¿Qué es un canal de denuncias?
Guía completa sobre qué es un canal de denuncias, quién está obligado por la Ley 2/2023, cómo funciona y cómo elegir entre gestión interna y externalizada.
¿Qué es un canal de denuncias?
Un canal de denuncias es un mecanismo seguro y confidencial que permite a empleados, proveedores, clientes y terceros comunicar conductas irregulares, ilegales o contrarias a la ética detectadas en su entorno laboral. A diferencia de un buzón de sugerencias, protege la identidad del informante y garantiza que cada comunicación se investiga con independencia dentro de plazos legalmente establecidos.
Marco legal: Directiva (UE) 2019/1937 y Ley 2/2023
La obligación deriva de la transposición de la Directiva (UE) 2019/1937 (Whistleblowing Directive) al ordenamiento español mediante la Ley 2/2023, de 20 de febrero. Esta ley establece confidencialidad de la identidad del informante, prohibición de represalias y plazos de investigación exigibles.
Antes de la Ley 2/2023 ya existían obligaciones sectoriales: entidades financieras por la Ley 10/2010, empresas cotizadas y entidades de crédito. La Ley 2/2023 extiende la obligación a todas las empresas de 50 o más trabajadores y a todo el sector público.
¿Quién está obligado?
- Empresas de 50 o más trabajadores de cualquier sector.
- Empresas de cualquier tamaño del sector financiero y asegurador (Ley 10/2010).
- Todo el sector público: Administración General del Estado, CCAA, entidades locales, universidades, partidos políticos y sindicatos con financiación pública.
- Los grupos de empresas pueden establecer un canal único para todo el grupo.
Cómo funciona un canal de denuncias
- Presentación. El informante describe los hechos, de forma anónima o identificada. Si es anónimo, recibe un código de seguimiento para consultar el estado.
- Acuse de recibo. Obligatorio en 7 días naturales (art. 17 Ley 2/2023).
- Investigación. El Responsable del Sistema investiga, recaba evidencias y elabora conclusiones. Plazo máximo: 3 meses (ampliable a 6 en casos complejos).
- Resolución. Se comunica el resultado al informante y se adoptan medidas correctoras.
Requisitos mínimos legales (art. 9 Ley 2/2023)
- Comunicaciones por escrito y/o verbalmente.
- Confidencialidad de la identidad del informante y los terceros mencionados.
- Independencia del Responsable del Sistema.
- Información visible sobre el canal externo de la AIPI y autoridades autonómicas.
- Libro-registro de todas las informaciones recibidas (art. 26).
- Plazos: acuse 7 días, resolución 3 meses.
Canal interno vs. gestión externalizada
El art. 6 de la Ley 2/2023 permite expresamente externalizar la gestión del canal. Para la mayoría de empresas es la opción recomendada porque garantiza independencia real frente al informante, aporta especialización jurídica en la investigación y elimina la carga operativa interna.
En el modelo externalizado la empresa sigue siendo responsable del tratamiento y mantiene la autoridad sobre la resolución final. El gestor externo actúa como encargado del tratamiento (art. 28 RGPD).
Cómo elegir un proveedor
- Conformidad legal completa: acuse 7 días, resolución 3 meses, libro-registro, cadena de custodia, info sobre canales externos AIPI.
- Anonimato técnico real: sin almacenamiento de IPs, sin analytics, secretos hasheados.
- Cifrado y residencia del dato: datos en la UE, AES-256 en reposo, TLS 1.3 en tránsito, DPA disponible.
- Equipo investigador: formación, gestión del conflicto de interés, independencia.
Consulta la página de seguridad de Snich para ver las medidas técnicas y organizativas de nuestra plataforma.
Preguntas frecuentes
¿El canal de denuncias es obligatorio para todas las empresas?
No. La obligación afecta a empresas de 50 o más trabajadores de cualquier sector, y a empresas de cualquier tamaño del sector financiero y asegurador. Las empresas de menos de 50 trabajadores de otros sectores no están obligadas, aunque pueden implantarlo voluntariamente.
¿Puede el denunciante ser completamente anónimo?
Sí. La Ley 2/2023 permite las comunicaciones anónimas. El informante recibe un código de seguimiento para consultar el estado de su expediente sin necesidad de identificarse. Un proveedor técnicamente riguroso garantiza que la IP del informante no se almacene en ningún momento.
¿Qué diferencia hay entre denuncia anónima e identificada?
En la denuncia anónima el informante no facilita ningún dato personal. En la identificada, el informante proporciona su nombre y datos de contacto, lo que puede facilitar la investigación y permite al RSII contactar con él para recabar más información. En ambos casos la ley protege al informante frente a represalias.
¿Cuánto tiempo tiene la empresa para responder?
La ley establece dos plazos: acuse de recibo en 7 días naturales y resolución de la investigación en 3 meses desde el acuse, ampliable a 6 meses en casos de especial complejidad.
¿Qué pasa si no tengo canal de denuncias?
Si tu empresa está obligada y no tiene canal, incurres en una infracción muy grave sancionable con multa de hasta 1.000.000 € para personas jurídicas. Además, en caso de denuncia de un empleado ante la AIPI, la falta del canal agrava la posición de la empresa en el procedimiento.