Última revisión: 16 de octubre de 2026. Este contenido es informativo y no sustituye el asesoramiento sobre un caso concreto.
La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, obliga a muchas empresas a disponer de un Sistema Interno de Información. Para una pyme, la pregunta práctica no es solo si debe tener un canal, sino qué tiene que funcionar detrás de él: un responsable, un procedimiento, plazos y medidas de protección para quien informa.
¿Está obligada tu empresa?
El artículo 10 de la Ley 2/2023 enumera las entidades del sector privado obligadas a disponer de un Sistema Interno de Información. Los supuestos más habituales para una pyme son:
- Las personas físicas o jurídicas del sector privado que tengan contratados 50 o más trabajadores.
- Las entidades que entren en el ámbito de aplicación de los actos de la Unión Europea en materia de servicios, productos y mercados financieros, prevención del blanqueo de capitales o de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente, con independencia de su número de trabajadores.
- Los partidos políticos, sindicatos, organizaciones empresariales y las fundaciones creadas por unos u otros, siempre que reciban o gestionen fondos públicos.
Si tu empresa no alcanza esos supuestos, la ley no le exige implantar el sistema, aunque puede hacerlo de forma voluntaria. Si lo hace, conviene aplicar los mismos criterios de confidencialidad y protección.
Qué debe incluir el Sistema Interno de Información
La ley no se limita a pedir un buzón o un formulario. El artículo 5 describe un sistema completo que, en esencia, debe:
- Permitir comunicar información sobre las infracciones incluidas en el ámbito de la ley, por escrito, verbalmente o de ambas formas.
- Estar diseñado y gestionado de forma segura, de modo que se preserve la confidencialidad de la identidad del informante y de cualquier tercero mencionado, y se impida el acceso de personal no autorizado.
- Admitir comunicaciones anónimas.
- Integrar los distintos canales internos de información que existan en la entidad.
- Contar con un Responsable del Sistema y con una política o estrategia que enuncie sus principios generales, debidamente publicitada dentro de la entidad.
- Disponer de un procedimiento de gestión de las informaciones recibidas.
La implantación corresponde al órgano de administración, que es también responsable del tratamiento de los datos personales asociados. Además, la ley exige que la información sobre el uso del canal interno, y sobre los canales externos ante las autoridades competentes, se facilite de forma clara y accesible; si la empresa tiene web, esa información debe figurar en la página de inicio, en una sección separada y fácilmente identificable.
El Responsable del Sistema
El artículo 8 atribuye al órgano de administración la designación, destitución o cese del Responsable del Sistema. Puede ser una persona física o un órgano colegiado; en este último caso, debe delegar en uno de sus miembros las facultades de gestión y tramitación. El Responsable debe actuar con independencia y autonomía respecto del resto de órganos de la entidad, y su nombramiento y cese deben notificarse a la autoridad competente (la Autoridad Independiente de Protección del Informante o la autoridad autonómica que corresponda) dentro del plazo que fija la ley.
En una pyme, la persona designada debe tener criterio, tiempo y una posición que le permita actuar sin presiones.
Gestión por un tercero externo
El artículo 6 permite que la gestión del canal, entendida como la recepción de las comunicaciones, se encomiende a un tercero externo. Esa externalización no traslada la responsabilidad: la empresa sigue siendo responsable del sistema, y el tercero tendrá la consideración de encargado del tratamiento a efectos de protección de datos, con el contrato correspondiente. La ley también contempla que las entidades de 50 a 249 trabajadores compartan medios y recursos para la recepción de comunicaciones, y que los grupos de empresas cuenten con un sistema común.
Plazos del procedimiento
El artículo 9 regula el contenido mínimo del procedimiento de gestión. Entre otros extremos, establece:
- Acuse de recibo de la comunicación en el plazo de siete días naturales desde su recepción, salvo que pueda poner en peligro la confidencialidad.
- Plazo máximo de respuesta a las actuaciones de investigación de tres meses desde la recepción, ampliable hasta otros tres meses en casos de especial complejidad.
- Posibilidad de mantener la comunicación con el informante y, si se considera necesario, solicitarle información adicional.
- Respeto de la presunción de inocencia y del honor de las personas afectadas, y derecho de la persona afectada a ser informada de las acciones u omisiones que se le atribuyen y a ser oída.
- Remisión de la información al Ministerio Fiscal cuando los hechos pudieran ser indiciariamente constitutivos de delito.
Si el informante solicita una reunión presencial para comunicar los hechos verbalmente, el artículo 7 prevé que se celebre dentro del plazo máximo de siete días.
Libro-registro y protección de datos
La empresa debe llevar un libro-registro de las informaciones recibidas y de las investigaciones internas, con garantías de confidencialidad. No es un registro público. Además, los datos personales tratados en el sistema están sometidos a reglas específicas de conservación y acceso (Título VI de la ley), que se suman al RGPD y a la LOPDGDD. En la práctica, esto implica actualizar el registro de actividades de tratamiento, informar adecuadamente y limitar quién accede a cada comunicación.
Prohibición de represalias
La ley prohíbe expresamente las represalias contra quienes comuniquen infracciones de buena fe dentro de su ámbito, incluidas las amenazas y las tentativas. Para la empresa, esto obliga a revisar cómo se adoptan decisiones laborales o comerciales que afecten a un informante, y a documentar que responden a motivos ajenos a la comunicación.
Errores frecuentes en pymes
- Publicar un formulario o un correo electrónico sin procedimiento, sin Responsable designado y sin registro.
- Asignar la recepción de comunicaciones a una persona con conflicto de interés, por ejemplo, alguien de quien depende la plantilla que podría ser objeto de la información.
- No comunicar a la autoridad competente el nombramiento del Responsable del Sistema.
- Olvidar la información a la plantilla y la sección visible en la página de inicio de la web.
Consecuencias del incumplimiento
El Título IX de la ley establece un régimen sancionador que incluye, entre otras, infracciones por no implantar el Sistema Interno de Información cuando es obligatorio, por vulnerar la confidencialidad o por adoptar represalias. Las multas para personas jurídicas pueden ser elevadas en los supuestos más graves, y pueden acompañarse de otras medidas, como la prohibición de obtener subvenciones o de contratar con el sector público.
Obligación legal, estándar voluntario y recomendación profesional
Conviene distinguir tres planos:
- Obligación legal: la Ley 2/2023 fija quién debe tener el sistema, sus elementos mínimos, los plazos y la protección del informante.
- Estándar voluntario: ISO 37002:2021 ofrece directrices de buenas prácticas para sistemas de gestión de denuncias. Es una guía, no una norma certificable ni una exigencia legal.
- Recomendación profesional: proporcionar el sistema al tamaño y riesgos de la empresa, formar al Responsable y revisar periódicamente su funcionamiento, por ejemplo con una revisión anual de comunicaciones, plazos y acceso a datos.
Por dónde empezar
- Comprueba si tu empresa está incluida en el artículo 10 y documenta la conclusión.
- Designa al Responsable del Sistema mediante acuerdo del órgano de administración y notifícalo a la autoridad competente.
- Aprueba la política y el procedimiento de gestión.
- Elige un canal técnico que permita comunicaciones escritas, verbales y anónimas con control de accesos.
- Actualiza la documentación de protección de datos y crea el libro-registro.
- Informa a la plantilla y publica la información en la web.
Un Sistema Interno de Información bien diseñado facilita el cumplimiento de la Ley 2/2023 y ayuda a detectar problemas antes de que escalen. Puedes consultar cómo lo abordamos en nuestra página de Sistema Interno de Información.
Fuentes
- Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (BOE, texto consolidado)
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (BOE, texto consolidado)
- Agencia Española de Protección de Datos
- ISO 37002:2021 Whistleblowing management systems. Guidelines (ISO)
Si quieres saber si tu empresa está obligada y qué le falta a su sistema actual, Solicita un diagnóstico inicial.