Guía · Ley 2/2023
¿Está obligada su empresa a tener canal de denuncias?
Respuesta corta: si tiene 50 o más trabajadores, sí. Y el plazo para tenerlo implantado venció hace años, así que no es algo que esté por llegar.
Esta guía cita los artículos concretos, para que pueda comprobar cada afirmación en el propio texto de la ley en el BOE.
1. Quién está obligado
El artículo 10.1 lo dice sin rodeos. Están obligadas a disponer de un Sistema interno de información:
- a) Las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores.
- b) Con independencia del número de trabajadores, las que operan en servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente.
Ese segundo grupo es el que más se pasa por alto. Si es usted sujeto obligado de la Ley 10/2010, tiene que tener canal de denuncias aunque sean cinco personas en plantilla. Una gestoría, una inmobiliaria o un despacho pequeño pueden estar obligados sin llegar a los cincuenta trabajadores.
Si ya lo tenía que tener y no lo tiene
El plazo general terminó en junio de 2023. Para entidades de 249 trabajadores o menos y municipios de menos de diez mil habitantes, la ley amplió el plazo hasta el 1 de diciembre de 2023. Las dos fechas han pasado.
2. Los dos plazos que hay que cumplir
Son los que más incumplimientos generan, porque no dependen de tener una herramienta sino de contestar a tiempo.
| Plazo | Qué exige | Dónde |
|---|---|---|
| 7 días naturales | Acuse de recibo al informante desde que se recibe la comunicación, salvo que eso ponga en peligro la confidencialidad | art. 9.2.c |
| 3 meses | Máximo para terminar la instrucción y dar respuesta, contados desde la recepción — o desde que vencieron los 7 días, si no se envió acuse | art. 9 |
Dos matices que conviene tener presentes:
- Los tres meses pueden ampliarse en casos de especial complejidad, pero es la excepción y hay que poder justificarla.
- Si el informante lo pide, la comunicación puede presentarse en una reunión presencial, y esa reunión tiene también un plazo máximo de siete días.
El plazo corre aunque nadie lo esté mirando. Es la razón por la que un canal montado sobre un buzón de correo acaba fallando: nada avisa de que quedan dos días, y el incumplimiento aparece cuando ya no tiene arreglo.
3. Sí, tiene que admitir denuncias anónimas
Es una de las dudas más frecuentes, y la ley no deja margen: «Los canales internos de información permitirán incluso la presentación y posterior tramitación de comunicaciones anónimas.»
No basta con aceptar el anonimato al recibir: hay que poder tramitar el caso sin conocer al informante, y mantener un cauce para comunicarse con él. Un formulario que exige correo electrónico para responder no cumple.
4. Quién puede ver los datos
El artículo 32 limita el acceso a los datos personales del sistema, y la lista es cerrada:
- El Responsable del Sistema y quien lo gestione directamente.
- El responsable de recursos humanos, y solo cuando pueda proceder la adopción de medidas disciplinarias.
- El responsable de los servicios jurídicos, si procediera adoptar medidas legales.
- Los encargados del tratamiento que se designen.
- El delegado de protección de datos.
Que la ley acote quién puede ver qué tiene una consecuencia práctica: un canal donde el administrador de sistemas puede leerlo todo, o donde el director general puede consultar cualquier expediente, no cumple el artículo 32 por mucho que tenga un formulario bonito.
5. Un tercero puede gestionarlo, pero la responsabilidad no se va
El artículo 6.4 es claro: «El tercero externo que gestione el Sistema tendrá la consideración de encargado del tratamiento.» Y el artículo 5.1 deja al órgano de administración de la entidad como responsable del tratamiento.
Traducido: puede externalizar el canal, pero la responsabilidad sigue siendo suya. Conviene elegir al proveedor con eso en la cabeza.
Un detalle que casi nadie cuenta bien
El preámbulo de la ley anuncia que las entidades obligadas, los terceros que gestionen el sistema y la Autoridad deben contar con delegado de protección de datos. Pero el artículo 34, que es el que obliga, solo menciona a la Autoridad Independiente de Protección del Informante.
Encontrará muchos artículos afirmando que todas las empresas con canal necesitan DPD. El articulado no dice eso. La obligación de designarlo habrá que buscarla, en su caso, en el artículo 37 del RGPD y en el 34 de la LOPDGDD, no en esta ley.
6. Qué pasa si no lo tiene
Las sanciones las impone la Autoridad Independiente de Protección del Informante. Para personas jurídicas, las infracciones muy graves llegan hasta un millón de euros.
Y hay una consecuencia que suele doler más que la multa: las sanciones muy graves iguales o superiores a 600.001 euros pueden publicarse en el BOE una vez firmes. En un sector donde se vende confianza, esa publicación cuesta más que el importe.
7. Lista de comprobación
- [ ] ¿Tiene 50 o más trabajadores, o es sujeto obligado de la Ley 10/2010?
- [ ] ¿Su canal admite comunicaciones anónimas y permite tramitarlas?
- [ ] ¿Alguien controla el acuse de 7 días sin depender de acordarse?
- [ ] ¿Puede demostrar que no se pasa de 3 meses?
- [ ] ¿Está limitado el acceso a las personas del artículo 32, o lo ve quien administra los sistemas?
- [ ] Si lo gestiona un tercero, ¿hay contrato de encargo del artículo 28 RGPD?
- [ ] ¿Consultó a la representación legal de los trabajadores antes de implantarlo, como exige el artículo 5.1?
Cómo lo resolvemos nosotros
Compliance Lab
Un canal donde quien lo gestiona ve los casos y nunca las identidades, con los plazos de la ley controlados solos y un formulario público que funciona sin JavaScript y sin una sola petición a terceros.