¿Quién está obligado a implantar un canal de denuncias en España?

El Alcance Material y Temporal de la Ley 2/2023

La publicación en el BOE de la Ley 2/2023, de 20 de febrero, transpuso al derecho interno español la Directiva europea 2019/1937 tras meses de retraso y apercibimientos de la Comisión Europea. Sin embargo, el legislador español no se limitó a replicar el texto comunitario: ensanchó notablemente el catálogo de conductas denunciables.

En España, el canal interno no se circunscribe a fraudes contra el presupuesto comunitario o irregularidades en contratación pública europea. Conforme al artículo 2 de la norma, da cobertura a:

• Cualquier acción u omisión que pueda constituir infracción del Derecho de la Unión Europea;
• Cualquier hecho susceptible de ser calificado como delito según el Código Penal español (desde estafas y cohechos hasta delitos contra la intimidad o contra los derechos de los trabajadores);
• Toda infracción administrativa calificada como grave o muy grave en el ordenamiento jurídico español, con especial énfasis en aquellas que causen perjuicio económico directo a la Hacienda Pública estatal, autonómica o local y a la Tesorería General de la Seguridad Social.

Este espectro convierte al canal interno en una pieza nuclear del modelo de compliance penal y laboral de cualquier empresa que opere en territorio español.

La Regla de los 50 Trabajadores: Cómo Calcular la Plantilla sin Errores

El artículo 10.1.a) de la Ley 2/2023 fija el umbral general: están obligadas las personas físicas o jurídicas del sector privado que cuenten con 50 o más trabajadores. Aunque la redacción parece directa, la práctica forense demuestra que el cálculo de la plantilla suscita discrepancias constantes en sedes inspectoras y judiciales.

Reglas de Cómputo Laboral y Asimilación de Efectivos

Para computar si una mercantil alcanza la cota de 50 empleados no basta con mirar el número de nóminas fijas emitidas en el último mes. Siguiendo el criterio asentado por el Tribunal Supremo y la Dirección General de Trabajo en materia de representación colectiva y planes de igualdad, deben aplicarse las siguientes pautas:

• Contratos indefinidos a tiempo completo: Cada persona computa como un trabajador completo;
• Contratos a tiempo parcial: Con independencia del porcentaje de jornada pactado (sea un 20% o un 75%), cada contrato a tiempo parcial suma como una persona trabajadora a efectos del umbral numérico;
• Contratos de duración determinada (temporales): Computan plenamente los contratos vigentes a la fecha de evaluación. Asimismo, los contratos temporales extinguidos en los seis meses anteriores computan a razón de un trabajador adicional por cada 100 días trabajados o fracción;
• Personal de Empresas de Trabajo Temporal (ETT): Las personas trabajadoras puestas a disposición que presten servicios en la empresa usuaria en el periodo de cómputo se computan en la plantilla efectiva;
• Personal directivo bajo relación laboral especial de alta dirección: Se integran de forma obligatoria en el cómputo total de la empresa;
• Becarios y personas en formación: Si desempeñan funciones operativas integradas en la dinámica productiva, la Inspección de Trabajo tiende a valorarlos en inspecciones sobre volumen real de plantilla.

Supuesto Práctico: Fluctuaciones Estacionales

Pensemos en una mercantil del sector agroalimentario en Murcia o en un operador hotelero en Baleares. Durante ocho meses al año opera con 32 trabajadores fijos, pero en los meses de campaña o temporada estival contrata a 45 empleados temporales, alcanzando picos de 77 efectivos. ¿Debe tener canal de denuncias todo el año?

La respuesta jurídica es rotunda: sí. Si el cómputo medio anual del ejercicio precedente supera las 50 personas trabajadoras, la obligación subsiste con carácter permanente. Desmantelar el canal o desatender los acuses de recibo en temporada baja constituye una infracción muy grave.

La Consulta Previa con la Representación Legal de los Trabajadores (RLT)

El artículo 5.2 de la Ley 2/2023 introduce un mandato taxativo: «El órgano de administración [...] será el responsable de la implantación del Sistema interno de información, previa consulta con la representación legal de las personas trabajadoras».

No se trata de recabar una simple firma de cortesía. Supone abrir un proceso formal de información y consulta con el Comité de Empresa, Delegados de Personal o Secciones Sindicales reconocidas, facilitando la memoria técnica del sistema, el borrador del procedimiento de investigación y las garantías de confidencialidad. Omitir este trámite contamina de nulidad el procedimiento y priva a la empresa de utilizar las pruebas obtenidas en el canal para justificar despidos disciplinarios ante los Juzgados de lo Social.

Entidades Privadas Obligadas sin Importar el Número de Trabajadores

El artículo 10.1.b) de la Ley 2/2023 incorpora una cláusula de remisión a la normativa sectorial europea que anula el umbral de los 50 empleados para un amplio abanico de actividades económicas. Si una sociedad mercantil opera en estos ámbitos, está obligada a contar con canal interno aunque solo tenga contratados a dos profesionales o a un único gerente asalariado.

Sector Financiero, Asegurador y Mercado de Valores

Quedan sujetas de modo automático todas las entidades supervisadas por el Banco de España, la CNMV o la DGSFP:

• Bancos, cooperativas de crédito y establecimientos financieros de crédito (EFC);
• Empresas de servicios de inversión (sociedades y agencias de valores, asesores financieros independientes regulados);
• Sociedades gestoras de fondos de inversión (SGIIC) y capital riesgo (SGECR);
• Aseguradoras, entidades de reaseguro y corredurías de seguros;
• Plataformas de financiación participativa (crowdfunding y crowdlending autorizadas);
• Entidades de pago y de dinero electrónico (pasarelas fintech y proveedores de servicios de agregación).

Sujetos Obligados por la Ley 10/2010 de Prevención del Blanqueo de Capitales

Este es el supuesto donde se concentran las mayores sanciones a pymes por desconocimiento normativo. El artículo 2 de la Ley 10/2010, de 28 de abril, define una lista de sujetos obligados que, por conexión directa con la Ley 2/2023, deben disponer de un canal de denuncias interno:

• Promotores inmobiliarios y agencias de intermediación inmobiliaria: Cualquier sociedad o profesional dedicado a la compraventa o arrendamiento de inmuebles, con independencia de su volumen de facturación o número de comerciales;
• Auditores de cuentas, contables externos y asesores fiscales: Despachos profesionales, gestorías y consultorías tributarias;
• Abogados y profesionales jurídicos colegiados: Cuando intervengan en la planificación o ejecución de operaciones societarias, creación de empresas, compraventa de participaciones o gestión de cuentas de clientes;
• Operadores de juego, apuestas y loterías: Salas de juego físicas, portales de apuestas online y casinos regulados;
• Comerciantes de obras de arte, antigüedades y metales preciosos: Joyerías y casas de subastas que admitan pagos en metálico por encima de los límites legales;
• Fundaciones y asociaciones: Que canalicen fondos o reciban donaciones significativas.

Seguridad en el Transporte Aéreo, Marítimo y Sector Offshore

Compañías aéreas comerciales, gestores de infraestructuras portuarias y operadores que realicen actividades de exploración o explotación de hidrocarburos en aguas territoriales españolas quedan vinculados de manera universal por las directivas comunitarias de seguridad operativa.

Partidos Políticos, Sindicatos y Organizaciones Empresariales

El legislador español introdujo una previsión específica en el artículo 10.1.c) para responder a la demanda social de transparencia en las organizaciones que vertebran el sistema político e institucional. Tienen la obligación incondicional de contar con un canal interno:

• Los partidos políticos, federaciones, coaliciones y agrupaciones de electores;
• Los sindicatos de trabajadores y organizaciones sindicales sectoriales;
• Las organizaciones empresariales y asociaciones patronales;
• Las fundaciones que dependan orgánicamente de cualquiera de las anteriores entidades, así como las fundaciones privadas cuya financiación proceda en más de un 50% de transferencias públicas.

En estas organizaciones, el canal debe ser accesible no solo para los empleados asalariados, sino para afiliados, miembros de comités ejecutivos, simpatizantes y proveedores externos de campaña.

El Sector Público: De los Ministerios a los Ayuntamientos

El artículo 13 de la Ley 2/2023 establece que la totalidad del sector público español debe dotarse de un canal interno. El catálogo de sujetos abarca:

• La Administración General del Estado, sus organismos autónomos y entidades públicas empresariales;
• Las Administraciones de las 17 Comunidades Autónomas, las Ciudades Autónomas de Ceuta y Melilla y sus respectivos entes instrumentales;
• Las Universidades Públicas;
• Las Corporaciones de Derecho Público (colegios profesionales y cámaras de comercio);
• Las fundaciones del sector público y las sociedades mercantiles públicas donde la participación estatal o autonómica supere el 50%.

El Régimen Específico para Corporaciones Locales (Ayuntamientos)

En el plano municipal, el legislador tuvo en cuenta la falta de estructura técnica de los pequeños municipios:

• Municipios de más de 10.000 habitantes: Deben implantar un canal interno propio, autónomo y con personal asignado a la instrucción de los expedientes;
• Municipios de menos de 10.000 habitantes: El artículo 14 de la Ley 2/2023 les autoriza a compartir el Sistema Interno de Información y los recursos de tramitación con otros municipios limítrofes, con su comarca o mancomunidad, o bien integrarse en el canal habilitado por la Diputación Provincial, Cabildo o Consejo Insular correspondiente;
• Entidades locales menores (pedanías y parroquias rurales): Pueden remitir sus expedientes al canal del municipio matriz del que dependen organizativamente.

Grupos de Empresas: El Mito Peligroso del Canal Corporativo Único

Entre los grupos multinacionales con filiales en España está extendida una práctica errónea de alto riesgo: remitir a los empleados españoles al buzón centralizado de la matriz (ubicada en Francia, Alemania, Reino Unido o Estados Unidos). Dicha práctica vulnera frontalmente la legislación española y europea.

Para grupos empresariales en territorio español rigen las siguientes condiciones:

• Grupos de entre 50 y 249 trabajadores: Las sociedades filiales que formen parte de un grupo societario en los términos del artículo 42 del Código de Comercio y que no superen los 249 empleados pueden compartir el Responsable del Sistema y los recursos de gestión de denuncias, siempre que se mantenga un registro diferenciado por cada persona jurídica;
• Empresas de 250 o más trabajadores: No pueden compartir recursos de gestión ni delegar la instrucción en otra sociedad del grupo. Cada gran empresa debe contar con un canal exclusivo y autónomo.

Régimen Sancionador: Multas de hasta 1.000.000 € y Prohibición de Contratar

El Título IX de la Ley 2/2023 dota a la Autoridad Independiente de Protección del Informante (A.A.I.) y a las agencias antifraude autonómicas de una potestad sancionadora contundente, estructurada en tres categorías de infracciones:

Infracciones Muy Graves (Artículo 63.1)

Se consideran infracciones muy graves:

• Carecer de un Sistema Interno de Información cuando exista obligación legal de disponer de él;
• Adoptar cualquier forma de represalia contra un informante (despido, traslado, modificación de condiciones, acoso o discriminación);
• Vulnerar las garantías de confidencialidad y secreto de la identidad del informante;
• Impedir o dificultar deliberadamente la presentación de comunicaciones;
• Aportar información falsa a sabiendas durante la tramitación de una investigación.

Cuantía de las sanciones:

• Personas jurídicas: Multas de 100.001 a 1.000.000 de euros;
• Personas físicas (administradores y directivos): Multas de 30.001 a 300.000 euros.

Infracciones Graves (Artículo 63.2)

Constituyen infracciones graves:

• Incumplir el plazo de 7 días naturales para acusar recibo de la comunicación o el plazo de 3 meses para dar respuesta motivada;
• No designar de forma válida al Responsable del Sistema con garantías formales de independencia;
• Vulnerar los derechos de contradicho y defensa de las personas investigadas;
• No colaborar con la A.A.I. en la entrega de documentación requerida.

Cuantía de las sanciones: Multas de 30.001 a 100.000 euros para personas jurídicas y de 10.001 a 30.000 euros para personas físicas.

Sanciones Accesorias (Artículo 65.2)

Para infracciones muy graves, la A.A.I. puede imponer sanciones de consecuencias demoledoras:

• Amonestación pública en el BOE: Publicación de la infracción y el nombre de la empresa condenada;
• Pérdida de beneficios fiscales y de la Seguridad Social: Prohibición de recibir subvenciones, ayudas públicas o incentivos durante un periodo de hasta cuatro años;
• Prohibición de contratar con el sector público: Inhabilitación para participar en licitaciones y concursos públicos durante un plazo de hasta tres años (artículo 71 de la Ley de Contratos del Sector Público).

Requisitos Técnicos y de Privacidad: La Inviabilidad del E-mail

Aún proliferan empresas que habilitan un buzón de correo ordinario (como buzon@empresa.com) bajo la creencia de que cumplen la norma. Desde el punto de vista del Derecho de Tecnologías de la Información y de la AEPD, esta vía resulta indefendible:

Fallas Estructurales del Correo Electrónico

• Trazabilidad de la dirección IP: Toda cabecera SMTP de correo registra la IP de origen, el cliente de correo y el proveedor de acceso, haciendo técnicamente imposible el anonimato;
• Acceso de administradores informáticos: El personal de TI con permisos de root o administración de servidores accede a las copias de seguridad de las cuentas de correo, vulnerando el secreto estricto prescrito en el artículo 9 de la ley;
• Inseguridad probatoria: Los correos electrónicos pueden ser manipulados, borrados o reenviados sin dejar un registro de auditoría criptográfico e inalterable.

Las Garantías del Software Certificado (SaaS) como UNOVOX

Para blindar la responsabilidad legal de la administración, las organizaciones adoptan plataformas especializadas como UNOVOX, que garantizan:

• Cifrado AES-256 en reposo y en tránsito: Los contenidos y archivos adjuntos se almacenan encriptados, impidiendo accesos indebidos incluso por parte de los administradores de sistemas;
• Arquitectura Zero-Log de IPs: La plataforma elimina de forma automática cualquier metadato técnico de conexión al momento de recibir la comunicación;
• Gestión de casos mediante token de seguimiento: Permite mantener un diálogo bidireccional fluido con el informante anónimo para solicitar ampliaciones de prueba y notificar resoluciones dentro de los plazos fijados por ley;
• Servidores en la Unión Europea: Infraestructura soberana alojada en territorio comunitario, ajena a las prerrogativas extraterritoriales del US CLOUD Act.

Árbol de Decisión Práctico de Obligatoriedad

Siga estos pasos sucesivos para diagnosticar la situación de su entidad en España:

• ¿Es una entidad pública, ayuntamiento, universidad o empresa pública?
  Sí: Obligada universalmente por el artículo 13 (posibilidad de mancomunar canal en municipios de menos de 10.000 habitantes).
• ¿Opera en banca, seguros, fondos, mercado de valores o fintech?
  Sí: Obligada sin importar el volumen de plantilla (desde 1 trabajador).
• ¿Es sujeto obligado de la Ley 10/2010 (inmobiliarias, gestorías, asesorías fiscales, auditores, juego)?
  Sí: Obligada de forma inmediata con independencia del número de empleados.
• ¿Es una empresa mercantil general con 50 o más trabajadores (fijos, parciales, temporales y ETT)?
  Sí: Obligada imperativamente por el artículo 10.1.a).
• ¿Es un partido político, sindicato, patronal o fundación receptora de fondos públicos?
  Sí: Obligada por el artículo 10.1.c).
• ¿Es una filial española de matriz internacional con 50 o más trabajadores?
  Sí: Obligada a disponer de un canal interno local en España gestionado en castellano.

Preguntas Frecuentes sobre la Obligatoriedad en España (FAQ)

¿Una pyme con 45 trabajadores puede ser sancionada si no implanta el canal de denuncias?

Si opera en el comercio general o industria y no está sujeta a la Ley 10/2010 ni al sector financiero, no está obligada por tamaño. No obstante, si contrata a 5 trabajadores temporales en campaña o supera los 50 empleados en cómputo medio anual, quedará sujeta de forma inmediata. Además, si actúa como agencia inmobiliaria o despacho contable, está obligada con independencia de tener solo 2 o 5 empleados.

¿Es obligatorio consultar a los representantes de los trabajadores antes de poner en marcha el canal?

Sí. El artículo 5.2 de la Ley 2/2023 exige de forma imperativa la previa consulta con la representación legal de las personas trabajadoras (Comités de Empresa o Delegados de Personal). El incumplimiento de este trámite preceptivo puede motivar la nulidad de las medidas disciplinarias que se adopten como consecuencia de las denuncias recibidas.

¿Se pueden subcontratar las funciones de gestión del canal con un tercero externo?

Sí. El artículo 6 de la Ley 2/2023 autoriza expresamente que la gestión del Sistema Interno de Información sea externalizada a un tercero especializado (como un despacho de abogados, consultora de compliance o proveedor de plataforma SaaS como UNOVOX), siempre que se preserven las garantías de independencia y confidencialidad.

¿Qué autoridad es la competente para sancionar en España a las empresas que incumplan la ley?

La Autoridad Independiente de Protección del Informante (A.A.I.), adscrita orgánicamente al Ministerio de la Presidencia, Justicia y Relaciones con las Cortes, es el organismo estatal competente. En las Comunidades Autónomas que cuenten con organismos propios de antifraude (como Cataluña, Comunidad Valenciana, Andalucía o Baleares), estos ejercen competencias sancionadoras en sus respectivos ámbitos territoriales.

¿Es obligatorio admitir denuncias anónimas en España?

Sí. A tenor del artículo 7.3 y artículo 10 de la Ley 2/2023, el canal debe permitir expresamente la presentación y tramitación de comunicaciones anónimas. El informante anónimo que posteriormente sea identificado goza plenamente de la protección contra represalias con efectos retroactivos.

¿Los proveedores y extrabajadores pueden utilizar el canal de denuncias?

Sí. El artículo 3 de la Ley 2/2023 protege a cualquier persona que haya obtenido información sobre infracciones en un contexto laboral o profesional: empleados, autónomos, accionistas, administradores, directivos, contratistas, subcontratistas, proveedores e incluso candidatos a puestos de trabajo en procesos de selección ya concluidos.

¿Puede un Ayuntamiento de 8.000 habitantes compartir el canal de denuncias con la Diputación?

Sí. El artículo 14 de la Ley 2/2023 permite que los municipios de menos de 10.000 habitantes compartan el sistema interno y los medios de gestión con otros municipios de su territorio o con la respectiva Diputación Provincial o Cabildo Insular.

¿Qué ocurre si la empresa no acusa recibo de la denuncia en el plazo de 7 días?

Incurre en una infracción grave tipificada en el artículo 63.2 de la Ley 2/2023, susceptible de sanción con multa de hasta 100.000 euros para la persona jurídica, habilitando al denunciante para acudir directamente al canal externo de la A.A.I.

¿Qué medidas de represalia están prohibidas por la ley española?

El artículo 36 prohíbe de forma absoluta el despido, la suspensión de contrato, el traslado forzoso, la bajada salarial, la denegación de ascensos, la no renovación de contratos temporales, las evaluaciones de desempeño negativas infundadas, el acoso laboral y la inclusión en listas negras empresariales.

¿Por qué las empresas eligen una plataforma SaaS como UNOVOX en lugar de desarrollos propios?

Porque UNOVOX ofrece una solución homologada e inmediata, con servidores en la Unión Europea, encriptación AES-256 de extremo a extremo, automatización de los plazos de 7 días y 3 meses, y generación de informes periciales listos para auditorías de la A.A.I. y de la AEPD, eliminando costes millonarios de desarrollo y mantenimiento técnico.