y las entidades privadas de 50 a 249 trabajadores pueden compartir entre sí el sistema y los recursos de gestión (art. 12). Quien no esté obligado puede implantarlo voluntariamente con los mismos requisitos (art. 10.2).
Los plazos vencieron en 2023
La disposición transitoria segunda dio un plazo máximo de 3 meses desde la entrada en vigor — hasta el 13 de junio de 2023 — para Administraciones, organismos, empresas y demás entidades obligadas, con una excepción: las entidades jurídicas del sector privado con 249 trabajadores o menos y los municipios de menos de 10.000 habitantes tuvieron hasta el 1 de diciembre de 2023. A fecha de hoy, ambos plazos llevan más de dos años y medio vencidos: quien está obligado y no tiene sistema no «va tarde» — está en incumplimiento actual. La otra cara: los canales preexistentes (por ejemplo, de un programa de compliance penal) sirven si se ajustan a los requisitos de la ley (disposición transitoria primera).
Qué exige exactamente el sistema
El órgano de administración es quien implanta el sistema, previa consulta con la representación legal de las personas trabajadoras, y es el responsable del tratamiento de los datos (art. 5). Las piezas obligatorias: un Responsable del Sistema — directivo independiente, sin instrucciones y con medios, cuyo nombramiento y cese se notifican a la A.A.I. (o a la autoridad autonómica) en 10 días hábiles; puede ser el compliance officer preexistente (art. 8) —; una política del sistema publicitada internamente (art. 5.2); un procedimiento de gestión con acuse de recibo en 7 días naturales y respuesta en un máximo de 3 meses, ampliable otros 3 en casos de especial complejidad (art. 9.2); un canal que admita comunicaciones por escrito y/o verbales — con reunión presencial en un máximo de 7 días si la pide el informante — y que admita las comunicaciones anónimas (art. 7.3); la remisión al Ministerio Fiscal, o a la Fiscalía Europea si procede, cuando haya indicios de delito (art. 9.2); y un libro-registro de informaciones e investigaciones internas, no público — solo accesible por auto judicial —, con conservación de datos personales limitada y nunca más de 10 años (art. 26). La gestión puede externalizarse a un tercero con garantías, que actúa como encargado del tratamiento (art. 6).
La protección del informante
La ley protege a quien comunica con motivos razonables de veracidad por los cauces previstos (art. 35) — incluidos los informantes anónimos que luego son identificados (art. 35.3) —. Las represalias, sus amenazas y sus tentativas están prohibidas y los actos de represalia son nulos de pleno derecho (art. 36): despido, no renovación, degradación, listas negras, denegación de formación o acoso, entre otros. Transcurridos dos años, la persona puede pedir a la autoridad competente la extensión excepcional y justificada del período de protección (art. 36.4). Se suman medidas de apoyo — información y asesoramiento gratuitos, asistencia efectiva, apoyo financiero y psicológico excepcional si lo acuerda la A.A.I. (art. 37) —, la exención de responsabilidad por la revelación (salvo que la información se obtuviera mediante delito) y la inversión de la carga de la prueba en los procedimientos por perjuicios (art. 38). Incluso el infractor que informa puede ver su sanción eximida o atenuada (art. 40).
Sanciones: los tramos exactos
No disponer de un sistema interno de información es infracción muy grave (art. 63.1.g), igual que las represalias (63.1.b) o vulnerar la confidencialidad y el anonimato (63.1.c). Las multas del art. 65.1: infracciones leves, de 1.001 a 10.000 € para personas físicas y hasta 100.000 € para jurídicas; graves, de 10.001 a 30.000 € y de 100.001 a 600.000 €; muy graves, de 30.001 a 300.000 € para personas físicas y de 600.001 a 1.000.000 € para personas jurídicas. En las muy graves caben además accesorias (art. 65.2): amonestación pública, prohibición de obtener subvenciones y beneficios fiscales hasta 4 años y prohibición de contratar con el sector público hasta 3 años; las sanciones de 600.001 € o más a personas jurídicas se publican en el BOE (art. 65.3). Prescripción: 3 años las muy graves, 2 las graves, 6 meses las leves (art. 64).
La A.A.I.: cronología de una autoridad que ya funciona
El Título VIII de la Ley 2/2023 creó la Autoridad Independiente de Protección del Informante, A.A.I., y durante dos años fue el eslabón pendiente. Ya no: su estatuto se aprobó por el Real Decreto 1101/2024, de 29 de octubre; su presidente, Manuel Villoria Mendieta, fue nombrado por el Real Decreto 328/2025, de 15 de abril; y la Orden PJC/908/2025, de 8 de agosto, fijó su puesta en funcionamiento el 1 de septiembre de 2025. Desde entonces está constituida, operativa — con sede electrónica desde noviembre de 2025 y web oficial en proteccioninformante.gob.es — y es competente para sancionar. La ley prevé además que las comunidades autónomas designen autoridades competentes en su ámbito: comprueba en tu boletín autonómico cuál te corresponde antes de notificar a tu Responsable del Sistema.
Canal de denuncias y protección de datos
Los tratamientos del canal se rigen por el RGPD, la LOPDGDD y el Título VI de la Ley 2/2023 (arts. 29 a 34): acceso limitado al Responsable del Sistema y su gestor, a recursos humanos solo cuando proceda el disciplinario, a los servicios jurídicos, a los encargados y al delegado de protección de datos, con supresión inmediata de los datos que no resulten necesarios y de las categorías especiales. Un matiz que se cita mal a menudo: el artículo 24 de la LOPDGDD no está derogado — está modificado (reescrito) por la disposición final séptima de la Ley 2/2023, que lo dedica al tratamiento de datos para la protección de los informantes. Y si el propio canal sufre una violación de seguridad, tienes el simulador brecha de datos: ¿notificar a la AEPD? para orientar la respuesta. El canal no vive solo: encaja en el mapa general de cumplimiento normativo de tu organización.
EUR-Lex — Directiva (UE) 2019/1937 (protección de los informantes)
BOE — Real Decreto 1101/2024, estatuto de la A.A.I. (BOE-A-2024-22298)
BOE — Real Decreto 328/2025, nombramiento del presidente de la A.A.I. (BOE-A-2025-7673)
BOE — Orden PJC/908/2025, puesta en funcionamiento de la A.A.I. el 1-sep-2025 (BOE-A-2025-16764)
A.A.I. — web oficial (proteccioninformante.gob.es)
Las dudas típicas antes de implantarlo.
¿Desde cuántos empleados es obligatorio el canal de denuncias?+
Desde 50: el artículo 10.1.a) de la Ley 2/2023 obliga a las personas físicas o jurídicas del sector privado que tengan contratados cincuenta o más trabajadores. Ojo con dos matices: la ley no detalla un método de cómputo (ese es su tenor literal), y en los sectores del artículo 10.1.b) —servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente— la obligación aplica con independencia del número de trabajadores.
¿La obligación ya está en vigor?+
Sí, y desde hace tiempo. La Ley 2/2023 entró en vigor el 13 de marzo de 2023 y su disposición transitoria segunda dio un plazo máximo de 3 meses para implantar el sistema (hasta el 13 de junio de 2023), ampliado hasta el 1 de diciembre de 2023 para las entidades privadas de 249 trabajadores o menos y los municipios de menos de 10.000 habitantes. A día de hoy ambos plazos están vencidos: quien está obligado y no tiene sistema está en incumplimiento actual.
¿Pueden multarme ya por no tener canal de denuncias?+
La autoridad competente para sancionar, la Autoridad Independiente de Protección del Informante (A.A.I.), está constituida y en funcionamiento desde el 1 de septiembre de 2025 (Orden PJC/908/2025). No disponer de un sistema interno de información es infracción muy grave (artículo 63.1.g), con multas de 600.001 a 1.000.000 de euros para personas jurídicas y de 30.001 a 300.000 euros para personas físicas, más posibles accesorias. Las infracciones muy graves prescriben a los 3 años.
¿Sirve un buzón de email como canal de denuncias?+
Un email puede ser el soporte del canal escrito, pero por sí solo no cumple la ley: el sistema exige un Responsable del Sistema designado y notificado a la A.A.I., una política publicitada internamente, un procedimiento de gestión con acuse de recibo en 7 días naturales y respuesta en un máximo de 3 meses, admisión de comunicaciones anónimas, garantías de confidencialidad y un libro-registro de informaciones (artículos 5 a 9 y 26). Eso sí, los canales preexistentes sirven si se ajustan a estos requisitos (disposición transitoria primera).
¿Es obligatorio admitir denuncias anónimas?+
Sí. El artículo 7.3 de la Ley 2/2023 exige que el canal interno permita presentar comunicaciones anónimas y su tramitación posterior. Además, los informantes que comunicaron de forma anónima y son identificados después también quedan protegidos frente a represalias (artículo 35.3).
¿Un grupo de empresas puede tener un solo canal?+
Sí. En los grupos de sociedades (artículo 42 del Código de Comercio), la sociedad dominante aprueba una política general del sistema y el Responsable del Sistema y el propio sistema interno de información pueden ser únicos para todo el grupo (artículo 11). Cuidado con el matiz: el artículo 11 organiza la obligación, no exime a nadie — si una entidad está obligada se determina individualmente según el artículo 10. Y las entidades privadas de 50 a 249 trabajadores pueden además compartir entre sí el sistema y los recursos de gestión (artículo 12).
Soy autónomo sin empleados: ¿me obliga la ley?+
Por plantilla, no: el artículo 10.1.a) exige tener contratados 50 o más trabajadores. Y la letra b), que obliga sin mínimo de plantilla en los sectores regulados, se refiere a personas jurídicas. Aun así, cualquier entidad no obligada puede implantar el sistema voluntariamente, cumpliendo los mismos requisitos que fija la ley (artículo 10.2).
Tres años de retraso se resuelven en semanas.
Agenda una sesión gratuita de 30 minutos. Repasamos si estás obligado, qué piezas te faltan —responsable, política, procedimiento, registro— y cómo dejar el sistema implantado y notificado sin montar una burocracia.
Agendar sesión gratuita →