Canal de denuncias obligatorio para empresas con más de 50 trabajadores: qué exige la ley y qué pasa si no cumples

Canal de denuncias obligatorio para empresas con más de 50 trabajadores: qué exige la ley y qué pasa si no cumples

Por el equipo de Lexlon · Junio 2026 · 7 min de lectura

Si tienes 50 o más empleados, tienes que tener el software

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, estableció la obligación de disponer de un Sistema Interno de Información (canal de denuncias) para todas las empresas con cincuenta o más trabajadores. Esta obligación no es nueva ni está en tramitación: lleva vigente desde diciembre de 2023.

Si tu empresa tiene cincuenta o más empleados y todavía no tiene canal de denuncias, lleva más de dos años en situación de incumplimiento. La Autoridad Independiente de Protección del Informante (AIPI) está plenamente operativa desde septiembre de 2025.

¿Tu empresa no tiene canal de denuncias y debería? Actívalo hoy en lexlon.es/onboarding

Quién está obligado exactamente

El artículo 10.1.a) de la Ley 2/2023 establece la obligación para todas las personas jurídicas del sector privado que tengan cincuenta o más trabajadores. El umbral se calcula sobre la plantilla total de la empresa, incluyendo trabajadores a tiempo parcial, temporales y cualquier modalidad contractual.

Los plazos de implantación según el tamaño de la empresa ya han vencido en su totalidad:

• Empresas con más de 249 trabajadores: obligadas desde el 13 de marzo de 2023.

• Empresas de entre 50 y 249 trabajadores: obligadas desde el 1 de diciembre de 2023.

Además, existen empresas obligadas con independencia de su número de trabajadores por razón de su actividad (entre ellas agencias inmobiliarias, asesorías fiscales, corredurías de seguros, joyerías e intermediarios de crédito). Si tu empresa entra en alguno de estos sectores, la obligación aplica aunque tengas menos de cincuenta empleados.

Qué debe tener el canal para cumplir la ley

No basta con habilitar cualquier buzón o dirección de email. El artículo 5 de la Ley 2/2023 establece requisitos técnicos y organizativos concretos que debe cumplir el canal:

• Anonimato garantizado. El canal debe permitir presentar comunicaciones de forma completamente anónima. Esto excluye los emails corporativos, que registran la IP del remitente y no garantizan el anonimato real del informante.

• Canal bidireccional. El sistema debe permitir comunicación posterior entre el informante y el responsable del canal sin que el informante tenga que revelar su identidad. Un formulario de solo entrada no cumple este requisito.

• Acuse de recibo en siete días. La empresa debe enviar al informante un acuse de recibo de la comunicación en un plazo máximo de siete días naturales desde su recepción.

• Resolución en tres meses. El resultado de las actuaciones realizadas debe comunicarse al informante en un plazo máximo de tres meses desde el acuse de recibo, prorrogables por otros tres meses en casos de especial complejidad.

• Confidencialidad. La identidad del informante no puede revelarse a ninguna persona no autorizada para gestionar el sistema, aunque el informante se haya identificado voluntariamente.

• Registro inmutable. El sistema debe mantener un registro de todas las comunicaciones que no pueda modificarse ni eliminarse retroactivamente. Este registro es la evidencia documental en caso de inspección o procedimiento sancionador.

El Responsable del Sistema: obligatorio y con garantías de independencia

La Ley exige que la empresa designe a un Responsable del Sistema Interno de Información (RSII). El artículo 8 de la Ley 2/2023 establece que esta persona debe tener independencia funcional real para el ejercicio de sus funcione, no puede ser destituida del cargo precisamente por haber gestionado una comunicación, y debe poder actuar sin interferencias de la dirección cuando gestione un expediente.

El RSII puede ser una persona interna de la empresa o un externo. En ambos casos, el nombramiento debe comunicarse a la AIPI a través de la sede electrónica de proteccioninformante.gob.es en un plazo máximo de diez días hábiles desde que se produce.

El formulario de comunicación del RSII a la AIPI requiere la URL del canal, lo que significa que el canal debe estar técnicamente operativo antes de poder completar este trámite.

Qué protege la ley: las garantías para el informante

Una de las razones por las que el canal debe ser técnicamente homologado es que la Ley 2/2023 establece un régimen de protección muy robusto para quien denuncia. Estas protecciones generan obligaciones directas para la empresa:

• Prohibición de represalias. El artículo 36 de la Ley prohíbe expresamente cualquier acción de represalia contra el informante: despido, degradación, no renovación de contrato, cambio de puesto, acoso o cualquier otra medida perjudicial. Esta prohibición aplica aunque la denuncia resulte infundada, siempre que el informante hubiera tenido motivos razonables para creer que era veraz.

• Inversión de la carga de la prueba. Si el informante sufre una represalia y lo reclama, la empresa debe demostrar que la medida adoptada no tiene ninguna relación con la denuncia. La carga de la prueba no recae en el trabajador sino en la empresa.

• Nulidad de los actos represivos. Las represalias adoptadas contra el informante son nulas de pleno derecho, con independencia de su forma jurídica.

Las sanciones por no tener canal o por incumplir sus requisitos

El Título IX de la Ley 2/2023 establece el régimen sancionador. Las sanciones son administrativas, impuestas por la AIPI, e independientes de cualquier consecuencia laboral o civil que pueda derivarse.

• Infracción muy grave: hasta 1.000.000 de euros. No disponer de canal de denuncias cuando existe obligación legal, o disponer de un canal que no cumple los requisitos mínimos del artículo 5, constituye infracción muy grave conforme al artículo 63.1 de la Ley. La sanción para la empresa puede alcanzar el millón de euros.

• Sanción personal al directivo: hasta 300.000 euros. De forma independiente y simultánea a la sanción a la empresa, el administrador o directivo responsable puede ser sancionado personalmente con hasta 300.000 euros. Ambas sanciones son acumulables.

• Infracción grave: hasta 600.000 euros. El incumplimiento de las obligaciones de confidencialidad, la adopción de represalias contra el informante o el incumplimiento de los plazos legales de gestión de expedientes puede constituir infracción grave, con sanciones de hasta 600.000 euros.

Anotación en registro público. La AIPI puede hacer pública la resolución sancionadora. Para una empresa con clientes, proveedores o empleados, el daño reputacional de una sanción pública puede superar el importe de la multa.

Lo que no vale como canal de denuncias

Muchas empresas creen estar cubiertas con soluciones que no cumplen los requisitos de la Ley. Estas son las más habituales:

Email corporativo. No garantiza el anonimato real del informante. Los servidores de correo registran datos del remitente. Además no permite comunicación bidireccional anónima ni genera el registro inmutable que exige la Ley.

Formulario web genérico. Si no está diseñado específicamente para cumplir los requisitos del artículo 5, un formulario de contacto no es un canal de denuncias conforme a la Ley.

Buzón físico en la oficina. No permite el anonimato real (la entrega física puede ser observada), no facilita la bidireccionalidad y no genera un registro digital inmutable.

Canal del grupo o de la empresa matriz. Si la empresa matriz tiene canal propio, las filiales o empresas del grupo pueden compartirlo, pero solo si el canal cumple los requisitos para todas las entidades y está expresamente habilitado para recibir comunicaciones de cada una de ellas.

Los cinco pasos para cumplir hoy

Paso 1: Activar el canal técnico. El canal debe cumplir los requisitos del artículo 5: anonimato, bidireccionalidad, registro inmutable y gestión de plazos. Lexlon Ethics te da acceso a un canal homologado en menos de cinco minutos, desde 39 €/mes sin permanencia.

Paso 2: Comunicar el RSII a la AIPI. A través de la sede electrónica de proteccioninformante.gob.es, en los diez días hábiles siguientes al nombramiento.

Paso 3: Informar a la plantilla. Comunicar a todos los empleados la existencia del canal, cómo acceder a él y las garantías que ofrece. La Ley exige que esta información sea accesible.

Paso 4: Gestionar los expedientes en plazo. Acuse de recibo en siete días y resolución en tres meses. Lexlon incluye alertas automáticas de todos los plazos legales.

Tu empresa puede tener el canal activo y comunicar el RSII a la AIPI hoy → Activar canal de denuncias — lexlon.es/onboarding

Preguntas frecuentes

¿Cómo se cuenta el umbral de 50 trabajadores? Se cuenta sobre la plantilla total de la empresa en el momento de verificar la obligación. Incluye trabajadores a tiempo completo y parcial, indefinidos y temporales. No hay una norma específica que excluya a los trabajadores a tiempo parcial del cómputo.

¿Un grupo de empresas puede tener un solo canal para todas las filiales? Sí, siempre que el canal cumpla los requisitos para todas las entidades del grupo y esté expresamente habilitado para recibir comunicaciones de cada una de ellas. Cada entidad obligada debe poder acreditar individualmente el cumplimiento de todos los requisitos.

¿El canal debe estar disponible en varios idiomas? La Ley no exige expresamente la disponibilidad en varios idiomas, pero sí exige que sea accesible para todos los empleados. Si la empresa tiene empleados que no hablan español, la accesibilidad real del canal puede requerir adaptaciones lingüísticas.

¿Qué pasa si recibo una denuncia anónima infundada? La empresa debe tramitarla igualmente conforme a los plazos legales. La Ley protege al informante cuando tiene motivos razonables para creer que la información es veraz, no solo cuando resulta fundada. Si la denuncia es manifiestamente falsa o presentada de mala fe, el artículo 35 de la Ley permite tomar medidas contra el informante, pero la empresa debe poder acreditarlo.

¿Puedo gestionar el canal yo mismo sin un externo? Sí. La ley permite que el RSII sea interno. Lo importante es que tenga independencia funcional real y que los plazos se cumplan. Lexlon te proporciona el panel de gestión, las alertas de plazos y el registro inmutable para que puedas gestionarlo tú mismo con todas las garantías.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Lexlon es una herramienta de software. Cada organización es responsable de verificar que su implementación cumple con todos los requisitos legales aplicables a su sector y circunstancias particulares.