En el sector privado, la obligación de implantar un Sistema Interno de Información recae con carácter general en todas las personas físicas o jurídicas que cuenten con 50 o más personas trabajadoras y tengan presencia o establecimiento efectivo en España. Asimismo, deben disponer de este canal las entidades que operen en sectores regulados específicos por la normativa europea, con independencia de su número de empleados, así como todas las entidades que integran el sector público.
La exigencia legal no se limita a habilitar un buzón de entrada, sino que requiere estructurar un sistema integral que garantice la confidencialidad, admita comunicaciones anónimas y cuente con un responsable formalmente designado.
- Empresas de 50 o más trabajadores: obligadas con carácter general en el sector privado.
- Entidades en sectores regulados: obligadas con independencia del volumen de plantilla según la normativa sectorial de la Unión Europea.
- Sector público: todas las administraciones y organismos públicos sin excepción.
- Organizaciones receptoras de fondos públicos: partidos políticos, sindicatos y patronales que gestionen recursos públicos.
¿Cuál es el marco legal aplicable al canal de denuncias?
El marco regulatorio principal en España lo constituye la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta ley incorpora al ordenamiento jurídico español la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, extendiendo su alcance no solo a las infracciones del Derecho de la Unión Europea, sino también a las infracciones penales y a las administrativas graves o muy graves del ordenamiento nacional.
Adicionalmente, la supervisión del cumplimiento normativo y la tramitación en vía externa se articula en torno a la Autoridad Independiente de Protección del Informante y los órganos autonómicos correspondientes. El marco normativo se complementa con las disposiciones en materia de protección de datos personales de la Ley Orgánica 3/2018 y las regulaciones sectoriales previas, como la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo, que ya contemplaban mecanismos internos de comunicación de irregularidades.
¿A qué empresas y organizaciones afecta esta exigencia legal?
La normativa delimita con precisión los sujetos obligados tanto en el ámbito público como en el privado, estableciendo distintos criterios de sujeción:
- Empresas privadas por volumen de plantilla: Cualquier persona física o jurídica del sector privado que cuente con 50 o más trabajadores en plantilla.
- Entidades privadas en sectores específicos: Personas jurídicas que operen en ámbitos cubiertos por la normativa de la Unión Europea en materia de servicios financieros, prevención del blanqueo de capitales, seguridad del transporte o protección del medio ambiente, obligadas sin importar si alcanzan o no el umbral de 50 trabajadores.
- Partidos políticos, sindicatos y organizaciones empresariales: Aquellas entidades que reciban o gestionen fondos públicos, así como las fundaciones vinculadas a estas estructuras.
- Sector público en su totalidad: Administraciones generales, corporaciones de derecho público, entidades locales y organismos vinculados o dependientes de cualquier administración.
El ámbito de protección de la norma ampara a informantes con vínculos laborales o profesionales vigentes o finalizados, personal voluntario, trabajadores en periodo de prácticas, participantes en procesos de selección y terceras personas vinculadas al informante que puedan ser objeto de represalias.
¿Qué obligaciones y requisitos técnicos deben cumplirse?
Disponer de un canal de denuncias conforme a la ley implica establecer un Sistema Interno de Información que englobe cauces de comunicación, un procedimiento reglado de gestión y órganos de control.
| Elemento del sistema | Requisito exigido por la normativa | Criterio de cumplimiento |
|---|---|---|
| Canal de recepción | Permitir comunicaciones por escrito, en formato verbal o mediante ambos métodos. | Accesible, seguro y con preservación estricta de la identidad. |
| Anonimato | Obligación de admitir y tramitar informaciones totalmente anónimas. | Herramientas tecnológicas que impidan la trazabilidad técnica si el usuario así lo decide. |
| Responsable del Sistema | Designación formal del Responsable del Sistema Interno de Información. | Nombramiento por el órgano de administración y notificación a la autoridad competente. |
| Procedimiento de gestión | Plazos de acuse de recibo y respuesta, garantizando la presunción de inocencia. | Protocolo documentado para la admisión, investigación y archivo o traslado de expedientes. |
| Protección de datos | Tratamiento riguroso de la información según la normativa de privacidad. | Limitación de accesos internos y supresión de datos conforme a los plazos legales. |
El sistema debe asegurar la prohibición absoluta de represalias frente a quienes comuniquen hechos de buena fe y estructurar un procedimiento transparente de investigación interna que permita resolver las incidencias antes de que trasciendan a instancias externas o judiciales.
¿Cuáles son los errores más comunes en la implantación del canal?
El establecimiento de un canal de denuncias sin el rigor técnico y procedimental adecuado genera riesgos legales e ineficacia organizativa. Entre los errores más habituales destacan:
- Habilitar un simple buzón de correo electrónico: Las cuentas de correo tradicionales no garantizan el anonimato técnico ni el secreto de las comunicaciones exigido por la ley, exponiendo la identidad del informante.
- Omitir el nombramiento formal del Responsable: No designar ante el órgano de gobierno a la persona física o colegiada encargada de la gestión del sistema, o no notificar dicho nombramiento a la autoridad de control.
- Rechazar comunicaciones anónimas: Configurar el sistema exigiendo obligatoriamente los datos identificativos del denunciante, contraviniendo el mandato legal de admisión de alertas anónimas.
- Carecer de un procedimiento reglado de tramitación: No definir los pasos de la investigación interna, los plazos de respuesta al informante o las medidas para evitar conflictos de interés en la gestión del caso.
- Desatender la protección de datos: Permitir el acceso generalizado al canal por parte de departamentos como Recursos Humanos o Dirección, vulnerando la reserva de acceso reservada exclusivamente al Responsable del Sistema.
Cómo te ayuda Grupo SG
Grupo SG ofrece soluciones completas para la implantación y mantenimiento del sistema exigido por la normativa en todo tipo de empresas e instituciones. Mediante el software especializado de Canal de Denuncias, su entidad garantiza el cumplimiento de los estándares de anonimato, confidencialidad y registro seguro de comunicaciones. A través de las soluciones de SG Vigilancia Normativa y SG Normativa Certificada, nuestros consultores diseñan los protocolos internos, supervisan la designación del responsable y aseguran la adecuación constante a los requerimientos de las autoridades competentes.
