Las Torres 20, 16001 Cuenca
web@consultoriaapc.es
Muchas empresas buscan “poner un canal de denuncias” y creen que la solución consiste en activar una herramienta online. No es así. En España, cumplir con la Ley 2/2023 exige algo más amplio: implantar un sistema interno de información con responsable, procedimiento, garantías de confidencialidad, posibilidad de comunicación anónima, registro, plazos y tratamiento correcto de datos personales. El software ayuda, pero no sustituye al sistema.
Índice de contenidos
Lo primero es hablar con precisión. Aunque en el lenguaje cotidiano se use “canal de denuncias”, la Ley 2/2023 trabaja sobre el concepto de sistema interno de información. El canal es una parte del sistema. El sistema incluye también el procedimiento, el responsable, las garantías, la gestión de las comunicaciones y el registro.
En el sector privado, la obligación afecta, con carácter general, a:
Además, que una empresa no esté obligada no significa que no le convenga implantarlo. De hecho, muchas organizaciones con menos de 50 personas lo están adoptando voluntariamente por una razón simple: detecta antes los problemas, ordena la respuesta interna y reduce la improvisación.
También conviene tener en cuenta otra cuestión práctica: las empresas privadas de entre 50 y 249 trabajadores pueden compartir recursos para la gestión del sistema si lo hacen respetando las garantías legales. Eso abarata la implantación, pero no elimina la necesidad de tener bien definidos los responsables, el procedimiento y la trazabilidad.
Aquí está el punto donde más empresas fallan. Creen que con un formulario web ya han cumplido. No. Para cumplir de verdad, el sistema debe reunir, como mínimo, estas piezas:
La identidad de la persona informante, de las personas afectadas y de cualquier tercero mencionado debe quedar protegida. No puede acceder cualquiera. El acceso debe estar restringido a quien tenga competencia real para gestionar el sistema.
El canal debe permitir presentar informaciones por escrito y también verbalmente. No es válido limitarlo solo a un correo o a un formulario si con ello se vacía de contenido el derecho a comunicar.
La ley permite expresamente la presentación y tramitación de comunicaciones anónimas. Esto es importante porque muchas personas solo informan si perciben una protección real.
Debe existir una persona física responsable, o un órgano colegiado que delegue la gestión en uno de sus miembros. Este punto no es cosmético: si nadie asume la responsabilidad del sistema, el canal se convierte en una bandeja sin dirección.
No basta con “tener criterio”. Debe existir un procedimiento formal de gestión de informaciones. Ese procedimiento tiene que fijar cómo se recibe, cómo se analiza, quién interviene, qué plazos rigen, cómo se documenta y cuándo se remite al Ministerio Fiscal u otra autoridad si procede.
La norma exige acuse de recibo al informante en el plazo de siete días naturales, salvo que ello comprometa la confidencialidad. Y, con carácter general, fija un plazo máximo de tres meses para dar respuesta a las actuaciones de investigación, ampliable en casos de especial complejidad.
Las entidades obligadas deben contar con un registro de las informaciones recibidas y de las investigaciones internas derivadas de ellas. Ese registro no es público y debe respetar las exigencias de confidencialidad y conservación de datos.
En resumen: cumplir no es abrir un buzón. Es implantar un sistema operativo y defendible.
Antes de gastar dinero en una herramienta, hay que revisar tamaño de plantilla, actividad, grupo empresarial y normativa sectorial aplicable. Aquí se define si la implantación es obligatoria o estratégica.
La gestión puede ser interna o apoyarse en un tercero externo. Pero externalizar no desplaza la responsabilidad de la empresa. Si se recurre a un proveedor, hay que revisar bien independencia, confidencialidad, protección de datos y el marco contractual.
Sin una persona clara al mando, el sistema fracasa. Esta figura debe tener capacidad real, independencia suficiente, criterio y acceso a la información necesaria para gestionar las comunicaciones con diligencia.
La implantación del sistema debe hacerse con la consulta previa prevista legalmente. Saltarse este paso es empezar mal un sistema que precisamente pretende reforzar garantías internas.
La empresa necesita al menos dos piezas documentales básicas:
Aquí entra la parte tecnológica: formulario, plataforma o solución elegida. Pero debe configurarse bien desde el principio:
Cuando llega una comunicación, la empresa debe saber qué ocurre después. Quién la recibe, quién la analiza, cuándo se admite, cuándo se archiva, cuándo se investiga, cuándo se pide información adicional y cuándo se remite a otra autoridad. Si esto no está previsto, el sistema se bloquea o se gestiona mal.
La parte menos vistosa suele ser la más importante. Sin registro y sin evidencias, no podrás demostrar que el sistema funciona ni que se ha actuado con diligencia.
El canal debe ser conocido. No sirve de nada esconderlo en una sección oscura de la web o comunicarlo una sola vez por correo. El equipo debe entender:
Muchas implantaciones fallan porque nadie prueba nada. Un simulacro sencillo detecta enseguida si el acuse funciona, si los accesos están bien restringidos, si el procedimiento es viable y si la empresa sabe reaccionar sin improvisar.
El error más común aquí es nombrar a alguien sin autonomía real, sin tiempo o sin criterio. Eso solo genera apariencia de cumplimiento.
La protección de datos en este terreno no es un añadido. Está en el centro del sistema. Hay cuatro ideas básicas que deben respetarse sí o sí:
En la práctica, una mala implantación de privacidad suele venir por estas vías: accesos excesivos, correos reenviados sin control, ausencia de cláusulas informativas, proveedor mal contratado o registro de actuaciones inexistente. Y ahí el problema ya no es solo de compliance: también es de protección de datos.
La consecuencia de estos errores es la misma: el sistema aparenta existir, pero falla justo cuando más hace falta.
Si alguna respuesta es “no”, el sistema aún no está cerrado.
Si tu empresa necesita implantar o revisar su sistema interno de información en España, lo razonable es hacerlo bien desde el principio: responsable, procedimiento, privacidad, evidencias y una operativa que funcione cuando llegue una comunicación real.
No. En el sector privado, la obligación general afecta a entidades con 50 o más trabajadores y a determinadas entidades reguladas aunque tengan menos. Aun así, muchas empresas pequeñas lo implantan voluntariamente por control interno y prevención.
Sí, la recepción de informaciones puede apoyarse en un tercero externo, pero la empresa no pierde por ello la responsabilidad sobre el sistema. Externalizar no equivale a desentenderse.
No. Hace falta además responsable, procedimiento, garantías de confidencialidad, posibilidad de comunicación anónima, tratamiento correcto de datos, registro y un circuito real de gestión.
Que no hay responsable operativo, no existe un procedimiento útil, los accesos están mal definidos o nadie ha probado el sistema antes de publicarlo.