Canal de denuncias: ¿quién está obligado y desde cuándo?
El Canal de denuncias se ha convertido en una pieza central del cumplimiento normativo (compliance) en España. Sin embargo, la pregunta clave para muchas organizaciones sigue siendo la misma: quién está obligado a implantarlo y desde cuándo. La respuesta no depende solo del número de trabajadores, porque la norma también incluye a determinados sectores regulados, así como a entidades del sector público.
En Beta Legal somos expertos en cumplimiento normativo y en la implantación y gestión del canal de denuncias, con soluciones adaptadas a la realidad de cada empresa: diseño del sistema, procedimiento, garantías, formación y soporte en la gestión de comunicaciones. Todo ello, además, con enfoque práctico para que el canal funcione y sea defendible ante una inspección o requerimiento.
Qué es el canal de denuncias y cómo lo denomina la ley
Aunque en el lenguaje habitual se habla de Canal de denuncias, la Ley 2/2023 utiliza el concepto de Sistema interno de información y su canal interno como vía preferente para comunicar determinadas infracciones. En la práctica, esto implica algo más que un simple buzón: debe existir un procedimiento de gestión, un responsable del sistema y garantías claras de confidencialidad, protección de datos y ausencia de represalias.
Por tanto, si la organización quiere cumplir de forma sólida, el Canal de denuncias debe entenderse como un proceso completo, no como una herramienta aislada.
Quién está obligado a implantar un canal de denuncias
1) Sector privado: regla general de 50 o más trabajadores
En el sector privado, están obligadas las personas físicas o jurídicas que tengan contratados 50 o más trabajadores.
Esta es la regla general y la más conocida. Aun así, conviene revisar el cómputo de plantilla con cuidado, especialmente en empresas con temporalidad, picos estacionales o estructura de centros múltiples, porque un cálculo incorrecto es una de las principales causas de incumplimiento.
2) Sector privado: sectores obligados aunque tengan menos de 50 trabajadores
Además, están obligadas (independientemente del número de trabajadores) las entidades privadas que entren en el ámbito de aplicación de determinados actos de la Unión Europea en materias como servicios, productos y mercados financieros, prevención del blanqueo de capitales y financiación del terrorismo, seguridad del transporte y protección del medio ambiente.
Este punto es especialmente relevante para entidades pequeñas o medianas que, por operar en sectores regulados, pueden estar obligadas aunque no lleguen a 50 personas.
La ley también considera incluidas, en estos casos, a entidades que no tengan domicilio en España pero desarrollen actividad en España mediante sucursales, agentes o prestación de servicios sin establecimiento permanente.
3) Partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculadas (si gestionan fondos públicos)
La obligación se extiende igualmente a partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por unos y otros cuando reciban o gestionen fondos públicos.
4) Sector público: obligación general
En el sector público, la obligación es amplia: todas las entidades que integran el sector público deben disponer de un sistema interno de información.
Esto incluye, entre otros, Administración General del Estado, comunidades autónomas, entidades locales, organismos dependientes, universidades públicas, corporaciones de derecho público y fundaciones del sector público.
Casos frecuentes: grupos de empresas y medios compartidos
Canal de denuncias en grupos de sociedades
Cuando existe un grupo de empresas, la sociedad dominante debe aprobar una política general sobre el sistema interno de información y la protección del informante, pudiendo articularse un sistema para todo el grupo, con matices según la organización y la gobernanza interna.
Empresas de 50 a 249: posibilidad de compartir recursos
Las entidades privadas con 50 a 249 trabajadores pueden, si así lo deciden, compartir el sistema interno y recursos para gestionar comunicaciones, incluso si la gestión está externalizada, siempre respetando las garantías de la ley.
En la práctica, esta opción puede ser eficiente para estructuras con varias sociedades pequeñas o para organizaciones con recursos limitados, siempre que se haga con un diseño correcto y trazable.
Desde cuándo es obligatorio el canal de denuncias: fechas clave
Entrada en vigor de la Ley 2/2023
La Ley 2/2023 fue publicada en el BOE el 21/02/2023 y entró en vigor el 13/03/2023.
Plazo general de implantación: 3 meses desde la entrada en vigor
Con carácter general, las entidades obligadas debían implantar el sistema interno de información en el plazo máximo de 3 meses desde la entrada en vigor.
Si tomamos como referencia el 13/03/2023, el plazo general condujo, en términos prácticos, a mediados de junio de 2023 para quienes no estuvieran dentro de la excepción.
Excepción para 249 trabajadores o menos: hasta el 1 de diciembre de 2023
La propia ley establece una excepción: para las entidades jurídicas del sector privado con 249 trabajadores o menos (y también para municipios de menos de 10.000 habitantes), el plazo se extendió hasta el 1 de diciembre de 2023.
Consecuencia práctica en 2026: si la organización está obligada, el canal de denuncias ya debería estar implantado, operativo y con garantías. Si no lo está, el riesgo no es teórico; es un incumplimiento que puede aflorar por inspección, auditoría, conflicto interno o comunicación externa.
Requisitos mínimos que debe cumplir un canal de denuncias
Implantar un canal de denuncias “de cualquier manera” suele ser peor que hacerlo bien: genera desconfianza, aumenta el riesgo de filtraciones y, además, puede provocar incumplimientos adicionales (confidencialidad, plazos, protección de datos). Estos son requisitos que conviene tener muy presentes:
Canales de comunicación: escrito, verbal y reunión en 7 días
El canal interno debe permitir comunicaciones por escrito o verbalmente, o de ambas formas. Puede ser por correo postal, medios electrónicos, teléfono o mensajería de voz. Además, si el informante lo solicita, debe poder presentarse mediante reunión presencial en un máximo de 7 días.
Posibilidad de comunicaciones anónimas
Los canales internos deben permitir la presentación y tramitación de comunicaciones anónimas.
Confidencialidad, seguridad y acceso restringido
El sistema debe estar diseñado y gestionado de forma segura, garantizando la confidencialidad de la identidad del informante y de terceros mencionados, así como la protección de datos, impidiendo el acceso a personal no autorizado.
Plazos: acuse de recibo en 7 días y respuesta en 3 meses (ampliable)
El procedimiento debe prever el acuse de recibo en un máximo de 7 días naturales, salvo que ello ponga en riesgo la confidencialidad. También debe fijar el plazo máximo para responder a la investigación, que no puede superar 3 meses, con posibilidad de ampliación hasta otros 3 meses adicionales en casos de especial complejidad.
Procedimiento aprobado y figura responsable
El órgano de administración u órgano de gobierno debe aprobar el procedimiento de gestión y la tramitación diligente del canal de denuncias, y nombrar en acta al responsable del sistema.
Sanciones por no implantar o implementar mal el canal de denuncias
La Ley 2/2023 prevé un régimen sancionador con multas que varían según se trate de persona física o jurídica y según la gravedad:
- Personas físicas: de 1.001 a 10.000 € (leves), 10.001 a 30.000 € (graves) y 30.001 a 300.000 € (muy graves).
- Personas jurídicas: hasta 100.000 € (leves), 100.001 a 600.000 € (graves) y 600.001 a 1.000.000 € (muy graves).
Además, en infracciones muy graves pueden acordarse medidas adicionales como amonestación pública, prohibición de obtener subvenciones o beneficios fiscales hasta 4 años y prohibición de contratar con el sector público hasta 3 años.
Por tanto, el análisis no debe centrarse solo en “tener o no tener” canal, sino en que sea conforme, operativo y con garantías reales.
Errores comunes que impiden cumplir (y cómo evitarlos)
- Implantar un “buzón” sin procedimiento, sin responsable y sin plazos.
- No garantizar confidencialidad real ni limitar accesos.
- No permitir comunicaciones verbales o no habilitar reunión en 7 días si se solicita.
- Ignorar los plazos de acuse (7 días) y respuesta (3 meses).
- Diseñar un canal que no admite anonimato o que, en la práctica, lo hace inviable.
- No formar a quienes reciben comunicaciones por vías no oficiales y no prever su derivación inmediata al responsable, lo que eleva el riesgo de brechas de confidencialidad.
Cómo puede ayudarte Beta Legal
El Canal de denuncias exige equilibrio: debe ser accesible para comunicar, pero también seguro, confidencial, con tiempos y garantías, y con un procedimiento defendible. En Beta Legal somos expertos en implantar y gestionar el Canal de denuncias de forma integral, incluyendo plataforma, procedimiento, soporte y acompañamiento para que el sistema funcione y cumpla.
Conclusión
El Canal de denuncias es obligatorio, en el sector privado, para empresas con 50 o más trabajadores, y también para determinadas entidades de sectores regulados aunque tengan menos plantilla, además de otras organizaciones concretas que gestionen fondos públicos. En el sector público, la obligación es general. En cuanto a los plazos, la Ley 2/2023 entró en vigor el 13/03/2023, con un plazo general de 3 meses y una excepción hasta el 01/12/2023 para entidades privadas de 249 trabajadores o menos.
Artículo revisado por Gemma Fayos, Abogada Laboralista y especialista en Planes de Igualdad y Registro Salarial y Auditoría retributiva.
