Canal de denuncias obligatorio: qué exige la Ley 2/2023 y cómo cumplir en 2026

Desde diciembre de 2023, cualquier empresa con cincuenta o más personas en plantilla tiene que tener un canal de denuncias. Durante dos años muchas lo resolvieron con un buzón de correo y una política en la intranet, porque nadie lo comprobaba. Eso cambió en 2026: la Autoridad Independiente de Protección del Informante ya está operativa, recibe la comunicación del responsable de cada canal por su sede electrónica y puede sancionar con multas de hasta un millón de euros.

Este artículo explica qué exige exactamente la Ley 2/2023, qué empresas están obligadas, qué plazos corren desde que llega una comunicación, qué se juega una empresa si no lo tiene y cómo montarlo sin convertirlo en un proyecto. Con el artículo de la ley detrás de cada afirmación.

En corto. Están obligadas las empresas con 50 o más trabajadores y, sea cual sea su tamaño, las de sectores como los servicios financieros o la prevención del blanqueo. El canal tiene que admitir comunicaciones anónimas, acusar recibo en 7 días naturales y responder en 3 meses (ampliables a 6 en casos complejos). La empresa designa a un Responsable del Sistema y lo comunica a la Autoridad en 10 días hábiles. No tenerlo es una infracción muy grave: de 600.001 a 1.000.000 de euros para la empresa.

---

Qué es un canal de denuncias

Un canal de denuncias (la ley lo llama canal interno de información) es la vía por la que cualquier persona vinculada a una empresa puede comunicar una irregularidad de la que se ha enterado en su trabajo, con la garantía de que su identidad será confidencial y de que no sufrirá represalias por hacerlo.

La Ley 2/2023, de 20 de febrero, que traslada a España la Directiva europea 2019/1937, no pide solo un buzón. Pide un Sistema interno de información completo, con cuatro piezas:

• El canal, por el que llegan las comunicaciones, por escrito, de palabra o de las dos formas (artículo 7).
• El Responsable del Sistema, una persona física designada por el órgano de administración, que lo gestiona con independencia (artículo 8).
• El procedimiento de gestión, aprobado por ese mismo órgano, con los plazos y las garantías (artículo 9).
• El libro-registro de las comunicaciones recibidas y de las investigaciones a que dieron lugar (artículo 26).

Un correo electrónico que lee el departamento de recursos humanos cumple la primera pieza a medias y ninguna de las otras tres.

---

Qué empresas están obligadas a tener canal de denuncias

El artículo 10 de la ley fija tres supuestos en el sector privado:

Quién	Desde cuándo	Base legal
Empresas con 50 o más trabajadores	13 de junio de 2023 las de más de 249; 1 de diciembre de 2023 las de 50 a 249	Art. 10.1.a y disposición transitoria segunda
Empresas de servicios financieros, prevención del blanqueo de capitales, seguridad del transporte y medio ambiente, con cualquier número de trabajadores	Desde la entrada en vigor, según su normativa específica	Art. 10.1.b
Partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, si reciben o gestionan fondos públicos	Desde la entrada en vigor	Art. 10.1.c

La ley habla de trabajadores contratados, así que cuenta la plantilla por personas y no por jornadas completas. Una empresa con 30 personas a jornada completa y 25 a tiempo parcial tiene 55 trabajadores contratados.

Por debajo de 50 no es obligatorio, pero sí recomendable, y la ley lo prevé: una empresa no obligada puede tener su propio sistema, siempre que cumpla los mismos requisitos (artículo 10.2). La razón práctica es sencilla: lo que se comunica dentro se puede corregir antes de que llegue a la Inspección de Trabajo, a un juzgado o a la prensa.

---

Qué se puede comunicar por el canal

La protección de la ley cubre las comunicaciones sobre (artículo 2):

• Infracciones del Derecho de la Unión Europea en materias como contratación pública, servicios financieros, blanqueo, seguridad de productos y del transporte, medio ambiente, salud pública, protección de datos o competencia.
• Delitos y infracciones administrativas graves o muy graves, en todo caso las que suponen un perjuicio económico para Hacienda o la Seguridad Social.
• Infracciones laborales en materia de seguridad y salud en el trabajo.

En la práctica, lo que llega a un canal interno es muy reconocible: acoso laboral o sexual, discriminación, fraude o corrupción, riesgos para la seguridad, incumplimientos de jornada o salario, uso indebido de datos personales, conflictos de intereses o represalias contra quien ya comunicó algo antes.

La empresa puede abrir el canal también a otras quejas, por ejemplo sobre el clima de un equipo, pero esas comunicaciones quedan fuera de la protección especial de la ley (artículo 7.4).

---

Los requisitos que tiene que cumplir el canal

Estos son los mínimos que fija la ley. Si falta alguno, la empresa no tiene un Sistema interno de información en los términos exigidos, que es justo lo que el artículo 63 sanciona.

1. Accesible a todas las personas protegidas: plantilla, autónomos que trabajan para la empresa, accionistas, miembros del consejo, personal de contratas y proveedores, voluntarios, becarios, candidatos y antiguos empleados (artículo 3).
2. Por escrito o de palabra, y si la persona lo pide, en una reunión presencial en un máximo de siete días (artículo 7.2).
3. Con opción anónima: los canales internos permiten presentar y tramitar comunicaciones anónimas (artículo 7.3).
4. Confidencial y seguro, sin acceso de personal no autorizado a la identidad de quien informa ni a la de terceros mencionados (artículo 5.2.b). El acceso a los datos queda limitado al Responsable del Sistema y a unas pocas figuras tasadas (artículo 32.1).
5. Con información sobre los canales externos: quien comunica tiene que saber que también puede acudir a la Autoridad o a la autoridad autonómica competente (artículos 7.2 y 9.2.b).
6. Implantado tras consultar a la representación legal de las personas trabajadoras (artículo 5.1).
7. Con una política y un procedimiento aprobados por el órgano de administración. La Autoridad recomienda que sean documentos separados y que la política sea fácil de encontrar (Recomendación 1/2026).

La gestión del canal se puede externalizar en un tercero, que tendrá que ofrecer garantías de independencia, confidencialidad y protección de datos (artículo 6). Lo que no se externaliza es la responsabilidad: el Responsable del Sistema sigue siendo de la empresa.

---

Plazos: acuse de recibo, investigación y respuesta

Desde que llega una comunicación empiezan a correr plazos que no admiten interpretación:

Qué	Plazo	Base legal
Acuse de recibo a quien comunica	7 días naturales desde la recepción	Art. 9.2.c
Reunión presencial, si la persona la pide	Máximo 7 días	Art. 7.2
Respuesta sobre las actuaciones de investigación	3 meses desde la recepción (o desde que vencía el acuse, si no se envió), ampliables otros 3 en casos de especial complejidad	Art. 9.2.d
Supresión de los datos si no se abre investigación	A los 3 meses de la recepción	Art. 32.4
Conservación en el libro-registro	Lo necesario y proporcionado, nunca más de 10 años	Art. 26.2
Comunicar el nombramiento o el cese del Responsable del Sistema	10 días hábiles	Art. 8.3

Si los hechos pudieran ser delito, la información se remite de inmediato al Ministerio Fiscal (artículo 9.2.j). Y la persona afectada por la comunicación tiene derecho a que se le informe de las acciones que se le atribuyen y a ser oída, sin conocer nunca quién la comunicó.

---

El Responsable del Sistema y la Autoridad

El órgano de administración designa a una persona física como Responsable del Sistema. En el sector privado tiene que ser un directivo de la empresa que ejerza el cargo con independencia, sin recibir instrucciones y con los medios necesarios (artículo 8). Si se opta por un órgano colegiado, este delega la gestión en uno de sus miembros.

Su nombramiento y su cese se comunican a la Autoridad Independiente de Protección del Informante (o a la autoridad autonómica competente) en diez días hábiles. En la práctica, esto ya tiene fecha y forma:

• La Autoridad está plenamente operativa desde septiembre de 2025.
• En enero de 2026 publicó su Recomendación 1/2026 sobre cómo debe ser un Sistema interno de información.
• Desde el 9 de febrero de 2026 su sede electrónica admite la comunicación del Responsable, con el documento que acredita el nombramiento. Las empresas que ya tenían canal dispusieron de dos meses, hasta el 10 de abril, para hacerlo.
• Desde el 22 de septiembre de 2026 la sede electrónica está en una dirección nueva, proteccioninformante.sede.gob.es, y la antigua sigue funcionando durante la transición.

Con el Responsable comunicado, la Autoridad sabe qué empresas tienen canal y cuáles no. Por eso 2026 es el año en que no tener canal deja de pasar desapercibido.

---

Anonimato, confidencialidad y protección frente a represalias

Son dos garantías distintas que se confunden a menudo. La confidencialidad protege a quien comunica con su nombre: la empresa sabe quién es, pero solo el Responsable del Sistema y quien gestiona el caso pueden saberlo. El anonimato va más allá: la empresa no sabe quién es, y el canal tiene que permitir seguir la comunicación y conversar con quien la presentó sin romperlo.

La ley prohíbe cualquier represalia contra quien informa de buena fe, incluidas las amenazas y las tentativas (artículo 36): despido, no renovación de un contrato temporal, degradación, cambios sustanciales de condiciones, evaluaciones negativas, listas negras o daños reputacionales.

Y da la vuelta a la carga de la prueba: si quien informó demuestra razonablemente que comunicó y que sufrió un perjuicio, se presume que fue una represalia, y es la empresa la que tiene que probar que la medida tenía motivos justificados y ajenos a la comunicación (artículo 38.4).

---

Sanciones por no tener canal de denuncias

La ley gradúa las infracciones y fija las multas en el artículo 65:

Infracción	Empresa (persona jurídica)	Persona física
Leve	Hasta 100.000 €	De 1.001 a 10.000 €
Grave	De 100.001 a 600.000 €	De 10.001 a 30.000 €
Muy grave	De 600.001 a 1.000.000 €	De 30.001 a 300.000 €

Son muy graves, entre otras, estas conductas (artículo 63.1):

• No disponer de un Sistema interno de información en los términos que exige la ley.
• Tomar represalias contra quien informó.
• Revelar o intentar revelar la identidad de quien eligió el anonimato, aunque no se llegue a conseguir.
• Obstaculizar las comunicaciones o impedir, frustrar o ralentizar su seguimiento.

Además de la multa, en las muy graves la Autoridad puede acordar la amonestación pública, la prohibición de obtener subvenciones o beneficios fiscales durante cuatro años y la de contratar con el sector público durante tres. Las multas de 600.001 euros o más a empresas pueden publicarse en el BOE.

---

Los errores más habituales

1. Un correo electrónico como canal. Un buzón no es anónimo, lo puede leer quien no debe, no avisa de los plazos y no deja registro. Es la forma más común de creer que se cumple sin cumplir.

2. Un Responsable que no es independiente. Si quien gestiona el canal es a la vez parte habitual de los conflictos que llegan por él, la independencia que pide el artículo 8 no existe.

3. Que la comunicación llegue al responsable del equipo. Quien comunica algo de su departamento no quiere que lo lea su jefe. Un canal en el que los mandos intermedios ven lo de su equipo desincentiva exactamente las comunicaciones que la ley quiere proteger.

4. Plazos que nadie vigila. Siete días para acusar recibo se pasan sin darse cuenta si nadie los ve correr. Y un acuse tardío es un incumplimiento aunque la investigación sea impecable.

5. Guardarlo todo para siempre. Lo que no se investiga se suprime a los tres meses, y el libro-registro no puede conservar datos más de diez años.

6. Un canal escondido. Si la plantilla no sabe que existe o no lo encuentra, no cumple su función. La Autoridad insiste en que la política sea fácil de encontrar y esté bien difundida.

---

Cómo cumplir paso a paso

1. Consulta a la representación legal de la plantilla antes de implantarlo.
2. Aprueba la política y el procedimiento en el órgano de administración, como documentos separados.
3. Designa al Responsable del Sistema y comunícalo a la Autoridad por su sede electrónica en diez días hábiles, con el documento del nombramiento.
4. Pon en marcha el canal: con opción anónima, código de seguimiento, conversación con quien comunica y la información sobre los canales externos a la vista.
5. Dalo a conocer: en la web, en la acogida de cada incorporación y en un sitio que cualquiera encuentre sin preguntar.
6. Lleva el libro-registro de cada comunicación, con sus fechas, sus fases y cómo se cerró.
7. Controla los plazos de acuse y de respuesta de cada caso, y suprime lo que no se investiga.

---

Cómo lo resuelve Quantummycos

En Quantummycos el canal de denuncias es un módulo más de la misma aplicación en la que la plantilla ficha y pide sus vacaciones, así que no hay que dar de alta a nadie ni explicar dónde está: cada persona lo tiene en su menú y en la app del móvil.

• Anónima de verdad, si se quiere. Con la opción anónima no se guarda ni el nombre, ni el usuario, ni la hora de envío, y la comunicación no deja rastro en el registro de actividad. Quien la presenta recibe un código de seguimiento que se enseña una sola vez: la empresa solo guarda una huella que no permite reconstruirlo.
• Seguimiento y conversación sin revelar a nadie. Con el código se ve en qué fase está la comunicación, se lee la respuesta y se habla con quien la gestiona. Quien la gestiona aparece como gestión del canal, nunca con su nombre.
• Los plazos de la ley, a la vista. Cada expediente enseña cuándo vence el acuse y cuándo la respuesta, se puede ampliar el plazo una vez en casos complejos y el listado filtra lo que está fuera de plazo.
• Un expediente por comunicación. Número, fecha de recepción, fases con sus fechas, notas internas que solo ve quien gestiona el canal y cómo se cerró: sin hechos acreditados, con medidas adoptadas o remitida al Ministerio Fiscal. Es la base del libro-registro.
• Solo lo ve quien lo gestiona. Las comunicaciones las ven los administradores de la empresa. Un responsable de departamento no ve las de su equipo, ni siquiera las que llevan nombre, y el asistente con IA de la aplicación no las lee.
• El canal externo, siempre a mano, con el enlace al de la Autoridad, como pide la ley.

Lo que ninguna herramienta puede hacer por la empresa también está claro: designar al Responsable del Sistema, aprobar la política y el procedimiento, consultar a la representación legal y comunicarlo a la Autoridad. El módulo es el canal donde luego todo eso se aplica.

El canal de denuncias está en el plan Enterprise. Puedes ver cómo funciona el módulo o entrar en la aplicación y probarlo con tu equipo.

---

Seguir leyendo

• 10 funciones clave en un software de Recursos Humanos en España, donde el canal de denuncias es una de las obligaciones que conviene tener resueltas.
• Cómo detectar cuellos de botella en RRHH en una empresa en crecimiento, porque a partir de 50 personas llegan juntas varias obligaciones nuevas.
• Onboarding y offboarding: checklist y plazos legales 2026, el mejor momento para contar a cada persona que el canal existe.
• Canal de denuncias, en el diccionario de RRHH, la definición en una frase.

Fuentes

• Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE), artículos 2, 3, 5 a 10, 26, 32, 36, 38, 63 y 65.
• Directiva (UE) 2019/1937, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (EUR-Lex).
• Autoridad Independiente de Protección del Informante, su Recomendación 1/2026 sobre el Sistema interno de información y el formulario de comunicación del Responsable del Sistema.
• Resolución de 9 de septiembre de 2026, por la que se modifica la dirección de la sede electrónica de la Autoridad (BOE).

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. La normativa y los criterios de la Autoridad evolucionan: verifica siempre el texto consolidado vigente en el BOE y consulta con tu asesoría. Última revisión: septiembre de 2026.