Quién está obligado a tener canal de denuncias

La pregunta de quién está obligado a tener canal de denuncias no admite respuestas improvisadas. Desde la entrada en vigor de la Ley 2/2023, muchas empresas, entidades y organizaciones han pasado de considerar este sistema como algo opcional a tener que implantarlo de forma obligatoria, con plazos, requisitos formales y riesgo real de sanción si no lo hacen bien.

El problema es que todavía hay bastante confusión. Hay negocios que creen que, por ser pequeños, quedan fuera. Otros piensan que basta con un correo electrónico genérico. Y también hay entidades sin ánimo de lucro, fundaciones o administraciones que no tienen claro si les afecta la norma. Esa incertidumbre sale cara cuando llega una inspección o cuando surge una denuncia interna y la organización no tiene un procedimiento válido.

Quién está obligado a tener canal de denuncias en España

La obligación principal viene marcada por la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta norma exige disponer de un sistema interno de información a determinadas entidades del sector privado y del sector público.

En el ámbito privado, están obligadas las empresas o entidades con 50 o más trabajadores. Ese es el criterio general que más se repite y el que sirve de referencia para la mayoría de pymes. Si una empresa alcanza ese umbral, debe contar con un canal interno de denuncias que cumpla los requisitos legales.

También están obligadas, con independencia del número de empleados, determinadas entidades que operan en sectores concretos cuando así lo exige la normativa aplicable. Aquí conviene revisar caso por caso, porque no todo depende exclusivamente del tamaño de la plantilla. Hay actividades especialmente reguladas en las que la exigencia puede venir reforzada por normas sectoriales de cumplimiento.

En el sector público, la obligación es amplia. Deben implantarlo las administraciones públicas, organismos, entidades públicas, universidades públicas, corporaciones de derecho público y otras entidades vinculadas o dependientes, con las particularidades previstas en la norma. En este terreno, la duda no suele ser si existe obligación, sino cómo articular correctamente el sistema.

Qué entidades privadas deben implantarlo

Si aterrizamos la norma en casos prácticos, la obligación afecta a muchas más organizaciones de las que parece a primera vista. No hablamos solo de sociedades mercantiles medianas o grandes. También puede afectar a fundaciones, asociaciones, cooperativas y otras entidades privadas que superen el umbral legal de trabajadores.

Aquí aparece una cuestión clave: no importa únicamente la forma jurídica. Lo determinante suele ser si la entidad entra dentro de los supuestos obligados por la ley. Una asociación con estructura estable y 50 o más trabajadores puede estar obligada igual que una sociedad limitada. Una fundación con personal contratado también puede quedar incluida.

En cambio, un autónomo sin trabajadores o una microempresa con plantilla reducida, en principio, no entra en la obligación general por número de empleados. Eso no significa que implantar un canal sea mala idea. En algunos casos puede ser recomendable por imagen, control interno o prevención de conflictos, pero no sería una obligación automática por la Ley 2/2023 si no se alcanza el umbral o no existe otra exigencia sectorial.

El criterio de los 50 trabajadores: la duda más habitual

Cuando se analiza quién está obligado a tener canal de denuncias, casi todo gira alrededor de una cifra: 50 trabajadores. Ahora bien, no siempre es tan sencillo como mirar la plantilla de un día concreto.

La empresa debe valorar su realidad laboral de forma seria y documentada. Si se trata de una organización con oscilaciones de personal, campañas estacionales o centros de trabajo con contrataciones variables, conviene revisar cómo se computa la plantilla y si realmente se supera el umbral exigido. Esperar a que alguien cuestione ese dato no es una estrategia prudente.

Además, cuando existen grupos empresariales o estructuras con varias sociedades, no siempre basta con analizar cada entidad de manera aislada sin estudiar su configuración real. Hay situaciones en las que la organización del sistema requiere un enfoque más técnico para no cometer errores de implantación.

Por eso, reducir la cuestión a «tengo 49 y me libro» o «tengo 50 y ya está» suele ser una simplificación peligrosa. La obligación legal existe, pero su aplicación práctica debe revisarse con criterio jurídico y operativo.

Tener un canal no es solo abrir un buzón

Uno de los errores más frecuentes es pensar que cumplir consiste en habilitar una dirección de correo electrónico y esperar denuncias. No es así. La ley no pide un simple buzón. Exige un sistema interno de información con garantías concretas.

Ese sistema debe permitir presentar comunicaciones por escrito o verbalmente, proteger la confidencialidad de la identidad del informante y de las personas afectadas, impedir accesos no autorizados y contar con un procedimiento claro de gestión. También debe designarse un responsable del sistema, establecer plazos de respuesta y asegurar el seguimiento de las comunicaciones recibidas.

Además, el canal debe respetar la normativa de protección de datos. Aquí muchas empresas fallan. Implantan una herramienta sin adaptar los tratamientos, sin definir accesos, sin política de conservación y sin información adecuada a los interesados. El resultado es un doble problema: incumplimiento de la Ley 2/2023 e incumplimiento en materia de protección de datos.

Qué pasa si mi empresa no lo implanta

La respuesta corta es sencilla: se expone a sanciones y a un riesgo reputacional innecesario. No tener el canal cuando existe obligación, o tenerlo mal implantado, puede considerarse infracción y dar lugar a consecuencias económicas relevantes.

Pero el coste no es solo la multa. Una denuncia mal gestionada puede generar conflictos laborales, problemas disciplinarios, exposición pública y una mala defensa jurídica si la organización no ha dejado trazabilidad de sus actuaciones. En otras palabras, el canal no es solo una carga legal. Bien implantado, también protege a la empresa.

Conviene entenderlo como una medida de prevención. Igual que una empresa no debería esperar a sufrir una brecha de datos para tomarse en serio el RGPD, tampoco debería esperar a recibir una comunicación sensible para improvisar su sistema interno de información.

Quién puede compartir canal y cuándo depende del tamaño

La ley prevé ciertas posibilidades de gestión compartida, especialmente para entidades privadas de menor dimensión dentro de los límites legales. Esto interesa mucho a pymes y grupos empresariales porque puede reducir carga administrativa y coste de implantación.

Ahora bien, compartir recursos o externalizar la gestión no elimina la obligación de cumplir. La entidad sigue siendo responsable de que el canal exista, funcione y respete las garantías exigidas. Externalizar no significa desentenderse.

Este punto es importante para empresas que buscan una solución rápida y económica. Se puede optimizar el modelo, sí, pero siempre con seguridad jurídica. Lo barato sale caro cuando el sistema no ofrece confidencialidad, no tiene procedimiento o no está correctamente documentado.

Cómo saber si realmente estás obligado a tener canal de denuncias

Si tienes dudas sobre si estás dentro del supuesto legal, la forma correcta de analizarlo es revisar cuatro factores: número de trabajadores, naturaleza de la entidad, sector de actividad y estructura organizativa. Con eso suele poder determinarse si la obligación es directa, si depende de una norma sectorial o si, por el contrario, la implantación sería voluntaria.

En la práctica, muchas organizaciones descubren que sí están obligadas cuando hacen una revisión mínima de cumplimiento. Otras no lo están todavía, pero les interesa adelantarse porque prevén crecimiento de plantilla o porque quieren ordenar su sistema interno antes de que aparezca un problema.

Ahí es donde un enfoque práctico marca la diferencia. No se trata de llenar al cliente de tecnicismos, sino de darle una respuesta clara: si debes implantarlo, cómo hacerlo y cuánto riesgo asumes si lo retrasas.

El canal de denuncias debe adaptarse a cada organización

No todas las entidades necesitan el mismo diseño. Una pyme de 60 trabajadores no tiene la misma operativa que una fundación, una comunidad de propietarios con estructura compleja o una empresa con varios centros de trabajo. La base legal es la misma, pero la implantación debe ajustarse a la realidad de cada organización.

Eso afecta al procedimiento, al responsable del sistema, a los perfiles con acceso, a la coordinación con recursos humanos y a la política de protección de datos. Si se copia un modelo genérico sin adaptar, lo normal es que aparezcan fallos en cuanto se recibe la primera comunicación.

Por eso, cuando una entidad se pregunta quién está obligado a tener canal de denuncias, la siguiente pregunta debería ser igual de directa: si me aplica la ley, ¿lo tengo bien implantado o solo aparento cumplir?

La diferencia entre una obligación cubierta y un problema latente suele estar en los detalles. Y en cumplimiento normativo, los detalles son exactamente los que terminan evitando sanciones, conflictos internos y pérdidas de tiempo. Si tu organización encaja en los supuestos de la Ley 2/2023, dejarlo para más adelante no reduce el riesgo: lo acumula.