Resumen verificable

  • La Ley 2/2023 regula un sistema interno para recibir y tramitar comunicaciones de determinadas infracciones en contexto laboral o profesional. Fuente oficial

  • En el sector privado, las entidades con 50 o más trabajadores deben disponer del sistema interno, con obligaciones adicionales para determinados sectores regulados. Fuente oficial

  • El sistema necesita política, responsable, canal accesible, procedimiento seguro, acuse de recibo, seguimiento, control de acceso y un cierre documentado. Fuente oficial

  • Un canal interno permite informar a la organización; un canal externo pertenece a la autoridad competente y no debe presentarse como la misma vía. Fuente oficial

  • La presentación de una comunicación no prueba por sí sola que la infracción ocurrió ni convierte cualquier queja laboral en un caso de la Ley 2/2023. Fuente oficial

En España, «canal de denuncias» suele referirse al canal interno integrado en el sistema de información de la Ley 2/2023. No es lo mismo que un buzón genérico de recursos humanos, una encuesta de clima o una cuenta de correo abierta a quejas. La ley regula quién debe disponer del sistema, qué comunicaciones pueden presentarse, la confidencialidad, la gestión y la protección frente a represalias. El texto oficial de la Ley 2/2023 es la fuente de las obligaciones; esta página no decide si una denuncia individual entra en su ámbito.

La primera decisión es de alcance. La ley protege a personas que comunican determinadas infracciones en un contexto laboral o profesional; no toda discrepancia, problema de rendimiento o queja interpersonal se convierte por el hecho de presentarse en una comunicación protegida por esta norma. A la vez, una empresa no debe descartar una información por llamarse «queja» si describe hechos que sí pueden estar cubiertos.

Qué información puede comunicarse

La Ley 2/2023 abarca comunicaciones sobre acciones u omisiones que puedan constituir infracciones del Derecho de la Unión dentro de su ámbito, infracciones penales y determinadas infracciones administrativas graves o muy graves en el ordenamiento español. El artículo 2 delimita materias y condiciones. No conviertas el canal en un buzón sin límites para cualquier problema personal, ni rechaces automáticamente hechos que puedan revelar una infracción porque se mezclen con un conflicto laboral.

Una denuncia sobre un supervisor puede referirse a trato injusto, a una represalia por informar o a una conducta que entra en el ámbito de la ley. Hay que leer hechos, materia, vínculo profesional y contexto. El sistema puede recibir información para valorar su alcance, pero la persona responsable debe aplicar criterios de admisión y derivación, respetar confidencialidad y evitar que el canal se use para tramitar rutinariamente reclamaciones de nómina o vacaciones.

La protección puede alcanzar a trabajadores, candidatos, antiguos trabajadores, autónomos, accionistas, miembros de órganos de administración o dirección, personal de contratistas, subcontratistas y proveedores, entre otras personas que obtienen información en un contexto laboral o profesional. También puede proteger a facilitadores, personas relacionadas con el informante y entidades vinculadas en los términos legales. No se reduce a empleados actuales de la empresa. Los artículos 3 y 4 de la Ley 2/2023 determinan el ámbito personal.

La presentación de la comunicación no prueba por sí sola que la infracción ocurrió. El sistema debe permitir recibir y analizar información de manera ordenada, dar oportunidad de aportar contexto y cerrar con una decisión razonada. La identidad de informante y afectado se trata con reserva; la empresa no debe difundir datos en listas internas ni hacer investigaciones paralelas sin necesidad.

Quién debe establecer el sistema interno

En el sector privado, las personas físicas o jurídicas con 50 o más trabajadores deben disponer de un sistema interno de información, con las condiciones que marca la ley. También hay entidades de sectores regulados que deben tener sistema aunque no alcancen ese número, entre ellos ámbitos como servicios y productos financieros, prevención de blanqueo, transporte y protección del medio ambiente en las condiciones de la normativa europea y sectorial. El umbral no es una exención universal para empresas pequeñas. Comprueba el artículo 10 y las reglas sectoriales de la Ley 2/2023.

Las organizaciones privadas de entre 50 y 249 trabajadores pueden compartir recursos para gestionar comunicaciones en las condiciones legales. Compartir herramientas no elimina la responsabilidad de cada entidad ni permite mezclar expedientes. La empresa debe poder determinar a qué organización corresponde cada comunicación, quién tiene acceso y cómo se mantiene la confidencialidad.

Los grupos de sociedades pueden adoptar un sistema común si se cumplen las garantías y la estructura organizativa permitida. Cada sociedad tiene que considerar su situación, informar de cómo funciona el sistema y respetar la autonomía que la ley exige a la gestión. La matriz no debe convertirse en un buzón donde cualquier directivo pueda abrir expedientes de todas las filiales.

Las administraciones públicas y algunas entidades tienen reglas específicas. Si la organización pertenece al sector público, está sujeta a regulación financiera o trabaja en actividad regulada, no extrapoles los requisitos de una empresa privada ordinaria. Revisa la naturaleza jurídica, número de trabajadores, sector, normativa autonómica y reglas internas antes de fijar alcance y plazos.

El sistema es más que un formulario

El artículo 5 exige que el sistema interno se organice con políticas y procedimientos que permitan presentar y tramitar comunicaciones de manera efectiva, segura y confidencial, protegiendo datos y evitando el acceso de personal no autorizado. El órgano de administración o gobierno lo implanta previa consulta con la representación legal de las personas trabajadoras. Debe existir un responsable del sistema, procedimientos para gestionar la información, canal interno y garantías para las personas afectadas. Ley 2/2023, artículo 5.

Una herramienta digital puede ser parte del sistema, pero no es el sistema completo. Hace falta una decisión del órgano competente, política accesible, responsable con recursos, procedimiento, controles de acceso, canal alternativo cuando la ley lo requiere, información a la plantilla y evidencias de gestión. Un buzón de correo compartido puede ser inadecuado si permite que muchas personas lean los mensajes o si no asegura trazabilidad.

El canal debe permitir comunicaciones por escrito o verbalmente, o de ambas formas; la ley no exige ofrecer las dos vías a la vez. A solicitud del informante, también debe permitir una reunión presencial dentro de siete días. Si la comunicación es verbal, su grabación o transcripción exige consentimiento y las garantías del artículo 7. Ley 2/2023, artículo 7. Diseña el acceso pensando en quien informa: explicar dónde acudir, qué materias admite, qué datos son útiles y qué pasará después.

Las bases generales del tratamiento de datos personales se explican en protección de datos en la empresa; el sistema de información tiene además garantías específicas.

Si se externaliza la gestión, el proveedor debe operar bajo condiciones contractuales y garantías compatibles con la ley. La empresa sigue siendo responsable de establecer el sistema y asegurar su funcionamiento. Revisa qué personal del proveedor puede acceder, dónde se alojan datos, cómo comunica incidentes y cómo devuelve o elimina expedientes al terminar el servicio.

Comunicaciones anónimas y confidencialidad

El sistema interno debe permitir presentar y tramitar comunicaciones anónimas. No obligues a la persona a identificarse como condición de entrada. Si aporta identidad voluntariamente, limita el acceso a quienes necesiten conocerla para gestionar la comunicación. La identidad solo podrá comunicarse a autoridad judicial, Ministerio Fiscal o autoridad administrativa competente en una investigación penal, disciplinaria o sancionadora, con las salvaguardas legales. Ley 2/2023, artículo 33.

La confidencialidad no significa que el expediente nunca pueda producir efectos frente a otras personas. Para comprobar hechos, puede ser necesario entrevistar a alguien o revisar documentos. Comparte solo la información necesaria y evita detalles que permitan identificar indirectamente al informante cuando no sea indispensable. Si existe un procedimiento judicial o actuación de autoridad, sigue las reglas de revelación legal e informa a la persona cuando proceda.

La persona afectada tiene derecho a conocer los hechos que se le atribuyen y a ser oída en el momento y forma adecuados para proteger la investigación. No le des acceso automático a la identidad del informante ni entregues datos innecesarios del expediente. La gestión debe proteger tanto a quien comunica como a quienes aparecen en la comunicación, sin prejuzgar culpabilidad.

Los datos se conservan en el sistema solo el tiempo imprescindible para decidir si procede investigar. Si pasan tres meses desde la recepción sin iniciar actuaciones de investigación, se suprimen del sistema, salvo la evidencia necesaria para acreditar su funcionamiento; las comunicaciones no cursadas solo pueden constar sin datos que identifiquen a las personas. Los datos ajenos al ámbito legal y los innecesarios deben eliminarse. Ley 2/2023, artículo 32. La política debe concretar conservación y responsables sin prometer un archivo indefinido.

Quién gestiona y cómo evitar conflictos

El órgano de administración o de gobierno designa al Responsable del Sistema, persona física u órgano colegiado que delega en uno de sus miembros la gestión y tramitación. Debe actuar con autonomía e independencia funcional. En grupos puede haber responsable común en las condiciones legales, pero debe existir un procedimiento claro para la entidad concreta. El nombramiento y el cese se notifican a la Autoridad Independiente de Protección del Informante o a la autoridad autonómica competente en diez días hábiles, indicando los motivos del cese. Ley 2/2023, artículo 8. La Autoridad explica cuándo y dónde comunicar la designación o el cese en su ámbito de competencia.

En empresas pequeñas puede recaer la función en una persona que tenga otras tareas, pero hay que valorar si puede actuar con independencia y evitar conflicto. Si la comunicación afecta a la dirección, a quien administra el canal o a la persona encargada de investigar, establece una vía alternativa. La ley permite la delegación externa de gestión en los supuestos y condiciones previstos, pero el órgano competente conserva responsabilidades.

Separa recepción, evaluación y decisión disciplinaria cuando el caso lo requiera. La persona que investiga no tiene por qué adoptar por sí sola decisiones laborales, pero debe trasladar conclusiones de forma restringida. Quien toma una medida correctiva necesita información suficiente y no debería recibir datos personales irrelevantes.

No prometas anonimato absoluto si la información que describe el hecho identifica indirectamente a alguien o si una autoridad puede exigir revelación con garantías. Explica la confidencialidad de forma honesta: la identidad se limita, el acceso se controla y cualquier revelación excepcional sigue la ley. Una promesa absoluta que no puede cumplirse daña la confianza y puede crear un problema adicional.

Plazos básicos de gestión

La ley establece un acuse de recibo en un plazo máximo de siete días naturales desde la recepción, salvo que ello pueda poner en peligro la confidencialidad de la comunicación. El procedimiento debe permitir seguimiento y comunicación con el informante, sin forzarle a revelar datos que no quiere aportar. Si se presenta de forma verbal, documenta el contenido con las garantías y el consentimiento aplicables.

El plazo máximo para responder a las actuaciones de investigación es de tres meses desde la recepción o, si no se envió acuse, desde que vencen los siete días. En casos de especial complejidad puede ampliarse hasta otros tres meses. No trates el plazo ampliado como una prórroga automática: justifica la complejidad y comunica dentro del régimen legal. Estos plazos están en el artículo 9 de la Ley 2/2023.

El acuse y la respuesta a las actuaciones de investigación no son lo mismo. El primero confirma recepción; la segunda informa, dentro de lo posible y sin perjudicar la investigación o derechos de terceros, sobre el seguimiento. El plazo legal no promete resolver cualquier expediente judicial, disciplinario o administrativo derivado. Establece quién controla los vencimientos y qué se hace si el informante no puede ser contactado.

No confundas el plazo interno con plazos de una autoridad externa, denuncia penal, procedimiento laboral o reclamación administrativa. Una comunicación por el canal no suspende automáticamente otros plazos que pueda tener quien informa. Si el caso incluye un plazo procesal o una medida urgente, oriéntale para buscar asesoramiento o acudir al cauce pertinente sin hacerle esperar a que cierre la investigación interna.

Canal interno y canal externo no son lo mismo

El canal interno permite informar a la propia organización y puede facilitar una respuesta temprana. La ley también contempla canales externos de las autoridades competentes. La persona informante puede elegir el canal que corresponda a su caso en el marco legal; la organización no debe ocultar la existencia del canal externo ni presentar el interno como única vía.

Explica con claridad quién gestiona el canal interno, qué materias admite, cómo presentar una comunicación, qué medidas de confidencialidad utiliza y cómo se puede acudir a la autoridad externa. No afirmes que una autoridad concreta es competente para todo el país, sector y tipo de infracción sin comprobar la distribución de competencias estatal y autonómica vigente.

Un canal externo puede realizar investigación y adoptar actuaciones dentro de sus competencias. El canal interno de una empresa no es autoridad pública y no resuelve infracciones penales con una decisión judicial. Si los hechos pudieran presentar indicios de delito, el procedimiento debe prever su remisión inmediata al Ministerio Fiscal; si afectan a intereses financieros de la Unión Europea, a la Fiscalía Europea. Ley 2/2023, artículo 9.2.j.

Si la organización tiene presencia en varias comunidades o países, identifica qué normativa aplica, qué autoridad recibe comunicaciones externas y qué canal es competente para cada materia. Evita copiar un enlace de una plantilla de otro grupo; revisa las instrucciones vigentes de la autoridad que corresponda.

Protección contra represalias

La Ley 2/2023 prohíbe represalias contra las personas protegidas por comunicar información dentro de su ámbito. La protección puede aplicarse a medidas directas o indirectas como despido, degradación, cambio de funciones, perjuicio profesional, daño reputacional o trato desfavorable cuando exista relación con la comunicación. El detalle depende del caso y de los requisitos legales.

Una empresa debe evitar castigos por haber informado, aunque después no se confirme una infracción, si la persona cumplía las condiciones de protección al comunicar. La gestión debe separar la evaluación de la comunicación de decisiones de personal que puedan parecer represalia. Si hay que adoptar una medida legítima por motivos independientes, conserva justificación, cronología y evidencia.

La protección no es inmunidad absoluta ante conductas ilícitas ni significa que toda acusación se considere cierta. La persona que informa debe tener motivos razonables para creer que lo comunicado era veraz y estaba dentro del ámbito legal, sin obligación de probar definitivamente los hechos. El sistema debe investigar con imparcialidad y proteger derechos de personas afectadas.

Incluye en la política qué apoyo y vías existen, cómo denunciar una represalia y quién revisa el caso. El canal debe ser accesible a actuales y antiguos trabajadores y a otras personas incluidas por la ley cuando la organización esté obligada. No publiques ejemplos que puedan revelar quién presentó una comunicación real.

Datos personales dentro de la investigación

Cada comunicación puede contener datos personales de terceros. El sistema debe aplicar minimización, acceso restringido, seguridad, información y períodos de conservación. Si se reciben datos de categorías especiales, como datos de salud, deben suprimirse de inmediato sin registrarlos ni tratarlos en el sistema. Ley 2/2023, artículo 32.2. Si se comparte información con asesoría legal cuando proceda, delimita finalidad y permisos.

La entidad debe informar sobre el tratamiento de datos y derechos, en la medida compatible con la ley y la investigación. La persona acusada puede recibir información en el momento adecuado; retrasarla requiere fundamento y control. La identidad del informante tiene protección reforzada, pero el tratamiento de datos de otras personas también debe estar justificado.

Mantén un registro de quién abrió expediente, accedió, compartió, corrigió o cerró información. Los sistemas digitales deberían permitir controles y trazabilidad, pero una hoja restringida y un procedimiento bien gestionado pueden ser más seguros que una herramienta con acceso amplio. Evalúa proveedor y alojamiento antes de migrar expedientes.

Cómo implantarlo sin dejar huecos

Empieza por una decisión formal del órgano competente, previa consulta con la representación legal de las personas trabajadoras: quién aprueba el sistema, quién es responsable, qué recursos tiene y cómo actúa ante conflicto. Notifica el nombramiento del responsable a la autoridad competente en diez días hábiles. Después define alcance y vías, procedimiento de investigación, plazos, medidas de confidencialidad, tratamiento de datos, conservación y protección frente a represalias. Comprueba excepciones sectoriales y autonómicas.

Prueba el recorrido completo antes de anunciarlo. Envía una comunicación ficticia sin datos reales; verifica que se recibe, se acusa recibo, queda restringida, genera tarea con vencimiento y puede cerrarse. Comprueba también la alternativa si el responsable del sistema está implicado, la atención de comunicaciones anónimas, las vías habilitadas y cómo se documenta una remisión inmediata al Ministerio Fiscal cuando hay indicios de delito.

Forma al personal en qué canal usar y qué ocurre después, sin prometer que el canal es una vía para cualquier desacuerdo. Informa a contratistas y proveedores cuando deban conocerlo. Mantén la política accesible, con lenguaje claro, correo/teléfono/dirección válidos y referencia al canal externo competente.

En una pyme con 50 o más trabajadores, la implantación puede ser proporcionada, pero no improvisada. Determina quién cuenta dentro del umbral según la ley y la situación empresarial, y comprueba si hay obligación sectorial aunque el número sea menor. Si se comparte sistema con otras entidades, explica cómo se segregan expedientes, responsables y datos.

Canal de denuncias, buzón de RR. HH. y plan de igualdad

El canal de la Ley 2/2023 se ocupa de información sobre infracciones dentro del ámbito legal. Un buzón de recursos humanos puede recibir consultas sobre vacaciones, nóminas, clima o conflictos cotidianos. La empresa puede tener ambos sistemas, pero debe explicar cuándo usa cada uno, proteger datos y no trasladar automáticamente cada queja al procedimiento de denuncias.

El protocolo de acoso y el plan de igualdad tienen finalidades y reglas propias. Un hecho puede activar más de un procedimiento, pero no son intercambiables. Determina quién recibe, qué investigación debe iniciarse, qué garantías aplican y cómo evitar duplicar entrevistas o divulgar información. Si una queja describe posible represalia o infracción legal, revisa además la Ley 2/2023.

Un canal de denuncias no sustituye una denuncia penal, una comunicación a inspección, una reclamación laboral o una alerta urgente. Explica opciones sin presionar a la persona a usar primero la vía interna. Si hay riesgo inmediato, protege a las personas y consulta el cauce adecuado; no esperes al plazo ordinario del sistema.

Qué debe poder demostrar la empresa

Conserva acuerdo de implantación y consulta previa, política, nombramiento y notificación del responsable, registro de versiones, controles de acceso, procedimiento, formación, pruebas del canal y evidencia de revisión. En expedientes individuales limita la documentación a la necesaria y guarda decisiones con acceso restringido. La documentación acredita cómo funciona el sistema, pero no prueba por sí sola que toda investigación fue imparcial.

Al revisar un caso, responde: ¿entraba en el ámbito de la ley?, ¿se permitió anonimato?, ¿se envió acuse dentro del límite?, ¿quién accedió?, ¿qué diligencias se hicieron?, ¿se informó a las personas de forma compatible?, ¿se contestó dentro del plazo?, ¿se protegió frente a represalias? Si una respuesta no está documentada, identifica si falta evidencia o si falló el proceso.

La revisión periódica debe detectar cambios de plantilla, sector, estructura de grupo, canal externo competente y herramientas utilizadas. Cambiar de proveedor no es solo una operación técnica: puede modificar accesos, conservación, ubicación y disponibilidad del canal. Informa a la organización cuando cambie el procedimiento y elimina copias que ya no sean necesarias.

Siguiente paso

La decisión inicial es comprobar si la entidad está obligada: naturaleza privada o pública, plantilla y actividad regulada. Luego diseña sistema, responsables, procedimiento, confidencialidad y plazos; por último, prueba el canal con un expediente ficticio y explica las vías interna y externa. No copies una política de otra empresa sin revisar tamaño, sector, comunidad, grupo y forma de operación.

Si la organización ya tiene un buzón, compara sus funciones con la Ley 2/2023. Revisa anonimato, acceso, acuse, investigación, tres meses, protección frente a represalias y canal externo. Mantén separado lo que es un reporte de infracción de una reclamación ordinaria, pero deriva los casos mixtos con criterios claros.

La ley establece un marco de gestión, no un resultado predeterminado para cada comunicación. El responsable necesita preservar hechos, oír a las personas pertinentes, controlar acceso y explicar decisiones. Si la comunicación afecta a la dirección o plantea represalias, pide asesoramiento antes de cerrar el expediente. Ante indicios de delito, remite la información inmediatamente al Ministerio Fiscal o, cuando corresponda, a la Fiscalía Europea.

Consulta el centro de recursos jurídicos para otras obligaciones de empresa y el servicio jurídico si necesitas revisar documentación concreta. La página resume el sistema interno; no investiga una denuncia ni sustituye los canales de autoridad.

Preguntas frecuentes

¿Qué empresas están obligadas a implantar un sistema interno de información?

En el sector privado, las entidades con 50 o más trabajadores y algunas personas jurídicas de sectores regulados con independencia del número, en los términos del artículo 10 de la Ley 2/2023. Fuente: BOE, Ley 2/2023.

¿Se permiten las comunicaciones anónimas?

Sí. La Ley 2/2023 exige que el sistema interno permita presentar y tramitar comunicaciones anónimas, junto con garantías de confidencialidad. Fuente: BOE, Ley 2/2023.

¿Quién puede gestionar el canal interno y qué independencia necesita?

El órgano de administración o gobierno designa al Responsable del Sistema, que debe actuar con autonomía e independencia funcional. Su nombramiento o cese se comunica a la Autoridad Independiente de Protección del Informante o autoridad autonómica competente en diez días hábiles. Puede externalizarse la recepción bajo las condiciones legales, sin transferir la responsabilidad. Fuente: artículo 8 de la Ley 2/2023.

¿Qué plazos existen para acusar recibo y responder a una comunicación?

El acuse se envía en un máximo de siete días naturales salvo riesgo para la confidencialidad. El plazo para dar respuesta a las actuaciones de investigación es de tres meses, ampliable hasta otros tres en casos de especial complejidad; no equivale a resolver cualquier procedimiento derivado. Fuente: artículo 9 de la Ley 2/2023.