Copyrights. CANINO, HERRERO & GALINDO ,
2026. Todos los derechos reservados.
La entrada en vigor de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, ha marcado un antes y un después en el ámbito del cumplimiento corporativo en España. Esta norma, que traspone la Directiva Europea 2019/1937, obliga a la mayoría de entidades públicas y privadas a implementar un Sistema Interno de Información (SII) y un canal de denuncias eficaz. Su fin último es proteger a los informantes que, en un contexto laboral o profesional, detecten irregularidades y decidan comunicarlas, combatiendo así la corrupción y fomentando una cultura de integridad.
No se trata solo de cumplir con un requisito legal. La implementación de un SII robusto supone una oportunidad estratégica para que las organizaciones detecten de forma temprana conductas que pueden derivar en sanciones millonarias, pérdida de reputación y, en el peor de los casos, responsabilidad penal para las personas jurídicas. En esta guía, desgranamos las estrategias legales clave para cumplir con la normativa, basándonos en el análisis de la propia ley y en la experiencia práctica de empresas que ya han implantado sus sistemas, como Vintegris y CERPA.
El Sistema Interno de Información es el conjunto integrado de canales, procedimientos y personas responsables que permite a los empleados y otros grupos de interés comunicar, de forma confidencial e incluso anónima, posibles infracciones normativas. La ley establece que este sistema debe ser el cauce preferente para informar sobre acciones u omisiones que puedan constituir infracciones del Derecho de la Unión Europea, así como infracciones penales o administrativas graves o muy graves en el ordenamiento español.
El ámbito objetivo es muy amplio: abarca desde delitos de fraude y soborno hasta violaciones en materia de protección de datos, medio ambiente, salud pública, seguridad de los productos o blanqueo de capitales. También se incluyen aquellas infracciones que impliquen un quebranto económico para la Hacienda Pública y la Seguridad Social. Quedan expresamente excluidas de esta protección las reclamaciones sobre conflictos interpersonales o informaciones falsas presentadas de mala fe.
En el sector privado, la obligación de disponer de un SII recae sobre todas las empresas con 50 o más trabajadores, aunque hay excepciones relevantes. Están obligadas sin importar su tamaño las entidades que operen en sectores financieros, de prevención de blanqueo de capitales, seguridad del transporte o medio ambiente. Además, todos los partidos políticos, sindicatos, organizaciones empresariales y fundaciones que reciban fondos públicos deben contar con él, como medida para reforzar la transparencia democrática.
En el sector público, el deber es universal: todas las Administraciones territoriales, organismos autónomos, universidades, sociedades mercantiles públicas, corporaciones de Derecho Público y órganos constitucionales están obligados. Incluso los municipios de menos de 10.000 habitantes deben implementarlo, aunque la ley les permite compartir medios con otras entidades de la misma comunidad autónoma para facilitar la gestión, sin diluir la responsabilidad individual de cada uno.
El corazón del sistema reside en las garantías absolutas de confidencialidad. La identidad del informante no puede ser revelada a terceros, y solo podrá comunicarse a la autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación formal. La ley es contundente: vulnerar esta garantía constituye una infracción muy grave, sancionable con multas de hasta 1.000.000 de euros para personas jurídicas.
Se permite y se protege expresamente la presentación de comunicaciones anónimas. Aunque es recomendable que el informante facilite un medio de contacto para una investigación más ágil, el sistema debe estar técnicamente preparado para gestionar denuncias sin datos identificativos. El tratamiento de datos personales asociado debe cumplir con el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018, exigiendo la designación de un Delegado de Protección de Datos y la limitación del acceso a la información exclusivamente al personal autorizado.
Un canal interno eficaz debe ser versátil y accesible. La normativa exige que permita comunicaciones por escrito y verbales. Las vías pueden incluir un buzón de correo electrónico seguro, una plataforma web con doble encriptación, correo postal e incluso una línea telefónica o sistema de mensajería de voz. A solicitud del informante, deberá concederse una reunión presencial en un plazo máximo de siete días.
La accesibilidad no es solo técnica, sino cognitiva. La información sobre el uso del canal y los derechos del informante debe publicarse en la página principal de la web corporativa y en la intranet, en una sección separada, clara y fácilmente identificable. La experiencia de empresas como Vintegris demuestra que centralizar todas las vías en una única herramienta, como Bizneo HR, simplifica la gestión interna y fortalece la confianza del usuario al evitar la dispersión de buzones.
Todo comienza con la recepción de la comunicación y su registro en un libro-registro seguro y no público. En los siete días naturales siguientes, el Responsable del Sistema debe enviar un acuse de recibo al informante, a menos que este haya renunciado expresamente o se comprometa la confidencialidad. Inmediatamente después, se inicia una fase de análisis preliminar para determinar si los hechos entran dentro del ámbito de aplicación de la ley y si existen indicios mínimos de veracidad.
Las causas de inadmisión están tasadas: hechos inverosímiles, que no constituyan infracción, que carezcan de fundamento o que se hayan obtenido mediante delito. Si la información es genérica, debe darse al informante un plazo para subsanarla antes de cerrar el expediente. Cuando los hechos apuntan a un delito, la comunicación debe remitirse con carácter inmediato al Ministerio Fiscal o a la Fiscalía Europea, garantizando siempre la protección de la identidad del comunicante.
Una vez admitida a trámite, se abre una fase de instrucción que no puede exceder de tres meses, ampliables a otros tres en casos de especial complejidad. Durante este periodo, se realizan todas las actuaciones necesarias para comprobar la verosimilitud de los hechos. Es crucial informar a la persona afectada de las acusaciones, aunque de forma sucinta y sin revelar la identidad del informante, garantizando su derecho de defensa y a ser oída sin que ello frustre la investigación.
Concluidas las diligencias, el Responsable del Sistema emite un informe con las conclusiones y propone el archivo, el traslado a la autoridad competente o la incoación de un procedimiento sancionador interno. Esta decisión se comunica, en la medida de lo posible, al informante y al afectado. El procedimiento completo, desde la recepción hasta la resolución, debe quedar perfectamente trazado y documentado en la herramienta de gestión.
La principal finalidad de la ley es que nadie sufra consecuencias negativas por actuar cívicamente. Por ello, se prohíben y declaran nulos los actos de represalia, que incluyen desde el despido y la degradación profesional hasta la coacción, el acoso, la inclusión en listas negras o las evaluaciones negativas infundadas. La protección se extiende a compañeros, familiares y personas jurídicas vinculadas al informante.
Adicionalmente, el informante goza de una exención de responsabilidad respecto a la adquisición o acceso a la información comunicada, siempre que no constituya delito. También queda liberado de la violación de cláusulas de confidencialidad contractuales. En los procesos judiciales, existe una inversión de la carga de la prueba: una vez que el informante demuestra haber comunicado conforme a la ley y haber sufrido un perjuicio, corresponde a la parte contraria probar que la medida adoptada fue por motivos ajenos a la denuncia.
La otra cara de la moneda es un severo régimen sancionador diseñado para disuadir cualquier intento de obstaculizar el sistema o tomar represalias. Las infracciones se clasifican en muy graves, graves y leves. Las multas para personas físicas pueden alcanzar los 300.000 euros, y para personas jurídicas, hasta 1.000.000 de euros. Además, se pueden imponer sanciones accesorias como la amonestación pública, la prohibición de contratar con el sector público durante tres años o la prohibición de obtener subvenciones durante cuatro.
También se tipifica como infracción muy grave la comunicación de información a sabiendas de su falsedad. La ley ofrece, sin embargo, un programa de clemencia: una persona que haya participado en una infracción administrativa podrá ser eximida o ver atenuada su sanción si es ella quien la revela, cooperando plenamente, cesando la conducta ilícita y reparando los daños antes de que se inicie un procedimiento formal.
La ley crea un pilar institucional externo: la Autoridad Independiente de Protección del Informante, AAI, vinculada al Ministerio de Justicia pero con plena autonomía orgánica y funcional. Esta entidad no solo gestiona un canal externo de comunicaciones al que puede acudir cualquier ciudadano de forma directa, sino que ejerce la potestad sancionadora, asesora al Gobierno y elabora modelos de prevención. Las comunidades autónomas pueden crear sus propias autoridades, con competencias sobre el sector público autonómico y local.
La existencia del canal externo es clave para generar confianza. El informante puede elegir si acudir primero al canal interno de su empresa o directamente a la AAI, especialmente si teme represalias o que la organización no tramite eficazmente su comunicación. De este modo, se crea una red de seguridad que refuerza la protección y sitúa a España entre los países con un marco más sólido en la lucha contra la corrupción y la transparencia.
De los modelos analizados, como los de Vintegris y CERPA, se extrae una máxima: un sistema por sí solo no funciona si no se comunica con claridad. Es esencial que, al inicio de la relación profesional, cada empleado reciba formación específica sobre la existencia y uso del canal. Además, deben realizarse campañas periódicas de concienciación que refuercen el principio de «tolerancia cero» a las represalias y desestigmaticen el acto denunciar, presentándolo como un deber de lealtad corporativa y un pilar de la cultura de la organización.
La comunicación debe abarcar a todos los grupos de interés: empleados, autónomos, antiguos trabajadores, becarios e incluso candidatos en procesos de selección. Especial atención merece la formación a mandos intermedios y directivos, que deben saber cómo reaccionar si reciben una comunicación informal, teniendo la obligación de remitirla inmediatamente al Responsable del Sistema y mantener una confidencialidad absoluta. Los protocolos de prohibición de represalias, como documento complementario, explicitan de forma práctica estas conductas prohibidas y dan seguridad a todos los implicados.
La elección de la tecnología es crítica. Las mejores prácticas pasan por utilizar plataformas de gestión de casos basadas en la nube, con alojamiento en servidores dentro de la Unión Europea, doble encriptación y funciones que eliminan automáticamente metadatos de los archivos adjuntos para proteger al informante. La herramienta debe permitir la interlocución anónima bidireccional mediante un buzón seguro, sin almacenar direcciones IP ni rastrear cookies, y ofrecer ajustes de seguridad configurables como la autenticación de dos factores.
Estas soluciones, como la implementada por CERPA a través de un gestor externo con firma de abogados, garantizan la trazabilidad total: cada acción queda registrada, no es posible eliminar registros y se mantiene un control de versiones para las auditorías. La gestión externalizada del canal, siempre bajo la supervisión del Responsable del Sistema designado (un directivo independiente o el responsable de cumplimiento normativo), es una opción que muchas empresas están adoptando para reforzar la percepción de imparcialidad y dotar de mayor especialización al proceso de investigación.
La nueva Ley de Protección del Denunciante viene a proteger a cualquier persona que, en su trabajo o entorno profesional, tenga conocimiento de una irregularidad grave y decida informar sobre ella. Piense en ello como un escudo legal: si actúa de buena fe y tiene indicios razonables de que una conducta es ilegal, la empresa tiene la obligación de ofrecerle un canal seguro, confidencial y anónimo para que lo comunique sin miedo a ser despedido, acosado o perjudicado.
Lo más importante es entender que este canal no es solo para denunciar delitos, sino también para prevenir riesgos mayores. La organización debe investigar su comunicación en un plazo máximo de tres meses y tomar medidas. Tanto si es un empleado de una gran empresa como de un pequeño ayuntamiento, tiene derecho a esta protección. Simplemente debe buscar en la web o intranet de su organización el apartado «Sistema Interno de Información» o «Canal de Denuncias».
Desde una perspectiva de compliance, la Ley 2/2023 obliga a integrar los canales de denuncia en un único Sistema Interno de Información, superando la fragmentación de los antiguos modelos de prevención de riesgos penales. El responsable de su gestión debe ser un directivo con independencia funcional, cuyos nombramientos y ceses han de notificarse a la AAI. La gestión del sistema, incluyendo la recepción de comunicaciones, es delegable a un tercero externo, que actuará como encargado del tratamiento, pero la responsabilidad última permanece en el órgano de administración de la entidad.
El diseño del procedimiento debe contemplar con precisión los mecanismos de información a los afectados, el respeto absoluto a la presunción de inocencia y la coordinación con el Delegado de Protección de Datos para la realización de la pertinente Evaluación de Impacto sobre Protección de Datos, especialmente por el tratamiento de categorías especiales de datos. La llevanza del libro-registro, la conservación limitada de datos y la preparación para la remisión de información al Fiscalía Europea para asuntos que afecten a intereses financieros de la UE son hitos ineludibles para un cumplimiento técnico completo y auditable del sistema.
Expertos en derecho, brindamos soluciones personalizadas en asesoría legal. Confíe en CANINO, HERRERO & GALINDO para su tranquilidad jurídica.
