En los últimos años, los denominados canales internos de información, comúnmente conocidos como canales de denuncias, han pasado de ser una buena práctica de compliance a convertirse en una obligación legal estructural para muchas organizaciones en España.
La aprobación de la Ley 2/2023, de protección de las personas que informen sobre infracciones normativas, ha supuesto un punto de inflexión en materia de transparencia corporativa, gestión de riesgos y cultura ética empresarial.
Sin embargo, en 2026 se ha producido una novedad relevante que muchas entidades aún no han integrado correctamente en su sistema de cumplimiento.
¿Qué empresas están obligadas a disponer de un canal de denuncias?
-
Empresas con 50 o más trabajadores
Con carácter general, todas las empresas del sector privado que cuenten con 50 o más empleados deben implantar un sistema interno de información.
Muchas organizaciones creen erróneamente que esta obligación afecta solo a grandes corporaciones, cuando en realidad alcanza a una parte muy significativa del tejido empresarial.
-
Empresas obligadas por su actividad (aunque tengan menos de 50 empleados)
Existe un segundo grupo especialmente relevante: aquellas entidades que, independientemente de su tamaño, están sujetas a normativa sectorial específica, por ejemplo, blanqueo de capitales.
Aquí encontramos, entre otras:
- Entidades financieras y aseguradoras
- Sujetos obligados en materia de prevención de blanqueo de capitales
- Inmobiliarias
- Joyerías
- Asesorías fiscales con operaciones relevantes
En estos casos, la obligación no depende del número de trabajadores, sino del nivel de riesgo inherente a la actividad.
-
Sector público
Todas las entidades del sector público están obligadas, sin excepción por tamaño.
Requisitos legales de un canal de denuncias
No basta con “tener un buzón”. La Ley 2/2023 establece una serie de requisitos mínimos que, además, deben alinearse con la normativa de protección de datos, especialmente el Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018.
Entre los elementos esenciales destacan:
-
Confidencialidad
El sistema debe garantizar la confidencialidad de la identidad del informante y de cualquier tercero mencionado.
Este requisito conecta directamente con el principio de seguridad del tratamiento y confidencialidad del RGPD.
-
Posibilidad de denuncias anónimas
El canal debe permitir comunicaciones anónimas, lo que implica un diseño técnico adecuado y procedimientos específicos de gestión.
-
Procedimiento interno documentado
Debe existir un protocolo claro que regule: la recepción de la denuncia, la investigación interna, los plazos de respuesta y la comunicación con el informante
-
Designación del Responsable del Sistema
La organización debe nombrar un Responsable del Sistema Interno de Información, figura clave encargada de la gestión del canal y de garantizar su correcto funcionamiento.
La novedad clave de 2026: obligación de notificar al Responsable del Sistema
Aquí es donde muchas empresas están fallando actualmente.
Desde el 10 de febrero de 2026, la Autoridad Independiente de Protección del Informante ha habilitado el procedimiento para comunicar formalmente la identidad del Responsable del Sistema Interno de Información
Esto implica un cambio relevante:
- Antes: bastaba con designar internamente al responsable
- Ahora: es obligatorio notificarlo a la autoridad competente
¿Quién debe realizar esta notificación?
Todas las entidades que dispongan de canal de denuncias:
¿Cuál es el plazo?
El plazo establecido es de aproximadamente dos meses desde la habilitación del sistema, situando la fecha límite en torno al 10 de abril de 2026
Esto coloca a muchas organizaciones en una situación crítica de cumplimiento en estos momentos.
Régimen sancionador: un riesgo real
No cumplir con estas obligaciones no es una cuestión menor.
La Ley 2/2023 prevé sanciones relevantes:
- Hasta 1.000.000 € para personas jurídicas
- Hasta 300.000 € para personas físicas responsables
Además del impacto económico, hay que considerar:
- Riesgo reputacional
- Posibles responsabilidades laborales
- Implicaciones penales en determinados supuestos