Resumen orientativo de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. No sustituye el asesoramiento jurídico; consulte siempre el texto consolidado en el BOE ↗.
¿Quién está obligado a tener un canal de denuncias?
La ley no obliga a todas las empresas por igual. Según el artículo 10, están obligadas:
- Personas físicas o jurídicas del sector privado con 50 o más trabajadores contratados.
- Entidades del sector financiero, prevención del blanqueo de capitales, seguridad del transporte o protección del medioambiente sujetas a normativa específica de la UE, con independencia de su plantilla.
- Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, cuando reciban o gestionen fondos públicos.
- Todas las entidades del sector público, con las particularidades que establece la ley para municipios de menos de 10.000 habitantes.
El resto de entidades puede implantar el canal de forma voluntaria — es una buena práctica de transparencia y cumplimiento aunque no exista obligación legal. ¿No está seguro de si le aplica? Pídanos una revisión gratuita.
Qué protege la ley
No cualquier queja es una comunicación protegida por esta ley. Se protege a quien informa, en un contexto laboral o profesional, sobre infracciones del Derecho de la Unión Europea o infracciones penales o administrativas graves o muy graves del ordenamiento español (incluidas las que supongan pérdidas para la Hacienda Pública). Quejas ajenas a ese ámbito material pueden requerir otros canales — por ejemplo, quejas laborales ordinarias o reclamaciones de clientes, que tienen sus propias vías.
El Responsable del Sistema
Cada entidad obligada debe designar una persona física responsable de la gestión del sistema, que actúa con independencia y no puede recibir instrucciones sobre cómo tramitar los expedientes. El nombramiento y el cese deben notificarse a la Autoridad Independiente de Protección del Informante (A.A.I.) o a la autoridad autonómica competente en el plazo de 10 días hábiles.
Plazos que marca la ley
| Trámite | Plazo |
|---|---|
| Acuse de recibo al informante | 7 días naturales desde la recepción (salvo riesgo para la confidencialidad) |
| Respuesta a las actuaciones de investigación | 3 meses desde la recepción; si no hubo acuse, 3 meses desde el vencimiento de esos 7 días |
| Prórroga por especial complejidad | Hasta 3 meses adicionales, nunca automática |
| Notificación del nombramiento/cese del RS a la A.A.I. | 10 días hábiles |
Protección de datos dentro del canal
El acceso a los datos personales del canal se limita, según el artículo 32, al Responsable del Sistema y quien lo gestione, a Recursos Humanos (solo si procede una medida disciplinaria), a los servicios jurídicos (solo si procede una acción legal), a los encargados del tratamiento designados y al delegado de protección de datos. Los datos que no sean necesarios para la investigación, y cualquier categoría especial de datos, deben suprimirse de inmediato.
Sanciones
El artículo 65 fija multas de hasta 300.000 € para personas físicas responsables de infracciones muy graves, y de hasta 1.000.000 € para personas jurídicas en infracciones muy graves (el tramo grave llega hasta 600.000 €). Tener contratado un software de canal de denuncias no sustituye por sí solo la implantación real: la designación efectiva del responsable, la aprobación del procedimiento y la gestión activa de las comunicaciones siguen siendo responsabilidad de la organización.
Este resumen se ha elaborado consultando directamente el texto consolidado de la Ley 2/2023 en el BOE ↗ el 9 de septiembre de 2026. Es un resumen orientativo, no un dictamen jurídico. Verifique siempre la redacción vigente antes de tomar decisiones.