Canal de denuncias: a quién obliga la Ley 2/2023 y qué tiene que cumplir

A quién obliga

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, traspuso al ordenamiento español la Directiva (UE) 2019/1937. Entró en vigor el 13 de marzo de 2023 y obliga a implantar lo que la ley llama un Sistema interno de información, que es bastante más que un formulario de denuncias.

Están obligadas:

• Las empresas privadas con 50 o más personas trabajadoras, sea cual sea su sector. Se cuenta toda la plantilla, con independencia del tipo de contrato.
• Con independencia del tamaño, las entidades que operan en servicios financieros, las sujetas a la normativa de prevención del blanqueo de capitales y de la financiación del terrorismo, y las incluidas en el ámbito de los actos de la Unión sobre seguridad del transporte y protección del medio ambiente.
• Los partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban o gestionen fondos públicos.
• Todo el sector público, sin umbral de tamaño.

Los plazos ya han pasado

Conviene decirlo claro, porque muchas empresas todavía lo tratan como algo futuro: los plazos de implantación vencieron hace más de dos años. Una empresa obligada que hoy no tenga el sistema no está «yendo tarde», está en situación de incumplimiento.

Qué tiene que cumplir el canal

El error más común es resolverlo con una dirección de correo del tipo denuncias@empresa.es. No cumple: la ley no pide un buzón, pide un sistema con procedimiento, plazos y rastro. Esto es lo exigible:

• Denuncias por escrito y verbales. Ambas vías. La verbal puede ser por teléfono, sistema de mensajería de voz o, a petición del informante, reunión presencial.
• Posibilidad de denuncia anónima. El sistema debe admitirla, y también las identificadas.
• Confidencialidad de la identidad del informante y de cualquier tercero mencionado en la denuncia.
• Un Responsable del Sistema nombrado por el órgano de administración y comunicado a la Autoridad Independiente de Protección del Informante.
• Un procedimiento de gestión por escrito, junto con una política de denuncias, aprobados por el órgano de administración.
• Un libro-registro de las informaciones recibidas y de las investigaciones realizadas, sujeto al RGPD y a la LOPDGDD.
• Protección frente a represalias para quien informa, durante los dos años siguientes.
• Información accesible sobre el canal y sobre los canales externos de la autoridad, visible para la plantilla y para terceros.

Las empresas de 50 a 249 personas trabajadoras pueden compartir recursos para gestionar el sistema, conforme al artículo 12. La obligación de tenerlo, en cambio, sigue siendo de cada empresa por separado.

El Responsable del Sistema

Es la figura que más se descuida y la que más se nota en una inspección. No basta con designar a alguien de forma informal:

• Lo nombra el órgano de administración, y ese nombramiento se comunica a la Autoridad Independiente de Protección del Informante.
• Debe desempeñar su función de forma independiente y autónoma, sin recibir instrucciones sobre cómo tramitar los casos.
• Puede ser una persona física o un órgano colegiado, y puede ser interno o externo. Externalizarlo es perfectamente válido y suele ser la salida práctica en empresas medianas sin departamento de compliance.

Aquí aparece un conflicto que conviene prever: si el Responsable depende jerárquicamente de la persona que podría ser denunciada, la independencia se cae sola. En estructuras pequeñas es un motivo razonable para externalizar la figura.

Los dos plazos de cada denuncia

Recibida una denuncia, empiezan a correr dos relojes. Incumplirlos es infracción por sí mismo, con independencia de lo que se concluya sobre el fondo del asunto.

Siete días naturales incluyen fines de semana y festivos. En una empresa donde el canal es un correo que alguien mira cuando puede, un puente de tres días se come casi la mitad del plazo.

Sanciones

El régimen sancionador de la Ley 2/2023 es de los más severos del ordenamiento laboral español, y muy por encima del de otras obligaciones de gestión de personas.

Para poner la cifra en contexto: no llevar el registro de jornada se sanciona con un máximo de 7.500 €. No tener canal de denuncias puede costar más de cien veces esa cantidad. Y a diferencia del registro horario, aquí no hace falta que venga una inspección: basta con que una persona de la plantilla acuda directamente al canal externo de la autoridad.

Cómo funciona en MarQ HR

El canal de denuncias de MarQ HR vive en la misma plataforma en la que tu plantilla ya ficha, pide vacaciones y consulta sus documentos. Eso resuelve el problema práctico de casi todos los canales: que nadie sabe dónde está.

• Denuncia anónima o identificada, desde la app o el portal del empleado, sin instalar nada aparte.
• Acceso restringido y concedido expresamente. Solo ve los casos quien tenga el permiso, que concede el administrador de la cuenta. El resto de la organización, incluido RR. HH., no accede a las denuncias.
• Seguimiento del caso con estado y comunicación con el informante, también cuando la denuncia es anónima.
• Registro de lo actuado, para el libro-registro que exige la ley.
• Datos alojados en la Unión Europea, con contrato de encargado del tratamiento conforme al art. 28 del RGPD.

Lo que la plataforma no hace, y conviene decirlo: no sustituye al Responsable del Sistema ni redacta tu procedimiento de gestión. Esas dos piezas son decisiones de tu órgano de administración, y conviene cerrarlas con tu asesoría jurídica. La herramienta soporta el proceso; no asume la figura.

Preguntas frecuentes