Normativa canal de denuncias 2026: Guía completa paso a paso
Entender la normativa canal de denuncias es importante para cualquier empresa que necesite implantar o revisar su Sistema interno de información. No solo porque existen obligaciones legales y posibles sanciones, sino porque una mala configuración puede generar problemas justo cuando llega una comunicación sensible.
En España, la referencia principal sigue siendo la Ley 2/2023, de 20 de febrero, que incorporó al ordenamiento español la Directiva (UE) 2019/1937. La norma establece quién debe disponer de un Sistema interno de información, qué garantías debe ofrecer y cómo deben gestionarse las comunicaciones recibidas.
En 2026 también hay que tener en cuenta las recomendaciones publicadas por la Autoridad Independiente de Protección del Informante (AIPI), especialmente en aspectos relacionados con el diseño, la accesibilidad, la seguridad y el funcionamiento práctico de estos sistemas.
Esta guía repasa los puntos principales de la normativa canal de denuncias, desde las empresas obligadas hasta la confidencialidad, los plazos, las sanciones y los aspectos técnicos que conviene revisar.
¿Qué es un canal de denuncias y por qué es obligatorio?
Un canal de denuncias obligatorio es la vía utilizada para que empleados y otras personas relacionadas laboral o profesionalmente con una organización puedan comunicar determinadas irregularidades.
Puede utilizarse para trasladar información sobre posibles infracciones incluidas dentro del ámbito correspondiente, siempre siguiendo el procedimiento establecido por la organización. Conviene distinguir el canal del sistema de información.
El canal es el medio mediante el que entra la comunicación. El sistema es un concepto más amplio e incluye también:
- El Responsable del Sistema.
- La política o estrategia interna.
- El procedimiento de gestión.
- Las garantías de confidencialidad.
- Los mecanismos de protección del informante.
- Los controles de acceso.
- La gestión de los plazos.
Puede profundizar en esta diferencia en nuestra guía sobre qué es un canal de denuncias. El objetivo no debería ser simplemente disponer de un enlace visible en la web. El sistema tiene que estar preparado para funcionar cuando llegue la primera comunicación.
Normativa canal de denuncias vigente en España en 2026
La norma de referencia continúa siendo la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
Esta ley desarrolla en España la Directiva (UE) 2019/1937 y establece el marco aplicable a los Sistemas internos de información. En 2026, además, la AIPI ha publicado y actualizado diferentes recomendaciones sobre su diseño e implantación.
Estas recomendaciones resultan especialmente útiles para traducir algunos principios generales de la ley a cuestiones más prácticas relacionadas con:
- Arquitectura del canal.
- Seguridad.
- Accesibilidad.
- Gestión de permisos.
- Confidencialidad.
- Protección de datos.
- Independencia del Responsable del Sistema.
- Gestión de conflictos de interés.
Por tanto, cuando hablamos actualmente de normativa canal de denuncias, conviene diferenciar entre la obligación legal establecida fundamentalmente por la Ley 2/2023 y las recomendaciones técnicas publicadas posteriormente por la AIPI.
Si desea entender la ley de manera más detallada puede consultar nuestra guía sobre la Ley 2/2023.
Qué empresas están obligadas a disponer del sistema
No todas las empresas españolas están obligadas simplemente por desarrollar una actividad empresarial. Con carácter general, deben disponer de un Sistema interno de información las empresas privadas con 50 o más trabajadores.
Sin embargo, hay determinados sectores en los que la obligación puede existir independientemente del número de trabajadores. La Ley 2/2023 contempla específicamente determinadas actividades relacionadas, entre otras materias, con:
- Servicios y mercados financieros.
- Prevención del blanqueo de capitales y financiación del terrorismo.
- Seguridad del transporte.
- Protección del medio ambiente.
También existen obligaciones para el sector público y otros sujetos expresamente contemplados por la norma. Por eso, antes de asumir que una empresa está o no obligada conviene analizar su situación concreta.
Normativa canal de denuncias: principales obligaciones de la empresa
Cuando una organización se encuentra obligada, la implantación del sistema corresponde a su órgano de administración u órgano de gobierno, previa consulta con la representación legal de las personas trabajadoras en los términos previstos por la Ley 2/2023. A partir de ahí deben ponerse en marcha diferentes elementos.
Designar al Responsable del Sistema
La organización debe designar un Responsable del Sistema interno de información. Puede tratarse de una persona física o de un órgano colegiado.
Esta figura debe ejercer sus funciones de manera independiente y autónoma respecto del resto de órganos de la organización y disponer de los medios necesarios para desempeñar correctamente su trabajo.
Aprobar un procedimiento de gestión
También debe existir un procedimiento que determine qué ocurrirá con las comunicaciones recibidas. No debería improvisarse cuando llegue el primer expediente. El procedimiento debe contemplar cuestiones como:
- Recepción.
- Acuse de recibo.
- Análisis inicial.
- Investigación.
- Conflictos de interés.
- Comunicación con el informante.
- Plazos.
- Cierre del expediente.
- Protección de datos.
Garantizar la confidencialidad
La identidad del informante y de las personas mencionadas debe protegerse frente a accesos no autorizados. Esto afecta tanto a la herramienta tecnológica como a las personas que intervienen en la gestión.
Permitir comunicaciones anónimas
Los canales internos deben permitir la presentación y posterior tramitación de comunicaciones anónimas. Esto significa que una persona puede utilizar el sistema sin facilitar su identidad.
Requisitos técnicos del canal: seguridad, confidencialidad y anonimato
La Ley 2/2023 no obliga a todas las empresas a comprar una tecnología concreta ni establece que deba utilizarse una plataforma determinada. Lo que exige es que el sistema se diseñe y gestione de forma segura.
Por eso resulta más útil hablar de objetivos técnicos que de herramientas obligatorias.
Control de accesos
No todas las personas de la organización deberían poder consultar los expedientes. Los permisos deben limitarse según las responsabilidades de cada usuario.
Protección de la información
La plataforma debería aplicar medidas de seguridad adecuadas tanto durante la transmisión como durante el almacenamiento de los datos. Esto puede incluir cifrado, autenticación, registro de accesos y otras medidas adaptadas al riesgo.
Comunicaciones anónimas
El sistema debe admitirlas. Además, resulta especialmente útil que una persona anónima pueda seguir consultando el expediente o recibir preguntas sin revelar posteriormente su identidad.
Una plataforma puede resolver esto mediante un código o acceso seguro asociado al caso.
Trazabilidad
Debe ser posible conocer qué actuaciones se realizaron durante la gestión del expediente. No para vigilar innecesariamente a los usuarios, sino para mantener un historial coherente y poder reconstruir posteriormente el procedimiento seguido.
Puede ampliar estos aspectos en nuestra guía sobre Canal de denuncias digital conforme a la ley.
Proceso de recepción y gestión de denuncias
La normativa canal de denuncias establece determinadas reglas que deben respetarse después de recibir una comunicación.
Recepción y registro
La comunicación entra a través de alguno de los canales habilitados y se registra dentro del sistema. El expediente debería disponer de un identificador que facilite su seguimiento.
Acuse de recibo
Cuando corresponda, debe enviarse un acuse de recibo en un máximo de 7 días naturales desde la recepción. Existe una excepción cuando hacerlo pueda poner en peligro la confidencialidad de la comunicación.
Análisis inicial
No todas las comunicaciones implican automáticamente abrir una investigación. Primero debe analizarse si los hechos se encuentran dentro del ámbito del sistema y si existe información suficiente para continuar. También debería comprobarse desde este momento si existe algún posible conflicto de interés.
Investigación
Cuando resulta necesario, se realizan las actuaciones correspondientes. Estas pueden incluir revisión documental, entrevistas, solicitud de información adicional o análisis de determinados registros.
El plazo máximo para dar respuesta a las actuaciones de investigación es, con carácter general, de 3 meses. Cuando el caso presente una especial complejidad puede ampliarse hasta otros tres meses adicionales.
Cierre
Una vez terminadas las actuaciones deben documentarse las conclusiones y adoptarse las medidas que correspondan. El hecho de recibir una comunicación no significa que los hechos estén demostrados. Durante todo el procedimiento también deben respetarse los derechos de las personas afectadas.
Derechos y protección de las personas informantes
Una parte fundamental de la normativa es la protección frente a represalias. Una persona que cumpla los requisitos establecidos por la Ley 2/2023 no debería sufrir consecuencias perjudiciales por haber realizado una comunicación protegida por la norma.
Las represalias pueden adoptar formas diferentes. No se limitan únicamente al despido.
También pueden incluir determinadas situaciones como:
- Degradación profesional.
- Modificaciones perjudiciales de las condiciones de trabajo.
- Denegación de promociones.
- Evaluaciones negativas injustificadas.
- Daños reputacionales.
- Discriminación.
- Trato desfavorable.
La confidencialidad también juega un papel esencial. Incluso cuando el informante decide identificarse, su identidad no debería circular libremente dentro de la organización.
Diferencia entre confidencialidad y anonimato
Estos dos conceptos suelen utilizarse como si fueran equivalentes. No lo son.
Una comunicación anónima es aquella en la que la organización no conoce la identidad de quien informa, mientras que una comunicación confidencial puede incluir la identidad, pero esta queda protegida frente a personas no autorizadas.
La distinción es importante porque un buen sistema debería poder gestionar ambas situaciones. Puede consultar nuestra guía específica sobre denuncias anónimas para profundizar en esta cuestión.
Sanciones por incumplimiento de la normativa
La Ley 2/2023 establece infracciones leves, graves y muy graves. Para las personas jurídicas, las sanciones pueden alcanzar:
- Infracciones leves: hasta 100.000 euros.
- Infracciones graves: entre 100.001 y 600.000 euros.
- Infracciones muy graves: entre 600.001 y 1.000.000 de euros.
Además, en determinadas infracciones muy graves pueden imponerse otras consecuencias. Entre ellas se encuentran la amonestación pública, la prohibición de obtener subvenciones o determinados beneficios fiscales durante un máximo de cuatro años y la prohibición de contratar con el sector público durante un máximo de tres años.
La propia ley considera infracción muy grave no disponer del Sistema interno de información cuando existe obligación legal. También puede tenerse en cuenta la reincidencia, la duración del perjuicio, la intencionalidad, la situación económica del infractor, la subsanación voluntaria o la colaboración con la autoridad a la hora de graduar una sanción.
Puede ampliar esta información en nuestra guía sobre sanciones por no tener canal de denuncias.
Registro y conservación de la información
Los sujetos obligados deben contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a las que hayan dado lugar. Este registro no es público.
La conservación de información tampoco puede hacerse indefinidamente “por si acaso”. La Ley 2/2023 establece que los datos personales deben conservarse únicamente durante el periodo necesario y proporcionado para cumplir con la norma.
Esta diferencia es importante porque mantener trazabilidad no significa almacenar cualquier dato para siempre. La organización debería disponer de criterios claros de conservación y supresión que tengan en cuenta tanto la Ley 2/2023 como la normativa de protección de datos.
Buenas prácticas para aplicar la normativa correctamente
Cumplir formalmente es una cosa. Conseguir que el canal funcione correctamente es otra y algunas buenas prácticas pueden marcar bastante la diferencia.
Que el canal sea fácil de localizar
Un empleado no debería tener que recorrer cinco niveles de la página web para encontrarlo. La información debe ser clara y accesible.
Explicar qué puede comunicarse
Si no se define el ámbito, el canal puede terminar recibiendo cualquier tipo de consulta. Esto dificulta la gestión y genera confusión.
Formar a quienes gestionarán las comunicaciones
El Responsable del Sistema y las personas que intervengan en determinados expedientes necesitan conocer el procedimiento. Deben saber cómo actuar, qué información pueden compartir y qué hacer cuando aparece un conflicto de interés.
Probar el sistema antes de publicarlo
Puede realizarse una comunicación de prueba. Así es posible comprobar:
- Qué recibe el responsable.
- Cómo funciona el anonimato.
- Si llegan correctamente las notificaciones.
- Cómo se responde.
- Qué información queda registrada.
- Qué experiencia tiene el usuario.
Es mucho mejor descubrir un problema durante una prueba que cuando llegue una comunicación real.
Herramientas digitales para cumplir la normativa canal de denuncias
Una herramienta especializada puede simplificar buena parte del proceso. No garantiza el cumplimiento automáticamente, pero puede ayudar a gestionar aspectos que manualmente resultan mucho más complicados.
Entre las funcionalidades que conviene valorar están:
- Comunicaciones anónimas.
- Comunicación bidireccional segura.
- Gestión de permisos.
- Control de plazos.
- Historial de actuaciones.
- Gestión documental.
- Trazabilidad.
- Diferentes niveles de acceso.
- Facilidad de uso.
- Protección de datos.
En Canal de Denuncias Seguro ofrecemos una solución orientada a centralizar la gestión de este tipo de comunicaciones. Puede consultar también nuestra Plataforma canal de denuncias Ley 2/2023 para conocer mejor la parte tecnológica.
Qué ha cambiado en 2026
En 2026 no se ha sustituido la Ley 2/2023 por una nueva ley general de canales de denuncias. Lo que sí ha cambiado es que la Autoridad Independiente de Protección del Informante ha ido desarrollando recomendaciones mucho más concretas sobre cómo deberían diseñarse e implantarse los Sistemas internos de información.
Estas recomendaciones profundizan especialmente en aspectos como:
- Arquitectura técnica del canal.
- Independencia del Responsable del Sistema.
- Conflictos de interés.
- Protección de datos.
- Accesibilidad.
- Seguridad.
- Gestión de las comunicaciones.
Esto supone un cambio relevante desde el punto de vista práctico. Las empresas ya no deberían analizar únicamente si “tienen un canal”, sino revisar si ese sistema puede funcionar correctamente de acuerdo con las garantías que exige la ley y con las recomendaciones técnicas que se están desarrollando.
Checklist paso a paso para cumplir la normativa 2026
Paso a paso para cumplir la normativa canal de denuncias 2026
Una revisión básica puede comenzar con diez preguntas:
- ¿La empresa está obligada a disponer de un Sistema interno de información?
- ¿Existe un Responsable del Sistema correctamente designado?
- ¿Se ha aprobado un procedimiento de gestión?
- ¿El canal permite comunicaciones anónimas?
- ¿Los accesos a los expedientes están limitados?
- ¿Existe una forma segura de comunicarse con el informante?
- ¿Se controla el plazo de 7 días para el acuse de recibo?
- ¿Se controlan los plazos de las actuaciones de investigación?
- ¿Existe una política adecuada de conservación de datos?
- ¿Los empleados saben dónde se encuentra y cómo utilizar el canal?
Si alguna respuesta genera dudas, merece la pena revisar ese punto antes de que llegue una comunicación real. Puede utilizar también nuestra guía canal de denuncias para realizar una revisión más detallada del sistema.
Cumplir la normativa canal de denuncias en la práctica
La normativa canal de denuncias no debería abordarse únicamente como una lista de requisitos. La verdadera prueba llega cuando una persona utiliza el sistema.
En ese momento deben funcionar correctamente el acceso, la confidencialidad, el anonimato, los permisos, la comunicación, los plazos y el procedimiento de investigación.
La Ley 2/2023 establece la estructura jurídica principal. Las recomendaciones de la AIPI publicadas durante 2026 están ayudando a concretar cómo debería traducirse esa estructura a sistemas que funcionen en la práctica.
Para una empresa, esto significa pasar de la pregunta “¿tenemos canal?” a otra bastante más útil: “Si mañana recibimos una comunicación sensible, ¿tenemos todo preparado para gestionarla correctamente?”
La tecnología no sustituye al procedimiento ni al Responsable del Sistema, pero puede hacer que ambos trabajen de una forma mucho más ordenada, segura y trazable.
FAQ
¿Todas las empresas están obligadas a tener un canal de denuncias?
¿Puedo recibir denuncias de forma anónima?
¿Cuál es el plazo máximo para responder a una denuncia?
¿Qué sanciones existen por no cumplir la normativa?
¿Cómo protege la normativa a los denunciantes de represalias?
