Canal de denúncies obligatori: què exigeix la Llei 2/2023 i com complir-la el 2026

Des del desembre del 2023, qualsevol empresa amb cinquanta o més persones en plantilla ha de tenir un canal de denúncies. Durant dos anys moltes ho van resoldre amb una bústia de correu i una política a la intranet, perquè ningú no ho comprovava. Això va canviar el 2026: l’Autoritat Independent de Protecció de l’Informant ja és operativa, rep la comunicació del responsable de cada canal per la seva seu electrònica i pot sancionar amb multes de fins a un milió d’euros.

Aquest article explica què exigeix exactament la Llei 2/2023, quines empreses hi estan obligades, quins terminis corren des que arriba una comunicació, què s’hi juga una empresa si no el té i com posar-lo en marxa sense convertir-lo en un projecte. Amb l’article de la llei darrere de cada afirmació.

En resum. Hi estan obligades les empreses amb 50 o més treballadors i, sigui quina sigui la seva mida, les de sectors com els serveis financers o la prevenció del blanqueig. El canal ha d’admetre comunicacions anònimes, fer arribar el justificant de recepció en 7 dies naturals i respondre en 3 mesos (ampliables a 6 en casos complexos). L’empresa designa un Responsable del Sistema i ho comunica a l’Autoritat en 10 dies hàbils. No tenir-lo és una infracció molt greu: de 600.001 a 1.000.000 d’euros per a l’empresa.

---

Què és un canal de denúncies

Un canal de denúncies (la llei l’anomena canal intern d’informació) és la via per la qual qualsevol persona vinculada a una empresa pot comunicar una irregularitat de la qual s’ha assabentat a la feina, amb la garantia que la seva identitat serà confidencial i que no patirà represàlies per fer-ho.

La Llei 2/2023, de 20 de febrer, que trasllada a Espanya la Directiva europea 2019/1937, no demana només una bústia. Demana un Sistema intern d’informació complet, amb quatre peces:

• El canal, pel qual arriben les comunicacions, per escrit, de paraula o de les dues maneres (article 7).
• El Responsable del Sistema, una persona física designada per l’òrgan d’administració, que el gestiona amb independència (article 8).
• El procediment de gestió, aprovat per aquest mateix òrgan, amb els terminis i les garanties (article 9).
• El llibre registre de les comunicacions rebudes i de les investigacions a què van donar lloc (article 26).

Un correu electrònic que llegeix el departament de recursos humans compleix la primera peça a mitges i cap de les altres tres.

---

Quines empreses estan obligades a tenir canal de denúncies

L’article 10 de la llei fixa tres supòsits en el sector privat:

Qui	Des de quan	Base legal
Empreses amb 50 o més treballadors	13 de juny del 2023 les de més de 249; 1 de desembre del 2023 les de 50 a 249	Art. 10.1.a i disposició transitòria segona
Empreses de serveis financers, prevenció del blanqueig de capitals, seguretat del transport i medi ambient, amb qualsevol nombre de treballadors	Des de l’entrada en vigor, segons la seva normativa específica	Art. 10.1.b
Partits polítics, sindicats, organitzacions empresarials i les seves fundacions, si reben o gestionen fons públics	Des de l’entrada en vigor	Art. 10.1.c

La llei parla de treballadors contractats, així que la plantilla es compta per persones i no per jornades completes. Una empresa amb 30 persones a jornada completa i 25 a temps parcial té 55 treballadors contractats.

Per sota de 50 no és obligatori, però sí recomanable, i la llei ho preveu: una empresa no obligada pot tenir el seu propi sistema, sempre que compleixi els mateixos requisits (article 10.2). El motiu pràctic és senzill: el que es comunica a dins es pot corregir abans que arribi a la Inspecció de Treball, a un jutjat o a la premsa.

---

Què es pot comunicar pel canal

La protecció de la llei cobreix les comunicacions sobre (article 2):

• Infraccions del Dret de la Unió Europea en matèries com la contractació pública, els serveis financers, el blanqueig, la seguretat dels productes i del transport, el medi ambient, la salut pública, la protecció de dades o la competència.
• Delictes i infraccions administratives greus o molt greus, en tot cas les que suposen un perjudici econòmic per a Hisenda o la Seguretat Social.
• Infraccions laborals en matèria de seguretat i salut a la feina.

A la pràctica, el que arriba a un canal intern és molt reconeixible: assetjament laboral o sexual, discriminació, frau o corrupció, riscos per a la seguretat, incompliments de jornada o de salari, ús indegut de dades personals, conflictes d’interessos o represàlies contra qui ja havia comunicat alguna cosa abans.

L’empresa pot obrir el canal també a altres queixes, per exemple sobre el clima d’un equip, però aquestes comunicacions queden fora de la protecció especial de la llei (article 7.4).

---

Els requisits que ha de complir el canal

Aquests són els mínims que fixa la llei. Si en falta algun, l’empresa no té un Sistema intern d’informació en els termes exigits, que és just el que l’article 63 sanciona.

1. Accessible a totes les persones protegides: plantilla, autònoms que treballen per a l’empresa, accionistes, membres del consell, personal de contractes i proveïdors, voluntaris, becaris, candidats i antics treballadors (article 3).
2. Per escrit o de paraula i, si la persona ho demana, en una reunió presencial en un màxim de set dies (article 7.2).
3. Amb opció anònima: els canals interns permeten presentar i tramitar comunicacions anònimes (article 7.3).
4. Confidencial i segur, sense accés de personal no autoritzat a la identitat de qui informa ni a la de tercers esmentats (article 5.2.b). L’accés a les dades queda limitat al Responsable del Sistema i a unes poques figures taxades (article 32.1).
5. Amb informació sobre els canals externs: qui comunica ha de saber que també pot acudir a l’Autoritat o a l’autoritat autonòmica competent (articles 7.2 i 9.2.b).
6. Implantat després de consultar la representació legal de les persones treballadores (article 5.1).
7. Amb una política i un procediment aprovats per l’òrgan d’administració. L’Autoritat recomana que siguin documents separats i que la política sigui fàcil de trobar (Recomanació 1/2026).

La gestió del canal es pot externalitzar en un tercer, que haurà d’oferir garanties d’independència, confidencialitat i protecció de dades (article 6). El que no s’externalitza és la responsabilitat: el Responsable del Sistema continua sent de l’empresa.

---

Terminis: justificant de recepció, investigació i resposta

Des que arriba una comunicació comencen a córrer terminis que no admeten interpretació:

Què	Termini	Base legal
Justificant de recepció a qui comunica	7 dies naturals des de la recepció	Art. 9.2.c
Reunió presencial, si la persona la demana	Màxim 7 dies	Art. 7.2
Resposta sobre les actuacions d’investigació	3 mesos des de la recepció (o des que vencia el justificant, si no es va enviar), ampliables 3 més en casos d’especial complexitat	Art. 9.2.d
Supressió de les dades si no s’obre investigació	Als 3 mesos de la recepció	Art. 32.4
Conservació al llibre registre	El que sigui necessari i proporcionat, mai més de 10 anys	Art. 26.2
Comunicar el nomenament o el cessament del Responsable del Sistema	10 dies hàbils	Art. 8.3

Si els fets poguessin ser delicte, la informació es remet immediatament al Ministeri Fiscal (article 9.2.j). I la persona afectada per la comunicació té dret que se l’informi de les accions que se li atribueixen i a ser escoltada, sense saber mai qui les va comunicar.

---

El Responsable del Sistema i l’Autoritat

L’òrgan d’administració designa una persona física com a Responsable del Sistema. En el sector privat ha de ser un directiu de l’empresa que exerceixi el càrrec amb independència, sense rebre instruccions i amb els mitjans necessaris (article 8). Si s’opta per un òrgan col·legiat, aquest delega la gestió en un dels seus membres.

El seu nomenament i el seu cessament es comuniquen a l’Autoritat Independent de Protecció de l’Informant (o a l’autoritat autonòmica competent) en deu dies hàbils. A la pràctica, això ja té data i forma:

• L’Autoritat és plenament operativa des del setembre del 2025.
• El gener del 2026 va publicar la seva Recomanació 1/2026 sobre com ha de ser un Sistema intern d’informació.
• Des del 9 de febrer del 2026 la seva seu electrònica admet la comunicació del Responsable, amb el document que acredita el nomenament. Les empreses que ja tenien canal van disposar de dos mesos, fins al 10 d’abril, per fer-ho.
• Des del 22 de setembre del 2026 la seu electrònica és en una adreça nova, proteccioninformante.sede.gob.es, i l’antiga continua funcionant durant la transició.

Amb el Responsable comunicat, l’Autoritat sap quines empreses tenen canal i quines no. Per això el 2026 és l’any en què no tenir canal deixa de passar desapercebut.

---

Anonimat, confidencialitat i protecció davant de represàlies

Són dues garanties diferents que sovint es confonen. La confidencialitat protegeix qui comunica amb el seu nom: l’empresa sap qui és, però només el Responsable del Sistema i qui gestiona el cas ho poden saber. L’anonimat va més enllà: l’empresa no sap qui és, i el canal ha de permetre seguir la comunicació i conversar amb qui la va presentar sense trencar-lo.

La llei prohibeix qualsevol represàlia contra qui informa de bona fe, incloses les amenaces i les temptatives (article 36): acomiadament, no renovació d’un contracte temporal, degradació, canvis substancials de condicions, avaluacions negatives, llistes negres o danys reputacionals.

I inverteix la càrrega de la prova: si qui va informar demostra raonablement que va comunicar i que va patir un perjudici, es presumeix que va ser una represàlia, i és l’empresa la que ha de provar que la mesura tenia motius justificats i aliens a la comunicació (article 38.4).

---

Sancions per no tenir canal de denúncies

La llei gradua les infraccions i fixa les multes a l’article 65:

Infracció	Empresa (persona jurídica)	Persona física
Lleu	Fins a 100.000 €	De 1.001 a 10.000 €
Greu	De 100.001 a 600.000 €	De 10.001 a 30.000 €
Molt greu	De 600.001 a 1.000.000 €	De 30.001 a 300.000 €

Són molt greus, entre d’altres, aquestes conductes (article 63.1):

• No disposar d’un Sistema intern d’informació en els termes que exigeix la llei.
• Prendre represàlies contra qui va informar.
• Revelar o intentar revelar la identitat de qui va triar l’anonimat, encara que no s’arribi a aconseguir.
• Obstaculitzar les comunicacions o impedir, frustrar o alentir-ne el seguiment.

A més de la multa, en les molt greus l’Autoritat pot acordar l’amonestació pública, la prohibició d’obtenir subvencions o beneficis fiscals durant quatre anys i la de contractar amb el sector públic durant tres. Les multes de 600.001 euros o més a empreses es poden publicar al BOE.

---

Els errors més habituals

1. Un correu electrònic com a canal. Una bústia no és anònima, la pot llegir qui no toca, no avisa dels terminis i no deixa registre. És la manera més comuna de creure que es compleix sense complir.

2. Un Responsable que no és independent. Si qui gestiona el canal és alhora part habitual dels conflictes que hi arriben, la independència que demana l’article 8 no existeix.

3. Que la comunicació arribi al responsable de l’equip. Qui comunica alguna cosa del seu departament no vol que la llegeixi el seu cap. Un canal en què els comandaments intermedis veuen el del seu equip desincentiva exactament les comunicacions que la llei vol protegir.

4. Terminis que ningú no vigila. Set dies per fer arribar el justificant passen sense adonar-se’n si ningú no els veu córrer. I un justificant tardà és un incompliment encara que la investigació sigui impecable.

5. Guardar-ho tot per sempre. El que no s’investiga se suprimeix als tres mesos, i el llibre registre no pot conservar dades més de deu anys.

6. Un canal amagat. Si la plantilla no sap que existeix o no el troba, no compleix la seva funció. L’Autoritat insisteix que la política sigui fàcil de trobar i estigui ben difosa.

---

Com complir-la pas a pas

1. Consulta la representació legal de la plantilla abans d’implantar-lo.
2. Aprova la política i el procediment a l’òrgan d’administració, com a documents separats.
3. Designa el Responsable del Sistema i comunica-ho a l’Autoritat per la seva seu electrònica en deu dies hàbils, amb el document del nomenament.
4. Posa en marxa el canal: amb opció anònima, codi de seguiment, conversa amb qui comunica i la informació sobre els canals externs a la vista.
5. Fes-lo conèixer: al web, a l’acollida de cada incorporació i en un lloc que qualsevol trobi sense preguntar.
6. Porta el llibre registre de cada comunicació, amb les seves dates, les seves fases i com es va tancar.
7. Controla els terminis de justificant i de resposta de cada cas, i suprimeix el que no s’investiga.

---

Com ho resol Quantummycos

A Quantummycos el canal de denúncies és un mòdul més de la mateixa aplicació en què la plantilla fitxa i demana les vacances, així que no cal donar d’alta ningú ni explicar on és: cada persona el té al menú i a l’app del mòbil.

• Anònima de debò, si es vol. Amb l’opció anònima no es guarda ni el nom, ni l’usuari, ni l’hora d’enviament, i la comunicació no deixa rastre al registre d’activitat. Qui la presenta rep un codi de seguiment que es mostra una sola vegada: l’empresa només en guarda una empremta que no permet reconstruir-lo.
• Seguiment i conversa sense revelar ningú. Amb el codi es veu en quina fase és la comunicació, es llegeix la resposta i es parla amb qui la gestiona. Qui la gestiona apareix com a gestió del canal, mai amb el seu nom.
• Els terminis de la llei, a la vista. Cada expedient mostra quan venç el justificant i quan la resposta, es pot ampliar el termini una vegada en casos complexos i el llistat filtra el que està fora de termini.
• Un expedient per comunicació. Número, data de recepció, fases amb les seves dates, notes internes que només veu qui gestiona el canal i com es va tancar: sense fets acreditats, amb mesures adoptades o remesa al Ministeri Fiscal. És la base del llibre registre.
• Només ho veu qui ho gestiona. Les comunicacions les veuen els administradors de l’empresa. Un responsable de departament no veu les del seu equip, ni tan sols les que porten nom, i l’assistent amb IA de l’aplicació no les llegeix.
• El canal extern, sempre a mà, amb l’enllaç al de l’Autoritat, com demana la llei.

El que cap eina no pot fer per l’empresa també és clar: designar el Responsable del Sistema, aprovar la política i el procediment, consultar la representació legal i comunicar-ho a l’Autoritat. El mòdul és el canal on després tot això s’aplica.

El canal de denúncies és al pla Enterprise. Pots veure com funciona el mòdul o entrar a l’aplicació i provar-lo amb el teu equip.

---

Continua llegint

• 10 funcions clau d’un programari de recursos humans, on el canal de denúncies és una de les obligacions que convé tenir resoltes.
• Com detectar colls d’ampolla a RH en una empresa en creixement, perquè a partir de 50 persones arriben juntes diverses obligacions noves.
• Onboarding i offboarding: llista de comprovació i terminis legals 2026, el millor moment per explicar a cada persona que el canal existeix.
• Canal de denúncies, al diccionari de RH, la definició en una frase.

Fonts

• Llei 2/2023, de 20 de febrer, reguladora de la protecció de les persones que informin sobre infraccions normatives i de lluita contra la corrupció (BOE), articles 2, 3, 5 a 10, 26, 32, 36, 38, 63 i 65.
• Directiva (UE) 2019/1937, relativa a la protecció de les persones que informin sobre infraccions del Dret de la Unió (EUR-Lex).
• Autoritat Independent de Protecció de l’Informant, la seva Recomanació 1/2026 sobre el Sistema intern d’informació i el formulari de comunicació del Responsable del Sistema.
• Resolució de 9 de setembre de 2026, per la qual es modifica l’adreça de la seu electrònica de l’Autoritat (BOE).

Aquest article té caràcter informatiu i no constitueix assessorament jurídic. La normativa i els criteris de l’Autoritat evolucionen: verifica sempre el text consolidat vigent al BOE i consulta la teva assessoria. Darrera revisió: setembre del 2026.