Software para la Ley 2/2023: el sistema interno de información #
La Ley 2/2023 obliga a la mayoría de las organizaciones españolas a disponer de un sistema interno de información. Elegir un software adecuado equivale a elegir un canal de denuncias que satisfaga esa obligación sin exponer a la organización ni a quienes comunican. Esto es lo que exige la ley, cómo se articula con la Directiva europea y qué debe reunir un canal conforme.
Qué exige la Ley 2/2023 #
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone en España la Directiva (UE) 2019/1937. Su pieza central es el Sistema interno de información: el canal que la organización debe poner a disposición de quienes quieran comunicar una infracción.
Están obligadas a implantarlo:
- Las entidades del sector privado con 50 o más trabajadores.
- Todas las entidades del sector público, con una obligación más amplia que la simple regla de los 50 trabajadores.
- Las entidades financieras y sujetas a prevención del blanqueo de capitales, las medioambientales y las de seguridad en el transporte, con independencia del número de trabajadores.
Los plazos de implantación fueron escalonados: 13 de junio de 2023 para las organizaciones de 250 o más empleados y 1 de diciembre de 2023 para las de 50 a 249. Ambos plazos ya han vencido, de modo que la obligación es exigible hoy para todas ellas.
El régimen español permite compartir medios: los municipios de menos de 10 000 habitantes pueden compartir recursos entre sí, y las entidades privadas de 50 a 249 trabajadores pueden compartir el sistema interno de información. Compartir medios no elimina la obligación de cada entidad de responder de su propio canal.
El detalle del régimen español, con los umbrales, las sanciones y las autoridades externas competentes, está en nuestra página dedicada: la Ley 2/2023 en España .
Ley 2/2023 y Directiva (UE) 2019/1937: una misma obligación #
La Ley 2/2023 no es un régimen paralelo al europeo, sino su transposición. La Directiva (UE) 2019/1937 fija el suelo común (canal interno obligatorio a partir de 50 trabajadores, confidencialidad, plazos de respuesta y prohibición de represalias) y la ley española lo concreta, en algunos puntos con mayor exigencia que el mínimo europeo.
En la práctica, un canal de denuncias bien diseñado responde a las dos: recoge las comunicaciones de forma segura, garantiza la confidencialidad y asegura el seguimiento dentro de los plazos previstos.
Las sanciones convierten el canal en una prioridad #
España tiene la sanción por carencia de canal más severa de la Unión Europea. No disponer de un sistema interno de información es una infracción muy grave conforme al artículo 63.1.g, castigada con multas de 600 001 a 1 000 000 € para las personas jurídicas.
Para las infracciones muy graves la autoridad puede añadir, conforme al artículo 65.2, la amonestación pública, la prohibición de obtener subvenciones o beneficios fiscales durante un máximo de cuatro años y la prohibición de contratar con el sector público durante un máximo de tres años. Para muchas organizaciones, esa segunda consecuencia pesa más que la multa.
La supervisión está activándose. La Autoridad Independiente de Protección del Informante (AIPI) comenzó a operar el 1 de septiembre de 2025 y activó la supervisión de los canales en torno a febrero de 2026. Ninguna empresa ha sido multada hasta la fecha, pero España es la señal más clara de que la aplicación está llegando de todos los mercados que seguimos.
Qué debe reunir un canal de denuncias conforme #
Un software de denuncias adaptado a la Ley 2/2023 debe reunir:
- Un canal seguro y anónimo, accesible a los trabajadores y a los terceros vinculados a la organización, sin que el autor de la comunicación pueda ser identificado contra su voluntad.
- La confidencialidad de la identidad del informante, de las personas afectadas y de la información comunicada.
- La admisión de comunicaciones escritas y verbales, que la ley contempla expresamente junto a la posibilidad de una reunión presencial.
- El cumplimiento de los plazos: acuse de recibo de la comunicación en un plazo de siete días y respuesta al informante en un plazo máximo de tres meses.
- Un registro de auditoría completo que documente cada paso de la tramitación, para acreditar el cumplimiento ante una eventual inspección.
- Alojamiento en la Unión Europea y conformidad con el RGPD desde el diseño.
EthicsPortal como sistema interno de información #
EthicsPortal es un canal interno de denuncias diseñado para el cumplimiento europeo. Cubre la obligación de sistema interno de información de la Ley 2/2023 y el procedimiento de comunicación interna de la Directiva (UE) 2019/1937.
El servicio proporciona un canal seguro y anónimo con mensajería bidireccional cifrada, la confidencialidad de las comunicaciones, el seguimiento automático de los plazos de siete días y tres meses, un registro de auditoría en modo solo anexión, la eliminación automática de metadatos de los archivos subidos y alojamiento en la UE conforme al RGPD. Las comunicaciones verbales se pueden grabar en el propio canal y se anonimizan por voz de forma automática.
La implantación no requiere un proyecto técnico: una organización puede activar su canal de denuncias en cuestión de minutos. Los precios son públicos y a tanto alzado, sin variación según la plantilla, y el producto está descrito en detalle sin necesidad de pasar por una demostración comercial.
Para situar EthicsPortal frente a las demás plataformas del mercado, nuestras comparativas presentan una evaluación lado a lado, con los precios a la vista.
Fuentes oficiales #
- Ley 2/2023, de 20 de febrero — texto oficial del BOE
- AIPI — canal externo de información
- AIPI — quiénes somos
- AIPI — procedimiento sancionador
- Directiva (UE) 2019/1937, de 23 de octubre de 2019 — EUR-Lex
- Agencia Española de Protección de Datos (AEPD)
Preguntas frecuentes #
¿Obliga la Ley 2/2023 a contratar un software de denuncias? #
La Ley 2/2023 obliga a disponer de un sistema interno de información, no a contratar un producto concreto. La ley no impone un software determinado, sino un canal seguro, confidencial y trazable; un software específico es la vía más sencilla de reunir esos requisitos y de acreditar su cumplimiento.
¿A partir de cuántos trabajadores es obligatorio el canal de denuncias? #
Es obligatorio para las entidades del sector privado con 50 o más trabajadores, para todas las entidades del sector público y, con independencia de la plantilla, para las entidades financieras y sujetas a prevención del blanqueo de capitales, las medioambientales y las de seguridad en el transporte.
¿Qué multa conlleva no tener un canal de denuncias en España? #
No disponer de un sistema interno de información es una infracción muy grave conforme al artículo 63.1.g de la Ley 2/2023, sancionable con multas de 600 001 a 1 000 000 € para las personas jurídicas. La autoridad puede añadir la amonestación pública y prohibiciones temporales de contratar con el sector público o de obtener subvenciones.
¿Qué plazos hay que cumplir al tramitar una comunicación? #
Hay que acusar recibo de la comunicación en un plazo de siete días y dar respuesta al informante en un plazo máximo de tres meses desde la recepción.
¿Se pueden alojar los datos fuera de la Unión Europea? #
Con EthicsPortal los datos se alojan en la UE de forma predeterminada y el tratamiento es conforme al RGPD, sin coste adicional por la residencia de los datos.
¿Puede una empresa de 50 a 249 trabajadores compartir el canal con otra? #
Sí. La Ley 2/2023 permite a las entidades privadas de 50 a 249 trabajadores compartir el sistema interno de información, del mismo modo que los municipios de menos de 10 000 habitantes pueden compartir medios. Compartir recursos no exime a cada entidad de responder de su propio canal.
Última actualización: