Respuesta directa. La Ley 2/2023 obliga, con carácter general, a las empresas privadas con 50 o más trabajadores y a determinadas entidades y sectores con independencia de plantilla a disponer de un Sistema interno de información. Debe permitir comunicaciones escritas o verbales, incluidas anónimas, contar con un responsable designado por el órgano de administración, acusar recibo en siete días salvo riesgo para la confidencialidad y responder en un máximo de tres meses, ampliable otros tres por especial complejidad. El sistema debe proteger identidad, datos, defensa y ausencia de represalias. Desde 2026 la Autoridad Independiente de Protección del Informante dispone de canal externo; la empresa debe informar de esa vía.
Resumen ejecutivo
| Elemento | Exigencia | Riesgo |
|---|---|---|
| Ámbito | 50+ trabajadores y sujetos sectoriales | No contar plantilla o grupo correctamente |
| Canales | Escrito, verbal y reunión; anonimato | Herramienta sin vía humana accesible |
| Plazos | 7 días acuse; 3 meses respuesta, ampliable | Expedientes abiertos sin control |
| Protección | Confidencialidad y no represalia | Accesos excesivos o decisiones adversas |
Quién está obligado
Además del umbral general de 50 personas, la ley incluye entidades de sectores financieros, prevención de blanqueo, seguridad del transporte, medio ambiente u otros ámbitos europeos, partidos, sindicatos, organizaciones empresariales y fundaciones vinculadas cuando gestionan fondos públicos, entre otros. El sector público tiene su propio ámbito.
Los grupos pueden compartir sistema si se cumplen requisitos de independencia, acceso y reparto de responsabilidades. Externalizar la herramienta o gestión no desplaza la responsabilidad del órgano de administración.
Sistema, canal y responsable
El canal es la puerta de entrada; el Sistema incluye política, procedimiento, responsable, registro, investigación, protección y reporting. El órgano de administración implanta y designa al Responsable del Sistema, que debe actuar con autonomía e independencia. Si es colegiado, delega gestión en uno de sus miembros.
La designación y cese se comunican a la autoridad competente en los términos aplicables. Deben definirse recursos, acceso al consejo y conflictos. Un responsable nominal sin tiempo ni presupuesto no cumple la función.
Qué se puede comunicar
La protección abarca infracciones del Derecho de la UE previstas y acciones u omisiones que puedan constituir infracción penal o administrativa grave o muy grave, incluidas determinadas de Hacienda y Seguridad Social, además de ámbitos ampliados por política interna.
La empresa puede admitir otras cuestiones éticas o laborales, pero debe explicar qué protección legal se aplica y cómo se deriva. Acoso, privacidad o consultas de RRHH pueden requerir procedimientos especializados coordinados.
Anonimato y confidencialidad
El sistema debe permitir comunicaciones anónimas. Si la persona se identifica, su identidad se reserva y no se comunica a quien investiga más allá de lo necesario. Los datos se alojan con controles, registro de accesos y plazos.
Anonimato no significa falta de comunicación: puede usarse buzón seguro para preguntas. Tampoco impide archivar si no existen elementos mínimos, pero debe intentarse obtener concreción.
Procedimiento y plazos
El procedimiento regula acuse en siete días naturales, contacto, diligente seguimiento y respuesta en tres meses desde acuse o desde que vence el plazo de siete días si no se acusó, ampliable hasta tres meses adicionales por complejidad. En hechos que puedan ser delito se remite al Ministerio Fiscal y, si afecta a intereses financieros de la UE, a la Fiscalía Europea cuando proceda.
La comunicación verbal debe documentarse con consentimiento mediante grabación o transcripción, permitiendo revisión. Las reuniones presenciales se ofrecen en plazo razonable.
Derechos de la persona afectada
La persona investigada tiene derecho a ser informada y oída en tiempo y forma, respetando que una notificación prematura no frustre pruebas. Se protege presunción de inocencia, honor y defensa.
El expediente separa admisión, investigación y decisión. Las medidas cautelares no son sanciones. El informe debe distinguir hechos y valoración.
Prohibición de represalias
La ley protege frente a despido, degradación, cambio de horario, pérdida de negocio, listas negras, coacciones y otras represalias cuando se cumplen condiciones. La protección alcanza facilitadores y personas relacionadas en ciertos supuestos.
RRHH y compras deben recibir controles sin conocer más datos de los necesarios. Cualquier decisión adversa posterior debe tener causa y evidencia independientes.
Canal externo de la AIPI
La Autoridad Independiente de Protección del Informante, A.A.I., cuenta con estatuto aprobado por RD 1101/2024 y canal externo operativo. El informante puede acudir directamente o tras el canal interno. La política debe informar de canales externos competentes, incluida autoridad autonómica cuando exista.
No se debe afirmar que el canal interno es obligatorio como primer paso en todos los casos. La ley prefiere su uso cuando la infracción puede tratarse eficazmente y no hay riesgo de represalia, pero preserva la vía externa.
Protección de datos y conservación
Solo se tratan datos necesarios. Las comunicaciones no admitidas se eliminan, salvo conservación anonimizada para acreditar funcionamiento; los datos en el sistema se conservan durante el tiempo imprescindible y no más de diez años en el libro-registro, sujeto a la ley. El acceso está restringido a roles previstos.
La web debe tener información clara y separada. Avisos genéricos de privacidad no sustituyen la política del sistema.
Errores frecuentes
- Comprar software y no aprobar el sistema.
- Canal accesible solo con email corporativo.
- Responsable dependiente de la persona denunciada.
- No admitir anonimato o comunicación verbal.
- Prometer respuesta en siete días en vez de acuse.
- Investigar sin audiencia.
- Conservar datos indefinidamente.
- No informar del canal externo.
- Usar el canal para controlar quejas legítimas.
Checklist de decisión o implementación
- Obligación y perímetro de grupo revisados
- Órgano aprueba sistema y política
- Responsable independiente designado
- Canales escrito, verbal, reunión y anonimato
- Acuse y plazos automatizados
- Procedimiento de admisión e investigación
- Protocolo de conflictos de interés
- No represalia integrada con RRHH y compras
- Privacidad y libro-registro configurados
- Información sobre AIPI y canales externos publicada
Preguntas frecuentes
¿Es obligatorio con menos de 50 trabajadores?
Puede serlo por sector o tipo de entidad. También puede implantarse voluntariamente con los mismos estándares.
¿Debe admitir denuncias anónimas?
Sí, el sistema interno debe permitirlas.
¿Hay que resolver en siete días?
No. Siete días es el plazo general para acusar recibo; la respuesta tiene un plazo general de tres meses.
¿Puede gestionarlo un proveedor?
Sí, como tercero externo, sin perder responsabilidad ni independencia.
¿Hay que usar primero el canal interno?
No en todos los casos. El informante puede acudir a canales externos; la política debe explicarlos.
Cómo puede ayudar Nextica Law & Tax
Nextica diseña el sistema completo, no solo el buzón: gobernanza, política, herramienta, investigación, privacidad, reporting y formación.
Auditar el Sistema interno de información
Fuentes normativas y oficiales para la revisión
- Ley 2/2023 de protección del informante — BOE
- RD 1101/2024, Estatuto de la AIPI — BOE
- AIPI — canal externo de información
- RGPD — EUR-Lex
Última revisión jurídica: 2026-07-29.
Te lo generamos con formato y marca. A cambio, te unes a la Nextica Business Weekly (puedes darte de baja cuando quieras).