Canal de denuncias obligatorio en empresas: guía completa 2026

El canal de denuncias es obligatorio para las empresas del sector privado con 50 o más trabajadores, para determinadas entidades de los sectores financiero, de prevención del blanqueo, del transporte y del medio ambiente con independencia de su plantilla, y para todo el sector público. Lo impone la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, y no disponer del sistema estando obligado es una infracción muy grave castigada con multas de hasta un millón de euros. Esta guía explica qué empresas están obligadas, qué requisitos debe cumplir el canal, a quién protege y cómo lo están aplicando los tribunales.

Qué es el canal de denuncias y qué infracciones cubre

El canal de denuncias, que la ley denomina sistema interno de información, es el mecanismo a través del cual empleados, directivos, accionistas, autónomos, proveedores, contratistas y otras personas que hayan obtenido información en un contexto laboral o profesional (art. 3) pueden comunicar de forma confidencial posibles infracciones cometidas en la empresa. La obligación procede de la transposición de la Directiva (UE) 2019/1937, conocida como Directiva Whistleblowing, que busca evitar que el miedo a represalias impida que afloren conductas ilícitas.

No es un buzón de sugerencias ni una herramienta de recursos humanos para gestionar conflictos laborales. Su ámbito material está definido en el artículo 2:

• infracciones del Derecho de la Unión Europea en el ámbito de los actos del anexo de la Directiva (contratación pública, servicios financieros, blanqueo de capitales, medio ambiente, seguridad alimentaria, protección de datos, entre otros), que afecten a los intereses financieros de la Unión o que incidan en el mercado interior (art. 2.1.a);
• acciones u omisiones que puedan ser constitutivas de infracción penal o administrativa grave o muy grave, incluidas en todo caso las que impliquen quebranto económico para la Hacienda Pública y para la Seguridad Social (art. 2.1.b).

El canal puede habilitarse para otras comunicaciones, pero estas y sus remitentes quedan fuera de la protección de la ley (art. 7.4), igual que las informaciones vinculadas a conflictos interpersonales o que afecten únicamente al informante y a las personas a las que se refieran (art. 35.2).

Qué empresas están obligadas a tener canal de denuncias

• Personas físicas o jurídicas del sector privado con 50 o más trabajadores (art. 10.1.a).
• Personas jurídicas del sector privado que entren en el ámbito de los actos de la Unión sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente, con independencia de su plantilla (art. 10.1.b).
• Partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por unos y otros, si reciben o gestionan fondos públicos (art. 10.1.c).
• Todas las entidades del sector público, sin umbral de empleados (art. 13).

La ley entró en vigor el 13 de marzo de 2023 y dio un plazo de tres meses para implantar el sistema, que venció el 13 de junio de 2023 para las empresas de 250 o más trabajadores. Para las del sector privado con 249 trabajadores o menos y los municipios de menos de 10.000 habitantes, el plazo se extendió hasta el 1 de diciembre de 2023 (disposición transitoria segunda). Cualquier empresa obligada que no tenga el sistema implantado está expuesta al régimen sancionador.

Las empresas de menos de 50 trabajadores no están obligadas con carácter general, pero si implantan el canal voluntariamente deben cumplir los requisitos de la ley (art. 10.2); y si entran en el artículo 10.1.b), por ejemplo como sujetos obligados de la normativa de prevención del blanqueo, la obligación deriva de ese precepto y de su normativa específica. Las del sector privado de entre 50 y 249 trabajadores pueden compartir el sistema y los recursos para gestionar las comunicaciones, tanto si la gestión la lleva una de ellas como si se ha externalizado (art. 12).

Requisitos del sistema interno de información

No basta con habilitar una dirección de correo electrónico o un teléfono. El sistema debe cumplir condiciones de diseño, funcionamiento y gestión (art. 5), y su implantación corresponde al órgano de administración, previa consulta con la representación legal de las personas trabajadoras.

Responsable del Sistema

Lo designa el órgano de administración y debe actuar de forma independiente y autónoma; en el sector privado ha de ser un directivo que ejerza el cargo con independencia del órgano de administración (art. 8). Puede designarse a quien ya ejerza la función de cumplimiento normativo (art. 8.6), y su nombramiento debe comunicarse a la autoridad competente. La recepción de comunicaciones puede encargarse a un tercero externo (art. 6), que será encargado del tratamiento (art. 6.4), sin que ello traslade la responsabilidad.

Canales, comunicaciones verbales y anonimato

El sistema debe admitir comunicaciones por escrito, verbalmente o de ambas formas y, a solicitud del informante, mediante una reunión presencial en el plazo máximo de siete días. Las verbales deben documentarse, previo consentimiento del informante, mediante una grabación en formato seguro, duradero y accesible o mediante una transcripción completa y exacta que el informante puede comprobar, rectificar y firmar (art. 7.2). Los canales internos deben permitir la presentación y tramitación de comunicaciones anónimas (art. 7.3): la empresa no puede optar por rechazarlas.

Confidencialidad

El acceso a los datos personales del sistema está limitado a las personas que enumera el artículo 32.1: entre otras, el Responsable del Sistema, quien lo gestione directamente y, solo cuando pueda proceder una medida disciplinaria, el responsable de recursos humanos. La identidad del informante solo puede comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora, y con carácter general debe advertirse antes al informante (art. 33.3).

Plazos de gestión

El acuse de recibo debe enviarse en siete días naturales desde la recepción, salvo que ello ponga en peligro la confidencialidad. La respuesta a las actuaciones de investigación no puede superar tres meses desde la recepción (o desde el vencimiento de esos siete días si no hubo acuse), ampliables hasta otros tres en casos de especial complejidad (art. 9.2).

Libro-registro y canales externos

La empresa debe llevar un libro-registro de las informaciones recibidas (art. 26). La ley crea, además, la Autoridad Independiente de Protección del Informante, A.A.I., cuyo Estatuto se aprobó por el Real Decreto 1101/2024, de 29 de octubre, como canal externo estatal, junto con las autoridades u órganos autonómicos. Los informantes pueden acudir a ella directamente o después de usar el canal interno (art. 16), y las empresas deben informar de forma clara y accesible sobre esos canales externos (arts. 7.2 y 9.2.b).

A quién protege la ley y frente a qué represalias

La ley protege a quienes hayan obtenido la información en un contexto laboral o profesional (art. 3): no solo a la plantilla, sino también, entre otros, a autónomos, accionistas, personal de contratistas, subcontratistas y proveedores, becarios o candidatos en procesos de selección, así como a quienes asistan al informante y a personas relacionadas con él, como compañeros o familiares (art. 3.4). La comunicación debe hacerse por alguno de los cauces de la ley (arts. 2.1 y 35.1.b): el sistema interno de la entidad obligada, el canal externo de la Autoridad Independiente o de las autoridades autonómicas (art. 16) o la revelación pública en las condiciones legales. Y el informante debe tener motivos razonables para pensar que la información es veraz (art. 35.1.a).

El artículo 36 prohíbe los actos de represalia, incluidas las amenazas y las tentativas, y enumera a título enunciativo el despido o la suspensión del contrato, las medidas disciplinarias, la degradación o denegación de ascensos, las modificaciones sustanciales de condiciones, las evaluaciones o referencias negativas, la inclusión en listas negras, la denegación de formación y la discriminación. Cuando el informante demuestra razonablemente que ha comunicado conforme a la ley y que ha sufrido un perjuicio, se presume que este fue una represalia y quien adoptó la medida debe probar que obedeció a motivos debidamente justificados no vinculados a la comunicación (art. 38.4). La protección dura, con carácter general, dos años, que la autoridad competente puede extender excepcionalmente, previa audiencia de los afectados (art. 36.4).

Cómo están aplicando la ley los tribunales

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

Una queja genérica no activa la protección

La STSJ de Madrid (Sala de lo Social, Sección 3.ª) 8/2026, de 16 de enero (rec. 605/2025; ROJ STSJ M 776/2026, ECLI:ES:TSJM:2026:776; ponente Raquel Vicente Andrés) confirmó la improcedencia, no la nulidad, del despido de un trabajador que alegaba represalia por una denuncia interna en la que imputaba a otra persona de la organización un mal uso de recursos económicos, falta de competencia profesional y malas decisiones de gestión:

«Esta imputación de un mal uso de recursos económicos sobre su falta de competencia y mal decisión puede interpretarse como una discrepancia en cuanto al hacer profesional de la persona que señala en el canal, pero en modo alguno puede en sí misma ser considerada como tutelable por la ley de protección al informante. No se trata de una infracción tutelada, sino de una mera alegación genérica sobre un mal uso de recursos y una incompetencia o mala decisión que no puede ser calificada de infracción grave o muy grave administrativa o penal, o contraria a los intereses de la UE […]»

No operaron, por tanto, la garantía del artículo 36 ni la inversión de la carga de la prueba del 38.4, y el periodo de protección de dos años tampoco alcanzaba a las comunicaciones de 2020 y 2021. La Sala recordó, con cita de su sentencia de 15 de febrero de 2019 (rec. 824/2018), que quienes alertan de irregularidades graves se convierten con frecuencia en víctimas de represalias, y aludió a la STC 28/2025, de 10 de febrero (recurso de amparo 3672-2022), que mencionó la prohibición de represalias del artículo 36.3.b) y la regla probatoria del artículo 38.4 aunque la ley no era aplicable al caso por razones temporales.

Denunciar a una empresa ajena por su propio canal

La STSJ de Madrid de 16 de abril de 2026 (ROJ: STSJ M 5487/2026; ECLI:ES:TSJM:2026:5487; recurso de suplicación 641/2025; ponente Ana Gómez Hernangómez) examinó el despido de un trabajador que había escrito de forma anónima al área de cumplimiento de un banco con el que colaboraba su empleadora, y que después denunció ante el Banco de España y la CNMC, que no apreciaron infracción. Fue despedido por no alcanzar sus objetivos y generar situaciones de conflicto; sus superiores cuestionaban su rendimiento desde antes de las denuncias. El TSJ confirmó la improcedencia, no la nulidad, por tres razones:

• Ámbito personal y cauce: «el actor no queda incluido en el ámbito de aplicación material ni personal de la Ley 2/2023: no se trata de un trabajador de ninguna de las empresas respecto a las que interpuso denuncia; denuncias que tampoco se condujeron a través de los mecanismos internos de su empleadora, sino que directamente se dirigieron a las empresas denunciadas o a otras entidades utilizando los canales de aquellas terceras entidades». Tampoco aplicó el artículo 3.1.d), que protege a quien trabaja para contratistas, subcontratistas y proveedores.
• Ámbito material: no se probó que los hechos pudieran constituir infracción penal o administrativa grave o muy grave.
• Nexo causal: la única denuncia relacionada con el entorno de la empleadora fue posterior al despido, y no constaba «que la empresa empleadora tuviera conocimiento de ninguna de las denuncias que el actor interpuso frente a terceras entidades».

La Sala rechazó plantear una cuestión prejudicial, que no puede tener por objeto la valoración de la prueba de un caso concreto. La sentencia admite recurso de casación para la unificación de doctrina.

Cuando el canal destapa un incumplimiento real

La STSJ de Madrid 240/2026, de 13 de abril (recurso 761/2025; ROJ STSJ M 4954/2026, ECLI:ES:TSJM:2026:4954; ponente Susana María Molina Gutiérrez) confirmó la procedencia del despido de un analista de cumplimiento de una entidad financiera. Una denuncia anónima en el canal interno reveló que una compañera había compartido en un grupo de mensajería datos personales de otras empleadas y de sus parejas, consultados sin necesidad profesional; el despedido no los consultó ni difundió, pero pidió más datos y sugirió a la autora cómo justificar el acceso. Tras entrevistas, informe de conclusiones y audiencia previa, la empresa le despidió por transgresión de la buena fe contractual y abuso de confianza. Para la Sala, el deber de buena fe impone a quien desempeña esas funciones «un deber reforzado de salvaguarda de los datos sensibles por ellos manejados».

La sentencia citó la doctrina de la STS de 27 de noviembre de 2019 (rcud. 430/2018): en los despidos por transgresión de la buena fe, el plazo de prescripción del artículo 60.2 ET empieza, cuando la naturaleza de los hechos lo requiera, el día en que la empresa tiene «un conocimiento cabal, pleno y exacto» de ellos, no uno superficial o indiciario. En suplicación no se discutieron la validez de la investigación ni la prescripción.

Pautas que se extraen

• Usar el canal es condición necesaria, pero no suficiente: lo comunicado debe encajar en el artículo 2, quien comunica debe estar dentro del ámbito personal y debe usar un cauce de la ley.
• Debe haber un nexo temporal y lógico entre la comunicación y la medida, y es muy relevante que la empresa la conociera; una denuncia posterior al despido no es indicio de represalia.
• Quedar fuera de la Ley 2/2023 no convierte en válido el despido: en los dos primeros casos se evitó la nulidad, pero el despido siguió siendo improcedente.

Sanciones por no tener canal de denuncias

Las infracciones se clasifican en muy graves, graves y leves (art. 63). Son muy graves, entre otras conductas dolosas: no disponer del sistema estando obligado; adoptar represalias contra informantes u otras personas protegidas; limitar los derechos de la ley mediante contratos u obstaculizar las comunicaciones o su seguimiento, incluida la aportación de información falsa; vulnerar la confidencialidad, el anonimato o el deber de secreto; comunicar o revelar públicamente información a sabiendas de su falsedad (art. 63.1.f); y cometer una infracción grave tras dos sanciones firmes graves o muy graves en los dos años anteriores. Son graves esas mismas conductas cuando no alcanzan la categoría de muy graves, no adoptar medidas para garantizar la confidencialidad y el secreto, y la reincidencia en leves. Son leves la remisión deliberadamente incompleta o fuera de plazo de información del Responsable del Sistema a la Autoridad, no colaborar con la investigación y cualquier otro incumplimiento no tipificado, cláusula en la que podrían encajar las deficiencias del libro-registro.

Las multas se fijan en el artículo 65 y la prescripción en los artículos 64 y 68; el plazo de la infracción corre desde su comisión o, en las continuadas, desde que cesa la actividad. En las muy graves, la Autoridad puede acordar además la amonestación pública, la prohibición de contratar con el sector público hasta tres años y la de obtener subvenciones u otros beneficios fiscales hasta cuatro años (art. 65.2), algo especialmente grave para quien depende de licitaciones (véase la guía de prohibiciones de contratar). Las sanciones muy graves de 600.001 euros o más a personas jurídicas pueden publicarse en el BOE tras su firmeza en vía administrativa (art. 65.3).

Sanciona la Autoridad Independiente de Protección del Informante, por resolución de la persona titular de su presidencia, o el órgano autonómico competente (art. 61). La Autoridad estatal es competente para el sector público estatal y para el sector privado en todo el territorio, salvo que la normativa autonómica atribuya a sus organismos las infracciones del sector privado que afecten solo a su territorio (art. 61.3).

Cómo implantar el canal de denuncias

1. Diagnóstico y diseño: modelo de gestión (interna o externalizada), personas que pueden informar, infracciones que se canalizarán y tramitación de las comunicaciones anónimas; designación del Responsable del Sistema y consulta a la representación de los trabajadores.
2. Plataforma tecnológica: cifrado, comunicación bidireccional con el informante, incluso anónimo, y registro auditable, con atención al Reglamento General de Protección de Datos si el servidor está fuera del Espacio Económico Europeo.
3. Política y procedimiento: una política con los principios generales, que debe publicitarse, y un procedimiento de gestión aprobado por el órgano de administración (arts. 5.2 y 9) que regule la tramitación, los plazos, la protección del informante y de la persona afectada y las consecuencias de una comunicación falsa.
4. Comunicación y formación: información clara sobre el canal y sus garantías, y formación específica para quienes lo gestionan.
5. Integración en el programa de cumplimiento: para servir como defensa en un proceso penal, el canal debe integrarse con el mapa de riesgos penales, los protocolos y la supervisión continua; el artículo 31 bis.5.4.º del Código Penal exige imponer la obligación de informar de riesgos e incumplimientos al órgano de vigilancia. Véanse las guías del programa de compliance penal y del compliance officer externo.

El despacho asesora en la implantación y revisión del canal de denuncias dentro de su área de compliance para empresas en Madrid. Para una primera revisión puede utilizar el test de compliance penal para empresas o plantear su caso a través de la página de contacto.

Cómo gestionar una comunicación y sus consecuencias disciplinarias

• Triaje documentado: dejar constancia de por qué cada comunicación se considera incluida o no en el artículo 2. Las que no activan la protección legal se resuelven por cauces laborales ordinarios, pero la clasificación no sustituye a una investigación seria si hay indicios de infracción.
• Investigación: la denuncia es el punto de partida, no la prueba; entrevistas con actas, preservación de la prueba e informe de conclusiones.
• Audiencia previa: desde la sentencia del Pleno de la Sala Cuarta del Tribunal Supremo 1250/2024, de 18 de noviembre (ROJ STS 5454/2024), es exigible, con base en el artículo 7 del Convenio 158 de la OIT, oír al trabajador antes de un despido disciplinario, con efectos a partir de esa sentencia.
• Proporcionalidad: la posición del trabajador cuenta; quien maneja datos sensibles tiene un deber reforzado.
• Prescripción: sesenta días desde que la empresa conoció la falta muy grave y, en todo caso, seis meses desde su comisión (art. 60.2 ET).
• Deber de comunicar y accesos: si la empresa impone a la plantilla el deber de comunicar infracciones por el canal, debe recogerlo en el código de conducta y las políticas y difundirlo con formación; y conviene limitar, registrar y revisar los accesos a datos sensibles.
• Causa propia del despido: si la persona ha comunicado infracciones, hay que documentar con fechas causas objetivas anteriores y ajenas a la comunicación y comprobar que la carta se sostiene por sí misma. Las consecuencias se analizan en las guías sobre la garantía de indemnidad y el coste del despido improcedente.

El canal de denuncias y la protección de datos

El título VI de la Ley 2/2023 (arts. 29 a 34) regula el tratamiento de los datos de informantes, personas afectadas y testigos. Cuando el sistema es obligatorio, la base jurídica es el cumplimiento de una obligación legal (art. 6.1.c RGPD, según el art. 30.2). Deben minimizarse los datos y suprimirse de inmediato los innecesarios; las comunicaciones se suprimen a los tres meses de su recepción si no se han iniciado actuaciones de investigación, salvo para dejar evidencia anonimizada del funcionamiento del sistema (art. 32.4); la información que se acredite no veraz debe suprimirse (art. 32.3); y los datos del libro-registro se conservan un máximo de diez años (art. 26.2). Conviene actualizar el registro de actividades de tratamiento y valorar una evaluación de impacto.

Preguntas frecuentes

¿Puede gestionar el canal el departamento de recursos humanos?

No es recomendable. La ley limita el acceso del responsable de recursos humanos a los supuestos en que pueda proceder una medida disciplinaria (art. 32.1.b), y asignarle el canal crea un conflicto de interés evidente cuando las comunicaciones afectan a personal de la empresa.

¿Qué ocurre si un informante anónimo es identificado después?

Conserva la protección siempre que cumpla las condiciones legales (art. 35.3).

¿Qué ocurre si la denuncia es falsa o maliciosa?

Además de la infracción muy grave del artículo 63.1.f, pueden concurrir responsabilidades civiles, penales o disciplinarias. La empresa puede regular en su procedimiento las consecuencias de las comunicaciones de mala fe, siempre que no disuadan de las legítimas.

¿Qué plazo hay para impugnar un despido que se considera una represalia?

Veinte días hábiles, que son de caducidad (art. 103 LRJS).

Valoración del despacho

A juicio del despacho, el riesgo no está solo en carecer de canal, sino en tener uno que incumple la ley en aspectos que parecen menores: canales que no admiten comunicaciones anónimas, responsables sin independencia real, procedimientos sin plazos o no aprobados por el órgano de administración, o falta de consulta a la representación de los trabajadores. Conviene revisar el sistema con la ley en la mano, artículo por artículo, y documentar cada decisión. Tampoco basta tenerlo «en papel»: las represalias, la vulneración de la confidencialidad o la obstaculización de una investigación son infracciones muy graves que pueden generar responsabilidad personal de administradores y directivos, por lo que hay que revisar periódicamente su funcionamiento real (plazos cumplidos, registro al día, trazabilidad), formar a los mandos intermedios, que pueden adoptar sin advertirlo una medida que se interprete como represalia, e integrarlo desde el principio con el mapa de riesgos y el sistema disciplinario.

Las sentencias del TSJ de Madrid son útiles, pero no deben sobredimensionarse: son resoluciones en suplicación, no jurisprudencia del Supremo, y muy ligadas a los hechos. Para la empresa, el error más frecuente es tratar cualquier queja interna como ajena a la ley o, al contrario, dar por hecho que un despido posterior a una denuncia será siempre nulo. Lo prudente es verificar si hubo una comunicación por un cauce protegido y asegurarse de que la decisión disciplinaria se sostiene por sí misma, porque descartar la represalia no equivale a ganar la procedencia; y estos criterios no alcanzan al trabajador que denuncia a su propia empleadora por un cauce legal, supuesto en el que, si la comunicación entra en el ámbito material de la ley, opera la presunción del artículo 38.4. El canal solo aporta valor si detrás hay una investigación seria, con audiencia previa y decisión dentro de plazo.

Para quien se plantea denunciar, lo primero es comprobar si la conducta encaja en el artículo 2, si la información se conoció en un contexto laboral o profesional y cuál es el cauce adecuado, y describir hechos concretos que puedan constituir una infracción tipificada, no valoraciones sobre la gestión de un superior. Conviene conservar prueba de la fecha y el contenido de la comunicación y, sobre todo, de que la empresa llegó a conocerla, porque sin ese conocimiento es muy difícil construir el indicio de represalia. Y quien es investigado debe saber que lo que declare puede acabar en la carta de despido, por lo que es aconsejable asesorarse desde el primer momento.