·5 min de lectura
Ley 2/2023: obligaciones, plazos y sanciones del canal de denuncias
La Ley 2/2023, en vigor desde el 13 de marzo de 2023, obliga a las empresas a disponer de un sistema interno de información —el canal de denuncias— y transpone la Directiva (UE) 2019/1937. Esta guía cubre quién está obligado, los plazos, las sanciones y la externalización.
¿Qué empresas están obligadas?
Las empresas privadas con 50 o más trabajadores y todo el sector público, sin excepción por tamaño. Para las empresas de 50 a 249 empleados el plazo venció el 1 de diciembre de 2023; para las de 250 o más, el 13 de junio de 2023.
Los plazos: 7 días y 3 meses
El artículo 21 exige acusar recibo de la comunicación en un plazo máximo de 7 días y dar respuesta sobre las actuaciones en un máximo de 3 meses, ampliable a 3 meses más en casos justificados. La confidencialidad del informante debe garantizarse durante todo el proceso.
Sanciones de hasta 1.000.000 €
El régimen sancionador (Título IX) es de los más severos de la UE. Para las infracciones muy graves —no disponer del sistema interno, tomar represalias o quebrantar la confidencialidad— las multas a personas jurídicas van de 600.001 € a 1.000.000 €. Las graves, de 300.001 € a 600.000 €; las leves, de 10.001 € a 100.000 €. Pueden añadirse la amonestación pública y la prohibición de contratar o de recibir subvenciones.
Canal interno, A.A.I. y externalización
El canal interno lo gestiona su empresa; el canal externo lo gestiona la Autoridad Independiente de Protección del Informante (A.A.I.), ante la que el informante puede acudir directamente. La ley permite externalizar la gestión del canal interno a un tercero, siempre que garantice independencia, confidencialidad y cumplimiento del RGPD.
Anonimato y ubicación de los datos
La ley obliga a admitir y tramitar denuncias anónimas. Tan importante como la promesa es que el anonimato esté garantizado técnicamente: sin registro de la dirección IP, con cifrado fuerte y un canal bidireccional seudónimo. Y dónde residen los datos determina el riesgo Schrems II: tras la sentencia del TJUE, los datos alojados en proveedores estadounidenses quedan expuestos al CLOUD Act y a la FISA 702 aunque se almacenen en un centro de datos europeo.
Qué distingue a Whistlechannel
Whistlechannel se aloja exclusivamente en Estocolmo, sin subencargados estadounidenses, no registra direcciones IP y cifra con AES-256. El canal llave en mano está disponible en 24 idiomas de la UE, se activa en autoservicio en minutos y tiene precios transparentes desde 99 SEK/mes, sin llamada comercial.